Retención de datos

La retención de datos define las políticas de gestión de datos y registros persistentes para cumplir con los requisitos legales y comerciales de archivo de datos . Aunque a veces se pueden utilizar indistintamente, no debe confundirse con la Ley de Protección de Datos de 1998 .

Las diferentes políticas de retención de datos sopesan cuestiones legales y de privacidad , cuestiones económicas y la necesidad de saber para determinar el tiempo de retención, las reglas de archivo, los formatos de datos y los medios permitidos de almacenamiento , acceso y cifrado . ^[1]

En el campo de las telecomunicaciones , la "retención de datos" generalmente se refiere al almacenamiento de registros de detalles de llamadas (CDR) de telefonía y datos de tráfico y transacciones de Internet ( IPDR ) por parte de gobiernos y organizaciones comerciales. ^[2] En el caso de la retención de datos del gobierno, los datos que se almacenan generalmente son de llamadas telefónicas realizadas y recibidas, correos electrónicos enviados y recibidos y sitios web visitados. También se recopilan datos de ubicación .

El objetivo principal de la retención de datos por parte del gobierno es el análisis del tráfico y la vigilancia masiva . Mediante el análisis de los datos retenidos, los gobiernos pueden identificar la ubicación de individuos, de sus asociados y de los miembros de un grupo, como los oponentes políticos. Estas actividades pueden ser legales o no, según las constituciones y leyes de cada país. En muchas jurisdicciones, el acceso a estas bases de datos puede ser realizado por un gobierno con poca o ninguna supervisión judicial. ^{[ cita requerida ] [3] [4]}

En el caso de retención de datos comerciales, los datos retenidos normalmente serán sobre transacciones y sitios web visitados.

La retención de datos también cubre los datos recopilados por otros medios (por ejemplo, mediante sistemas de reconocimiento automático de matrículas ) y conservados por organizaciones gubernamentales y comerciales.

Una política de retención de datos es un protocolo reconocido y probado dentro de una organización para retener información para uso operativo, garantizando al mismo tiempo el cumplimiento de las leyes y regulaciones que la rigen. Los objetivos de una política de retención de datos son conservar información importante para uso o referencia futuros, organizar la información de modo que se pueda buscar y acceder a ella en una fecha posterior y desechar la información que ya no se necesita. ^[5]

Las políticas de retención de datos dentro de una organización son un conjunto de pautas que describen qué datos se archivarán, durante cuánto tiempo se conservarán, qué sucede con los datos al final del período de retención (archivar o destruir) y otros factores relacionados con la retención de los datos. ^[6]

Una parte de cualquier política eficaz de retención de datos es la eliminación permanente de los datos retenidos; lograr la eliminación segura de los datos cifrando los datos cuando se almacenan y luego eliminar la clave de cifrado después de un período de retención especificado. De este modo, se eliminan de manera efectiva el objeto de datos y sus copias almacenadas en ubicaciones en línea y fuera de línea. ^[7]

En 2015, el gobierno australiano introdujo leyes obligatorias de retención de datos que permiten conservar los datos hasta dos años. ^[8] Se estima que la implementación del plan costará al menos 400 millones de dólares australianos al año, lo que equivale a al menos 16 dólares por usuario al año. ^[9] Exige a los proveedores de telecomunicaciones y a los ISP que conserven los metadatos de telefonía, Internet y correo electrónico durante dos años, a los que se puede acceder sin una orden judicial, y que posiblemente se puedan utilizar para atacar el intercambio de archivos . ^{[10] [11]} El Fiscal General tiene amplia discreción sobre qué agencias pueden acceder a los metadatos, incluidas las agencias privadas. ^[12]

Los Verdes se opusieron firmemente a la introducción de estas leyes, citando preocupaciones sobre la privacidad y la creciente posibilidad de "facturación especulativa" sobre supuestos casos de violación de derechos de autor. ^{[13] [14]} El Partido Laborista inicialmente también se opuso, pero más tarde aceptó aprobar la ley después de que se establecieran salvaguardas adicionales para brindar cierta protección a los periodistas. ^{[15] [16]}

El 15 de marzo de 2006, la Unión Europea adoptó la Directiva sobre conservación de datos . ^{[17] [18]} Exigía a los Estados miembros garantizar que los proveedores de comunicaciones conservasen los datos especificados en la Directiva durante un período de entre seis meses y dos años con el fin de:

• Rastrear e identificar la fuente de una comunicación;
• Rastrear e identificar el destino de una comunicación;
• Identificar la fecha, hora y duración de una comunicación;
• Identificar el tipo de comunicación;
• Identificar el dispositivo de comunicación;
• Identificar la ubicación del equipo de comunicación móvil.

Los datos debían estar disponibles para las autoridades nacionales "competentes" "a efectos de investigación, detección y enjuiciamiento de delitos graves, tal y como los define cada Estado miembro en su legislación nacional".

La Directiva cubría la telefonía fija , la telefonía móvil , el acceso a Internet, el correo electrónico y la VoIP . Los Estados miembros debían transponerla a su legislación nacional en un plazo de 18 meses (a más tardar en septiembre de 2007). Sin embargo, si así lo deseaban, podían posponer la aplicación de la Directiva al acceso a Internet, el correo electrónico y la VoIP durante otros 18 meses después de esa fecha. La mayoría de los Estados miembros ejercieron esta opción. En ese momento, los 28 Estados de la UE notificaron a la Comisión Europea sobre la transposición de la Directiva a su legislación nacional. Sin embargo, de ellos, Alemania y Bélgica solo habían transpuesto la legislación parcialmente. ^[19]

En abril de 2011, la Comisión Europea publicó un informe de evaluación de la Directiva ^[20]. En él se concluía que la conservación de datos era una herramienta valiosa para garantizar la justicia penal y la protección pública, pero que sólo se había logrado una armonización limitada. Los proveedores de servicios expresaron serias preocupaciones sobre los costes de cumplimiento y las organizaciones de la sociedad civil afirmaron que la conservación obligatoria de datos constituía una infracción inaceptable del derecho fundamental a la privacidad y la protección de los datos personales de conformidad con la legislación de la UE.

