La Asociación impulsa el desarrollo del ecosistema digital del país, y se preocupa por la detección en Telegram de oferta de bases de datos de ciudadanos.
La Asociación Mexicana de Internet externó su reconocimiento y preocupación por los comunicados recientes (Comunicado No. 111, publicado el 20 de septiembre y Comunicado No. 113, publicado el 24 de septiembre) de la Secretaría Anticorrupción y Buen Gobierno. En ellos, la autoridad informa sobre monitoreos forenses que ofertan bases de datos atribuidas empresas privadas; así, anuncia que iniciarán investigaciones de oficio.
La Asociación comparte plenamente el objetivo de proteger a las personas titulares de los datos, y plantea establecer mecanismos para lograr que estos hallazgos fortalezcan la protección de datos sin debilitar el debido proceso, la investigación de los delitos ni la confianza en la economía digital.
La AIMX también precisó que detectar a tiempo una posible exposición permite activar de inmediato los protocolos de respuesta a incidentes: verificar la autenticidad de la información, contener el daño e informar a las personas titulares, como se exige en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
Asimismo, identificar las amenazas rápidamente reduce el tiempo de reacción de las empresas, y de ese tiempo depende cuánto daño sufren las personas.
La LFPDPPP permite la verificación de oficio cuando se presume, fundada y motivadamente, una violación a la Ley: la oferta que un presunto delincuente publica en Telegram apunta, en su caso, a un delito cometido contra la empresa; no acredita por sí misma que ésta haya incumplido. La Ley exige medidas de seguridad acordes al riesgo, no infalibilidad, y sólo sanciona la vulneración cuando resulte imputable al responsable.
La difusión pública prematura puede comprometer la investigación del delito: la venta de una base de datos sustraída es un hecho delictivo. Si bien, la Secretaría tiene competencia para verificar el cumplimiento de la LFPDPPP, es importante señalar que el indicio que detonó su actuación (por ejemplo, la venta de datos en un canal de Telegram), su investigación compete al Ministerio Público y a las autoridades policiacas, entre ellas las unidades de policía cibernética federal y estatales.
La difusión en este tipo de incidentes, representa consecuencias serias:
- Alerta al infractor. Un anuncio oficial le da tiempo para borrar la publicación, migrar de canal y destruir rastros antes de que actúe la policía cibernética.
- Debilita la prueba. Un indicio digital recabado fuera de la cadena de custodia puede perder valor probatorio en el proceso penal.
- Amplifica la oferta criminal. La confirmación oficial funciona como sello de autenticidad de la base y eleva su valor y su demanda en el mercado ilícito.
- Crea un riesgo adicional. La muestra en poder de la autoridad contiene datos de más de 100 mil personas y exige las mismas salvaguardas que se piden a cualquier Responsable.
La AIMX invita a la Secretaría a construir, junto con la industria, un modelo de cooperación, colaboración y participación conjunta frente a los grupos delincuenciales que afectan a empresas, instituciones y ciudadanía. Proponemos seis medidas concretas:
1. Aviso temprano y confidencial al Responsable. Que todo indicio detectado en el monitoreo se comunique primero a la organización involucrada, por un punto de contacto designado, con un plazo razonable para verificar, contener e informar a las personas titulares.
2. Coordinación inmediata con las autoridades de investigación. Que el hallazgo se denuncie ante el Ministerio Público y se comparta con la policía cibernética antes de cualquier difusión, y que los indicios se preserven bajo cadena de custodia.
3. Criterios claros de comunicación pública. Que la autoridad comunique cuando sea necesario para proteger a las personas, con recomendaciones útiles para ellas, y que reserve la identificación del Responsable hasta contar con hechos verificados o una resolución.
4. Mesa permanente autoridad–industria. Un espacio de trabajo con la Secretaría, las autoridades de seguridad y procuración de justicia, la academia y la sociedad civil para compartir inteligencia de amenazas, protocolos y capacitación.
5. Incentivos a la transparencia y atenuantes formales. Que la Secretaría establezca, mediante lineamientos generales, un catálogo de circunstancias atenuantes aplicables en procedimientos sancionadores, que incluya: (a) la notificación voluntaria y oportuna del incidente a la autoridad; (b) la cooperación activa durante la verificación; (c) la notificación diligente a las personas titulares; (d) la implementación previa de un programa integral de protección de datos; y (e) la adopción de medidas correctivas verificables.
6. Protocolo de preservación de evidencia digital. Que la Secretaría, en coordinación con la Fiscalía General de la República y las fiscalías estatales, establezca un protocolo para la preservación, manejo y transferencia de evidencia digital obtenida en monitoreos, que garantice la cadena de custodia y que asegure que los datos personales contenidos en muestras obtenidas se traten con las medidas de seguridad que la LFPDPPP exige.