miércoles, 29 de enero de 2020

LIMITACIONES DE LA DIRECTIVA SOBRE SISTEMAS DE VIDEOVIGILANCIA





Por: Carlos A. FERREYROS SOTO
Doctor en Derecho


Antes de analizar la Directiva N° 01-2020-JUS/DGTAIPD, sobre el Tratamiento de Datos Personales mediante Sistemas de Videovigilancia, cabe mencionar algunos aspectos generales que es bueno recordar:

·      Se ha pretendido presentar a la videovigilancia como herramienta de prevención cuando, según determinadas condiciones y usos puede constituir una política vulneratoria o conculcatoria de derechos;
·         El Estado, las instituciones y las empresas han faltado y omitido comunicar sobre este tema. Este grave déficit de información pretende sugerir que la multiplicación de estos dispositivos pueden reemplazar los sistemas de control, vigilancia o protección física tradicionales.
·         La contratación de productos  y soluciones no solo vincula diferentes aspectos relacionados a la Videoprotección con el Tratamiento de Datos Personales conectadas con otras tecnologías sino permite el recurso de terceros, particularmente en los casos de alarmas, intervenciones y respuestas a situaciones de riesgo o inseguridad detectados por los dispositivos de videovigilancia, por parte de las  propias instituciones o de terceros, que pudieran acceder al contenido de esos datos.
·         Toda norma sobre tecnologías de tratamiento de datos personales debe incluir un Análisis de Impacto de los dispositivos de Videovigilancia, recomendación prevista por el Reglamento General Europeo sobre la Protección de Datos Personales, RGPD, los mismos que podrían impactar en la protección de los datos personales (imágenes, y voz) de los peruanos en general y europeos en particular, residentes en el Perú.
·         En el Análisis de Impacto recomendado por el RGPD - norma a tener en cuenta en nuestra legislación - debe preverse el Análisis de riesgos de los dispositivos de Videovigilancia a fin de impedir la amenaza o vulneración de derechos fundamentales y libertades individuales de todas aquellas personas captadas, y el recurso a medidas de seguridad organizativas, técnicas, lógicas. Así como Medidas preventivas y ejecutivas para mitigar estos riesgos, particularmente,  dispositivos de seguridad y control de la protección de datos personales y cumplimiento del RGPD (teniendo en cuenta los derechos e intereses legítimos de los interesados).

Estos aspectos generales debieran orientar los Considerandos sobre los cuales se fundamente la Directiva N° 01-2020-JUS/DGTAIPD, en adelante la Directiva, sobre el Tratamiento de Datos Personales mediante Sistemas de Videovigilancia.

Esta Directiva fue formulada por la Dirección de Protección de Datos Personales de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos; publicada en el Diario Oficial "El Peruano" el 16 de enero del 2020 y entrará en vigencia a los sesenta (60) días calendario siguientes de la publicación de la Resolución que la aprueba, es decir el 17 de marzo próximo.

La Directiva tiene el mérito del esfuerzo y las buenas intenciones en ampliar, afinar la regulación de uno de los aspectos más significativos del derecho de las personas y las nuevas tecnologías, la relativa a la protección de los datos personales en la aplicación y uso de sistemas de videovigilancia.

No obstante, la Directiva no ha tomado en cuenta ciertos aspectos generales sobre Videovigilancia, ni su argumentación responde a regular la imagen en los derechos y obligaciones que ella suscita, sino se focaliza sobre el dispositivo que las produce. Se pretende normar sobre los dispositivos de  vídeo y de voz - instrumentos de captación, registro, difusión, conservación, cancelación de la imagen - más que sobre las diversas expresiones del derecho a/sobre la imagen.

Primo, la expresión "Videovigilancia" es inapropiada si es que el concepto de "vigilancia" sugiere a los ciudadanos, erróneamente, que estos sistemas podrían amenazar, vulnerar ciertos aspectos del honor, reputación, privacidad, intimidad de las personas; quizás sea mejor apelar al término de Videoprotección, si esa es la finalidad explícita y última de la autoridad.

Secondo, el Perú no ha tenido ni tiene una organizada ni sistematizada producción doctrinaria ni legislativa  sobre la regulación del Derecho a y sobre la imagen, la misma que delinea dos aspectos:

"En el Derecho a la imagen de la persona, se plantean dos as­pectos: por un lado: autorizar o impedir la reproducción y difusión de la imagen física de una persona, incluyendo su voz. Resulta interesante la inclusión de la voz como ampliación del derecho a la imagen. Otros atributos de la persona, como su olor – o humor, según los clási­cos – podrían ser protegible en el futuro; por otro lado, autorizar o impedir la reproducción y difusión de la imagen de los bienes que éste posea, tomada con su consentimiento por terceros o sin él.

En el Derecho sobre la imagen, se plantean igualmente dos aspectos: primero, el derecho de terceros, a informar, difundir o publicar la imagen de una persona, y/o de su voz[1], mediante cualquier soporte o medio, onerosa o gratuitamente; segundo, el derecho a reivindicar la propiedad intelectual sobre ésta". (Pág. 126-127)[2].


