Latest / Noticiero Sucesos / 02.06 Entrevista Fabrizio Peralta-Díaz, Superintendente de Protección de Datos Personales

Transcript

02.06 Entrevista Fabrizio Peralta-Díaz, Superintendente de Protección de Datos Personales · Noticiero Sucesos

0:05
Speaker 3: Estamos listos, amigos. Damos la bienvenida a nuestro invitado. Qué
0:07
Speaker 3: gusto tenerlo en cabina. Qué gusto conocerlo también, al señor
0:10
Speaker 3: superintendente de protección de datos personales, don Fabricio Peralta Díaz.
0:15
Speaker 3: Y lo hemos invitado porque queremos conocer qué hace la
0:17
Speaker 3: Superintendencia de Protección de Datos, qué rol tiene la ciudadanía.
0:21
Speaker 3: También es importante que conozca lo que está haciendo, cómo
0:24
Speaker 3: puede acudir a ella, cuándo acudir a ella. Y quizás
0:27
Speaker 3: el tema de coyuntura que nos convoca es esta situación
0:30
Speaker 3: crítica debido a recientes y masivas filtraciones de datos personales
0:34
Speaker 3: biométricos de los ecuatorianos que comprometen a muchos millones de
0:38
Speaker 3: ciudadanos ecuatorianos, un problema que se ha agravado significativamente en
0:42
Speaker 3: con incidentes detectados recientemente en este mes de mayo. Por ejemplo,
0:47
Speaker 3: se conoció los primeros días de mayo que ciberdelincuentes expusieron
0:51
Speaker 3: en foros clandestinos en la Dark Web registros de identidad
0:54
Speaker 3: de casi 15 millones de ecuatorianos, una afectación que incluyó nombres...
0:59
Speaker 3: números de cédula, fotos en alta resolución, incluso nuestras huellas digitales,
1:04
Speaker 3: datos biométricos y expertos han advertido que esta exposición de
1:07
Speaker 3: las fotografías facilita lamentablemente ataques o suplantación de identidad o
1:11
Speaker 3: cosas que ahora se hacen con la inteligencia artificial y
1:14
Speaker 3: que preocupan. Por ejemplo, se hablaba de alertas sobre posibles
1:18
Speaker 3: filtraciones asociadas a la base de datos de la Agencia
1:21
Speaker 3: Nacional de Tránsito con datos de los vehículos, los conductores,
1:25
Speaker 3: también de cooperativas en el lado privado también se se
1:28
Speaker 3: ha alertado de cooperativas de ahorro y crédito, 11 cooperativas financieras
1:33
Speaker 3: del país exactamente. En fin, algunas cosas que están preocupando
1:37
Speaker 3: y frente a eso, bueno, hemos ya hablado con expertos,
1:40
Speaker 3: por ejemplo, tuvimos a Ola Bin y que nos comentaba
1:43
Speaker 3: cómo podemos protegernos, porque los datos ya están expuestos, pero
1:46
Speaker 3: en este caso,¿ qué hace la Superintendencia de Protección de Datos?¿
1:50
Speaker 3: Cómo está investigando estas situaciones y cómo protege a los
1:53
Speaker 3: ciudadanos ecuatorianos? Bienvenido y gracias, Fabricio.
1:57
Speaker 2: Buenos días, muchas gracias por darme este espacio, el gusto
2:00
Speaker 2: es mío. Y bueno, hay varias preguntas enlatadas en esa introducción,
2:05
Speaker 2: pero voy a ir quizás por el final porque es
2:07
Speaker 2: probablemente lo que más llama la atención de la ciudadanía.
2:10
Speaker 2: En cuanto a las cuestiones vinculadas con la supuesta vulneración
2:14
Speaker 2: de datos personales en el registro civil, la Superintendencia de
2:19
Speaker 2: Protección de Datos Personales ha diligenciado la apertura de una
2:23
Speaker 2: actuación previa, que es una instancia administrativa dentro de la
2:26
Speaker 2: cual se procuran recabar pruebas e investigar a mayor profundidad,
2:29
Speaker 2: primero para determinar si es que en efecto esa abominación aconteció,
2:32
Speaker 2: y en segundo lugar, de haber acontecido, conclusión a la
2:36
Speaker 2: que no hemos llegado aún, porque se sigue investigando. Pero
2:38
Speaker 2: muchos expertos ya lo dan por hecho,
2:39
Speaker 3: o sea, eso es un hecho lo que están los
2:42
Speaker 3: datos ecuatorianos.
2:42
Speaker 2: Yo he venido diciendo desde hace algunos días atrás, sobre
2:46
Speaker 2: todo cuando estuve hace unas dos semanas en una entrevista
2:48
Speaker 2: en un canal de televisión, que los expertos y la
2:51
Speaker 2: ciudadanía tienen el privilegio de poder ellos expresar sus opiniones
2:55
Speaker 2: libremente porque este es un país democrático. Pero una institución
2:59
Speaker 2: como la superintendencia tiene el deber, tiene la obligación de investigar.
