Derechos Digitales alza l’asticella per gli impegni sulla privacy degli ISP cileni in un nuovo rapporto

Negli ultimi cinque anni i fornitori di servizi Internet (ISP) cileni hanno migliorato la trasparenza su come proteggono i dati dei loro utenti, grazie in gran parte al gruppo latinoamericano per i diritti digitali Derechos Digitales che ha fatto luce sulle loro pratiche attraverso l'annuale ¿Quien Defiende Tus Datos ? (Chi difende i tuoi dati?).

Una maggiore trasparenza su quando e come gli ISP consegnano i dati al governo è una vittoria per gli utenti mobili e di Internet cileni, ma una maggiore sorveglianza statale richiede un impegno ancora maggiore per la privacy. Nel nuovo 2022 di Derechos Digitales ¿ Quien Defiende Tus Datos? rapporto ,, I sei principali fornitori di telecomunicazioni cileni vengono valutati in base a criteri nuovi e più severi che esaminano le loro pratiche tra le crescenti preoccupazioni per la sorveglianza statale relativa alle proteste sociali nel 2019 e alla pandemia di COVID 19.

Ci sono molte buone notizie nel rapporto. Anche con criteri più severi, Claro, WOM e VTR hanno ricevuto punteggi più alti rispetto allo scorso anno, con Claro che ha ottenuto il pieno merito in tutte le categorie e WOM che ha ottenuto il pieno credito in tre delle cinque categorie. Un altro punto saliente: tutte le aziende valutate hanno ricevuto almeno un credito parziale in tutte le categorie ad eccezione della notifica all'utente, un miglioramento rispetto ai risultati del 2021 . Tuttavia, la notifica dell'utente rimane una categoria impegnativa. Entel, GDT Manquehue, Movistar e VTR non hanno adottato misure concrete per abilitare un sistema di notifica ai propri utenti. Mentre molti di loro si riservano la possibilità o il diritto di informare gli utenti nelle loro politiche, non hanno intrapreso azioni o impegni più concreti in quella direzione. In quanto tale, Derechos Digitales non ha dato loro credito in quella categoria.

Le aziende devono fare di più con la sorveglianza statale in aumento

Le società di telecomunicazioni cilene hanno affrontato molte delle sfide imposte da ¿Quien Defiende Tus Datos? valutazioni annuali , iniziate nel 2017, e implementate le migliori pratiche nella maggior parte delle categorie trattate dalle relazioni. Alcune pratiche di trasparenza che una volta sembravano insolite in America Latina sono diventate l'impostazione predefinita tra gli ISP in Cile. Ad esempio, sia i rapporti sulla trasparenza che le linee guida delle forze dell'ordine sono diventati una norma del settore tra i principali ISP cileni.

Ma le aziende devono fare di più per proteggere i dati degli utenti. I nuovi criteri alzano il livello delle migliori pratiche, tenendo conto delle nuove sfide in materia di privacy e del ruolo incredibilmente amplificato che le tecnologie digitali svolgono nelle nostre vite rispetto al 1999, quando il Cile ha promulgato la legge sulla protezione dei dati esistente (legge n. 19.628 del 1999). La trasparenza e la protezione della privacy dei dati devono andare oltre quanto richiesto 23 anni fa.

Punti salienti del rapporto:

Derechos Digitales si proponeva di elevare lo standard delle valutazioni condotte nel 2021. In questa quinta edizione, il rapporto ha cercato di rispondere alle seguenti domande:

• Le clausole contrattuali e le disposizioni sulla privacy degli ISP riflettono l'impegno di un'azienda a rispettare e proteggere i diritti degli utenti?

Una novità in questa categoria è l'obbligo per gli ISP di comunicare i casi in cui terzi elaborano i dati degli utenti e quali misure di protezione adottano in tali casi. I nuovi requisiti controllano anche se le aziende descrivono in dettaglio come utilizzano e archiviano i dati degli utenti, incluso se sono condivisi o elaborati all'estero. Infine, le aziende devono impegnarsi a notificare agli utenti i cambiamenti nelle loro politiche e rendere disponibili al pubblico le versioni precedenti. Claro ha ricevuto il pieno credito in questa categoria e gli altri cinque ISP hanno ricevuto il 75% del credito.

• Le aziende dispongono di un rapporto sulla trasparenza aggiornato che fornisce informazioni di qualità?

Per ricevere una stella piena, i rapporti di trasparenza degli ISP devono includere più informazioni di quanto richiesto in precedenza, suddividendo le richieste originate da ordinanze del tribunale, le richieste che si riferiscono a un particolare individuo e le richieste massicce che si riferiscono a un gruppo indeterminato di persone (in generale, chiedendo per informazioni su tutti i telefoni cellulari collegati a una data antenna durante un dato periodo di tempo), tra gli altri nuovi criteri.

Claro e WOM hanno ricevuto stelle complete per i loro rapporti sulla trasparenza ( disponibili rispettivamente qui e qui ). Le segnalazioni di Claro si distinguono per fornire maggiori dettagli sui motivi delle richieste respinte, suddivise per intercettazioni e richieste di informazioni/metadati degli utenti. Nel primo trimestre del 2022 il rigetto nella maggior parte dei casi di intercettazione è avvenuto per errori nelle richieste. Per quanto riguarda le altre richieste di informazioni degli utenti, oltre la metà dei rifiuti è avvenuta perché la richiesta della polizia non ha copiato il pubblico ministero incaricato delle indagini, mentre nel 19% dei casi le richieste sono arrivate senza ordine del giudice.