En respuesta al informe, el 31 de mayo de 2011, el Supervisor Europeo de Protección de Datos expresó algunas preocupaciones sobre la Directiva Europea de Retención de Datos, subrayando que la Directiva "no cumple los requisitos impuestos por los derechos fundamentales a la privacidad y la protección de datos". ^[21]

En noviembre de 2012, las respuestas a una investigación parlamentaria en el Bundestag alemán revelaron planes de algunos países de la UE, entre ellos Francia, de ampliar la retención de datos a los chats y las redes sociales. Además, la Oficina Federal Alemana para la Protección de la Constitución (la agencia de inteligencia interior de Alemania) ha confirmado que ha estado trabajando con el Comité Técnico de ETSI LI desde 2003. ^{[22] [23] [24] [25] [26]}

La directiva ha suscitado críticas. Se dice que los servicios jurídicos del Consejo han declarado en una sesión a puerta cerrada que el apartado 59 de la sentencia del Tribunal de Justicia de la Unión Europea "sugiere que la conservación general y generalizada de datos ya no es posible". ^[27] Un dictamen jurídico financiado por el Grupo Verdes/ALE en el Parlamento Europeo considera que la conservación general de datos de personas no sospechosas viola en general la Carta de los Derechos Fundamentales de la UE, tanto en lo que respecta a las leyes nacionales de conservación de datos de telecomunicaciones como a los sistemas similares de conservación de datos de la UE (PNR, TFTP, TFTS, acceso de las autoridades competentes a EES, Eurodac, VIS). ^[28]

Digital Rights Ireland llevó la Directiva ante el Tribunal Superior de Irlanda, que a su vez la llevó al Tribunal de Justicia de la Unión Europea. El caso también fue objeto de la adhesión del Tribunal Constitucional de Austria. El 8 de abril de 2014, el Tribunal declaró inválida la Directiva 2006-24/CE por violar derechos fundamentales, afirmando que "la Directiva interfiere de manera especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales". ^{[29] [30]}

Esto llevó a que los Estados miembros, en diversos grados, abolieran o modificaran sus implementaciones de la directiva. Dado que la implementación sueca de la directiva se mantuvo de manera similar, la implementación sueca fue llevada al Tribunal Europeo por el proveedor de telecomunicaciones Tele2, y el caso se fusionó con un caso similar del Reino Unido, iniciado por tres personas con la intervención de Open Rights Group, Privacy International y The Law Society of England and Wales. Dado que la directiva original ya no existía, la base de la sentencia fue una excepción a la Directiva sobre privacidad y comunicaciones electrónicas ^[31] en su artículo 15(1), que se refiere a la posibilidad de aplicar excepcionalmente la retención de datos para combatir delitos graves. El 21 de diciembre de 2016, el Tribunal dictaminó que "la protección de la privacidad en el sector de las comunicaciones electrónicas debe interpretarse en el sentido de que se opone a una legislación nacional que, con el fin de combatir la delincuencia, prevé la retención general e indiferenciada de todos los datos de tráfico y ubicación de todos los abonados y usuarios registrados relacionados con todos los medios de comunicación electrónica". ^[32] La retención generalizada de datos se descartó en otra ocasión, pero las consecuencias reales en toda la UE son variadas y se han estado discutiendo desde entonces.

La aplicación de la directiva se llevó a cabo mediante la Ley nº 259/2010 Col. sobre comunicaciones electrónicas, modificada posteriormente. Según el artículo 97 (3), los datos de telecomunicaciones deben conservarse entre 6 y 12 meses. El Tribunal Constitucional checo ha declarado que la ley es inconstitucional y que vulnera el derecho a la privacidad de las personas. ^[33]

En julio de 2012, se estaba preparando una nueva legislación. ^[34]

Dinamarca ha implementado la directiva de retención de datos de la UE y mucho más, registrando todo el flujo de Internet o las sesiones entre operadores y consumidores. ^[35]

• "2.2.1. Registro de sesiones (artículo 5(1) del Decreto Ejecutivo) Los proveedores de acceso a Internet deben retener, respecto del paquete de inicio y finalización de una sesión de Internet, datos que identifiquen la dirección del protocolo de Internet de envío y recepción (en adelante denominada dirección IP), el número de puerto de envío y recepción y el protocolo de transmisión."
• "2.2.2. Muestreo (artículo 5(4) del Decreto Ejecutivo) La obligación de conservar datos sobre el paquete de inicio y finalización de una sesión de Internet no se aplica a los proveedores en caso de que dicha conservación no sea técnicamente factible en sus sistemas. En ese caso, los datos deben conservarse por cada 500 paquetes que formen parte de la comunicación de un usuario final en Internet."
• "2.2.5. Puntos de acceso (artículo 5(3) del Decreto Ejecutivo) Además de los datos de Internet que deben conservarse, el proveedor debe conservar los datos que identifiquen la ubicación geográfica o física precisa de un punto de acceso y la identidad del equipo de comunicación utilizado. Esto significa que un proveedor de acceso a Internet a través de un punto de acceso debe conservar datos sobre el acceso de un usuario a Internet y, al mismo tiempo, conservar los datos que identifiquen la ubicación geográfica del punto de acceso en cuestión."

