Una política de privacidad es una declaración o documento legal (en la ley de privacidad) que revela algunas o todas las formas en que una parte recopila, usa, divulga y administra los datos de un cliente o cliente. [1] La información personal puede ser cualquier cosa que pueda usarse para identificar a una persona, sin limitarse al nombre de la persona, dirección, fecha de nacimiento, estado civil, información de contacto, emisión y fecha de vencimiento de la identificación, registros financieros, información crediticia, historial médico, lugares a los que viaja e intenciones de adquirir bienes y servicios. [2] En el caso de una empresa, a menudo es una declaración que declara la política de una parte sobre cómo recopila, almacena y divulga la información personal que recopila. Informa al cliente qué información específica se recopila y si se mantiene confidencial, se comparte con socios o se vende a otras firmas o empresas. [3] [4] Las políticas de privacidad generalmente representan un tratamiento más amplio y generalizado, a diferencia de las declaraciones de uso de datos, que tienden a ser más detalladas y específicas.
El contenido exacto de una determinada política de privacidad dependerá de la legislación aplicable y puede que deba abordar requisitos que trasciendan las fronteras geográficas y las jurisdicciones legales. La mayoría de los países tienen su propia legislación y directrices sobre quién está cubierto, qué información se puede recopilar y para qué se puede utilizar. En general, las leyes de protección de datos en Europa cubren tanto el sector privado como el público. Sus leyes de privacidad se aplican no solo a las operaciones gubernamentales, sino también a las empresas privadas y las transacciones comerciales.
En 1968, el Consejo de Europa comenzó a estudiar los efectos de la tecnología sobre los derechos humanos , reconociendo las nuevas amenazas que planteaba la tecnología informática, que podía vincularse y transmitirse de formas que antes no estaban ampliamente disponibles. En 1969, la Organización para la Cooperación y el Desarrollo Económicos (OCDE) comenzó a examinar las implicaciones de la información personal que salía del país. Todo esto llevó al consejo a recomendar que se desarrollara una política para proteger los datos personales en poder de los sectores privado y público, lo que dio lugar al Convenio 108. En 1981, se introdujo el Convenio para la protección de las personas con respecto al tratamiento automático de datos de carácter personal (Convenio 108). Una de las primeras leyes de privacidad promulgadas fue la Ley de Datos de Suecia en 1973, seguida por la Ley de Protección de Datos de Alemania Occidental en 1977 y la Ley de Informática, Bancos de Datos y Libertades de Francia en 1978. [5]
En los Estados Unidos, la preocupación por la política de privacidad que comenzó a fines de la década de 1960 y en la de 1970 condujo a la aprobación de la Ley de Informes Crediticios Justos . Aunque esta ley no fue diseñada para ser una ley de privacidad, dio a los consumidores la oportunidad de examinar sus archivos de crédito y corregir errores. También impuso restricciones al uso de la información en los registros de crédito. Varios grupos de estudio del Congreso a fines de la década de 1960 examinaron la creciente facilidad con la que se podía recopilar información personal automatizada y compararla con otra información. Uno de esos grupos fue un comité asesor del Departamento de Salud y Servicios Humanos de los Estados Unidos , que en 1973 redactó un código de principios llamado Prácticas Justas de Información. El trabajo del comité asesor condujo a la Ley de Privacidad en 1974. Estados Unidos firmó las directrices de la Organización para la Cooperación y el Desarrollo Económicos en 1980. [5]
En Canadá, en 1977 se creó un Comisionado de Privacidad de Canadá en virtud de la Ley de Derechos Humanos de Canadá. En 1982, el nombramiento de un Comisionado de Privacidad fue parte de la nueva Ley de Privacidad. Canadá firmó las directrices de la OCDE en 1984. [5]
Existen diferencias significativas entre las leyes de protección de datos de la UE y las de los EE. UU. Estas normas deben cumplirlas no solo las empresas que operan en la UE, sino también cualquier organización que transfiera información personal recopilada sobre ciudadanos de la UE. En 2001, el Departamento de Comercio de los Estados Unidos trabajó para garantizar el cumplimiento legal de las organizaciones estadounidenses en el marco de un programa de puerto seguro opcional. La FTC ha aprobado eTRUST para certificar el cumplimiento simplificado del puerto seguro entre EE. UU. y la UE.
