Los principios de prácticas justas de información (FIPPs) de la Comisión de los Estados Unidos son directrices que representan conceptos ampliamente aceptados en relación con las prácticas justas de información en un mercado electrónico. [1]
Los Principios de Prácticas Justas de Información de la FTC son el resultado de la investigación de la comisión sobre la forma en que las entidades en línea recopilan y utilizan información personal y las salvaguardas para asegurar que la práctica sea justa y proporcione una protección adecuada de la privacidad de la información . [2] La FTC ha estado estudiando cuestiones de privacidad en línea desde 1995, y en su informe de 1998, [3] la Comisión describió los Principios de Prácticas Justas de Información ampliamente aceptados de Notificación, Elección, Acceso y Seguridad . [1] La comisión también identificó la Aplicación , el uso de un mecanismo confiable para proporcionar sanciones por incumplimiento como un componente crítico de cualquier programa gubernamental o autorregulador para proteger la privacidad en línea. [1] [4]
La práctica justa de información fue propuesta y denominada inicialmente [5] por el Comité Asesor del Secretario de los Estados Unidos sobre Sistemas Automatizados de Datos Personales en un informe de 1973, Registros, Computadoras y los Derechos de los Ciudadanos [6] , emitido en respuesta al creciente uso de sistemas automatizados de datos que contienen información sobre individuos. La contribución central del Comité Asesor fue el desarrollo de un código de práctica justa de información para sistemas automatizados de datos personales. La Comisión de Estudio de Protección de la Privacidad también puede haber contribuido al desarrollo de los principios de la práctica justa de información en su informe de 1977, Privacidad personal en una sociedad de la información [7] .
A medida que las leyes de privacidad se extendieron a otros países de Europa, las instituciones internacionales abordaron la privacidad con un enfoque en las implicaciones internacionales de la regulación de la privacidad. En 1980, el Consejo de Europa adoptó un Convenio para la protección de las personas con respecto al procesamiento automático de datos personales . [8] Al mismo tiempo, la Organización para la Cooperación y el Desarrollo Económicos (OCDE) propuso directrices de privacidad similares en las Directrices de la OCDE sobre la protección de la privacidad y los flujos transfronterizos de datos personales. [9] Las Directrices de la OCDE, el Convenio del Consejo de Europa y la Directiva de Protección de Datos de la Unión Europea [10] se basaron en las FIP como principios básicos. Las tres organizaciones revisaron y ampliaron la declaración original de los EE. UU. sobre las FIP, y las Directrices de Privacidad de la OCDE fueron la versión citada con más frecuencia en los años posteriores. [11]
Los principios básicos de privacidad abordados por estos principios son:
1. Notificación/Concienciación [12] Se debe notificar a los consumidores sobre las prácticas de información de una entidad antes de que se recopile cualquier información personal de ellos. [12] Esto requiere que las empresas notifiquen explícitamente algunos o todos los siguientes puntos:
2. Elección/Consentimiento [13] La elección y el consentimiento en el sentido de recopilación de información en línea significan dar a los consumidores opciones para controlar cómo se utilizan sus datos. En concreto, la elección se relaciona con usos secundarios de la información más allá de las necesidades inmediatas del recolector de información para completar la transacción del consumidor. Los dos tipos típicos de modelos de elección son "opt-in" o "opt-out". El método "opt-in" requiere que los consumidores den su permiso afirmativo para que su información se utilice para otros fines. Si el consumidor no da estos pasos afirmativos en un sistema de "opt-in", el recolector de información supone que no puede utilizar la información para ningún otro fin. El método de "opt-out" requiere que los consumidores denieguen afirmativamente el permiso para otros usos. Si el consumidor no da estos pasos afirmativos en un sistema de "opt-out", el recolector de información supone que puede utilizar la información del consumidor para otros fines. Cada uno de estos sistemas puede diseñarse para permitir que un consumidor individual adapte el uso que el recolector de información hace de la información a sus preferencias, marcando casillas para conceder o denegar permiso para fines específicos en lugar de utilizar un método simple de "todo o nada". [13]
3. Acceso/Participación [14] El acceso, tal como se define en los Principios de Prácticas Justas de Información, incluye no sólo la capacidad del consumidor de ver los datos recopilados, sino también de verificar y cuestionar su exactitud. Este acceso debe ser económico y oportuno para que sea útil para el consumidor. [14]
4. Integridad/Seguridad [15] Los recopiladores de información deben asegurarse de que los datos que recopilan sean precisos y seguros. Pueden mejorar la integridad de los datos comparándolos únicamente con bases de datos confiables y brindando acceso al consumidor para verificarlos. Los recopiladores de información pueden mantener sus datos seguros protegiéndolos contra amenazas de seguridad internas y externas. Pueden limitar el acceso dentro de su empresa únicamente a los empleados necesarios para protegerse contra amenazas internas, y pueden usar cifrado y otros sistemas de seguridad basados en computadoras para detener las amenazas externas. [15]
