El artículo “ 7 leyes de la identidad: Argumentos a favor de leyes de identidad con privacidad integrada en la era digital ”, de Ann Cavoukian, Ph.D., ofrece una mirada profunda y perspicaz sobre la importancia de la privacidad y la identidad en nuestra era digital en constante evolución.
El documento actualiza las leyes de identidad centradas en la privacidad, en particular las relacionadas con las prácticas justas de información.
También se puede observar que existe una relación intrínseca con el concepto de Privacidad desde el Diseño , un marco desarrollado por Cavoukian cuando era Comisionada de Información y Privacidad de la Provincia de Ontario, que recientemente se puso de relieve con la creación de la norma ISO 31700, adoptada a partir de febrero de 2023.
El objetivo de este artículo es demostrar brevemente la aplicabilidad de los controles descritos en la norma ISO para la implementación de las 7 leyes de la identidad en el programa de gobernanza de la privacidad de una organización.
Con este enfoque, hemos enumerado tres temas: 1. ¿Cuáles son las 7 leyes de la identidad? 2. La nueva norma ISO 31700 y la privacidad desde el diseño. 3. Controles de la norma ISO 31700 en la práctica.
¿Cuáles son las 7 leyes de la identidad?
La era digital ha traído consigo innumerables innovaciones tecnológicas que han transformado nuestra forma de vivir, trabajar y conectarnos. Sin embargo, este avance tecnológico también plantea importantes interrogantes sobre la privacidad y la protección de datos personales.
La aparición de las tecnologías de identidad digital es, sin duda, un avance universal que facilita la identificación de personas. Sin embargo, debemos ser cautelosos para que un sistema de identidad interoperable no se distorsione y se convierta en una estructura de vigilancia (CAVOUKIAN).
Así, las 7 Leyes de la Identidad fueron formuladas en un blog abierto por expertos bajo el liderazgo de Kim Cameron, entonces jefe de arquitectura de identidad en Microsoft, en 2005.
La profesora Ann Cavoukian ha reformulado las Leyes de Identidad, también conocidas como Principios Tecnológicamente Necesarios en la Gestión de la Identidad, que pueden servir de base para un sistema de identidad digital más seguro y centrado en la privacidad. Estas leyes son:
- LEY 1: Control personal y consentimiento
- Los sistemas de identificación técnica solo deben revelar información que identifique a un usuario con su consentimiento. El control personal es fundamental para la privacidad, al igual que la libertad de elección. El consentimiento es fundamental para ambas.
- LEY 2: Divulgación mínima para uso limitado: Minimización de datos
- El sistema de identidad debe revelar la menor cantidad posible de información personal identificable, ya que esta es la solución más estable y duradera. Además, ofrece la mayor protección de la privacidad.
- LEY 3: Partes justificables: Acceso solo a quienes necesitan saberlo.
- Los sistemas de identificación deben diseñarse de manera que la divulgación de información identificable se limite a las partes que la necesiten y cuyo acceso esté justificado. Esto es coherente con la imposición de limitaciones a la divulgación de información personal y el acceso restringido únicamente a quienes necesiten conocerla.
- LEY 4: Identidad objetivo: protección y rendición de cuentas
- Un sistema de identificación universal debe ser flexible y respetar la privacidad de las personas. Los identificadores que usamos en línea pueden ser secretos, utilizados únicamente entre nosotros y la persona con la que nos comunicamos, o públicos, proporcionados por entidades de confianza para confirmar nuestra identidad. Esto ayuda a mantener nuestra información personal segura y bajo control.
- LEY 5: Pluralismo de operadores y tecnologías: minimización de la vigilancia
- Un sistema de identidad universal debería facilitar la interoperabilidad de las distintas tecnologías de identidad y sus proveedores. Esto ofrece a los usuarios más opciones y control sobre los medios de identificación en diferentes contextos, minimizando el seguimiento y la elaboración de perfiles no deseados basados en información personal obtenida mediante la vigilancia en diversos sitios web.
- LEY 6: El rostro humano: La comprensión es la clave
- Los usuarios deben desempeñar un papel relevante en cualquier sistema, integrándose a través de una comunicación clara. Esto fomentará el control por parte del usuario, pero solo si este comprende realmente el sistema. Por lo tanto, el uso de un lenguaje sencillo en todas las comunicaciones con las personas es fundamental para la comprensión y una mayor protección.
- LEY 7: Experiencia coherente en diversos contextos: mayor empoderamiento y control del usuario.
- El sistema de identificación universal debe ser fácil de usar y coherente. Debe permitir a los usuarios controlar su información en diferentes plataformas. Esto significa que las personas tienen el poder de decidir quién puede ver su información. Contar con opciones y controles claros ayuda a las personas a tomar decisiones informadas sobre su información personal y a tener mayor control sobre ella.
(Traducido por: Matheus Bicca)
Como puede observarse, este marco busca empoderar al usuario del sistema de identidad, es decir, a la propia persona identificada. Proporciona directrices que, de aplicarse, deberían garantizar el control de los datos por parte del propietario de los mismos.