I rapporti sulla trasparenza di Claro, VTR e WOM includevano anche informazioni sulle richieste di dati relativi a un numero elevato di utenti indeterminati, come quelli i cui telefoni cellulari si collegavano casualmente a un ripetitore . VTR ha riferito di non aver ricevuto richieste di questa natura tra luglio 2021 e giugno 2022. Claro ha segnalato solo una richiesta durante il primo trimestre del 2022. A sua volta, WOM ha riferito di aver ricevuto 429 richieste di dati per ripetitori di celle durante il 2021. Sebbene i periodi di tempo differiscano, la discrepanza in numeri è impressionante. Ulteriori dati potrebbero aiutare gli utenti a comprendere la variazione, considerando che spesso le forze dell'ordine non scelgono un solo ISP per inviare richieste di dati sui ripetitori cellulari, ma raggiungono tutte le società di telecomunicazioni interessate con ripetitori in una determinata area geografica di interesse.

• Gli ISP notificano ai propri utenti le richieste di accesso alle loro informazioni personali da parte dell'autorità o, almeno, hanno compiuto sforzi concreti per farlo?

Per guadagnare credito quest'anno, le aziende devono istituire una procedura di notifica o compiere sforzi concreti e verificabili per metterla in atto.

WOM è stato l'unico ISP a guadagnare credito (75%) in questa categoria oltre a Claro, che ha ricevuto il credito completo. WOM ha rivelato una dichiarazione sui suoi sforzi nel 2019 e nel 2020 per collaborare con le autorità per stabilire un meccanismo di notifica degli utenti nei casi penali (gli sforzi sono stati inclusi nel rapporto del 2020, quindi non sono stati conteggiati nel nuovo rapporto). La novità del rapporto 2021 è l'impegno di WOM a notificare agli utenti, a partire da gennaio, le richieste di informazioni in casi civili, di lavoro e familiari. Claro è stato il primo ISP a rispettare questo impegno, che EFF ha evidenziato nel rapporto del Cile del 2019.

Il rapporto di Derechos Digitales rileva gli sforzi di Claro nel 2019, 2020 e 2022 a favore della notifica agli utenti, compresa l'esecuzione di azioni sia al Congresso che davanti alla Procura della Repubblica, dimostrando la sua preoccupazione per trovare un modo per mettere in atto una procedura di notifica che aderisca al diritto di preavviso sancito dall'articolo 224 del codice di procedura penale. Un dato particolare: a maggio, Claro ha sollecitato la Procura a considerare nuovamente la possibilità di notificare le persone soggette a intercettazioni o richieste di dati personali, sottolineando che alla Procura è stata sollevata la possibilità di attuare un piano pilota.

• Gli ISP dispongono di una guida pubblica sulle richieste delle forze dell'ordine per i dati degli utenti che specifica la procedura, i requisiti e gli obblighi legali che devono essere soddisfatti?

Le aziende ora devono rendere esplicito l'obbligo di informare gli utenti interessati da una misura investigativa intrusiva, ai sensi dell'articolo 224 del codice di procedura penale del Cile. Gli ISP devono inoltre dichiarare che le richieste di dati degli utenti che coinvolgono informazioni sensibili, come i dati sulla posizione, devono riferirsi a persone specifiche e avere un precedente ordine giudiziario. Se le richieste riguardano lo sviluppo di politiche pubbliche, gli ISP devono impegnarsi a consegnare all'autorità competente solo dati anonimizzati e aggregati. Claro e WOM hanno ricevuto pieno merito in questa categoria; gli altri quattro ISP hanno ricevuto il 75% di credito.

• Gli ISP hanno difeso attivamente la privacy e protetto i dati degli utenti, pubblicamente, in procedimenti giudiziari o amministrativi o in una discussione legislativa al Congresso?

Esempi di opportunità in cui le aziende avrebbero potuto esprimersi includono l'avanzamento dei disegni di legge che promuovono la sorveglianza pubblica e ampliano le condizioni alle quali potrebbero essere prese misure investigative intrusive, e casi di spionaggio di stato, come l'intercettazione del telefono del giornalista cileno Mauricio Weibel .

Claro si distingue ancora una volta in questa categoria. Il rapporto rileva che Claro ha contattato il senatore cileno Jorge Pizarro, esprimendo preoccupazione per un disegno di legge per modificare la legge cilena sulla protezione dei dati. In particolare, Claro ha espresso preoccupazione per le richieste di informazioni da parte degli enti pubblici e ha suggerito che gli standard ei controlli per la protezione dei dati personali che si applicano alle aziende dovrebbero applicarsi anche all'Amministrazione dello Stato. Inoltre, ha suggerito di istituire controlli preventivi e di disporre di responsabili della conformità per ciascun servizio pubblico.

Claro, GTD Manquehue e WOM hanno ottenuto punteggi in questa categoria per aver sfidato le massicce richieste di informazioni degli utenti da parte di Subtel, l'agenzia di regolamentazione delle telecomunicazioni del Cile. Secondo gli esempi forniti nel rapporto, Subtel ha cercato le informazioni per svolgere ricerche relative all'uso dei servizi di roaming e condurre un'indagine sulla soddisfazione degli utenti della banda larga. Su quest'ultimo, le società hanno sostenuto che il campione di utenti Subtel richiesto per l'indagine non considerava il principio di proporzionalità.