3:04
Speaker 2: Para la superintendencia, y por mucho que esto sea causa
3:09
Speaker 2: de eventuales opiniones en contra, estos son supuestos o hipótesis
3:16
Speaker 2: sujetas a verificación. Entonces, la superintendencia cumple su rol técnico
3:20
Speaker 2: diligenciando sus investigaciones para poder determinar si en efecto esto
3:24
Speaker 2: ha ocurrido. Y como estaba diciendo antes de la repregunta
3:27
Speaker 2: o antes de su afirmación, en el evento de que
3:31
Speaker 2: se llegase a determinar que ha habido una vulneración, se
3:33
Speaker 2: tendrían que adoptar las medidas correctivas que en cada caso correspondan. Entonces,
3:38
Speaker 2: todavía no hemos llegado a esa conclusión. La actuación previa
3:41
Speaker 2: puede demorar hasta seis meses según el Código Orgánico Administrativo.
3:45
Speaker 2: Y en ese rol nos encontramos por el momento. Ahora,
3:49
Speaker 2: muy bien, es cierto, la ciudadanía aquí tiene un rol activo,
3:52
Speaker 2: porque la superintendencia de protección de datos, en el fondo,
3:56
Speaker 2: debe garantizar la protección de los datos de los ciudadanos
3:59
Speaker 2: y con ello su derecho a la privacidad. El accionar
4:02
Speaker 2: de la superintendencia tiene un rol de carácter garantista, de
4:06
Speaker 2: garantista de ese derecho constitucional o fundamental, que es el
4:10
Speaker 2: derecho a la protección de datos personales. Está ella estructurada
4:14
Speaker 2: en tres intendencias, la Intendencia General de Control y Sanción,
4:17
Speaker 2: la Intendencia General de Innovación y la de Regulación. La
4:20
Speaker 2: Intendencia de Control y Sanción es probablemente la división, por
4:24
Speaker 2: llamarlo de alguna manera, de la superintendencia que más contacto
4:28
Speaker 2: tiene eventualmente con situaciones como las vinculadas con denuncias o
4:33
Speaker 2: con solicitudes que presentan los ciudadanos. Hay una diferencia entre
4:37
Speaker 2: denuncias y solicitudes. La denuncia puede ser presentada por cualquier persona.
4:41
Speaker 2: No lo convierte formalmente en parte procesal, pero si una
4:44
Speaker 2: persona viene a la institución y nos dice están tratando
4:47
Speaker 2: los datos personales de los ciudadanos de una forma inapropiada
4:53
Speaker 2: en tal institución pública o privada, eso nos permite a
4:56
Speaker 2: nosotros abrir un procedimiento para requerir información. El ciudadano que
5:00
Speaker 2: denuncia no tiene ninguna responsabilidad en la denuncia. Es decir,
5:03
Speaker 2: no es que lo llamamos a declarar, no es que
5:04
Speaker 2: le pedimos que presente pruebas ni nada por el estilo.
5:08
Speaker 2: Los abre eso sí la puerta de poder diligenciar una investigación. Ahora,
5:13
Speaker 2: hay otro mecanismo que es de las solicitudes. Cuando los
5:16
Speaker 2: ciudadanos recurren primero, porque primero deben recurrir, a las instituciones
5:23
Speaker 2: públicas o privadas que tratan indebidamente sus datos para exigirles
5:27
Speaker 2: que ese tratamiento se adecue a los presupuestos de la
5:30
Speaker 2: ley o para ejercer sus derechos como titulares de datos
5:33
Speaker 2: y no reciben respuesta dentro de los plazos que la
5:36
Speaker 2: ley señala, tienen el mecanismo de recurrir a la superintendencia,
5:40
Speaker 2: presentar una solicitud, que es algo distinto a la denuncia,
5:44
Speaker 2: para de esa manera buscar que la superintendencia, con la
5:46
Speaker 2: intervención de la superintendencia, ese derecho que no ha sido
5:50
Speaker 2: acatado por parte del responsable encargado del tratamiento, pues se
5:55
Speaker 2: cumpla compulsivamente. Esos son los grandes mecanismos de la institución. Ahora,¿
5:59
Speaker 2: cuáles son, digamos, las grandes dificultades que la institución afronta
6:02
Speaker 2: en este momento? La primera es un tema cultural. No
6:06
Speaker 2: existe en el país una cultura de la protección de
6:08
Speaker 2: datos personales. La cultura se construye con educación. Esto es
6:11
Speaker 2: un tema de largo plazo que va a tardar bastante
6:13
Speaker 2: tiempo en llevarse a cabo, pero también supone para los
6:16
Speaker 2: ciudadanos ser un poco más conscientes de la información que entregan. Hay,
6:20
Speaker 2: por ejemplo, prácticas indebidas que se sostienen en nuestro medio
6:24
Speaker 2: y que nosotros voluntariamente las aceptamos. Y no quiero con
6:27
Speaker 2: esto llamar a la sublevación civil, pero, por ejemplo, esta
6:30
Speaker 2: anquilosada práctica de pedir información a cada lugar donde entramos,
6:34
Speaker 2: un condominio, una urbanización. No, la cédula de ciudadanía, nos
6:38
Speaker 2: la piden para todo. Uno va a un hotel y
6:40
Speaker 2: en el hotel le piden la cédula y le sacan
6:42
Speaker 2: copia de la cédula. Sacar copia de la cédula ya
6:44
Speaker 2: es una forma de tratamiento de datos personales y la
6:47
Speaker 2: palabra tratamiento en el marco de la ley es un
6:50
Speaker 2: sinónimo de usar. Y es una mala práctica que no
6:53
Speaker 2: debería darse. Estamos, por ejemplo, nosotros investigando ahora a ciertas
6:59
Speaker 2: urbanizaciones a un centro comercial en San Borondón, y me parece,
7:05
Speaker 2: si no estoy equivocado, porque quien lleva el día a
7:07
Speaker 2: día de esto es la Intendencia de Control y Sanción,
7:09
Speaker 2: a un condominio aquí en Quito que han implementado, por ejemplo,
7:12
Speaker 2: el uso de dispositivos biométricos para que uno pueda acceder
7:15
Speaker 2: a los edificios o para poder acceder al centro comercial
7:18
Speaker 2: o para poder acceder a la organización. Si no se
7:21
Speaker 2: ha hecho un análisis de riesgos y una evaluación de
7:25
Speaker 2: impacto al tratamiento de datos personales, si no se ha
7:28
Speaker 2: recabado debidamente el consentimiento del titular, en ese caso sigile.