El Bundestag alemán había implementado la directiva en "Gesetz zur Neuregelung der Telekommunikationsüberwachung und anderer verdeckter Ermittlungsmaßnahmen sowie zur Umsetzung der Richtlinie 2006/24/EG". ^[36] La ley entró en vigor el 1 de enero de 2008. Todos los datos de comunicaciones debían conservarse durante seis meses. El 2 de marzo de 2010, el Tribunal Constitucional Federal de Alemania declaró la ley inconstitucional por violar la garantía del secreto de la correspondencia. ^[37] El 16 de octubre de 2015, el parlamento aprobó una segunda ley para la retención de datos más corta, de hasta diez semanas de duración, excluyendo la comunicación por correo electrónico. ^{[38] [39] [40]} Sin embargo, esta ley fue declarada incompatible con las leyes alemanas y europeas por una orden judicial del Tribunal Administrativo Superior de Renania del Norte-Westfalia . Por ello, el 28 de junio de 2017, tres días antes del inicio previsto de la conservación de datos, la Agencia Federal de Redes suspendió la introducción de la conservación de datos hasta que se requiriera una decisión final en el procedimiento principal. ^[41]

En julio de 2005 entraron en vigor en Italia nuevos requisitos legales ^{[42] sobre la conservación de datos.}

Información del suscriptor

Los cibercafés y los establecimientos de telefonía pública con al menos tres terminales deben solicitar una autorización al Ministerio del Interior en un plazo de 30 días. También deben almacenar los datos de tráfico durante un período que puede determinarse posteriormente mediante decreto administrativo. Los puntos de acceso Wi-Fi y los lugares que no almacenan datos de tráfico deben obtener información de identificación de los usuarios antes de permitirles conectarse. Por ejemplo, se les puede pedir que introduzcan un número de su documento de identidad o de su permiso de conducir. No está claro cómo se valida esta información. Los usuarios de telefonía móvil deben identificarse antes de activar el servicio o de obtener una tarjeta SIM . Los revendedores de suscripciones móviles o tarjetas prepago deben verificar la identidad de los compradores y conservar una fotocopia de los documentos de identidad.

Datos de telefonía

Los datos, incluidos los de localización, de telefonía fija y móvil deben conservarse durante 24 meses. No existe obligación de almacenar el contenido de las llamadas. Los operadores de telefonía deben conservar un registro de todos los intentos de marcación fallidos.

Datos del ISP

Los proveedores de servicios de Internet deben conservar todos los datos durante al menos 12 meses. La ley no especifica exactamente qué datos de tráfico deben conservarse. No existe ninguna obligación de almacenar el contenido de las comunicaciones por Internet.

Legalidad

La legislación de julio de 2005 permite la retención de datos al prohibir todas las disposiciones de protección de datos pertinentes hasta el 31 de diciembre de 2007. Según las disposiciones de protección de datos, los proveedores de servicios están obligados a almacenar datos de tráfico y datos de usuario durante no menos de 365 días, incluso si ya no los necesitan para procesar la comunicación o enviar facturas; la política exige que la información de identificación del usuario, la ubicación y los datos de seguimiento se almacenen y se mantengan en un archivo para que las autoridades policiales y/u otras autoridades que soliciten esta información puedan acceder fácilmente a ellos (se debe pedir permiso para ver los datos confidenciales de identificación del usuario en el archivo). Los datos de tráfico que se conservarán a partir de ahora se pueden utilizar con fines antiterroristas y para la aplicación de sanciones penales generales en delitos graves y leves.

Italia ya exigía la conservación de los datos de tráfico telefónico durante 48 meses, pero sin incluir los datos de localización. Italia ha adoptado la Directiva de la UE sobre privacidad y comunicaciones electrónicas de 2002, pero con una exención del requisito de borrar los datos de tráfico.

La directiva fue transpuesta a la ley mediante la Ley 32/2008. ^[43] En diciembre de 2017, D3 – Defesa dos Direitos Digitais, una organización portuguesa de derechos digitales, presentó una queja al Defensor del Pueblo de Justicia , basada en la jurisprudencia del Tribunal de Justicia de la Unión Europea, ^{[44] [45]} tras varios dictámenes de la Autoridad de Protección de Datos portuguesa. En enero de 2019, el Defensor del Pueblo emitió una recomendación oficial al Ministerio de Justicia, ^[46] defendiendo la necesidad de cambiar la ley nacional, con el fin de cumplir con la jurisprudencia del TJUE. Algunas semanas después, en marzo, el Defensor del Pueblo recibió una respuesta del Ministro de Justicia, donde el Ministro rechazó los cambios en la ley. ^[47] Como tal, en agosto de 2019, el Defensor del Pueblo decidió solicitar al Tribunal Constitucional portugués un fallo sobre la constitucionalidad de la ley. ^[48] ​​En 2022, el Tribunal Constitucional portugués publicó su decisión ^[49] , declarando inconstitucional la Ley 32/2008. Entre otras cosas, el Tribunal consideró que una obligación indiferenciada y generalizada de almacenar todos los datos de tráfico y localización relativos a todas las personas no respetaba el principio de proporcionalidad. ^[50] En respuesta a esta decisión, el parlamento creó un grupo de trabajo sobre conservación de datos, que estudió el tema durante más de un año y celebró varias audiencias con expertos. En 2023, se aprobó una propuesta de ley en el parlamento. ^[51] Sin embargo, el Presidente de la República decidió hacer uso de su prerrogativa de solicitar al Tribunal Constitucional una norma preventiva, antes de aprobar la ley. En esta sentencia, el Tribunal Constitucional volvió a pronunciarse en contra del régimen de conservación de datos propuesto, ^[52] por razones similares, ya que la ley seguía exigiendo la conservación indiscriminada y general de datos de tráfico y localización. El diploma fue devuelto al Parlamento y no se convirtió en ley. En 2024, el Parlamento aprobó una nueva propuesta de ley. ^[53] En esta ocasión, el Presidente de la República optó por no solicitar una norma preventiva a la Corte Constitucional, por lo que la ley fue publicada y entró en vigor. ^[54] La asociación de derechos digitales D3 – Defesa dos Direitos Digitais sostiene que la ley actual sigue siendo una violación de los derechos fundamentales, ya que delega elementos centrales de una restricción de los derechos fundamentales a una formación especial del Tribunal Supremo. Esto hace imposible demostrar la proporcionalidad requerida de la restricción, o demostrar cómo el régimen de retención de datos preserva el núcleo esencial de los derechos fundamentales restringidos, como debe ser. ^[55]