Según esta división, la regulación de la Directiva antes mencionada debiera haber tomado en cuenta, solo el derecho a la imagen (1. Autorizar o impedir la reproducción y difusión de la imagen física de una persona,  incluyendo su voz. 2. Autorizar o impedir la reproducción y difusión de la imagen de los bienes que éste posea, tomada con su consentimiento por terceros o sin él)Peropreguntémonos: si es que las imágenes fijas e imágenes continuas, captadas por dispositivos de videovigilancia son normadas por esta Directiva? En principio sí, deben ser aplicables estos dos aspectos en las normas válidas para los soportes capaces de captar, reproducir y difundir imágenes. Y aun cuando la Directiva no hace ese distingo, las imágenes conectadas a dispositivos informáticos deberían sujetarse a las especificidades propias de la regulación del derecho informático, materia en incipiente desarrollo aun en nuestro país.

Tertio, los dispositivos que permiten la producción de la imagen, en sus diferentes formas, han ido evolucionado tecnológicamente, pasando de la tecnología de soporte físico al soporte electrónico, digital. Los sistemas de  videovigilancia corresponden a estas dos últimas formas tecnológicas más acabadas del derecho a la imagen: captación, registro, difusión, conservación, cancelación de la imagen fija y continua y sujeta por ello a las normas que rigen el derecho informático, Es decir, impregnadas de las características de la tecnología informática: cálculo, memorización, asociación lógica, comunicación que mediante el tratamiento de datos pueden amenazar o vulnerar los datos personales de las personas físicas, no solo la honor, reputación, privacidad e intimidad de las personas, sino también - según la doctrina internacional sobre el derecho a la imagen - los bienes de las personas.   

Cuarto, no existen referencias en la Directiva sobre sí en la contratación de productos (dispositivos de videoprotección, drones) y soluciones (programas, sistemas informáticos) relacionados con los Sistemas de Videovigilancia, corresponde al usuario o al proveedor del producto o la solución, la garantía de  cumplimiento con las normas de Protección de Datos Personales (o el RGPD) para el tratamiento de estos. O en todo caso, sí este apartado se encuentra sometido a las especificidades de la contratación informática y de propiedad intelectual. Por ejemplo: si son aplicables cláusulas referidas a los derechos y obligaciones de información, de consejo, de medios o resultados, de confidencialidad o secreto? Y si estos también aplican  en los casos de seguridad y defensa nacional o de propiedad intelectual?

Cuarto, la Directiva se pretende exhaustiva en el ítem II, Base Legal de la Directiva, al referenciar las fuentes legislativas de los derechos de protección de la persona y sobre Videovigilancia, sin embargo:

- No alude jerárquicamente a las diferentes fuentes relacionadas con Convenios Internacionales de los cuales Perú es signatario, particularmente aquella legislación supranacional referida a los Derechos Fundamentales de la Persona Humana[3].

- Referencia la Constitución Política del Perú de manera general pero sin individualizar la Constitución vigente de 1993, ni menos mencionar el Artículo 2°.- Derechos fundamentales de la persona. Toda persona tiene derecho:

·       Inciso 4. (Derecho sobre la imagen) A las libertades de información, opinión, expresión y difusión del pensamiento mediante la palabra oral o escrita o la imagen, por cualquier medio de comunicación social, sin previa autorización ni censura ni impedimento algunos, bajo las responsabilidades de ley  
·  Inciso 7. (Derecho a la imagen) Al honor y a la buena reputación, a la intimidad personal y familiar así como a la voz y a la imagen propias[4].

- Mucho menos hace referencia al Código Civil de 1984, en el cual  se establece por primera vez y de manera expresa, el derecho al respeto de la imagen y de la intimidad de las personas. 

"Algunos de los artículos del CCP se refieren explícitamente a la disposición del cuerpo, incluyendo imagen y vozPor ejemplo, el Artículo 15.- Derecho a la imagen y voz  Código Civil"[5]. (Pág. 33)

Sobre este particular me he referido ampliamente en el libro Derecho de Personas e Informática. Identidad Digital:

"Hasta ahora, los atributos de la persona humana, persona moral cada vez más: existencia, nombre, domicilio, sexo, nacionalidad… como los conceptos acuñados para los derechos de la personalidad: expresión, comunicación, imagen, honor, privacidad, regulados hoy en otros países, sobre las TICs no constituyen sino referencias desarticula­das, fragmentarias, aproximativas, en el Perú". (Pág. 18.)


"El derecho regula la finalidad no comercial del cuerpo humano y, por extensión, a su imagen. Aun cuando ciertas opciones personales o incitativas de terceros – toleradas o no manifiestamente prohibidas por el derecho – desnaturalicen estos principios. (Autolesiones, prostitución, pornografía, pedofilia, prácticas médicas experimentales, venta de órga­nos, fluidos, medicamentos, o datos personales, etc.)". (Pág. 32, 33.).

- Menos se aludió en las Bases Legales de la Directiva a la Ley N° 30934, la misma que modifica la Ley N° 27806, Ley de Transparencia y Acceso a la Información Pública, respecto de la Transparencia en el Poder Judicial, el Ministerio Público, la Junta Nacional de Justicia, el Tribunal Constitucional y la Academia de la Magistratura  y sobre la cual el suscrito elaborara el articulo "Desproteccion de Derechos Personales de Magistrados" que en su primera Conclusión afirmara : 1. Los supuestos de "cultura de secreto", corrupción y la propuesta de neutralizar estos mediante la incorporación de un Titulo VI modificatoria a la Ley N° 27806, Ley de Transparencia y Acceso a la Información pueden afectar la relación de equilibrio entre los Poderes del Estado Ejecutivo y Legislativo en desmedro del Poder Judicial. 