7:34
Speaker 3: Por ejemplo, hay gimnasios que simplemente entras con la huella
7:36
Speaker 3: digital y para uno es lo más normal, pero estás
7:38
Speaker 3: entregando tu huella digital.
7:39
Speaker 2: Por supuesto que sí, por supuesto que sí, pero nosotros
7:42
Speaker 2: hemos interiorizado eso como que si fuese normal. Es más,
7:45
Speaker 2: muchos ciudadanos creen que está bien, pero cuando uno no
7:48
Speaker 2: tiene una opción para elegir y solo le imponen la
7:51
Speaker 2: biometría para acceder al sitio A o al sitio B,
7:54
Speaker 2: No tiene libertad entonces de elegir. No hay en realidad
7:57
Speaker 2: consentimiento allí libre que pueda ser validado.
7:59
Speaker 4: Acerca de las urbanizaciones, digamos, voy a visitar a alguna
8:01
Speaker 4: novia y me piden la cédula en la garita de
8:03
Speaker 4: la organización.¿ Puedo decir, sabes que no, es mis datos
8:06
Speaker 4: personales y después ya me quedo sin visitarle a la novia?
8:09
Speaker 2: La ley te ampara y tu novia te va a votar. Exactamente.
8:14
Speaker 2: Incluso podrías alegar una fuerza mayor que te impide en
8:19
Speaker 2: este caso acceder. Pero es que son prácticas que se
8:22
Speaker 2: han extendido en nuestro medio. Lo que pasa es que
8:24
Speaker 2: también muchas veces las normas de protección de datos personales
8:27
Speaker 2: entran en colisión con aspectos que tienen que ver con
8:30
Speaker 2: la vida real, no vamos tampoco a desecharlo, la inseguridad.
8:33
Speaker 3: Por supuesto.
8:34
Speaker 2: Pensamos que la inseguridad existente justifica o hace que estén
8:41
Speaker 2: bastante bien que nosotros entreguemos datos biométricos a todo el mundo,
8:45
Speaker 2: porque sí, porque nos sentimos más seguros, aunque eso puede
8:47
Speaker 2: ser un placebo, porque personas... que con mayor nivel técnico
8:52
Speaker 2: lo pueden seguramente evidenciar. Hay otros mecanismos que probablemente puedan
8:56
Speaker 2: dar esa seguridad que se busca sin buscar utilizar información biométrica,
9:03
Speaker 2: que son datos sensibles en el fondo. Eso por el
9:06
Speaker 2: lado de la seguridad. Pero también no somos muy conscientes
9:10
Speaker 2: de lo que hacemos nosotros. No somos muy conscientes de
9:14
Speaker 2: las consecuencias ulteriores de la entrega de datos biométricos para
9:20
Speaker 2: lo que podrían ser nuestros derechos y nuestras libertades.
9:23
Speaker 3: No hay conocimiento tampoco, no hay esa concienciación de todo
9:26
Speaker 3: lo que puede pasar cuando uno entrega esa información.
9:29
Speaker 2: Sí, no lo hay, porque vivimos además en un mundo
9:32
Speaker 2: virtualmente digitalizado e interconectado. No se puede tampoco solicitar o
9:37
Speaker 2: se puede tampoco pedir que en esta época nosotros volvamos
9:41
Speaker 2: a la máquina de escribir, no se trata tampoco de aquello,
9:44
Speaker 2: pero sí se trata de proveer sistemas robustos, seguros, para
9:50
Speaker 2: que la ciudadanía tenga confianza con la información que uno entrega.
9:54
Speaker 2: Al final del día, una cosa que también deberían asimilar
9:58
Speaker 2: las instituciones públicas y privadas es que los recursos que
10:04
Speaker 2: se destinan en materia de implementación de las normas y
10:08
Speaker 2: de los principios de la Ley Orgánica de Protección de
10:10
Speaker 2: Datos Personales no son gasto, son una inversión.¿ Por qué
10:15
Speaker 2: son una inversión? Porque al final del día se está
10:17
Speaker 2: invirtiendo en la credibilidad. Si mañana o más tarde una
10:21
Speaker 2: importante institución privada, para llamarlo campo privado, tuviese una vulneración
10:26
Speaker 2: de sus sistemas, y esa vulneración se tradujese en la
10:29
Speaker 2: filtración masiva de datos personales de los clientes que tiene,
10:33
Speaker 2: de los proveedores que tiene, de los trabajadores que tienen,
10:37
Speaker 2: eso afecta la credibilidad de la empresa y eso está
10:39
Speaker 2: mucho más allá de la consecuencia que se pueda dar
10:41
Speaker 2: por la culpa.