La directiva de la UE también ha sido transpuesta a la legislación rumana , inicialmente como Ley 298/2008. ^[56] Sin embargo, el Tribunal Constitucional de Rumanía posteriormente anuló la ley en 2009 por violar los derechos constitucionales. ^[57] El tribunal sostuvo que la ley de transposición violaba los derechos constitucionales de privacidad, de confidencialidad en las comunicaciones y de libertad de expresión. ^[58] La Comisión Europea posteriormente demandó a Rumanía en 2011 por no implementación, amenazando a Rumanía con una multa de 30.000 euros por día. ^[59] El parlamento rumano aprobó una nueva ley en 2012, que fue firmada por el presidente Traian Băsescu en junio. ^[60] La Ley 82/2012 ha sido apodada " Gran Hermano " (usando la expresión inglesa no traducida) por varias organizaciones no gubernamentales rumanas que se oponen a ella. ^{[59] [61] [62]} El 8 de julio de 2014, esta ley también fue declarada inconstitucional por el Tribunal Constitucional de Rumania . ^[63]

Eslovaquia ha aplicado la directiva en la Ley nº 610/2003 Col. sobre comunicaciones electrónicas, con sus modificaciones posteriores. Los datos de telecomunicaciones se almacenan durante seis meses en el caso de los datos relacionados con Internet, el correo electrónico por Internet y la telefonía por Internet (art. 59a (6) a), y durante doce meses en el caso de otros tipos de comunicación (art. 59a (6) b).

En abril de 2014, el Tribunal Constitucional eslovaco suspendió preliminarmente la efectividad de la implementación eslovaca de la Directiva de Retención de Datos y aceptó el caso para una revisión adicional. ^{[64] [65]} En abril de 2015, el Tribunal Constitucional decidió que algunas partes de las leyes eslovacas que implementan la Directiva DR no cumplen con la constitución eslovaca y el Convenio para la Protección de los Derechos Humanos y las Libertades Fundamentales. ^[66] De acuerdo con las disposiciones ahora inválidas de la Ley de Comunicaciones Electrónicas, los proveedores de comunicaciones electrónicas estaban obligados a almacenar datos de tráfico, datos de localización y datos sobre las partes comunicantes durante un período de 6 meses (en el caso de Internet, correo electrónico o comunicación VoIP) o durante un período de 12 meses (en caso de otra comunicación). ^[67]

Suecia implementó la Directiva de Retención de Datos de 2006 de la UE en mayo de 2012, y el Tribunal de Justicia de la Unión Europea le impuso una multa de 3 millones de euros por su transposición tardía (la fecha límite era el 15 de septiembre de 2007). ^{[68] [69] [70] [71]} La directiva permitía a los Estados miembros determinar la duración de la retención de los datos, que iba desde seis meses a dos años; el Riksdag , la legislatura de Suecia, optó por seis meses. ^[72]

En abril de 2014, sin embargo, el TJUE anuló la Directiva de retención de datos. Tras la sentencia, PTS , el regulador de telecomunicaciones de Suecia, dijo a los ISP y telcos suecos que ya no tendrían que retener registros de llamadas y metadatos de Internet. ^[73] El gobierno sueco inició una investigación unipersonal que declaró que Suecia podía seguir con la retención de datos. Después de eso, PTS cambió de postura. ^[74] La mayoría de las principales empresas de telecomunicaciones de Suecia cumplieron de inmediato, aunque Tele2 apeló esta orden ante el Tribunal Administrativo de Estocolmo alegando que la implementación sueca debería revertirse después de que la directiva fuera declarada inválida, incluido el hecho de que la implementación sueca iba más allá de la directiva, incluido el registro de llamadas telefónicas fallidas y el punto final geográfico de una comunicación móvil. La apelación fue rechazada. El único ISP que se resistía, Bahnhof , recibió una orden para cumplir antes del plazo del 24 de noviembre o enfrentar una multa de cinco millones de coronas (680.000 dólares). ^[75]

Tele2 recurrió la decisión del tribunal de primera instancia ante el Tribunal Administrativo de Apelación de Suecia, que envió el asunto al Tribunal de Justicia de la Unión Europea. Esto dio lugar a una sentencia que invalidó una vez más la retención general de datos de todas las comunicaciones de todos los ciudadanos para combatir la delincuencia. Véase el apartado sobre la Unión Europea más arriba.

La Ley sobre conservación de datos y poderes de investigación entró en vigor en 2014. Es la respuesta del Parlamento del Reino Unido a la declaración de invalidez del Tribunal de Justicia de la Unión Europea en relación con la Directiva 2006/24/CE con el fin de establecer disposiciones sobre la conservación de determinados datos de comunicaciones. ^[76] Además, el objetivo de la ley es:

• Modificar las bases para expedir órdenes de interceptación o conceder o dar determinadas autorizaciones o avisos.
• Establecer disposiciones sobre la aplicación extraterritorial de esa Parte y sobre el significado de "servicio de telecomunicaciones" a los efectos de esa Ley;
• Disponer sobre la revisión del funcionamiento y regulación de los poderes de investigación; y para fines conexos. ^[76]

La ley también tiene por objeto garantizar que las empresas de comunicaciones del Reino Unido conserven los datos de las comunicaciones para que sigan estando disponibles cuando los necesiten las fuerzas del orden y otros organismos para investigar los delitos cometidos y proteger al público. ^[77] La ​​ley de protección de datos exige que se borren los datos que no sean de utilidad. Esto significa que la intención de esta ley podría ser utilizar la retención de datos para adquirir más poderes de vigilancia, ya que la ley hace obligatoria la retención de datos.

