Una política de privacidad es una declaración o documento legal (en la ley de privacidad) que revela algunas o todas las formas en que una parte recopila, usa, divulga y administra los datos de un cliente o de un cliente. [1] La información personal puede ser cualquier cosa que pueda usarse para identificar a un individuo, sin limitarse al nombre de la persona, dirección, fecha de nacimiento, estado civil, información de contacto, emisión de identificación y fecha de vencimiento, registros financieros, información crediticia, información médica. historia, adónde se viaja e intenciones de adquirir bienes y servicios. [2] En el caso de una empresa, a menudo es una declaración que declara la política de una parte sobre cómo recopila, almacena y divulga la información personal que recopila. Informa al cliente qué información específica se recopila y si se mantiene confidencial, se comparte con socios o se vende a otras firmas o empresas. [3] [4] Las políticas de privacidad suelen representar un tratamiento más amplio y generalizado, a diferencia de las declaraciones de uso de datos, que tienden a ser más detalladas y específicas.
El contenido exacto de una determinada política de privacidad dependerá de la ley aplicable y es posible que deba abordar requisitos que trascienden fronteras geográficas y jurisdicciones legales. La mayoría de los países tienen su propia legislación y directrices sobre quién está cubierto, qué información se puede recopilar y para qué se puede utilizar. En general, las leyes de protección de datos en Europa cubren tanto el sector privado como el sector público. Sus leyes de privacidad se aplican no sólo a las operaciones gubernamentales sino también a empresas privadas y transacciones comerciales.
En 1968, el Consejo de Europa comenzó a estudiar los efectos de la tecnología en los derechos humanos , reconociendo las nuevas amenazas que planteaba la tecnología informática que podía vincular y transmitir en formas que antes no estaban ampliamente disponibles. En 1969, la Organización para la Cooperación y el Desarrollo Económico (OCDE) comenzó a examinar las implicaciones de que la información personal saliera del país. Todo esto llevó al consejo a recomendar que se desarrollara una política para proteger los datos personales en poder tanto del sector público como del privado, lo que llevó al Convenio 108. En 1981, el Convenio para la Protección de las Personas con respecto al Procesamiento Automático de Datos Personales (Convenio 108) Fue presentado. Una de las primeras leyes de privacidad jamás promulgadas fue la Ley de Datos de Suecia en 1973, seguida por la Ley de Protección de Datos de Alemania Occidental en 1977 y la Ley francesa sobre Informática, Bancos de Datos y Libertades en 1978. [5]
En los Estados Unidos, la preocupación por la política de privacidad que comenzó a finales de los años 1960 y 1970 llevó a la aprobación de la Ley de Informes Crediticios Justos . Aunque esta ley no fue diseñada para ser una ley de privacidad, brindó a los consumidores la oportunidad de examinar sus archivos de crédito y corregir errores. También impuso restricciones al uso de información en los registros crediticios. A finales de la década de 1960, varios grupos de estudio del Congreso examinaron la creciente facilidad con la que la información personal automatizada podía recopilarse y compararse con otra información. Uno de esos grupos fue un comité asesor del Departamento de Salud y Servicios Humanos de los Estados Unidos , que en 1973 redactó un código de principios llamado Prácticas Justas de Información. El trabajo del comité asesor condujo a la Ley de Privacidad en 1974. Estados Unidos firmó las directrices de la Organización para la Cooperación y el Desarrollo Económicos en 1980. [5]
En Canadá, se estableció un Comisionado de Privacidad de Canadá en virtud de la Ley Canadiense de Derechos Humanos en 1977. En 1982, el nombramiento de un Comisionado de Privacidad fue parte de la nueva Ley de Privacidad. Canadá firmó las directrices de la OCDE en 1984. [5]
Existen diferencias significativas entre las leyes de protección de datos de la UE y las leyes de privacidad de datos de EE. UU. Estos estándares deben ser cumplidos no sólo por las empresas que operan en la UE sino también por cualquier organización que transfiera información personal recopilada sobre ciudadanos de la UE. En 2001, el Departamento de Comercio de los Estados Unidos trabajó para garantizar el cumplimiento legal de las organizaciones estadounidenses en el marco de un programa de puerto seguro. La FTC ha aprobado eTRUST para certificar el cumplimiento simplificado del puerto seguro entre EE. UU. y la UE.