10:42
Speaker 3: Tiene la superintendencia de protección de datos, por ejemplo, ahora
10:44
Speaker 3: que se menciona esta vulneración de datos de cooperativas, por ejemplo,
10:50
Speaker 3: de bancos,¿ tiene injerencia la superintendencia o no?
10:54
Speaker 2: Sí tiene, porque en razón de la materia, en la
10:58
Speaker 2: medida en que se traten de datos personales y entendido
11:01
Speaker 2: un dato personal como aquel que hace o pueda ser
11:04
Speaker 2: identificable directo e indirectamente una persona natural tiene injerencia. Por
11:09
Speaker 2: eso es que virtualmente el campo de acción de la
11:11
Speaker 2: superintendencia es ilimitado, pero tiene limitados recursos.
11:16
Speaker 3: Qué
11:16
Speaker 2: puede hacer? Puede hacer diligenciar una investigación a través de
11:19
Speaker 2: una actuación previa y puede llegar a establecimientos de medidas
11:23
Speaker 2: correctivas que de no cumplir se dan el paso a sanciones.
11:25
Speaker 2: Porque la regla general en materia de protección de datos
11:29
Speaker 2: personales en el marco de la ley vigente es que
11:31
Speaker 2: la superintendencia no puede multar directamente, no puede multar directamente,
11:36
Speaker 2: sino que primero levanta una alerta, impone medidas correctivas que
11:40
Speaker 2: de no cumplirse dan paso en ese caso a un
11:44
Speaker 2: procedimiento administrativo sancionador que puede llevar en multas.
11:48
Speaker 3: Ahora,¿ eso puede tomar bastante tiempo, bastantes años?
11:50
Speaker 2: Puede tomar, bueno, ahí la ley nos pone un límite, ¿no?
11:54
Speaker 2: Hay un plazo de caducidad de seis meses. El problema
11:58
Speaker 2: es que las investigaciones que se llevan a cabo son técnicas.
12:01
Speaker 2: O sea, llevan también verificaciones in situ, análisis de sistemas.
12:05
Speaker 2: No es tan sencillo y nosotros requerimos recursos para hacerlo. Entonces,
12:08
Speaker 2: a la fecha, por ejemplo,¿ cuántos servidores públicos en total
12:11
Speaker 2: tienen la superintendencia? 35.¿ Cuántos están en el nivel jerárquico superior? 8.¿
12:17
Speaker 2: Cuántos están en el área sustantiva? Es decir, que están
12:19
Speaker 2: dedicados a atender los temas esenciales de institución. 8.¿ Y
12:23
Speaker 2: cuántos son auxiliares? Es decir, cumplen un rol importante, pero
12:26
Speaker 2: no están dedicados a cumplir la misión de la superintendencia. 19. Entonces,
12:31
Speaker 2: necesitamos fortalecer la institución con un mayor presupuesto para los
12:34
Speaker 2: efectos de poder cumplir el rol. Pero el rol que
12:37
Speaker 2: se pueda cumplir siempre va a ser insuficiente. Porque¿ quiénes
12:40
Speaker 2: tratan datos personales hoy en día? Es decir,¿ quiénes usan
12:43
Speaker 2: datos personales? Entonces, el universo de controlados es virtualmente ilimitado.
12:50
Speaker 2: Hay un
12:50
Speaker 3: ejemplo muy local que, por ejemplo, los extranjeros se llaman
12:54
Speaker 3: la atención cuando dicen,¿ dato o factura o no factura?
12:58
Speaker 3: Y uno dice, sí, con factura, y das todos los datos,
13:00
Speaker 3: y para nosotros es lo más normal, y los extranjeros
13:02
Speaker 3: se quedan,¿ pero qué hacen?
13:04
Speaker 2: Mis amigos extranjeros, y ustedes también los tienen, cuando vienen
13:08
Speaker 2: acá les llama mucho la atención que, aunque no quieran
13:10
Speaker 2: factura ni nada, van a un centro comercial o a
13:12
Speaker 2: un supermercado y las piden cédula o una identificación antes,
13:16
Speaker 2: al momento de pagar en la caja.¿ Y por qué
13:18
Speaker 2: tenemos que pedirlo? No se entiende. Hay por allí, no
13:23
Speaker 2: voy a decir nombres, pero me llama mucho la atención,
13:25
Speaker 2: hay por allí un supermercado donde hay que utilizar biometría
13:30
Speaker 2: para dejar en los casilleros de seguridad las bolsas que
13:34
Speaker 2: uno trae, las compras que hace en otro lado, porque
13:37
Speaker 2: uno no puede entrar con esas bolsas por temas de seguridad, insisto.
13:40
Speaker 2: dentro del supermercado. A veces hay, sé que en algunos casos,
13:45
Speaker 2: en algunos locales de esa cadena, solo hay dispositivos biométricos
13:49
Speaker 2: que validan el acceso a esos casilleros. Eso no está bien.