Un elemento de esta Ley es la disposición sobre los poderes de investigación que deben notificarse antes del 1 de mayo de 2015. ^[78]

La Ley de 2014 sobre retención de datos y poderes de investigación se denominó la ley de datos de comunicaciones "carta del espía". ^[79] Theresa May , una firme defensora de la Ley del Parlamento, dijo en un discurso que "si nosotros (el Parlamento) no actuamos, corremos el riesgo de entrar sin darnos cuenta en una sociedad en la que ya no se puede investigar el crimen y los terroristas pueden planear sus planes asesinos sin que nadie los interrumpa". ^[79]

El parlamento del Reino Unido ha aprobado nuevas leyes que aumentan el poder de retención de datos, lo que es esencial para combatir el crimen y proteger al público. Sin embargo, no todos están de acuerdo y creen que el objetivo principal de la retención de datos por parte del gobierno sea la vigilancia masiva .

Después de que el tribunal más alto de Europa dijera que la profundidad de la retención de datos viola el derecho fundamental de los ciudadanos a la privacidad y el Reino Unido creara su propia ley, esto llevó al gobierno británico a ser acusado de violar la ley al obligar a los proveedores de telecomunicaciones e Internet a retener registros de llamadas telefónicas, mensajes de texto y uso de Internet. ^[80] A partir de esta información, los gobiernos pueden identificar los asociados, la ubicación, las membresías de grupos, las afiliaciones políticas y otra información personal de un individuo.

En una entrevista televisiva, el Abogado General de la UE , Pedro Cruz Villalón, destacó el riesgo de que los datos retenidos puedan ser utilizados ilegalmente de maneras que sean "potencialmente perjudiciales para la privacidad o, más ampliamente, fraudulentas o incluso maliciosas". ^[80]

Datos postales: período de conservación desconocido

Información escrita en el exterior de un artículo postal (como una carta o un paquete), seguimiento en línea de artículos postales, registros de artículos postales especiales (como registros de artículos postales registrados, certificados o de entrega especial), registros de envío, entrega y recogida de paquetes.

Datos bancarios: siete años

The Economist informó que los bancos del Reino Unido están obligados a conservar datos sobre todas las transacciones financieras durante siete años, aunque esto no ha sido verificado. ^{[ cita requerida ] [81]} No está claro si los datos sobre las transacciones con tarjetas de crédito también se conservan durante siete años.

Datos de movimiento de vehículos: dos años

Documentos filtrados de la Asociación de Jefes de Policía (ACPO) han revelado que el Reino Unido está planeando recopilar datos de una red nacional de cámaras de reconocimiento automático de matrículas y almacenarlos durante dos años en un nuevo y controvertido centro que se está construyendo en Hendon. ^[82] Estos datos podrían luego vincularse con otros datos en poder del gobierno y con listas de vigilancia de la policía y los servicios de seguridad. ^[83]

Los organismos que pueden acceder a los datos conservados en el Reino Unido se enumeran en la Ley de Regulación de los Poderes de Investigación de 2000 (RIPA, por sus siglas en inglés). Son los siguientes:

• Fuerzas policiales, tal como se definen en la sección 81(1) de la RIPA
• Servicio Nacional de Inteligencia Criminal
• Agencia contra el Crimen Organizado Grave, anteriormente Brigada Nacional contra el Crimen
• Servicio de Aduanas e Impuestos Especiales de Su Majestad
• Inland Revenue (los dos últimos se han fusionado en HM Revenue and Customs )
• Servicio de seguridad
• Servicio de Inteligencia Secreta
• Sede de Comunicaciones del Gobierno (GCHQ)

Sin embargo, la Ley de Regulación de los Poderes de Investigación de 2000 (RIPA) también otorga al Ministro del Interior poderes para cambiar la lista de organismos con acceso a los datos retenidos a través de legislación secundaria . La lista de organismos autorizados ahora incluye: ^[84]

• Agencia de Normas Alimentarias
• Autoridades locales
• Servicio Nacional de Salud

Las justificaciones para acceder a los datos retenidos en el Reino Unido se establecen en la Ley de Regulación de los Poderes de Investigación de 2000 (RIPA, por sus siglas en inglés). Entre ellas se incluyen las siguientes:

• Intereses de seguridad nacional;
• Prevenir o detectar delitos o prevenir desórdenes;
• Bienestar económico del Reino Unido;
• Seguridad pública;
• Proteger la salud pública;
• Evaluar o recaudar cualquier impuesto, derecho, gravamen u otra imposición, contribución o cargo pagadero a un departamento gubernamental;
• Prevenir la muerte o lesiones en una emergencia o cualquier daño a la salud física o mental de una persona, o mitigar cualquier lesión o daño a la salud física o mental de una persona;
• Cualquier otro propósito no enumerado anteriormente que se especifique a los efectos de esta subsección mediante una orden dictada por el Secretario de Estado.

This article's factual accuracy may be compromised due to out-of-date information. Please help update this article to reflect recent events or newly available information. (November 2017)

La Directiva de retención de datos de la UE se implementó en la legislación noruega en 2011, ^[85] pero no entrará en vigor antes del 1 de enero de 2015. ^[86]

Una ley federal antiterrorista de 2016, la 374-FZ, conocida como Ley Yarovaya, exige que todos los proveedores de telecomunicaciones almacenen metadatos de llamadas telefónicas, mensajes de texto y correos electrónicos, así como las grabaciones de voz reales, durante un máximo de seis meses. Los servicios de mensajería como WhatsApp deben proporcionar puertas traseras criptográficas a las fuerzas del orden. ^[87] La ​​ley ha sido ampliamente criticada tanto en Rusia como en el extranjero por ser una violación de los derechos humanos y un desperdicio de recursos. ^{[88] [89] [90] [91]}

El 29 de junio de 2010, el Parlamento serbio aprobó la Ley de comunicaciones electrónicas, según la cual el operador debe conservar los datos sobre comunicaciones electrónicas durante 12 meses. Esta disposición fue criticada por los partidos de la oposición y por el Defensor del Pueblo, Saša Janković , por considerarla inconstitucional . ^[92]