5. Cumplimiento/Resarcimiento [16] Para garantizar que las empresas cumplan con los Principios de Prácticas Justas de Información, deben existir medidas de cumplimiento. La FTC identificó tres tipos de medidas de cumplimiento: autorregulación por parte de los recopiladores de información o un organismo regulador designado; recursos privados que otorgan causas civiles de acción a las personas cuya información ha sido utilizada indebidamente para demandar a los infractores; y cumplimiento gubernamental que puede incluir sanciones civiles y penales impuestas por el gobierno. [16]
En la actualidad, la versión de la FTC de los Principios de Información Justa son sólo recomendaciones para mantener prácticas de recopilación de datos respetuosas de la privacidad y orientadas al consumidor, y no son exigibles por ley. La aplicación y el cumplimiento de estos principios se lleva a cabo principalmente a través de la autorregulación. Sin embargo, la FTC ha emprendido esfuerzos para evaluar las prácticas de autorregulación de la industria , [17] proporciona orientación para la industria en el desarrollo de prácticas de información, [18] y utiliza su autoridad bajo la Ley de la FTC para hacer cumplir las promesas hechas por las corporaciones en sus políticas de privacidad. [19]
Dado que las iniciativas de autorregulación no alcanzan a implementar idealmente los principios (el Informe de la FTC de 2000 señaló, por ejemplo, que las iniciativas de autorregulación carecían de políticas y prácticas significativas de control y aplicación), la Comisión recomienda que el Congreso de los Estados Unidos promulgue una legislación que, junto con los programas de autorregulación en curso, garantice una protección adecuada de la privacidad del consumidor en línea. [20] "La legislación recomendada por la Comisión establecería un nivel básico de protección de la privacidad para los sitios web comerciales orientados al consumidor" y "establecería normas básicas de práctica para la recopilación de información en línea... los sitios web comerciales orientados al consumidor que recopilan información de identificación personal de o sobre los consumidores en línea... estarían obligados a cumplir con las cuatro prácticas de información justa ampliamente aceptadas". [11]
Sin embargo, los principios forman la base de muchas leyes individuales tanto a nivel federal como estatal, lo que se denomina el "enfoque sectorial". Algunos ejemplos son la Ley de Informes Crediticios Justos , la Ley del Derecho a la Privacidad Financiera , la Ley de Privacidad de las Comunicaciones Electrónicas , la Ley de Protección de la Privacidad de Video (VPPA) y la Ley de Protección y Competencia de la Televisión por Cable . [21] Además, los principios siguen sirviendo como modelo para la protección de la privacidad en áreas de reciente desarrollo, como el diseño de programas de Redes Inteligentes. [22]
La Organización para la Cooperación y el Desarrollo Económicos (OCDE) y la Unión Europea , entre otros, han adoptado enfoques más integrales para las prácticas de información justa. Los principios de la OCDE brindan protecciones adicionales a través del principio de participación individual , en el que se establecen requisitos específicos para el acceso y la modificación de la información recopilada personalmente por parte del individuo, y el principio de rendición de cuentas (un responsable del tratamiento de datos debe ser responsable de cumplir con las medidas que dan efecto a los principios establecidos anteriormente). [23] [24]
La Directiva de Protección de Datos de la Unión Europea es otro modelo de protección integral de la privacidad. [25] [26]
Algunos académicos critican los FIPP por su alcance menos amplio que los regímenes de privacidad de otros países, en particular de la Unión Europea y otros países de la OCDE. Además, la formulación de los principios por parte de la FTC ha sido criticada en comparación con los emitidos por otras agencias. La versión de 2000 de los FIP de la FTC es más breve y menos completa que los principios de protección de la privacidad emitidos por la Oficina de Privacidad del Departamento de Seguridad Nacional en 2008, que incluyen ocho principios estrechamente alineados con los principios de la OCDE. [21]
Algunos miembros de la comunidad de privacidad critican las FIPP por ser demasiado débiles, permitir demasiadas exenciones, no exigir una agencia de privacidad, no tener en cuenta las debilidades de la autorregulación y no seguir el ritmo de la tecnología de la información. [27] Muchos expertos en privacidad han pedido una legislación ómnibus de protección de la privacidad en los EE. UU. [28] en lugar de la actual combinación de autorregulación y codificación selectiva en ciertos sectores. [29]
Los críticos desde una perspectiva empresarial a menudo prefieren limitar los FIP a elementos reducidos de notificación, consentimiento y rendición de cuentas. Se quejan de que otros elementos son impracticables, costosos o incompatibles con los principios de apertura o libertad de expresión. [11]
Algunos comentaristas sostienen que los consumidores no tienen una voz justa en el proceso de consentimiento. Por ejemplo, los clientes proporcionan su información sanitaria, como su número de seguro social o el número de su tarjeta sanitaria, al pedir en línea una cita para un chequeo dental. A los clientes se les suele pedir que firmen un acuerdo en el que se estipula que "un tercero puede tener acceso a la información que usted proporciona bajo ciertas condiciones". Las condiciones determinadas rara vez se especifican en alguna parte del acuerdo. Más adelante, el tercero puede compartir la información con sus instituciones subsidiarias. Por lo tanto, el acceso a la información personal de los clientes está fuera de su control. [30]