La Asociación Mexicana de Internet expresa su reconocimiento y, a la vez, su preocupación por los comunicados recientes (Comunicado No. 111, publicado el 20 de septiembre y Comunicado No. 113, publicado el 24 de septiembre) de la Secretaría Anticorrupción y Buen Gobierno. En ellos, la autoridad informa de monitoreos forenses en los que se detectó la oferta de bases de datos atribuidas empresas privadas, tras lo cual anuncia que se iniciarían investigaciones de oficio.
La Asociación comparte plenamente el objetivo de proteger a las personas titulares de los datos. Por ello plantea establecer mecanismos para lograr que estos hallazgos fortalezcan la protección de datos sin debilitar el debido proceso, la investigación de los delitos ni la confianza en la economía digital.
La importancia de la detección temprana
La AIMX reconoce la labor de la Secretaría. Detectar a tiempo una posible exposición permite activar de inmediato los protocolos de respuesta a incidentes: verificar la autenticidad de la información, contener el daño e informar a las personas titulares, como se exige en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares
(LFPDPPP).
Identificar estas amenazas rápidamente puede reducir de días a horas el tiempo de reacción de las empresas, y de ese tiempo depende cuánto daño sufren las personas. Sin duda, el mayor valor de un hallazgo así está en compartirlo primero, y por canales directos, con quien puede actuar sobre él.
El monitoreo no debe ser la antesala automática de la sanción Preocupa que un monitoreo derive, en el mismo acto, en el anuncio público de una investigación de oficio para “determinar la presunta responsabilidad” de una empresa identificada por su nombre, aun cuando los propios comunicados reconocen que las filtraciones están en calidad de “supuestamente atribuible” y que el sistema “podría estar relacionado” con las empresas.
La LFPDPPP sólo permite la verificación de oficio cuando se presume, fundada y motivadamente, una violación a la Ley: la oferta que un presunto delincuente publica en Telegram apunta, en su caso, a un delito cometido contra la empresa; no acredita por sí misma que ésta haya incumplido. La Ley exige medidas de seguridad acordes al riesgo, no infalibilidad, y sólo sanciona la vulneración cuando resulte imputable al responsable.
Anunciar primero y verificar después invierte el orden del debido proceso: La presunción de inocencia rige también en el procedimiento administrativo sancionador, como lo ha sostenido la Suprema Corte (jurisprudencia P./J. 43/2014). Además, los servidores públicos deben guardar confidencialidad sobre lo que conozcan con motivo de una verificación.
“Un esquema en el que cada publicación criminal detona una verificación y una eventual multa crea un incentivo perverso. Entrega a los grupos delincuenciales una nueva palanca de extorsión: les basta difundir una muestra para activar a la autoridad contra su víctima.
También desalienta que las empresas compartan información sobre incidentes, que es justo lo que el ecosistema necesitaría para atenderlos oportunamente”, señala Lina Rodríguez, Presidenta de la AIMX.
La difusión pública prematura puede comprometer la investigación del delito: la venta de una base de datos sustraída es un hecho delictivo. Si bien, la Secretaría tiene competencia para verificar el cumplimiento de la LFPDPPP, es importante señalar que el indicio que detonó su actuación (por ejemplo, la venta de datos en un canal de Telegram), su investigación compete al Ministerio Público y a las autoridades policiacas, entre ellas las unidades de policía cibernética federal y estatales.
La difusión en este tipo de incidentes, representa consecuencias serias:
● Alerta al infractor. Un anuncio oficial le da tiempo para borrar la publicación, migrar de canal y destruir rastros antes de que actúe la policía cibernética.
● Debilita la prueba. Un indicio digital recabado fuera de la cadena de custodia puede perder valor probatorio en el proceso penal.
● Amplifica la oferta criminal. La confirmación oficial funciona como sello de autenticidad de la base y eleva su valor y su demanda en el mercado ilícito.
● Crea un riesgo adicional. La muestra en poder de la autoridad contiene datos de más de 100 mil personas y exige las mismas salvaguardas que se piden a cualquier
Responsable.