A partir del 7 de julio de 2016 entró en vigor la Ley Federal Suiza sobre la Vigilancia del Correo y las Telecomunicaciones, aprobada por el Gobierno suizo el 18 de marzo de 2016. ^[93]

Según la BÜPF, los operadores de telefonía móvil suizos deben conservar los siguientes datos durante seis meses:

1. Números de teléfono de llamadas entrantes y salientes
2. Números SIM (módulo de identidad del suscriptor), IMSI (identidad internacional del suscriptor móvil) e IMEI ( identidad internacional del equipo móvil )
3. "la ubicación y el eje de puntería eléctrico de la antena del teléfono móvil con el que la persona vigilada está conectada al sistema de comunicaciones en el momento de la comunicación"
4. fecha, hora y duración de la conexión

Todos los proveedores de servicios de Internet deben conservar los siguientes datos durante seis meses:

1. tipo de conexión (teléfono, xDSL, cable, línea fija, etc.) y, si se conocen, datos de acceso, información de la dirección de origen ( dirección MAC , número de teléfono), nombre, dirección y ocupación del usuario y duración de la conexión desde el principio hasta el final
2. hora de transmisión o recepción de un correo electrónico, información del encabezado según el protocolo SMTP y las direcciones IP de la aplicación de envío y recepción de correo electrónico.

La aplicación de correo electrónico se refiere a servidores SMTP, POP3, IMAP4, webmail y remail. ^[94]

Suiza sólo aplica la retención de datos a los mayores proveedores de servicios de Internet con más de 100 millones de CHF de ingresos anuales de origen suizo. Esto exime en particular a los proveedores de comunicaciones derivadas como ProtonMail, un popular servicio de correo electrónico cifrado con sede en Suiza. ^[95]

La Agencia de Seguridad Nacional (NSA) registra habitualmente metadatos de Internet de todo el planeta durante un máximo de un año en su base de datos MARINA , donde se utilizan para el análisis de patrones de vida . Las personas de los EE . UU . no están exentas porque los metadatos no se consideran datos según la ley estadounidense (sección 702 de la Ley de Enmiendas a la FISA ). ^[96] Su equivalente para los registros telefónicos es MAINWAY . ^[97] La ​​NSA registra SMS y mensajes de texto similares en todo el mundo a través de DISHFIRE . ^[98]

Varias agencias de Estados Unidos aprovechan la retención de datos (voluntaria) que practican muchas organizaciones comerciales estadounidenses a través de programas como PRISM y MUSCULAR .

Amazon es conocida por retener una gran cantidad de datos sobre las transacciones de sus clientes. Google también es conocida por retener datos sobre búsquedas y otras transacciones. Si una empresa tiene su sede en los Estados Unidos, la Oficina Federal de Investigaciones (FBI) puede obtener acceso a dicha información mediante una Carta de Seguridad Nacional (NSL). La Electronic Frontier Foundation afirma que "las NSL son citaciones secretas emitidas directamente por el FBI sin ninguna supervisión judicial. Estas citaciones secretas permiten al FBI exigir a los proveedores de servicios en línea o a las empresas de comercio electrónico que presenten registros de las transacciones de sus clientes. El FBI puede emitir NSL para obtener información sobre personas que no han cometido ningún delito.

Las cartas de seguridad nacional son prácticamente inmunes a la revisión judicial. Están acompañadas de órdenes de censura que no permiten ninguna excepción para hablar con abogados y no brindan a los destinatarios ninguna oportunidad efectiva de impugnarlas en los tribunales. Esta autoridad de citación secreta, que se amplió con la controvertida Ley Patriota de los EE. UU ., podría aplicarse a casi cualquier proveedor de servicios en línea para prácticamente cualquier tipo de registro, sin que un tribunal lo sepa nunca". El Washington Post ha publicado un artículo bien documentado sobre el uso de las cartas de seguridad nacional por parte del FBI . ^[99]

Estados Unidos no cuenta con ninguna legislación de retención obligatoria de datos para los proveedores de servicios de Internet (ISP) similar a la Directiva Europea sobre Retención de Datos ^[100] , que fue invalidada retroactivamente en 2014 por el Tribunal de Justicia de la Unión Europea . Algunos intentos de crear una legislación de retención obligatoria han fracasado:

• En 1999 se propusieron dos modelos de retención obligatoria de datos para los Estados Unidos: qué dirección IP se asigna a un cliente en un momento determinado. En el segundo modelo, "que se acerca más al adoptado en Europa", los números de teléfono marcados, el contenido de las páginas web visitadas y los destinatarios de los mensajes de correo electrónico deben ser conservados por el ISP durante un período de tiempo no especificado. ^{[101] [102] [103]}
• La Ley de 2009 para impedir que los adultos faciliten la explotación de los jóvenes (Ley SAFETY), también conocida como HR 1076 y S.436, exigiría a los proveedores de "comunicación electrónica o servicios informáticos remotos" que "conserven durante un período de al menos dos años todos los registros u otra información relativa a la identidad de un usuario de una dirección de red asignada temporalmente que el servicio asigna a ese usuario". ^[104] Este proyecto de ley nunca se convirtió en ley. ^[105]

Aunque a menudo se sostiene que la conservación de datos es necesaria para combatir el terrorismo y otros delitos, hay quienes se oponen a la conservación de datos. La conservación de datos puede ayudar a la policía y a los servicios de seguridad a identificar a posibles terroristas y a sus cómplices antes o después de que se haya producido un atentado. Por ejemplo, las autoridades de España y el Reino Unido afirmaron que la conservación de datos telefónicos contribuyó de manera significativa a las investigaciones policiales sobre los atentados con bombas en los trenes de Madrid de 2004 y los atentados con bombas en Londres de 2005. ^[106]

Los opositores a la retención de datos esgrimen los siguientes argumentos:

1. Los atentados en los trenes de Madrid también pueden considerarse una prueba de que el nivel actual de retención de datos es suficiente y, por lo tanto, la directiva de la UE no es necesaria. ^[107]
2. Los sistemas de retención de datos no prevén una regulación adecuada del proceso de retención de datos ni una supervisión judicial independiente. ^{[ cita requerida ]}
3. La retención de datos es una invasión de la privacidad y una respuesta desproporcionada a la amenaza del terrorismo. ^{[ cita requerida ]}
4. A los terroristas les resulta fácil evitar que se graben sus comunicaciones. El Código de Práctica Voluntario de Retención de Datos del Ministerio del Interior admite que hay algunos protocolos de Internet que no se pueden controlar eficazmente. ^{[ cita requerida ]} Los terroristas podrían evitar la vigilancia utilizando tecnologías P2P anónimas , cibercafés, servidores proxy anónimos o varios otros métodos. Algunos agentes de policía de la UE son escépticos sobre el valor de la retención de datos. Por ejemplo, Heinz Kiefer, presidente de Eurocop, la Confederación Europea de Policías, emitió un comunicado de prensa en el que decía que "sigue siendo fácil para los delincuentes evitar la detección mediante medios bastante simples, por ejemplo, se pueden comprar tarjetas de teléfono móvil a proveedores extranjeros y cambiarlas con frecuencia. El resultado sería que se haría un gran esfuerzo con poco más efecto sobre los delincuentes y terroristas que irritarlos ligeramente. Es poco probable que actividades como estas aumenten la confianza de los ciudadanos en la capacidad de la UE para ofrecer soluciones a su demanda de protección contra la delincuencia grave y el terrorismo". ^[108]
5. El hardware y el software necesarios para almacenar todos los datos retenidos serían extremadamente costosos. Los costos de retención de datos no sólo recaerían sobre los proveedores de servicios de Internet y las compañías telefónicas, sino también sobre todas las empresas y otras organizaciones que necesitarían conservar registros del tráfico que pasa por sus centrales telefónicas y servidores. ^{[ cita requerida ]}
6. La retención de datos otorga un poder excesivo al Estado para monitorear las vidas de ciudadanos individuales. ^{[ cita requerida ]}
7. La policía puede abusar de la retención de datos para vigilar las actividades de cualquier grupo que pueda entrar en conflicto con el Estado, incluidos aquellos que participan en protestas legítimas. La policía del Reino Unido ha utilizado sus poderes antiterroristas contra grupos opuestos a la guerra en Irak ^[109] y contra manifestantes en una feria de armas ^[110] . La definición de terrorismo en la Ley de Terrorismo del Reino Unido de 2000 incluye no sólo la acción, sino también la amenaza de acción, que implica violencia grave contra una persona o daños graves a la propiedad, con el fin de promover una "causa política, religiosa o ideológica". Existe la preocupación de que la definición esté redactada de forma vaga y pueda aplicarse a los partidarios de la liberación animal , a los manifestantes contra la guerra y a muchos otros. ^{[ cita requerida ]}
8. Aunque la conservación de datos puede estar justificada, los períodos de conservación propuestos en algunos casos son excesivos. Se ha sostenido que un período de cinco días para los registros de actividad web y de noventa días para todos los demás datos sería adecuado para fines policiales. ^{[ cita requerida ]}
9. La retención de datos por parte de los motores de búsqueda proporciona una ventaja injusta a los motores de búsqueda dominantes. ^[111]

La propuesta de directiva actual (ver arriba) obligaría a los ISP a registrar las comunicaciones de sus usuarios en Internet. La premisa básica es que esta información puede utilizarse para identificar con quién se comunicó alguien, ya sea un ciudadano inocente o un terrorista, durante un período de tiempo específico. Creer que tal mandato sería útil es ignorar que una comunidad muy comprometida de profesionales de la criptografía se ha estado preparando para tal legislación durante décadas. A continuación se presentan algunas estrategias disponibles hoy en día para que cualquiera pueda protegerse, evitar tales rastros y hacer que operaciones de registro tan costosas y legalmente dudosas sean inútiles.

Existen servidores proxy anónimos que brindan un acceso a la web un poco más privado. Los servidores proxy deben usar cifrado HTTPS para brindar algún nivel de protección. Desafortunadamente, los servidores proxy requieren que el usuario deposite una gran confianza en el operador del servidor proxy (ya que este ve todo lo que el usuario hace a través de HTTP) y pueden estar sujetos a análisis de tráfico .

Algunos servicios P2P, como la transferencia de archivos o la voz sobre IP, utilizan otros ordenadores para permitir la comunicación entre ordenadores detrás de cortafuegos. Esto significa que al intentar seguir una llamada entre dos ciudadanos se puede identificar por error a un tercero que no está al tanto de la comunicación.

Para los ciudadanos preocupados por la seguridad con algunos conocimientos técnicos básicos, se pueden utilizar herramientas como I2P (The Anonymous Network) , Tor , Mixmaster y las opciones de criptografía integradas en muchos clientes de correo modernos.

I2P es una red internacional de anonimización peer-to-peer, cuyo objetivo no es solo evitar la retención de datos, sino también imposibilitar el espionaje por parte de terceros. La estructura es similar a la que utiliza TOR (ver párrafo siguiente), pero existen diferencias sustanciales. Protege mejor contra el análisis de tráfico y ofrece un fuerte anonimato y cifrado de extremo a extremo para el tráfico interno de la red . Debido a los túneles unidireccionales, es menos propenso a ataques de sincronización que Tor. En I2P, hay varios servicios disponibles: navegación anónima, correos electrónicos anónimos, mensajería instantánea anónima, intercambio anónimo de archivos y alojamiento anónimo de sitios web, entre otros.