Este hecho se comprueba porque la incorporación del Título VI pretende que una parte de los datos e informaciones sobre los magistrados o sobre acciones, sea transparente y de acceso público, sin definir el detalle de los mismos, su correlación y el perfilamiento de su conducta o comportamiento.

 

- Mucho menos se incluyó en el apartado VII. DISPOSICIONES ESPECÍFICAS de la Directiva, las referencias legales relativas a las Entidades financieras, Entornos escolares, en los Tratamientos Específicos con Fines de Seguridad; ni menos Videovigilancia para el Control Laboral, ni en el Tratamiento con Fines Científicos o de Investigación, en el Tratamiento Distinto a los Fines de Seguridad.

Sobre estas DISPOSICIONES ESPECÍFICAS, ni la Dirección de Protección de Datos Personales ni la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos han regulado los Sistemas de Videovigilancia en lo concerniente a la captación, registro, difusión, conservación, cancelación de los datos personales (imágenes) en/de establecimientos relacionados a datos sensibles de sus adherentes, visitantes, referidos:  con opiniones o convicciones políticas, religiosas, filosóficas o morales; afiliación sindical; e información relacionada a la salud o a la vida sexual (Sedes de Partidos Políticos, Sindicales, Iglesias, Templos, Mezquitas, Sinagogas, Hospitales, Clínicas); propias o de terceros que protejan o apunten a estas instalaciones.)  Art. 2 Inc.5 de la Ley 29733, su Reglamento D.S. Nº 003-2013-JUS, Art. 14°.

Finalmente, no se precisan las Medidas de Seguridad que debieran ser adaptadas a los dispositivos de captación de imágenes, dispositivos de Videovigilancia, según la Directiva de Seguridad de la Información, aprobada por la R.D. N° 019-2013-JUS/DGPDP.


CONCLUSIONES

La Directiva - reitero - es un meritorio esfuerzo en ampliar, profundizar los aspectos más significativos del derecho de las personas y las nuevas tecnologías a través de los Sistemas de  Videoprotección, pero su regulación ha debido centrarse más sobre el derecho a la imagen que sobre el instrumento o soporte de la captación, registro, difusión, conservación, cancelación de la imagen, la videovigilanica, o mejor, videoproteccion.

La Directiva debe integrar las fuentes de derecho que no han sido consideradas en la II Base Legal (Ley General de Trabajo, Ley de Educación, Ley General de Salud, Autorizaciones de Videovigilancia por los Jueces, Audiencias virtuales, …)  incluyendo e integrando aquellas instituciones jurídicas válidas para la regulación de imágenes fijas y continuas, teniendo en cuenta las especificidades que la tecnología y particularmente la informática plantean, incluyendo la regulación específica que ésta última propone. Podemos recurrir a la doctrina y legislación internacional en la materia para adaptar algunas de esas instituciones a nuestra legislación, por ejemplo el RGPD, máxime  si se pretende que el Perú forme parte de la OCDE.

Es imprescindible se analice y evalúe con mayor detalle la Directiva en lo relativo al derecho a la imagen de las personas y bienes, como extensión de la personalidad[6], ampliando y sistematizando la regulación de los sistemas de videoproteccion en los espacios públicos, espacios privados; la captación de las imágenes de los personajes públicos de los privados; los menores, mayores y discapacitados sujetos a patria potestad, tutela, curatela; las imágenes relacionadas a los datos personales sensibles, los bienes sujetos a propiedad intelectual, incluyendo los bienes públicos.


ALGUNAS RÁPIDAS SUGERENCIAS.

Se sugiere, reemplazar  el término de "Videovigilancia" por el "Videoprotección ", que refleja más fielmente la voluntad del legislador sobre la finalidad de la acción en favor de los ciudadanos, contribuyentes, consumidores.

Se requiere que la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales antes de la vigencia de la Directiva el 17 de marzo pueda corregir, detallar, ampliar algunos aspectos referidos al análisis y a las Conclusiones arriba anotadas.

La Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales debe evaluar la creación de un Registro de dispositivos de videoprotección: cámaras, drones utilizados para la video protección, incluyendo los tratamientos identificados individualmente con indicación de su ubicación, y función de esos dispositivos en el tratamiento de los datos e  informaciones sobre cualquier instalación; salvo aquellas exceptuadas por ley. Este Registro debe ser accesible y sujeto a la Ley de Transparencia, para que cada ciudadano, contribuyente, consumidor, puede asegurarse fácilmente que el producto de la captación del dispositivo ha sido regularmente instalado, autorizado y se encuentra sujeto a control legal.

Debieran ser necesarias contar con algunas medidas específicas respecto al emplazamiento de dispositivos captación de imágenes en áreas próximas a las Embajadas, Consulados, Superintendencia de Migraciones, Ministerio de Relaciones Exteriores, entre otras. Además en áreas relacionadas con establecimientos vinculados a datos sensibles, entre ellos: sedes de partidos políticos, sindicatos, iglesias, mezquitas sinagogas, clínicas, hospitales,…

Finalmente, debe regularse el uso de videocámaras, drones y programas informáticos que permitan el reconocimiento facial y el análisis comportamental de los individuos. Estas prohibiciones deben ser penalizadas a fin de no permitir la instalación de herramientas no solo para monitoreo sino también para su represión en todo el territorio nacional.