13:53
Speaker 2: Pero si tuviese uno la opción de escoger entre la
13:55
Speaker 2: biometría y que me den un casillero que usa la
13:57
Speaker 2: típica llave, que no tiene para mí un riesgo mayor
14:01
Speaker 2: porque no hay un tratamiento excesivo en función de la fidelidad,
14:06
Speaker 2: y yo puedo escoger entre la llave, el tipo de
14:09
Speaker 2: casillero con llave, o la biometría, y escoger la biometría, bueno,
14:11
Speaker 2: he obrado con libertad porque me dieron dos alternativas. Entonces sí,
14:15
Speaker 2: todo esto es bastante llamativo, pero es una cuestión que
14:20
Speaker 2: la hemos asimilado, porque también la Ley Orgánica de Protección
14:23
Speaker 2: de Datos Personales se dictó en el 2021. A pesar de
14:27
Speaker 2: que la Constitución vigente ya estableció como derecho constitucional la
14:33
Speaker 2: protección de datos personales en el 2008, Entonces, la ley se
14:36
Speaker 2: dicta en el 2021, la superintendencia, a mí me designan superintendente
14:42
Speaker 2: en el año 2024, en abril, y la superintendencia entra a
14:46
Speaker 2: funcionar en septiembre del 2024. Y en Europa ya tiene este
14:50
Speaker 2: tema 50 años, 50 años de recorrido. Aquí estamos todavía comenzando un camino.
14:56
Speaker 3: Ahora, por ejemplo, la superintendencia de protección de datos, Fabricio,
14:59
Speaker 3: trabaja también en temas preventivos, por ejemplo, con instituciones del
15:03
Speaker 3: Estado para... que se mejoren las prácticas para que se
15:07
Speaker 3: pueda guardar de mejor manera los datos de los ecuatorianos.
15:09
Speaker 3: Por ejemplo, Olavine decía algo tan simple como que pongan
15:12
Speaker 3: la autenticación de dos pasos en las contraseñas para acceder
15:16
Speaker 3: a las computadoras del personal o ese tipo de cosas.
15:20
Speaker 2: Hacemos prevención por el momento firmando convenios de cooperación con
15:24
Speaker 2: entidades públicas para capacitar a los funcionarios públicos. Obviamente no
15:29
Speaker 2: podemos hacerlo de manera masiva, vamos haciéndolo poco a poco,
15:32
Speaker 2: pero tenemos varios convenios suscritos, hemos dado ya varias capacitaciones,
15:35
Speaker 2: hemos entregado certificados de asistencia. Desde luego no podemos con 16
15:40
Speaker 2: horas que tiene nuestro programa llegar a una profundización absoluta.
15:43
Speaker 2: Es una manera de hacer prevención porque primero creo que
15:46
Speaker 2: para poder cumplir una ley hay que interiorizar y captar
15:50
Speaker 2: y valorar su importancia antes de imponer una práctica, que
15:54
Speaker 2: las prácticas son también importantes. pero también, por ejemplo, hemos
15:59
Speaker 2: emitido lineamientos y directrices a ciertas entidades del Estado. Por ejemplo,
16:05
Speaker 2: yo emití un lineamiento, una directriz que la remití a
16:09
Speaker 2: la ministra de Educación, me parece que fue el día 22
16:12
Speaker 2: de mayo, antes del feriado, solicitándole que a través del
16:17
Speaker 2: Ministerio de Educación se sensibilice a todas las escuelas y
16:22
Speaker 2: los colegios públicos y particulares del país, sobre el uso
16:26
Speaker 2: de biometría, que es una cosa que me preocupa, ¿no?
16:28
Speaker 2: Porque también por estos temas de seguridad no hay que
16:32
Speaker 2: descartar la posibilidad de que en ciertos centros educativos se
16:36
Speaker 2: esté utilizando biometría, por ejemplo, para que ingresen los padres
16:40
Speaker 2: de familia a los predios de estos centros de estudios.
16:43
Speaker 2: No debemos descartar que eventualmente se hallan o se quieran
16:47
Speaker 2: utilizar o se pretendan utilizar cámaras de seguridad en las
16:50
Speaker 2: aulas de clase y hay que tener en cuenta que
16:53
Speaker 2: Esos niños que están ahí son eso, son niñas, niños, adolescentes.
16:56
Speaker 2: Qué
16:56
Speaker 3: complejo, ¿no?
16:57
Speaker 2: Que también sus datos son datos que requieren un extremo cuidado.
17:00
Speaker 2: Es un tema bastante complejo. Es bastante complejo, pero desde luego,
17:04
Speaker 2: como lo suelo también decir, y no es cuña publicitaria,
17:07
Speaker 2: el hecho de que siempre se hayan hecho las cosas
17:10
Speaker 2: así no quiere decir que estén bien hechas. Y este
17:13
Speaker 2: es un mensaje importante que tienen que también interiorizarlo quienes
17:17
Speaker 2: tratan datos de personas.
17:20
Speaker 3: Importante diálogo con Fabricio Peralta Díaz, superintendente de protección de
17:23
Speaker 3: datos personales. Estamos conversando con él a propósito de esta
17:27
Speaker 3: filtración que se conoció, que preocupa a los ecuatorianos, pero
17:30
Speaker 3: también para conocer a la superintendencia de protección de datos,
17:33
Speaker 3: lo que está haciendo y cómo está trabajando.