En 1995, la Unión Europea (UE) introdujo la Directiva de Protección de Datos [6] para sus estados miembros. Como resultado, muchas organizaciones que hacían negocios dentro de la UE comenzaron a elaborar políticas para cumplir con esta Directiva. Ese mismo año, la Comisión Federal de Comercio de los Estados Unidos (FTC) publicó los Principios de Información Justa [7], que establecían un conjunto de principios rectores no vinculantes para el uso comercial de la información personal . Si bien no imponían una política, estos principios proporcionaban orientación sobre las inquietudes en desarrollo acerca de cómo elaborar políticas de privacidad.
Estados Unidos no cuenta con una regulación federal específica que establezca la implementación universal de políticas de privacidad. El Congreso ha considerado en ocasiones leyes integrales que regulen la recopilación de información en línea, como la Ley de Mejora de la Privacidad del Consumidor en Internet [8] y la Ley de Protección de la Privacidad en Línea de 2001 [9] , pero ninguna ha sido promulgada. En 2001, la FTC manifestó su preferencia expresa por "más aplicación de la ley, no más leyes" [10] y promovió un enfoque continuo en la autorregulación de la industria .
En muchos casos, la FTC hace cumplir los términos de las políticas de privacidad como promesas hechas a los consumidores utilizando la autoridad otorgada por la Sección 5 de la Ley de la FTC que prohíbe las prácticas de marketing injustas o engañosas. [11] Los poderes de la FTC están restringidos por ley en algunos casos; por ejemplo, las aerolíneas están sujetas a la autoridad de la Administración Federal de Aviación (FAA), [12] y los operadores de telefonía celular están sujetos a la autoridad de la Comisión Federal de Comunicaciones (FCC). [13]
En algunos casos, las partes privadas hacen cumplir los términos de las políticas de privacidad mediante la presentación de demandas colectivas , que pueden dar lugar a acuerdos o sentencias. Sin embargo, dichas demandas a menudo no son una opción, debido a las cláusulas de arbitraje en las políticas de privacidad u otros acuerdos de términos de servicio . [14]
Si bien no existe una ley de aplicación general, algunas leyes federales rigen las políticas de privacidad en circunstancias específicas, como:
Algunos estados han implementado regulaciones más estrictas para las políticas de privacidad. La Ley de Protección de la Privacidad en Línea de California de 2003 – Código de Negocios y Profesiones, secciones 22575-22579 exige que “cualquier sitio web comercial o servicio en línea que recopile información personal sobre residentes de California a través de un sitio web publique de manera visible una política de privacidad en el sitio”. [26] Tanto Nebraska como Pensilvania tienen leyes que tratan las declaraciones engañosas en las políticas de privacidad publicadas en sitios web como prácticas comerciales engañosas o fraudulentas. [27]
La Ley federal de privacidad de Canadá aplicable al sector privado se conoce formalmente como Ley de protección de la información personal y de los documentos electrónicos (PIPEDA). El objetivo de la ley es establecer normas que rijan la recopilación, el uso y la divulgación de información personal por parte de organizaciones comerciales. La organización puede recopilar, divulgar y utilizar la cantidad de información para los fines que una persona razonable consideraría apropiados en las circunstancias. [28]
La Ley establece que el Comisionado de Privacidad de Canadá será el Defensor del Pueblo encargado de atender las quejas que se presenten contra las organizaciones. El Comisionado trabaja para resolver los problemas mediante el cumplimiento voluntario, en lugar de una aplicación estricta. El Comisionado investiga las quejas, realiza auditorías, promueve la concienciación y lleva a cabo investigaciones sobre cuestiones de privacidad. [29]
El derecho a la privacidad es un ámbito jurídico muy desarrollado en Europa. Todos los Estados miembros de la Unión Europea (UE) son también signatarios del Convenio Europeo de Derechos Humanos (CEDH). El artículo 8 del CEDH establece el derecho al respeto de la "vida privada y familiar, del domicilio y de la correspondencia" de una persona, sujeto a ciertas restricciones. El Tribunal Europeo de Derechos Humanos ha dado a este artículo una interpretación muy amplia en su jurisprudencia. [30]
En 1980, en un esfuerzo por crear un sistema integral de protección de datos en toda Europa, la Organización para la Cooperación y el Desarrollo Económicos (OCDE) publicó sus "Recomendaciones del Consejo sobre las directrices que rigen la protección de la privacidad y los flujos transfronterizos de datos personales". [31] Los siete principios que rigen las recomendaciones de la OCDE para la protección de los datos personales son:
Sin embargo, las directrices de la OCDE no eran vinculantes y las leyes de privacidad de datos seguían variando ampliamente en toda Europa. Estados Unidos, si bien respaldó las recomendaciones de la OCDE , no hizo nada para implementarlas dentro de Estados Unidos. [32] Sin embargo, los siete principios se incorporaron a la Directiva de la UE. [32]
En 1995, la UE adoptó la Directiva de Protección de Datos , que regula el procesamiento de datos personales dentro de la UE. Había diferencias significativas entre la protección de datos de la UE y las leyes de privacidad de datos equivalentes de los EE. UU. Estas normas deben cumplirse no solo por las empresas que operan en la UE, sino también por cualquier organización que transfiera información personal recopilada sobre un ciudadano de la UE. En 2001, el Departamento de Comercio de los Estados Unidos trabajó para garantizar el cumplimiento legal de las organizaciones estadounidenses bajo un Programa de Puerto Seguro opt-in . [33] La FTC ha aprobado una serie de proveedores estadounidenses para certificar el cumplimiento del Puerto Seguro EE. UU.-UE. Desde 2010, Safe Harbor es criticado especialmente por los protectores de privacidad designados públicamente en Alemania porque la voluntad de la FTC de hacer valer las reglas definidas no se había implementado de manera adecuada incluso después de revelar discordancias. [34]
A partir del 25 de mayo de 2018, la Directiva de Protección de Datos ha sido sustituida por el Reglamento General de Protección de Datos (RGPD), que armoniza las normas de privacidad en todos los Estados miembros de la UE. El RGPD impone normas más estrictas sobre la recopilación de información personal perteneciente a los interesados de la UE, incluido el requisito de que las políticas de privacidad sean más concisas, estén redactadas con mayor claridad y sean más transparentes en su divulgación de cualquier recopilación, procesamiento, almacenamiento o transferencia de información de identificación personal . Los responsables del tratamiento de datos también deben ofrecer la oportunidad de que sus datos se hagan portátiles en un formato común y de que se borren en determinadas circunstancias. [35] [36]
La Ley de Privacidad de 1988 establece el marco legal para la privacidad en Australia. [37] Incluye una serie de principios nacionales de privacidad. [38] Hay trece principios de privacidad bajo la Ley de Privacidad. [39] Supervisa y regula la recopilación, uso y divulgación de información privada de las personas, se asegura de quién es responsable si hay una violación y los derechos de las personas a acceder a su información. [39]
La Ley de Tecnología de la Información (Enmienda) de 2008 introdujo cambios importantes en la Ley de Tecnología de la Información de 2000 , introduciendo la Sección 43A. Esta sección establece una compensación en caso de que una entidad corporativa sea negligente en la implementación y el mantenimiento de prácticas y procedimientos de seguridad razonables y, por lo tanto, cause una pérdida o ganancia indebida a cualquier persona. Esto se aplica cuando una entidad corporativa posee, negocia o maneja cualquier dato o información personal confidencial en un recurso informático que posee, controla u opera.
En 2011, el Gobierno de la India prescribió las Normas de Tecnología de la Información (Prácticas y procedimientos de seguridad razonables y datos o información personal confidencial) de 2011 [40] mediante su publicación en el Boletín Oficial. [41] Estas normas exigen que una entidad corporativa proporcione una política de privacidad para el manejo o el comercio de información personal, incluidos datos o información personal confidencial. [42] Dicha política de privacidad debe constar de la siguiente información de conformidad con las normas:
La política de privacidad debe publicarse en el sitio web de la entidad corporativa y estar disponible para que la vean los proveedores de información que hayan proporcionado información personal en virtud de un contrato legal.
Los programas de certificación o "sello" en línea son un ejemplo de autorregulación de las políticas de privacidad por parte de la industria. Los programas de sello generalmente requieren la implementación de prácticas justas de información según lo determine el programa de certificación y pueden requerir un monitoreo continuo del cumplimiento. TRUSTArc (anteriormente TRUSTe), [43] el primer programa de sello de privacidad en línea, incluyó más de 1.800 miembros en 2007. [44] Otros programas de sello en línea incluyen el programa Trust Guard Privacy Verified, [ 45] eTrust [46] y Webtrust [47] .