[1] La imagen, dijimos, incluye no solamente el aspecto físico: la silueta, el perfil, la anatomía, también incluye la voz, consecuencia del proceso de socializa­ción del hombre, como elemento original y único de identificación. Enrique BERNALES afirma que el derecho a la voz: “Consiste en que la utilización por parte de una persona de su voz sólo puede hacerla ella misma a aquel a quien autorice... la voz es parte de uno mismo y de la identificación personal...”: Esta afirmación de BERNALES Ballesteros nos propone nuevas perspectivas:
– aquella de reconocer el derecho a la voz, como derecho subsidiario del derecho a la imagen,
– como el reenvío del derecho de voz al concepto de derecho patrimonial en los derechos de autor. El derecho patrimonial del derecho de autor o de los derechos vecinos de interpretación, ejercidos vía el derecho de explotación incluyen tanto el derecho de representación como el derecho de reproducción del autor como del artista intérprete. Es decir, el derecho a que la voz pueda expresarse mediante la representación artística, lírica, poética, científica; directamente al público de una obra, por un intérprete, o, indirectamente, a través de su fijación, grabación material de la voz mediante un soporte cualquiera de la misma obra, y por un intérprete.
Pero no solamente se protege la voz, expresión física, sino también –de existir– el contenido que éste vehicula.
Entre los derechos a la privacidad e intimidad, y a la imagen y voz existe una estrecha relación, por ser derechos personalísimos. Es el marco constitucional que establece los parámetros de autonomía, independencia o libertad de cada individuo, en función de la finalidad del Estado, pero también de la subsistencia de éste. Por ello, los conceptos de “Violencia legítima del Estado”, o “Razón de Estado”, fijan los marcos excepcionales en los cuales los derechos de la persona son conculcados en favor del Estado. Ello no supone, sin embargo, que la ame­naza o vulneración de la privacidad o intimidad, afecte igualmente el derecho a la imagen y/o voz, ni viceversa. BERNALES Ballesteros, Enrique, La Constitución de 1993. Análisis Comparado, Lima, Edit. ICS, 1997, p. 107.  

[2] Ver: "Derecho de Personas e Informática. Identidad Digital". Carlos y Elena Ferreyros Soto y David Mauricio. Editorial Grijley 2016 Pág. 792.

[3] En el libro precitado se hace referencia a algunos de estos Convenios o Tratados.
[4] Sobre el particular, Humberto Nogueira Alcalá, en el Libro "EL DERECHO A LA PROPIA IMAGEN COMO DERECHO FUNDAMENTAL IMPLÍCITO. FUNDAMENTACIÓN Y CARACTERIZACIÓN" https://scielo.conicyt.cl/scielo.php?script=sci_arttext&pid=S0718-00122007000200011 amplia el criterio sobre la imagen: esta debe ser reconocible y visible, incluyendo la determinación por el interesado la facultad de la forma y condiciones de la toma y el otorgamiento del consentimiento. El derecho a la propia imagen protege frente a la captación, reproducción y publicación de la imagen en forma reconocible y visible. Cada persona dispone de la facultad exclusiva de determinar cuándo, cómo, por quién y en qué forma quiere que se capten, reproduzcan o publiquen sus rasgos fisonómicos, controlando el uso de dicha imagen por terceros, impidiendo así su captación, reproducción y publicación por cualquier procedimiento mecánico o tecnológico, sin su consentimiento expreso.
[5] Artículo 15º.- La imagen y la voz de una persona no pueden ser aprovechadas sin autorización expresa de ella o, si ha muerto, sin el asentimiento de su cónyuge, descendientes, ascendientes o hermanos, excluyentemente y en este orden. Dicho asentimiento no es necesario cuando la utilización de la imagen y la voz se justifique por la notoriedad de la persona, por el cargo que desempeñe, por hechos de importancia o interés público o por motivos de índole científica, didáctica o cultural y siempre que se relacione con hechos o ceremonias de interés general que se celebren en público. No rigen estas excepciones cuando la utilización de la imagen o la voz atente contra el honor, el decoro o la reputación de la persona a quien corresponden.
[6] La extensión de los derechos de propiedad so­bre la imagen es también contemporánea de la aplicación del artículo 10 del CEDH (Convención Europea de Derechos Humanos) con un uso más sistemático por los Tribunales nacionales, en relación a la libertad de expresión. Ella beneficia de la propiedad intelec­tual que le otorga el derecho de autor. La imagen no es ni más ni menos que un modo de expresión, en este aspecto, sin duda, supera el simple marco de la ley de prensa. Op. Cit "Derecho de Personas … Pág. 134.

domingo, 19 de enero de 2020

ALICEM , LA PRIMERA SOLUCIÓN SEGURA DE IDENTIDAD DIGITAL SOBERANA



 PRÓLOGO.