17:36
Speaker 4: Señor superintendente, muchas gracias por acompañarnos. A ver, los sujetos
17:40
Speaker 4: pasivos pueden ser dos, pueden ser una empresa privada o
17:43
Speaker 4: puede ser una institución pública, digamos. con las empresas privadas
17:46
Speaker 4: puede ser claro que se robó el celular de alguna
17:48
Speaker 4: base de datos, yo pudiera mandar de facto a la
17:51
Speaker 4: superintendencia para que ustedes hagan un análisis de oficio, cómo
17:55
Speaker 4: obtuvo sin mi autorización, claro, mi teléfono y cédula y
17:59
Speaker 4: datos personales para llamarme y comenzar a spamear, digamos. Y
18:03
Speaker 4: por otro lado pueden ser las instituciones públicas, en este caso, digamos,
18:05
Speaker 4: del registro civil, donde si no se mantuvo la privacidad
18:10
Speaker 4: del caso, si no se mantuvieron los protocolos para defender
18:14
Speaker 4: mis datos personales, debería haber sanciones para ambos sujetos pasivos.¿
18:19
Speaker 4: Cuál sería la sanción en ambos casos?
18:22
Speaker 2: Los sujetos pasivos, entiendo yo, y perdóname que te tutee
18:25
Speaker 2: y me puedes llamar por mi nombre que no tengo problema.
18:28
Speaker 2: Los sujetos pasivos, según lo entiendo en tu pregunta, son
18:32
Speaker 2: aquellos que eventualmente pueden ser sujetos de sanciones. Bueno, sujeto
18:37
Speaker 2: regulado para la ley es todo aquel que trata datos personales.
18:41
Speaker 2: Puede ser también una fundación que no persigue un fin
18:45
Speaker 2: de lucro. pero que al final del día trata datos personales.
18:50
Speaker 2: En el supuesto que tú pones sobre la mesa a
18:52
Speaker 2: manera de ejemplo, podrías tú eventualmente utilizar tu derecho de
18:55
Speaker 2: acceso como titular de tus datos para poder determinar de
18:58
Speaker 2: qué manera un tercero ha accedido a tu número móvil.
19:03
Speaker 2: Y en cuanto a cuestiones vinculadas con el inadecuado uso
19:10
Speaker 2: de protocolos, desde luego esa es una conducta que eventualmente
19:14
Speaker 2: puede ser sujeta de una denuncia que puedes presentarte a
19:17
Speaker 2: la superintendencia para que investigue. En este caso, las sanciones varían,
19:22
Speaker 2: porque las sanciones pueden ser tratándose de una entidad privada
19:24
Speaker 2: de hasta el 1% de su volumen de negocio, según
19:28
Speaker 2: cuál haya sido el reporte del volumen de negocio que
19:31
Speaker 2: conste en los balances de la empresa en cuestión hasta
19:34
Speaker 2: el año anterior o el ejercicio económico anterior al de
19:36
Speaker 2: cometimiento de la infracción. Y en el caso de las
19:39
Speaker 2: entidades públicas, la sanción no recae sobre las personas jurídicas públicas,
19:43
Speaker 2: sino que recae sobre los funcionarios responsables. Y aclaro, no
19:47
Speaker 2: sobre las máximas autoridades o titulares de las instituciones públicas,
19:51
Speaker 2: la ley no dice eso, sino aquellas personas por cuyas
19:54
Speaker 2: acciones o omisiones no se hubiesen implementado las medidas del
19:59
Speaker 2: caso o no se hubiesen cumplido las normas que están
20:02
Speaker 2: previstas en la ley, lo que puede conllevar hasta una
20:05
Speaker 2: multa de 20 salarios básicos unificados.
20:07
Speaker 4: Tanto para la institución pública que filtra millones de datos
20:10
Speaker 4: como para
20:11
Speaker 2: la pequeña
20:11
Speaker 4: fundación.
20:12
Speaker 2: Es para el funcionario, insisto, no para la institución pública.
20:14
Speaker 2: Y también podría ser, en el caso de una fundación
20:18
Speaker 2: que se haya en el ámbito privado, podría ser hasta
20:21
Speaker 2: el 1% de su volumen de negocio. Porque no hay
20:23
Speaker 2: que olvidar que una fundación, que una corporación de aquellas
20:27
Speaker 2: que están regidas por el Código Civil, que no persigan
20:30
Speaker 2: objeto mercantil, igual generan ingresos. solo que el ingreso que
20:35
Speaker 2: se genera no se reparte entre individuos llamados accionistas o socios,
20:39
Speaker 2: sino que se reinvierte en la propia institución. En ese caso,
20:43
Speaker 2: se ataca o se toma como referencia el volumen de
20:46
Speaker 2: negocio
20:46
Speaker 4: Ahora,¿ cuáles son las obligaciones que tiene una empresa chiquita? Obviamente,
20:50
Speaker 4: invertir en ciberseguridad, invertir en un protocolo de protección de
20:54
Speaker 4: datos va a ser costoso. Muchas veces los emprendimientos pequeños
20:57
Speaker 4: no tendrán un presupuesto para eso. Obviamente, cada vez que
21:00
Speaker 4: ingresamos a una página web o dejamos algo en algún formulario,
21:03
Speaker 4: muchas empresas ya están con el formulario de protección de datos,
21:06
Speaker 4: que es básicamente una práctica común. Pero,¿ qué es lo
21:10
Speaker 4: que deberíamos de hacer, digamos, por lo básico, un emprendedor
21:13
Speaker 4: que quisiera tener las mejores prácticas y cumplir la ley?
21:16
Speaker 2: Bueno, yo le diría a este emprendedor que acumule la
21:19
Speaker 2: menor cantidad de datos posibles. Esto es el principio de minimización.