En 1995, la Unión Europea (UE) introdujo la Directiva de Protección de Datos [6] para sus estados miembros. Como resultado, muchas organizaciones que hacían negocios dentro de la UE comenzaron a redactar políticas para cumplir con esta Directiva. Ese mismo año, la Comisión Federal de Comercio de EE. UU. (FTC) publicó los Principios de información justa [7] que proporcionaban un conjunto de principios rectores no vinculantes para el uso comercial de información personal . Si bien no imponen políticas, estos principios sirvieron de guía para las preocupaciones en desarrollo sobre cómo redactar políticas de privacidad.
Estados Unidos no cuenta con una regulación federal específica que establezca la implementación universal de políticas de privacidad. En ocasiones, el Congreso ha considerado leyes integrales que regulan la recopilación de información en línea, como la Ley de mejora de la privacidad en Internet del consumidor [8] y la Ley de protección de la privacidad en línea de 2001, [9] pero ninguna ha sido promulgada. En 2001, la FTC expresó una preferencia expresa por "más aplicación de la ley, no más leyes" [10] y promovió un enfoque continuo en la autorregulación de la industria .
En muchos casos, la FTC hace cumplir los términos de las políticas de privacidad como promesas hechas a los consumidores utilizando la autoridad otorgada por la Sección 5 de la Ley de la FTC que prohíbe prácticas de marketing desleales o engañosas. [11] Los poderes de la FTC están restringidos legalmente en algunos casos; por ejemplo, las aerolíneas están sujetas a la autoridad de la Administración Federal de Aviación (FAA), [12] y los operadores de telefonía celular están sujetos a la autoridad de la Comisión Federal de Comunicaciones (FCC). [13]
En algunos casos, las partes privadas hacen cumplir los términos de las políticas de privacidad mediante la presentación de demandas colectivas , que pueden resultar en acuerdos o sentencias. Sin embargo, este tipo de demandas a menudo no son una opción debido a cláusulas de arbitraje en las políticas de privacidad u otros acuerdos de términos de servicio . [14]
Si bien no existe una ley de aplicación general, algunas leyes federales rigen las políticas de privacidad en circunstancias específicas, como por ejemplo:
Algunos estados han implementado regulaciones más estrictas para las políticas de privacidad. La Ley de Protección de la Privacidad en Línea de California de 2003 - Código de Negocios y Profesiones, secciones 22575-22579 exige que "cualquier sitio web comercial o servicio en línea que recopile información personal sobre los residentes de California a través de un sitio web publique de manera visible una política de privacidad en el sitio". [26] Tanto Nebraska como Pensilvania tienen leyes que tratan las declaraciones engañosas en las políticas de privacidad publicadas en sitios web como prácticas comerciales engañosas o fraudulentas. [27]
La Ley de Privacidad federal de Canadá aplicable al sector privado se conoce formalmente como Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA). El propósito de la ley es establecer reglas que regulen la recopilación, el uso y la divulgación de información personal por parte de organizaciones comerciales. La organización puede recopilar, divulgar y utilizar la cantidad de información para los fines que una persona razonable consideraría apropiados según las circunstancias. [28]
La Ley establece al Comisionado de Privacidad de Canadá como Defensor del Pueblo para atender cualquier queja que se presente contra organizaciones. El Comisionado trabaja para resolver los problemas mediante el cumplimiento voluntario, en lugar de una aplicación estricta. El Comisionado investiga quejas, realiza auditorías, promueve la concientización y realiza investigaciones sobre cuestiones de privacidad. [29]
El derecho a la privacidad es un área jurídica muy desarrollada en Europa. Todos los estados miembros de la Unión Europea (UE) también son signatarios del Convenio Europeo de Derechos Humanos (CEDH). El artículo 8 del CEDH establece el derecho al respeto de la "vida privada y familiar, de su domicilio y de su correspondencia", sujeto a ciertas restricciones. El Tribunal Europeo de Derechos Humanos ha dado a este artículo una interpretación muy amplia en su jurisprudencia. [30]
En 1980, en un esfuerzo por crear un sistema integral de protección de datos en toda Europa, la Organización para la Cooperación y el Desarrollo Económicos (OCDE) emitió sus "Recomendaciones del Consejo sobre las directrices que rigen la protección de la privacidad y los flujos transfronterizos de datos personales". ". [31] Los siete principios que rigen las recomendaciones de la OCDE para la protección de datos personales fueron:
Sin embargo, las directrices de la OCDE no eran vinculantes y las leyes de privacidad de datos todavía variaban ampliamente en toda Europa. Estados Unidos, si bien respaldó las recomendaciones de la OCDE , no hizo nada para implementarlas dentro de Estados Unidos. [32] Sin embargo, los siete principios se incorporaron a la Directiva de la UE. [32]