El artículo sobre ALICEM, o Autentificación en Línea Certificada en Teléfonos Inteligentes sobre Solución Segura e Identidad Digital es una traducción realizada por el suscrito de la publicación  difundida en el sitio web del Ministerio del Interior de Francia el 16 de diciembre de 2019. 

La aplicación fue desarrollada por ese Ministerio y la Agencia Nacional de Títulos Seguros (ANTS) del mismo país, la misma que se encuentra en fase de prueba. 

Los antecedentes legales del aplicativo son el Decreto de ALICEM y el Reglamento relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE. Los enlaces y el articulo en su versión francesa han sido incluidos  a continuación y en el mismo texto traducido. https://www.interieur.gouv.fr/Actualites/L-actu-du-Ministere/Alicem-la-premiere-solution-d-identite-numerique-regalienne-securisee


Si se desea obtener una visión de conjunto, este articulo debería asociarse a dos artículos precedentes sobre "Usurpación de Identidad y Tecnologíashttps://derecho-ntic.blogspot.com/2017/10/la-usurpacion-de-identidad-y.html y "Marco para la Identificación Electrónica Social Iberoamericana"  https://derecho-ntic.blogspot.com/2015/04/marco-para-la-identificacion.html Y obviamente el reciente Decreto de Urgencia N° 006-2020 Sistema de Transformación Digital del Perú, en lo relativo a los Datos Personales Ley N° 29733, sus normas ampliatorias y modificatorias https://busquedas.elperuano.pe/normaslegales/decreto-de-urgencia-que-crea-el-sistema-nacional-de-transfor-decreto-de-urgencia-n-006-2020-1844001-1/



¿QUÉ ES ALICEM ?

Alicem es una aplicación para teléfonos inteligentes desarrollada por el Ministerio del Interior y la Agencia Nacional de Títulos Seguros (ANTS) que permite a cualquier persona que decida de usarla, de probar su identidad en Internet de manera segura usando un teléfono inteligente y su pasaporte o permiso de residencia.

Para la vida diaria, los franceses utilizan cada vez más los recursos digitales a fin de acceder a muchos servicios, públicos o privados. Debido a ello, requieren probar su identidad en Internet con un nivel de confiabilidad y seguridad comparable con el que proporcionan los documentos de identidad (DNI, pasaporte, permiso de residencia) en la vida cotidiana.

Alicem responde a esta necesidad con el objetivo de apoyar y simplificar la vida de los usuarios. Alicem  es igualmente accesible a los ciudadanos extranjeros que tienen un permiso de residencia con un chip electrónico.

¿CÓMO FUNCIONA ALICEM ? 
Alicem certifica de forma segura la identidad de su portador a través de un proceso riguroso. El usuario se registra desde su teléfono inteligente con su documento de identidad (pasaporte o permiso de residencia), cuyo chip es reconocido mediante la lectura sin contacto NFC (comunicación de campo cercano) y cuya autenticidad y validez se verifican por  los servicios del Estado. Gracias a la tecnología de reconocimiento facial, el usuario demuestra que es el legítimo titular del documento de identidad.

Después de esta fase de registro, Alicem permite de acceder de manera simple, pero siempre segura, al conjunto de los servicios asociados a FranceConnect. Para ello, el usuario se autentifica desde su teléfono inteligente con su código de seguridad. Para ciertos usos, es necesaria también una lectura NFC del chip del título.

Este alto nivel de seguridad es un medio para combatir las usurpaciones de identidad que causan numerosos perjuicios a nuestros conciudadanos.

¿QUÉ SERVICIOS PUEDO CONECTAR CON ALICEM ? 

Alicem proporcionará acceso a todos los servicios asociados a FranceConnect, el dispositivo estatal que facilita el acceso a los servicios en línea. Existen más de 500 servicios disponibles, entre los que se encuentran: 

  • Informaciones sobre los derechos de los ciudadanos y los procedimientos administrativos en el portal "Servicio Público" ; 
  • Las solicitudes de títulos de la Agencia Nacional de Títulos Seguros (ANTS); 
  • Las consultas sobre los puntos de pensión de retiro; 
  • Los servicios públicos de proximidad ante más de 400 autoridades locales.  
Alicem es una solución de "avance de fase", que apoyará la implementación progresiva de nuevos teleservicios que requieren autenticación más segura que un " identificante de nombre de usuario / contraseña ".    

¿ALICEM ES OBLIGATORIO ? 

No, la creación de una cuenta Alicem no es obligatoria.

Alicem constituye una solución adicional para autentificarse ante los servicios en línea asociados a FranceConnect. Los usuarios pueden usar otras las alternativas disponibles: 


  • La creación de una cuenta específica en el servicio en línea elegido ; 
  • Otros medios de identificación electrónica disponibles en FranceConnect ; 
  • Procedimientos administrativos tradicionales " físicos ".  

Finalmente, el uso de Alicem será completamente opcional: no habrá obligación de crear una cuenta en Alicem, ni ningún otro servicio público accesible únicamente por Alicem .

En definitiva, el usuario puede revocar el uso de Alicem en cualquier momento. El usuario que haya elegido probar Alicem puede suprimir su cuenta en cualquier momento directamente desde la aplicación, si así lo desee, o incluso suspenderla en caso de pérdida o robo de su documento de identidad desde el sitio web asociado.

Alicem se encuentra actualmente en pruebas con el objetivo de abrir al público en unos pocos meses.