Algunos sitios web también definen sus políticas de privacidad mediante P3P o Internet Content Rating Association (ICRA), lo que permite a los navegadores evaluar automáticamente el nivel de privacidad que ofrece el sitio y permitir el acceso solo cuando las prácticas de privacidad del sitio están en línea con la configuración de privacidad del usuario. Sin embargo, estas soluciones técnicas no garantizan que los sitios web realmente cumplan con las políticas de privacidad declaradas. Estas implementaciones también requieren que los usuarios tengan un nivel mínimo de conocimiento técnico para configurar sus propios ajustes de privacidad del navegador. [48] Estas políticas de privacidad automatizadas no han sido populares ni entre los sitios web ni entre sus usuarios. [49] Para reducir la carga de interpretar las políticas de privacidad individuales, Jøsang, Fritsch y Mahler han propuesto políticas reutilizables y certificadas disponibles desde un servidor de políticas. [50]
Muchos críticos han atacado la eficacia y legitimidad de las políticas de privacidad que se encuentran en Internet. Existen preocupaciones sobre la efectividad de las políticas de privacidad reguladas por la industria. Por ejemplo, un informe de la FTC de 2000, Privacy Online: Fair Information Practices in the Electronic Marketplace, encontró que si bien la gran mayoría de los sitios web encuestados tenían algún tipo de divulgación de privacidad, la mayoría no cumplía con el estándar establecido en los Principios de la FTC. Además, muchas organizaciones se reservan el derecho expreso de cambiar unilateralmente los términos de sus políticas. En junio de 2009, el sitio web de la EFF TOSback comenzó a rastrear dichos cambios en 56 servicios de Internet populares, incluido el monitoreo de las políticas de privacidad de Amazon , Google y Facebook . [51]
También existen dudas sobre si los consumidores entienden las políticas de privacidad y si estas ayudan a los consumidores a tomar decisiones más informadas. Un informe de 2002 del Stanford Persuasive Technology Lab sostuvo que los diseños visuales de un sitio web tenían más influencia que la política de privacidad del sitio web cuando los consumidores evaluaban la credibilidad del sitio web. [52] Un estudio de 2007 de la Universidad Carnegie Mellon afirmó que "cuando no se les presenta información destacada sobre privacidad..." los consumidores eran "... propensos a realizar compras al vendedor con el precio más bajo, independientemente de las políticas de privacidad de ese sitio". [53] Sin embargo, el mismo estudio también mostró que cuando la información sobre las prácticas de privacidad se presenta claramente, los consumidores prefieren a los minoristas que protegen mejor su privacidad y algunos están dispuestos a "pagar una prima para comprar en sitios web que protegen más la privacidad". Además, un estudio de 2007 de la Universidad de California, Berkeley, encontró que "el 75% de los consumidores piensa que mientras un sitio tenga una política de privacidad significa que no compartirá datos con terceros", confundiendo la existencia de una política de privacidad con una amplia protección de la privacidad. [54] Basándose en la naturaleza común de este malentendido, el investigador Joseph Turow argumentó ante la Comisión Federal de Comercio de los Estados Unidos que el término "política de privacidad" constituye una práctica comercial engañosa y que debería utilizarse en su lugar una redacción alternativa como "cómo utilizamos su información". [55]
Las políticas de privacidad suelen adolecer de falta de precisión, especialmente si se las compara con la forma emergente de la Declaración de uso de datos. Mientras que las declaraciones de privacidad proporcionan una descripción general más general de la recopilación y el uso de datos, las declaraciones de uso de datos representan un tratamiento mucho más específico. Como resultado, las políticas de privacidad pueden no satisfacer la mayor demanda de transparencia que brindan las declaraciones de uso de datos.
Los críticos también se preguntan si los consumidores leen las políticas de privacidad o si pueden entender lo que leen. Un estudio de 2001 de la Privacy Leadership Initiative afirmó que solo el 3% de los consumidores leen las políticas de privacidad con atención, y el 64% las revisa brevemente o nunca las lee. [56] El usuario promedio de un sitio web que haya leído una declaración de privacidad puede tener más incertidumbre sobre la confiabilidad del sitio web que antes. [57] [58] Un posible problema es la extensión y complejidad de las políticas. Según un estudio de Carnegie Mellon de 2008 , la extensión promedio de una política de privacidad es de 2.500 palabras y requiere un promedio de 10 minutos para leerse. El estudio citó que "las políticas de privacidad son difíciles de leer" y, como resultado, "se leen con poca frecuencia". [59] Sin embargo, cualquier esfuerzo por hacer que la información sea más presentable simplifica la información hasta el punto de que no transmite el grado en que se comparten y venden los datos de los usuarios. [60] Esto se conoce como la "paradoja de la transparencia".
Se han realizado numerosos estudios para evaluar las políticas de privacidad de los sitios web de las empresas. Un estudio utiliza el procesamiento del lenguaje natural y el aprendizaje profundo como solución propuesta para evaluar automáticamente la eficacia de las políticas de privacidad de las empresas, con el fin de ayudar a los usuarios a ser más conscientes. [61]
{{cite book}}: CS1 maint: nombres numéricos: lista de autores ( enlace ){{cite web}}: CS1 maint: copia archivada como título ( enlace ){{cite journal}}: Requiere citar revista |journal=( ayuda )