21:24
Speaker 2: El principio de la indemnización le impone a quien trata
21:27
Speaker 2: datos personales recabar los que sean exclusivamente necesarios para el
21:31
Speaker 2: cumplimiento de su finalidad. Mientras menos datos tengas de personas
21:35
Speaker 2: que son, por ejemplo, tus clientes, pues mejor para ti.
21:39
Speaker 2: No tienes por qué saber tanto de ellos sino lo
21:41
Speaker 2: necesario como para poderles brindar el servicio o venderles el
21:44
Speaker 2: producto que tú vendes. Ahora, hay que reconocer que uno
21:48
Speaker 2: de los problemas de nuestra ley es que no hace
21:52
Speaker 2: distinciones entre la gran empresa y la pequeña y mediana empresa,
21:56
Speaker 2: las MIPIMES. Queremos trabajar en la superintendencia, y lo tenemos
22:00
Speaker 2: dentro de nuestra planificación, en alguna regulación que nos permita
22:04
Speaker 2: facilitar el cumplimiento de la ley para las MIPIMES, porque
22:09
Speaker 2: ciertamente no se le puede exigir a una MIPIME que
22:13
Speaker 2: invierta millones de dólares en sistemas, en consultorías, en asesorías,
22:20
Speaker 2: para poder tener una fortaleza apropiada de acuerdo con la ley.
22:24
Speaker 2: Y para hacer acopio de una frase que escuché una
22:26
Speaker 2: vez decir de una querida amiga mía, si tú necesitas
22:32
Speaker 2: un Suzuki Forza,¿ para qué te vas a comprar un Mercedes-Benz?
22:35
Speaker 2: Pero tenemos que darle un cauce normativo. Pero creo que,
22:38
Speaker 2: por ejemplo, utilizando este principio de minimización, tienes allí una
22:42
Speaker 2: herramienta bastante útil que te puede permitir aminorar el riesgo
22:47
Speaker 2: inherente que tienes como entidad que trata datos personales porque
22:51
Speaker 2: el riesgo también está dado en función del volumen de
22:54
Speaker 2: datos que tratas mayor volumen de datos que tratas mayor
22:57
Speaker 2: riesgo si tratas datos sensibles pues el riesgo crece de
23:02
Speaker 2: manera exponencial no hay que olvidar que la ley orgánica
23:05
Speaker 2: de protección de datos personales está construida en función del
23:08
Speaker 2: paradigma del riesgo lo que se trata aquí es de
23:11
Speaker 2: aminorar el riesgo desde luego Nadie puede garantizarle a uno
23:15
Speaker 2: riesgo cero. Eso es hasta una irresponsabilidad. Pero desde luego,
23:19
Speaker 2: se puede también trabajar en mitigar el riesgo hasta porcentajes
23:25
Speaker 2: razonables y manejables.
23:26
Speaker 4: Ahora, usted ya explicó de manera general cómo había conversado
23:29
Speaker 4: con Registro Civil. Usted ya había abierto, digamos, investigaciones de
23:32
Speaker 4: oficio por estas presuntas violaciones. Ola Vini nos decía que
23:36
Speaker 4: de las instituciones públicas ya se filtran tantos datos que
23:38
Speaker 4: nadie quiere los datos de los ecuatorianos y es como
23:41
Speaker 4: que lo más barato para comprar en el mercado.¿ Hay
23:43
Speaker 4: algo de protocolos adicionales a la investigación que usted ha seguido,
23:47
Speaker 4: por ejemplo, con el presidente o el director del registro
23:50
Speaker 4: civil o del ANT o diversas instituciones que manejan datos
23:54
Speaker 4: sensibles para decir, mejoremos un poquito los protocolos y darles
23:57
Speaker 4: una obligación de manejar con más seguridad ese tipo de
24:00
Speaker 4: datos y que no vuelva a suceder?
24:01
Speaker 2: Eventualmente esto saldría de las medidas correctivas que pudiesen dictarse
24:06
Speaker 2: ante el evento de que se confirme de que ha
24:07
Speaker 2: habido vulneración. Las relaciones que yo mantengo con... Los servidores
24:13
Speaker 2: públicos como yo, que están en otras instituciones, son realmente
24:16
Speaker 2: relaciones institucionales. Hemos tenido apertura completa por parte del registro civil,
24:22
Speaker 2: hemos tenido apertura también bastante completa por parte de la ANT.
24:26
Speaker 2: Colaboración ha habido, pero nuestra participación se reduce y se
24:30
Speaker 2: contrae a los aspectos de investigación netamente técnicas.
24:33
Speaker 3: Para qué pasa cuando ya pasan estos seis meses que
24:36
Speaker 3: dicta la ley Fabricio y ya se tienen resultados? Y bueno,
24:40
Speaker 3: ahí se puede determinar quizás responsabilidades de las distintas entidades
24:44
Speaker 3: públicas que pertenecen al Estado allí,¿ se plantean sanciones o
24:47
Speaker 3: cuál sería el siguiente paso?
24:48
Speaker 2: Si no se cumpliesen las medidas correctivas, habría sanciones. Pero
24:51
Speaker 2: tiene que haber una
24:52
Speaker 3: medida correctiva.
24:53
Speaker 2: Pero todavía no hay medidas correctivas, si es que hubiesen
24:55
Speaker 2: que editarse las medidas correctivas.