¿CUÁLES SON LAS VENTAJAS DE USAR ALICEM ?


  • ·      Procedimientos en línea simplificados : 
  •        Único acceso a una multitud de servicios en línea: el usuario ya no necesita memorizar varios identificantes y varias contraseñas.
  •        Acceso inmediato y sin problemas a más servicios en línea : la autenticación altamente segura dará acceso progresivamente a los servicios que actualmente requieren una verificación "física" de la identidad de las personas, ya sea en una ventanilla o por el examen de copias de varios documentos enviados por el usuario. 
  • ·      Identificación segura :   
  •       La identidad emitida por Alicem se basa en la informaciones contenidas en el chip seguro de un título biométrico (documento de identidad, pasaporte o permiso de residencia).
  •    Al crear la cuenta, Alicem verifica por reconocimiento facial que la persona que usa el teléfono inteligente es el titular del título. Es una forma de luchar contra la usurpación de identidad.

¿CUÁL ES EL RECONOCIMIENTO FACIAL UTILIZADO PARA ALICEM ? 


  • ·       El reconocimiento facial es uno de los siete pasos para crear una cuenta de Alicem . Este paso asegura que el título biométrico utilizado pertenece a la persona que crea la cuenta Alicem , para combatir la usurpación de identidad. Esta tecnología no tiene la intención de recopilar o almacenar datos biométricos de los usuarios con fines de vigilancia.
  • ·       Al crear la cuenta, la foto contenida en el chip del título se extrae mediante lectura sin contacto NFC. Luego, el usuario toma un vídeo en tiempo real a través del teléfono inteligente (en modo selfie ) y realiza 3 acciones diferentes (sonreír, girar la cabeza, parpadear) en un lapso de tiempo corto y en orden aleatorio. El llamado reconocimiento facial "estático" también se lleva a cabo a partir de una fotografía extraída del vídeo y comparada con la guardada en el chip del título. Este procedimiento verifica que el usuario es el titular legítimo del título biométrico en el que se basa la identidad digital.  
  • ·       Según lo dispuesto en el decreto, los datos relacionados con la biometría, incluido el vídeo así producido durante la creación de la cuenta, se borran tan pronto como se hayan realizado las verificaciones.
  • ·       Este procedimiento solo es necesario una vez al crear la cuenta y no cada vez que es utilizada la aplicación. Por lo tanto, solo interviene una vez en el ciclo de vida de la aplicación.

¿LOS DATOS PERSONALES SON CONSERVADOS Y SEGUROS ? 

·         Los datos extraídos del documento de identidad se verifican durante el registro, pero estos solo se almacenan en el teléfono inteligente del usuario bajo su control exclusivo y protegidos por encriptación.
·         Alicem no tiene acceso a los registros históricos de transacciones gracias a la separación garantizada por la plataforma " FranceConnect ", que anonimiza a los proveedores de servicios a los que se transmiten los datos.
·         El decreto que regula Alicem contiene disposiciones muy estrictas sobre la gestión de datos.

·         Los datos no son objeto de ningún otro propósito que el de la autenticación electrónica y el acceso a los servicios en línea por parte de Alicem . No se transmiten a terceros.


¿CUÁLES SON LOS PRINCIPALES DESAFÍOS PARA EL ESTADO?

·         Asegurar su misión de certificación de identidad en un mundo digital complementario al "mundo físico ". Alicem es, por lo tanto, la primera experiencia de un servicio de identidad digital más amplio diseñado como parte del programa interministerial establecido en enero de 2018 por el Ministro del Interior, el Ministro de Justicia y el Secretario de Estado responsable del tema digital.  
·                Contribuir a la simplificación de los procedimientos administrativos, coherentemente con la prioridad acordada por el programa Public Action 2022 a la transformación digital de las administraciones, con el objetivo de que el 100% de los servicios públicos con acceso desmaterializado sea posible para 2022. 
·           Desarrollar una primera solución de identidad digital que apunte un al "alto" nivel de garantía en el sentido de la regulación europea sobre identificación electrónica y servicios de confianza para transacciones electrónicas, conocida como la regulación " eIDAS ". El Reglamento eIDAS[1] tiene como objetivo aumentar la confianza en las transacciones electrónicas dentro de la Unión Europea para los servicios en línea, en particular los servicios públicos. Define 3 niveles de garantía: débil, sustancial y alto, dependiendo del grado de robustez de la solución.  
·           Contribuir a la lucha contra la usurpación de identidad en línea y, de manera general, contra la cibercriminalidad, ofreciendo una identidad digital que garantice un alto nivel de seguridad para los usuarios.




[1] REGLAMENTO (UE) No 910/2014 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE

martes, 17 de septiembre de 2019

DIRECTIVA EUROPEA SOBRE LOS SERVICIOS DE PAGO, DSP2. ENTRE REGULACIÓN TEÓRICA Y PRÁCTICA SOCIAL?






El presente artículo propone en el Prólogo algunas ideas sobre la segunda Directiva Europea de Servicios de Pago, DSP2, relativas a la regulación  y la realidad social; la opción entre  ralentizamiento de compras y seguridad de las transacciones, y el contexto europeo actual entorno al tema. 

También alcanza una SÍNTESIS de la DSP2 y el enlace del Texto Integral de la Directiva.