La nueva ISO 31700 y la Privacidad por diseño
Con una buena comprensión, se puede inferir que las 7 Leyes de la Identidad están extremadamente correlacionadas con la Privacidad por Diseño (PbD) , considerando que sus siete principios son:
- Proactivo, no reactivo; preventivo, no correctivo.
- Privacidad por defecto.
- Privacidad integrada en el diseño.
- Funcionalidad completa: suma positiva, sin suma cero.
- Seguridad integral: protección completa durante todo el ciclo de vida.
- Visibilidad y transparencia.
- El respeto a la privacidad del usuario es fundamental.
El enfoque PbD (Privacidad desde el Diseño) es fundamental y esencial al crear y desarrollar tecnología, modelos de negocio o infraestructura física. Según este concepto, la privacidad debe integrarse en el producto o servicio desde el principio, evitando así la necesidad de ajustes o correcciones posteriores que pueden resultar costosos e ineficaces.
En este sentido, en febrero de 2023 se publicó la nueva norma ISO 31700, cuyo objetivo es proporcionar directrices a las organizaciones sobre cómo implementar de forma práctica el enfoque PbD (Product by Design).
Este autor considera que, dadas las correlaciones entre la privacidad desde el diseño y las 7 leyes de la identidad, podemos utilizar algunos de los controles que ofrece la norma ISO para su aplicación en sistemas universales de identidad digital.
Ejemplos de controles ISO 31700 aplicados a la identidad digital.
Para ilustrar mejor esto, utilizaremos ejemplos prácticos donde la aplicación de la norma ISO 31700 y, por consiguiente, la privacidad desde el diseño, pueden aportar valor para mitigar los riesgos de privacidad en los sistemas de identificación digital.
Ejemplo n.º 1:
En relación con el mal uso de los datos o el uso ético de los mismos por parte de un empleado de la empresa que proporciona la identificación digital.
Ley de la Identidad: LEY 6: El Rostro Humano: La comprensión es la clave.
Principio de privacidad desde el diseño: Visibilidad y transparencia.
Control ISO 31700 aplicable: 5.2 Proporcionar información sobre privacidad.
En este caso, lo fundamental es informar al usuario exactamente cómo se están gestionando sus datos.
Ejemplo n.º 2:
Para que su identidad pueda ser utilizada y enviada a otros entornos, se requiere el consentimiento del usuario.
Ley de Identidad: LEY 1: Control Personal y Consentimiento
Principio de privacidad desde el diseño: Privacidad por defecto.
Control ISO 31700 aplicable: 4.2 Diseñar recursos que permitan a los consumidores garantizar que se respeten sus derechos de privacidad.
La idea es otorgar al usuario el poder de control, en el mejor sentido de la autodeterminación informativa.
Ejemplo n.º 3:
Se garantiza que los datos de identificación solo se procesarán entre las partes interesadas y autorizadas en el proceso.
Derecho de identidad: LEY 4: Identidad objetivo: protección y rendición de cuentas
Principio de privacidad desde el diseño: Seguridad integral: protección completa durante todo el ciclo de vida.
Control ISO 31700 aplicable: 6.6 Incluir los riesgos de privacidad en el diseño de la resiliencia de la ciberseguridad.
Resulta evidente que la aplicación de medidas técnicas de seguridad de la información es esencial para garantizar la privacidad del usuario y la eficacia de otros controles.
Sin pretender agotar el tema de la correlación presentada, considerando todo lo discutido, es evidente que los marcos teóricos presentados en este artículo están fuertemente interconectados.
Si bien la privacidad desde el diseño y , por consiguiente, la norma ISO 31700, tienen una amplia aplicación en las organizaciones, las 7 leyes de la identidad están dedicadas a guiar a los proveedores de sistemas de identificación digital y pueden utilizar los demás controles y principios presentados para una mejor interpretación del tercer marco.
En la era digital, el profesional del derecho debe estar al tanto de los matices que caracterizan el mundo moderno. Hoy en día, como podemos observar, el mero conocimiento del derecho codificado ya no es suficiente; es necesario buscar conocimiento y soluciones en una amplia variedad de ámbitos.
El programa de posgrado en derecho digital y protección de datos de IDP ofrece una amplia gama de asignaturas que abordan tanto la innovación jurídica como la tecnológica, proporcionando a los estudiantes conocimientos multisectoriales.
Además, los profesores son profesionales reconocidos a nivel nacional e internacional en sus respectivos campos de especialización, lo que les permite aportar conocimientos sobre el mercado y estar al tanto de las tendencias del mismo.
No olvides seguirnos en las redes sociales y compartir nuestros artículos del blog de IDP.
Referencias
CAVOUKIAN, ANN. 7 Leyes de la Identidad: Argumentos a favor de leyes de identidad con privacidad integrada en la era digital. Canadá, 2006.
CAVOUKIAN, ANN. Privacidad desde el diseño: Los 7 principios fundamentales. Canadá, 2009.
ISO 31700. 2023.