24:57
Speaker 3: Y qué hacer con los datos que ya se descubren
25:00
Speaker 3: con su investigación?¿ Ya están en la Dark Web?
25:05
Speaker 2: En el caso de una vulneración confirmada, se puede pensar
25:10
Speaker 2: en función del futuro. En función de lo que sucedió,
25:13
Speaker 2: eso no es competencia de la superintendencia.
25:15
Speaker 3: De acuerdo. Si una persona es vulnerada, se le suplantó
25:18
Speaker 3: la identidad,¿ puede acudir a la superintendencia de protección de
25:22
Speaker 3: datos
25:22
Speaker 2: Hay dos niveles allí. La superintendencia ha cobrado sin buscarlo
25:27
Speaker 2: un protagonismo en estos últimos días. Pero a veces se
25:30
Speaker 2: olvidan que, por ejemplo, tratándose de suplantación de identidad, podríamos
25:37
Speaker 2: estar ante un delito.¿ Quién es competente para investigar el delito?¿
25:41
Speaker 2: Y a dónde tiene que el ciudadano afectado dirigir su petición?
25:46
Speaker 2: Tiene que dirigir ante la fiscalía para que lo investigue.
25:49
Speaker 2: Y la fiscalía tiene funcionarios bastante competentes en materia de ciberdelitos. Entonces,
25:54
Speaker 2: no todo lo acumula la superintendencia. La superintendencia no es
25:56
Speaker 2: la competente en temas de ciberseguridad, sino que, desde luego,
26:01
Speaker 2: como lo dice Luis Enríquez Álvarez, que es intendente de innovación,
26:06
Speaker 2: sin seguridad no hay protección de datos personales. Y claro,
26:09
Speaker 2: como los datos personales se tratan hoy usualmente a través
26:12
Speaker 2: de sistemas de información, o sea, sistemas informáticos, quiero decir,
26:15
Speaker 2: sin ciberseguridad no hay protección de datos personales. Lo que
26:19
Speaker 2: nos ha obligado a nosotros, sin buscar ese protagonismo, digo,
26:22
Speaker 2: porque no lo buscamos, nos cedimos al ámbito de nuestras
26:25
Speaker 2: competencias a convocar a unas mesas técnicas que se llevaron
26:29
Speaker 2: a cabo hace poco más de dos semanas, con el Narcotel,
26:35
Speaker 2: con el Ecusert, con delegados de la Fiscalía, para poder
26:40
Speaker 2: nosotros elaborar un plan nacional de coordinación estratégica, prevención e
26:44
Speaker 2: inteligencia de amenazas en materia de seguridad de la información,
26:47
Speaker 2: delimitar competencias y buscar la forma de trabajar de forma coordinada.
26:52
Speaker 2: Hemos remitido una hoja de ruta que está en estado
26:54
Speaker 2: de borrador a los partícipes de aquella reunión y eventualmente
26:58
Speaker 2: esperamos incorporar otras entidades del Estado para que también puedan
27:01
Speaker 2: retroalimentarnos con su experiencia y también con sus sugerencias.
27:06
Speaker 3: Muy importante. Hay un tema final que también creo que
27:07
Speaker 3: afecta a muchos ecuatorianos, es el hostigamiento de los famosos
27:10
Speaker 3: call centers de ciertas empresas. Allí tiene injerencia la Superintendencia
27:15
Speaker 3: de Protección de Datos. Por ejemplo, si yo estoy hostigado
27:17
Speaker 3: por alguna empresa de telefonía, pongo un ejemplo,¿ puedo acudir
27:22
Speaker 3: donde ustedes?
27:23
Speaker 2: Desde luego que sí, espero que lo hagan. Desde luego
27:26
Speaker 2: que sí. Desde luego que sí, porque pueden presentar una denuncia.
27:29
Speaker 2: El problema a veces es determinar qué call center es.
27:32
Speaker 2: Es como las compañías de cobranzas también, ¿ah? Las compañías
27:35
Speaker 2: de cobranzas también. Por supuesto. Tenemos por ahí una denuncia
27:39
Speaker 2: ya presentada que vamos a investigarla. Porque una compañía de
27:45
Speaker 2: cobranzas buscando el pago de una deuda de la trabajadora
27:53
Speaker 2: de una empresa no le bastó con enviarle un correo
27:57
Speaker 2: a la trabajadora de esa empresa que debía, no sé
28:01
Speaker 2: si era una deuda bancaria o una deuda comercial... sino
28:04
Speaker 2: que le ha enviado correos electrónicos a su jefe de
28:08
Speaker 2: recursos humanos, al presidente de la compañía, y también sabemos
28:13
Speaker 2: que eventualmente ha dirigido comunicaciones parecidas a los familiares. Esto
28:17
Speaker 2: es un ejercicio abusivo de una actividad lícita, desde luego, cobrar,
28:22
Speaker 2: porque no es ilícito cobrar, pero desde el momento en
28:24
Speaker 2: que comenzamos a evidenciar ese tipo de conductas nos llama
28:27
Speaker 2: poderosamente la atención la cantidad de datos personales que están
28:31
Speaker 2: a veces en manos de ciertas empresas.
28:33
Speaker 3: Importante información, importante conocer toda la labor que está haciendo
28:36
Speaker 3: la Superintendencia de Protección de Datos. Así que gracias por
28:39
Speaker 3: su presencia, Fabricio Peralta Díaz. Gracias por estar aquí.