 PROLOGO

A partir del 14 de septiembre de 2019, los bancos y las instituciones financieras hubieran debido de aplicar la Directiva europea sobre los Servicios de Pago, versión 2, o DSP2. La Directiva de Servicios de Pago (DSP1) fue la original Directiva Europea (2007/64/CE), derogada y reemplazada por la Directiva de Servicios de Pago 2 (DSP2), (UE) 2015/2366 adoptada el 25 de noviembre de 2015.

Según la DSP2, a partir de la fecha arriba aludida, la implementación de procedimientos de autenticación fuerte debiera haber devenido obligatoria, así como la apertura de datos bancarios, el Open Banking. Pero los actores del mercado han preferido lanzar alertas este verano, pidiendo aplazar su implementación. El principal temor es que los consumidores ralenticen sus compras en línea, frente a medidas demasiado restrictivas en sus pagos. Pareciera que entre la disyuntiva, los bancos prefieren la actual seguridad de las transacciones, aun cuando no es la mejor.

La segunda Directiva de los servicios de pago, que también incluye el acceso a las cuentas bancarias, parece haberse debilitado. A finales de agosto de 2019, según TINK, un actor mayor de la agregación de datos bancarios, start-up sueca, solo el 15% de los actores del mercado involucrados estaban listos, y aún, solo desde el punto de vista teórico.

Por ejemplo, las API (interfaces informáticas) necesarias al acceso a los datos, provistas por algunos bancos, no están en el nivel de la versión industrial (plazos de latencia demasiado importantes). Del lado de los sistemas de autenticación, la preocupación es la misma. La Directiva DSP2 impuso una medida fuerte de autenticación, pero los bancos siguen implementando el viejo código SMS (Short Message Service), servicio disponible en los teléfonos móviles que permite el envío de mensajes cortos, pero es incapaz de autenticación fuerte. Esta técnica no garantiza que sea el cliente al final de la línea quien reciba el código SMS, sino simplemente la persona poseedora del móvil del cliente. 

Además,  aun cuando el código del SMS solo es conocido por el usuario, el mensaje pasa antes  por la red, siendo estos contenidos sensibles de ser interceptados y utilizados ilegalmente. Los estafadores con técnicas de interceptación de comunicaciones cada vez más sofisticadas, pueden utilizar los intercambios de SMS, para capturar los valiosos códigos intercambiados.

Apostar totalmente por el envío de mensajes a los teléfonos móviles de los consumidores para su identificación no debe hacernos olvidar el riesgo de robo. Según las cifras de 2014 del Observatorio Nacional de Delincuencia y Respuestas Penales, ONDRP, el robo de los teléfonos móviles en Francia es de aproximadamente 700,000 por año, o casi 2,000 teléfonos por día.

Del lado de los países, Alemania, Italia, Francia y Reino Unido, están solicitando exenciones para sobrepasar los límites fijados para el mes de septiembre de 2019. Del lado de las instituciones de crédito, bajo la presión de sus clientes y los sitios comerciales, han solicitado se posponga también la estricta implementación de la Directiva DSP2, al menos tres años de tiempo adicional.  El Reino Unido, una de las plazas fuertes del sistema financiero mundial confronta, además, dificultades relacionadas al Brexit, o salida de la Unión Europea, enormemente complejas,  con o sin acuerdo, y con pérdida probable de soberanía.


Las autoridades francesas están decididas a otorgar un período mínimo adicional de 4 meses, con el fin de ver qué pasa. Como habitualmente, la Unión Europea, podría conceder  para los proyectos que no respetan el cronograma inicial, una entrega por lotes. La primera medida visible para los bancos, comerciantes y clientes será entonces una validación de sus autorizaciones de cuentas, cada 90 días. Veremos cuál es la opción privilegiada entre el ralentizamiento del mercado y la inseguridad de las transacciones. Entre la regulación teórica o la práctica social? 