En 1995, la UE adoptó la Directiva de Protección de Datos , que regula el procesamiento de datos personales dentro de la UE. Hubo diferencias significativas entre las leyes de protección de datos de la UE y las leyes de privacidad de datos equivalentes de EE. UU. Estos estándares deben ser cumplidos no sólo por las empresas que operan en la UE, sino también por cualquier organización que transfiera información personal recopilada sobre un ciudadano de la UE. En 2001, el Departamento de Comercio de los Estados Unidos trabajó para garantizar el cumplimiento legal de las organizaciones estadounidenses bajo un Programa de Puerto Seguro optativo . [33] La FTC ha aprobado a varios proveedores estadounidenses para certificar el cumplimiento del puerto seguro entre Estados Unidos y la UE. Desde 2010, Safe Harbor es criticado especialmente por los protectores de la privacidad alemanes designados públicamente porque la voluntad de la FTC de hacer valer las reglas definidas no se había implementado de manera adecuada, incluso después de haber revelado discrepancias. [34]
A partir del 25 de mayo de 2018, la Directiva de Protección de Datos será reemplazada por el Reglamento General de Protección de Datos (GDPR), que armoniza las reglas de privacidad en todos los estados miembros de la UE. GDPR impone reglas más estrictas sobre la recopilación de información personal perteneciente a interesados de la UE, incluido el requisito de que las políticas de privacidad sean más concisas, claramente redactadas y transparentes en la divulgación de cualquier recopilación, procesamiento, almacenamiento o transferencia de datos de identificación personal. información . Los responsables del tratamiento también deben ofrecer la posibilidad de que sus datos sean portátiles en un formato común y de que se eliminen en determinadas circunstancias. [35] [36]
La Ley de Privacidad de 1988 proporciona el marco legal para la privacidad en Australia. [37] Incluye una serie de principios nacionales de privacidad. [38] Hay trece principios de privacidad en virtud de la Ley de Privacidad. [39] Supervisa y regula la recopilación, el uso y la divulgación de información privada de las personas, garantiza quién es responsable si hay una violación y los derechos de las personas a acceder a su información. [39]
La Ley de Tecnología de la Información (Enmienda) de 2008 introdujo cambios significativos en la Ley de Tecnología de la Información de 2000 , introduciendo la Sección 43A. Esta sección proporciona compensación en el caso en que una entidad corporativa sea negligente en la implementación y mantenimiento de prácticas y procedimientos de seguridad razonables y, por lo tanto, cause pérdidas o ganancias ilícitas a cualquier persona. Esto se aplica cuando una entidad corporativa posee, comercializa o maneja datos o información personal sensible en un recurso informático que posee, controla u opera.
En 2011, el Gobierno de la India prescribió las Normas de tecnología de la información (prácticas y procedimientos de seguridad razonables y datos o información personal sensible) de 2011 [40] mediante su publicación en el Boletín Oficial. [41] Estas reglas exigen que una persona jurídica proporcione una política de privacidad para el manejo o la negociación de información personal, incluidos datos o información personal confidencial. [42] Dicha política de privacidad debe constar de la siguiente información de conformidad con las normas:
La política de privacidad debe publicarse en el sitio web de la persona jurídica y estar disponible para que la vean los proveedores de información que hayan proporcionado información personal en virtud de un contrato legal.
Los programas de certificación o "sello" en línea son un ejemplo de autorregulación de las políticas de privacidad por parte de la industria. Los programas de sellos generalmente requieren la implementación de prácticas de información justas según lo determine el programa de certificación y pueden requerir un monitoreo continuo del cumplimiento. TRUSTArc (anteriormente TRUSTe), [43] el primer programa de sello de privacidad en línea, incluía a más de 1.800 miembros en 2007. [44] Otros programas de sello en línea incluyen el programa Trust Guard Privacy Verified, [45] eTrust , [46] y Webtrust . [47]
Algunos sitios web también definen sus políticas de privacidad utilizando P3P o la Asociación de Clasificación de Contenido de Internet (ICRA), lo que permite a los navegadores evaluar automáticamente el nivel de privacidad que ofrece el sitio y permitir el acceso sólo cuando las prácticas de privacidad del sitio están en línea con la configuración de privacidad del usuario. Sin embargo, estas soluciones técnicas no garantizan que los sitios web sigan realmente las políticas de privacidad declaradas. Estas implementaciones también requieren que los usuarios tengan un nivel mínimo de conocimientos técnicos para configurar sus propios ajustes de privacidad del navegador. [48] Estas políticas de privacidad automatizadas no han sido populares ni entre los sitios web ni entre sus usuarios. [49] Para reducir la carga de interpretar las políticas de privacidad individuales, Jøsang, Fritsch y Mahler han propuesto políticas certificadas y reutilizables disponibles en un servidor de políticas. [50]