“Señalar públicamente a una empresa por su nombre, cuando todavía se está frente a indicios que requieren verificación, puede generar un efecto de revictimización y producir un daño reputacional y comercial anticipado. Antes de atribuir el origen, autenticidad o responsabilidad respecto de una base de datos, resulta indispensable determinar si la información es auténtica, cuál es su antigüedad, de dónde provino, cómo fue obtenida y si
existió algún incumplimiento atribuible al responsable o a un tercero”, apunta Juan Antonio
Ramírez Márquez, Vicepresidente de Relaciones con Gobierno de la Asociación Mexicana
de Internet.
Respeto a ello, señaló que, en un incidente de esta naturaleza, la comunicación institucional
debe calibrarse cuidadosamente: “La autoridad tiene el deber de investigar y proteger los derechos de las personas titulares de los datos, pero esa función debe desarrollarse con información verificable y distinguiendo claramente entre un indicio, una hipótesis de investigación y un hecho acreditado. El objetivo de la comunicación pública debe ser informar y prevenir riesgos para los titulares, sin generar una atribución anticipada de responsabilidad que posteriormente pudiera resultar incorrecta.”
Comentó que esto no significa minimizar un posible incidente de seguridad ni limitar las facultades de investigación de la autoridad. Significa que la protección de los datos personales debe ir acompañada de una comunicación institucional responsable, proporcional y basada en hechos verificados.”
¿Qué proponemos como industria?
Invitamos respetuosamente a la Secretaría a construir, junto con la industria, un modelo de cooperación, colaboración y participación conjunta frente a los grupos delincuenciales que afectan a empresas, instituciones y ciudadanía. Proponemos seis medidas concretas:
1. Aviso temprano y confidencial al Responsable. Que todo indicio detectado en el monitoreo se comunique primero a la organización involucrada, por un punto de contacto designado, con un plazo razonable para verificar, contener e informar a las personas titulares.
2. Coordinación inmediata con las autoridades de investigación. Que el hallazgo se denuncie ante el Ministerio Público y se comparta con la policía cibernética antes de cualquier difusión, y que los indicios se preserven bajo cadena de custodia.
3. Criterios claros de comunicación pública. Que la autoridad comunique cuando sea necesario para proteger a las personas, con recomendaciones útiles para ellas, y que reserve la identificación del Responsable hasta contar con hechos verificados o una resolución.
4. Mesa permanente autoridad–industria. Un espacio de trabajo con la Secretaría, las autoridades de seguridad y procuración de justicia, la academia y la sociedad civil para compartir inteligencia de amenazas, protocolos y capacitación.
5. Incentivos a la transparencia y atenuantes formales. Que la Secretaría establezca, mediante lineamientos generales, un catálogo de circunstancias atenuantes aplicables en procedimientos sancionadores, que incluya: (a) la notificación voluntaria y oportuna del incidente a la autoridad; (b) la cooperación activa durante la verificación; (c) la notificación diligente a las personas titulares; (d) la implementación previa de un programa integral de protección de datos; y (e) la adopción de medidas correctivas verificables.
6. Protocolo de preservación de evidencia digital. Que la Secretaría, en coordinación con la Fiscalía General de la República y las fiscalías estatales, establezca un protocolo para la preservación, manejo y transferencia de evidencia digital obtenida en monitoreos, que garantice la cadena de custodia y que asegure que los datos personales contenidos en muestras obtenidas se traten con las medidas de seguridad que la LFPDPPP exige.
La industria debe redoblar esfuerzos para cumplir cabalmente la Ley
El modelo mexicano pone en el centro a la persona titular. La Ley obliga al Responsable de los Datos a informar de inmediato al titular las vulneraciones que afecten de forma significativa sus derechos patrimoniales o morales, para que pueda defenderse. Ahí deben concentrarse los esfuerzos de empresas y autoridad: en que ese aviso llegue pronto, sea claro y sea útil.
“Las empresas que detectan, contienen e informan con oportunidad deben encontrar en la autoridad a un aliado. Un entorno que castiga la transparencia produce silencio, y el silencio deja indefensas a las personas. La protección de los datos personales es una responsabilidad compartida. La AIMX reitera su reconocimiento a la Secretaría Anticorrupción y Buen Gobierno y su plena disposición para trabajar con ella, con las autoridades de seguridad y procuración de justicia, y con todos los sectores”, señaló Iván Díaz González, Vicepresidente de Innovación y Tecnologías Emergentes de la Asociación Mexicana de Internet.