Carlos FERREYROS SOTO
cferreyros@hotmail.com
Montpellier, verano 2019

SÍNTESIS DE LA DIRECTIVA DSP2:
¿QUÉ HACE ESTA DIRECTIVA?
  • Proporciona la base jurídica para seguir avanzando en el desarrollo de un mercado interior más integrado de pagos electrónicos en la Unión Europea (UE).
  • Establece exhaustivas normas para los servicios de pago* con el fin de conseguir que los pagos internacionales (dentro de la UE) sean tan fáciles, eficientes y seguros como los pagos realizados dentro de un único país.
  • Busca lograr una apertura de los mercados de pagos para permitir que entren nuevos actores y aumente la competencia, ofreciendo más opciones y mejores precios a los consumidores.
  • Prevé la plataforma legal necesaria para la zona única de pagos en euros (SEPA, por sus siglas en inglés).
PUNTOS CLAVE
  • La Directiva tiene por objetivo mejorar las normas existentes en la UE para los pagos electrónicos. Tiene en cuenta los servicios de pago nuevos e innovadores, como los pagos por móviles y por internet.
  • La Directiva fija normas relativas a:
    • unos estrictos requisitos de seguridad para los pagos electrónicos y la protección de los datos financieros de los consumidores, garantizando una autenticación segura y reduciendo el riesgo de fraude;
    • la transparencia de las condiciones y los requisitos de información para los servicios de pago;
    • los derechos y obligaciones de los usuarios y los proveedores de servicios de pago.
  • La Directiva se complementa con el Reglamento (UE) 2015/751, que establece un límite máximo para las tasas de intercambio entre bancos para transacciones realizadas con tarjetas. Se prevé que esto disminuya los costes para los comerciantes cuando aceptan tarjetas de débito y de crédito de los consumidores.
Hacia un mercado de pagos más integrado en la UE
La Directiva establece una serie clara y amplia de normas que se aplicarán a los proveedores nuevos y existentes de servicios de pago innovadores. Estas normas están destinadas a garantizar que dichos agentes puedan competir en igualdad de condiciones, mejorando así la eficiencia, la variedad y la transparencia de los servicios de pago, a la vez que se refuerza la confianza del consumidor en un mercado de pagos armonizado.
Apertura del mercado de la UE a nuevos servicios y proveedores
La Directiva también busca abrir el mercado de pagos de la UE a empresas que ofrezcan servicios de pago orientados a los consumidores o las empresas y basados en el acceso a información sobre la cuenta de pago, en particular:
  • servicios de información sobre cuentas, que permiten a un usuario de un servicio de pago disponer de una visión general de su situación financiera en cualquier momento, de modo que pueda gestionar mejor sus finanzas personales;
  • servicios de inicio del pago, que permiten a los consumidores pagar sus compras en línea mediante una sencilla transferencia de crédito, mientras proporciona a los comerciantes la garantía de que el pago se ha iniciado, de modo que puedan proporcionar los productos o servicios sin dilación.
Derechos del consumidor
  • Los derechos del consumidor se refuerzan. Por ejemplo:
    • se reduce la responsabilidad por pagos no autorizados de 150 a 50 euros;
    • un derecho al reembolsoincondicional para débitos directos en euros;
    • eliminación de recargos por la utilización de la tarjeta de crédito o de débito del consumidor.
  • La Comisión Europea elaborará un folleto electrónico «fácil de usar» antes de principios de 2018 donde recogerá los derechos del consumidor de acuerdo con la Directiva y la legislación relacionada de la UE.
Autorización de instituciones de pago
La Directiva no cambia significativamente las condiciones para la concesión de la autorización como instituciones de pago, aunque las instituciones de pago que ofrecen servicios de información sobre cuentas tendrán que disponer de un seguro de indemnización profesional como condición para la autorización. La Directiva también incluye normas sobre la supervisión de instituciones de pago autorizadas, así como medidas en caso de incumplimiento.
Función de la Autoridad Bancaria Europea (ABE)
La función de la ABE se refuerza para:
  • desarrollar un registro central de acceso público de las instituciones de pago autorizadas, que las autoridades nacionales mantendrán actualizado;
  • contribuir a la resolución de disputas entre autoridades nacionales;
  • desarrollar normas técnicas reglamentarias acerca de canales de comunicación seguros y una autenticación del cliente escrita que deben respetar todos los proveedores de servicios de pago;
  • desarrollar la cooperación y el intercambio de información entre las autoridades de supervisión.
La Directiva revoca la Directiva 2007/64/CE a partir del 13 de enero de 2018.
¿A PARTIR DE CUÁNDO ESTÁ EN VIGOR LA DIRECTIVA?
Ha estado en vigor desde el 12 de enero de 2016. Los países de la UE deben incorporarlo al Derecho nacional a más tardar el 13 de enero de 2018.
ANTECEDENTES
Para obtener más información, véase:
* TÉRMINO CLAVE
Servicios de pago: servicios que permiten el depósito o retirada de efectivo de, por ejemplo, una cuenta bancaria, así como todas las operaciones necesarias para utilizar la cuenta. Esto puede incluir la transferencia de fondos, el débito directo, las transferencias de crédito y los pagos con tarjeta. Las transacciones en papel quedan excluidas del ámbito de aplicación de esta Directiva.
DOCUMENTO PRINCIPAL
Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) n.o 1093/2010 y se deroga la Directiva 2007/64/CE (DO L 337 de 23.12.2015, pp. 35-127)
Las modificaciones sucesivas a la Directiva 2015/2366 se han incorporado al texto básico. Esta versión consolidada solo tiene valor documental.
ACTOS CONEXOS
Directiva 2007/64/CE del Parlamento Europeo y del Consejo, de 13 de noviembre de 2007, sobre servicios de pago en el mercado interior, por la que se modifican las Directivas 97/7/CE, 2002/65/CE, 2005/60/CE y 2006/48/CE y por la que se deroga la Directiva 97/5/CE (DO L 319 de 5.12.2007, pp. 1-36)
Las modificaciones sucesivas a la Directiva 2007/64/CE se han incorporado al texto básico. Esta versión consolidada solo tiene valor documental.
Reglamento (UE) 2015/751 del Parlamento Europeo y del Consejo, de 29 de abril de 2015, sobre tasas de intercambio aplicadas a las operaciones de pago con tarjeta (DO L 123 de 19.5.2015, pp. 1-15)

ENLACE:

TEXTO INTEGRAL DE LA DIRECTIVA (UE) 2015/2366 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) no 1093/2010 y se deroga la Directiva 2007/64/CE
(Texto pertinente a efectos del EEE)
https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32015L2366