Muchos críticos han atacado la eficacia y legitimidad de las políticas de privacidad que se encuentran en Internet. Existen preocupaciones sobre la eficacia de las políticas de privacidad reguladas por la industria. Por ejemplo, un informe de la FTC de 2000 Privacidad en línea: prácticas justas de información en el mercado electrónico encontró que si bien la gran mayoría de los sitios web encuestados tenían algún tipo de divulgación de privacidad, la mayoría no cumplía con el estándar establecido en los Principios de la FTC. Además, muchas organizaciones se reservan el derecho expreso de cambiar unilateralmente los términos de sus pólizas. En junio de 2009, el sitio web TOSback de la EFF comenzó a rastrear dichos cambios en 56 servicios populares de Internet, incluido el seguimiento de las políticas de privacidad de Amazon , Google y Facebook . [51]
También hay dudas sobre si los consumidores entienden las políticas de privacidad y si les ayudan a tomar decisiones más informadas. Un informe de 2002 del Laboratorio de Tecnología Persuasiva de Stanford sostuvo que los diseños visuales de un sitio web tenían más influencia que la política de privacidad del sitio web cuando los consumidores evaluaban la credibilidad del sitio web. [52] Un estudio de 2007 realizado por la Universidad Carnegie Mellon afirmó que "cuando no se les presentaba información de privacidad destacada..." los consumidores eran "... propensos a realizar compras al proveedor con el precio más bajo, independientemente de las políticas de privacidad de ese sitio". [53] Sin embargo, el mismo estudio también mostró que cuando la información sobre las prácticas de privacidad se presenta claramente, los consumidores prefieren minoristas que protegen mejor su privacidad y algunos están dispuestos a "pagar una prima para comprar en sitios web que protegen mejor la privacidad". Además, un estudio de 2007 de la Universidad de California, Berkeley, encontró que "el 75% de los consumidores piensa que mientras un sitio tenga una política de privacidad significa que no compartirá datos con terceros", confundiendo la existencia de una política de privacidad con Amplia protección de la privacidad. [54] Basándose en la naturaleza común de este malentendido, el investigador Joseph Turow argumentó ante la Comisión Federal de Comercio de EE. UU. que el término "política de privacidad" constituye, por tanto, una práctica comercial engañosa y que se deberían utilizar expresiones alternativas como "cómo usamos su información". en cambio. [55]
Las políticas de privacidad adolecen generalmente de una falta de precisión, especialmente si se las compara con la forma emergente de Declaración de Uso de Datos. Mientras que las declaraciones de privacidad brindan una descripción más general de la recopilación y el uso de datos, las declaraciones de uso de datos representan un tratamiento mucho más específico. Como resultado, es posible que las políticas de privacidad no satisfagan la creciente demanda de transparencia que brindan las declaraciones de uso de datos.
Los críticos también cuestionan si los consumidores siquiera leen las políticas de privacidad o pueden entender lo que leen. Un estudio de 2001 realizado por Privacy Leadership Initiative afirmó que sólo el 3% de los consumidores lee las políticas de privacidad con atención, y el 64% las echa un vistazo brevemente o nunca las lee. [56] El usuario promedio de un sitio web, una vez que ha leído una declaración de privacidad, puede tener más incertidumbre que antes sobre la confiabilidad del sitio web. [57] [58] Un posible problema es la duración y complejidad de las políticas. Según un estudio de Carnegie Mellon de 2008 , la extensión promedio de una política de privacidad es de 2500 palabras y requiere un promedio de 10 minutos para leerla. El estudio citó que "las políticas de privacidad son difíciles de leer" y, como resultado, "se leen con poca frecuencia". [59] Sin embargo, cualquier esfuerzo por hacer que la información sea más presentable la simplifica hasta el punto de que no transmite hasta qué punto se comparten y venden los datos de los usuarios. [60] Esto se conoce como la "paradoja de la transparencia".
Han sido muchos los estudios realizados por investigadores para evaluar las políticas de privacidad de los sitios web de las empresas. Un estudio utiliza el procesamiento del lenguaje natural y el aprendizaje profundo como solución propuesta para evaluar automáticamente la eficiencia de las políticas de privacidad de las empresas, con el fin de ayudar a los usuarios a ser más conscientes. [61]
{{cite book}}: Mantenimiento CS1: nombres numéricos: lista de autores ( enlace ){{cite web}}: Mantenimiento CS1: copia archivada como título ( enlace ){{cite journal}}: Citar diario requiere |journal=( ayuda )