Tor es un proyecto del proyecto estadounidense sin fines de lucro Tor Project ^[112] cuyo objetivo es desarrollar y mejorar una red de enrutamiento de cebolla para proteger a sus usuarios del análisis de tráfico. Mixmaster es un servicio de remailing que permite el envío anónimo de correo electrónico.

JAP es un proyecto muy similar a Tor. Está diseñado para enrutar las solicitudes web a través de varios servidores proxy para ocultar la dirección de Internet del usuario final. Se ha incluido soporte para Tor en JAP.

El Grupo de Trabajo sobre Retención de Datos (Arbeitskreis Vorratsdatenspeicherung) es una asociación de activistas de derechos civiles, de protección de datos y de usuarios de Internet. El Arbeitskreis coordina la campaña contra la introducción de la retención de datos en Alemania. ^[113]

Un análisis de las estadísticas de la Agencia Federal contra el Crimen (BKA) publicado el 27 de enero de 2010 por la ONG de libertades civiles AK Vorrat reveló que la retención de datos no hacía más eficaz el procesamiento de delitos graves. ^[114]

Mientras la Comisión Europea está considerando actualmente cambios a la controvertida directiva de retención de datos de la UE, una coalición de más de 100 asociaciones de libertades civiles, protección de datos y derechos humanos, juristas, sindicatos y otros están instando a la Comisión a proponer la derogación de los requisitos de la UE en materia de retención de datos en favor de un sistema de conservación acelerada y recopilación específica de datos de tráfico. ^[114]

• Seguridad de datos
• Directiva sobre conservación de datos
• Hardware de retención de datos
• Ley de Protección de Datos de 1998
• Almacenamiento de datos informáticos
• Información de red de propiedad del cliente
• Privacidad de datos
• Descubrimiento electrónico
• Interceptación legal
• Vigilancia masiva
• Base de datos de llamadas de la NSA
• Privacidad
• Secreto de la correspondencia
• Análisis de tráfico
• I2P - La red anónima

• Retención de datos en la wiki de Open Rights Group
• La política del Tribunal de Justicia de la UE Dictamen sobre retención de datos: ¿el fin de la vigilancia masiva?
• Bowden, C. (2002). "Circuito cerrado de televisión para el interior de su cabeza: retención generalizada de datos de tráfico y la legislación antiterrorista de emergencia". Revista de Derecho Informático y de Telecomunicaciones . 1 (1).
• Boehm, F. y Cole, M.: Retención de datos tras la sentencia del Tribunal de Justicia de la Unión Europea (2014). (Archivo PDF)
• Breyer, P. (2005). "Retención de datos de telecomunicaciones y derechos humanos: la compatibilidad de la retención general de datos de tráfico con el CEDH". Revista de Derecho Europeo . 11 (3): 365–375. doi :10.1111/j.1468-0386.2005.00264.x.
• Centro de Estudios Políticos Europeos (CEP): Informe de políticas sobre conservación de datos (2011). (Archivo PDF)
• Crump, C. (2003). «Retención de datos: privacidad, anonimato y responsabilidad en línea». Stanford Law Review . 56 (1): 191–229. JSTOR  1229685.
• Cybertelecom :: Conservación de datos / Registros
• Digital Rights Ireland : desafío de Digital Rights Ireland contra la Directiva de retención de datos de la UE y la legislación de retención irlandesa sobre la base del derecho constitucional europeo e irlandés.
• Centro de información sobre privacidad electrónica : página de retención de datos de EPIC (hasta 2007)
• Derechos digitales europeos : página de seguimiento de noticias de EDRI sobre retención de datos Archivado el 17 de junio de 2013 en Wayback Machine (actual)
• Feiler, L.: La Directiva sobre conservación de datos (2008). Documento de seminario. (Archivo PDF)
• Informe técnico de Frost & Sullivan: "Cómo afrontar los desafíos de la retención de datos: ahora y en el futuro" Archivado el 12 de agosto de 2017 en Wayback Machine
• Ganj, C.: "Las vidas de otros jueces: efectos de la sentencia rumana sobre retención de datos" (4 de diciembre de 2009). (Archivo PDF)
• Goemans, C. y Dumortier, J.: "Retención obligatoria de datos de tráfico en la UE: posible impacto en la privacidad y el anonimato en línea ^{[ vínculo muerto permanente ]"} . Anonimato digital y derecho, serie IT & Law/2, TMC Asser Press, 2003, págs. 161–183. (Archivo PDF)
• Milford, P.: "La Directiva sobre retención de datos: ¿una respuesta demasiado rápida y furiosa?" (2008). Tesis de maestría en derecho – Southampton Business School. (Archivo PDF)
• Mitrou, L.: "Retención de datos de comunicaciones: ¿una caja de Pandora para los derechos y las libertades?", de Digital Privacy: Theory, Technologies, and Practices, editado por Alessandro Acquisti, Stefanos Gritzalis, Costos Lambrinoudakis y Sabrina di Vimercati. Auerbach Publications, 2008. (Archivo PDF)
• Morariu, M. (2009). "¿Qué tan seguro es mantener la privacidad? Sobre las controversias de la Directiva Europea sobre Retención de Datos" (PDF) . Amsterdam Social Science . 1 (2): 46–65. ISSN  2210-2310. Archivado desde el original (PDF) el 26 de abril de 2012.
• Statewatch : La vigilancia de las telecomunicaciones en la UE.
• Requisitos de retención de datos del Reino Unido con referencias completas a la legislación, códigos de prácticas, etc.
• Ministerio del Interior del Reino Unido : Documentos de consulta sobre retención de datos y acceso a los datos de comunicaciones.
• Walker, C.; Akdeniz, Y. (2003). "Leyes antiterroristas y retención de datos: ¿la guerra ha terminado?". Northern Ireland Legal Quarterly . 54 (2): 159–182. doi : 10.53386/nilq.v54i2.737 .
• Grupo de trabajo sobre conservación de datos: Lista de documentos relacionados con la conservación de datos de comunicaciones en la UE (actual)