Privacidad y comercio electrónico.

Privacidad y comercio electrónico. Iñigo de la Maza Gazmuri * En última instancia, somos un broker informacional. En el lado izquierdo tenemos un montón de productos y en el lado derecho un montón de consumidores. Nosotros estamos en la mitad haciendo las conexiones. La consecuencia de esto es que tenemos dos tipos de consumidores: consumidores buscando libros y editoriales buscando consumidores. Los lectores encontrarán a los libros o los libros a los lectores. Jeff Bezos Amazon You have zero privacy anyway...get over it. Scott MacNealy Sun Microsystems La protección de la privacidad en Internet resulta un tema sugerente no sólo por que involucra la protección de derechos individuales, sino además porque constituye uno de los factores que determinará las posibilidades de expansión del comercio electrónico en el futuro. La masiva recolección y procesamiento de información en las plataformas electrónicas no sólo lesiona el derecho a la privacidad que reconocemos a todos los sujetos, sino que constituye además una poderosa barrera a la incorporación de nuevos usuarios al comercio electrónico. En este trabajo intento mostrar ambas cosas a la vez que sugerir algunas soluciones que compatibilicen la protección del derecho a la privacidad con los beneficios económicos aparejados a la recolección y procesamiento de información sobre los usuarios de la Red. RECOLECCIÓN Y PREOCUPACIÓN. Durante los meses de Febrero y Marzo de 2000 la Federal Trade Comission llevó a cabo en los Estados Unidos de Norteamérica una encuesta sobre las prácticas informativas de los sitios web comerciales en este país. 1 La encuesta se realizó sobre dos grupos de sitios, el primero compuesto por páginas elegidas al azar y el segundo por cien de los sitios con mayor tráfico en la Red. Los resultados de la encuesta mostraron que los sitios web recolectaban enormes cantidades de información de y acerca de sus usuarios. Casi todos los sitios (97% de la muestra compuesta por aquellos elegidos al azar y 99% del grupo de los más populares) recogían el email u otro tipo de información personal identificadora. 2 Este tipo de prácticas contribuyen definitivamente a configurar Internet como lo que Oscar * Abogado, profesor Facultad de Derecho Universidad Diego Portales, Master of the Science of Law Stanford University 1 Privacy Online Fair Information Practices in the Electronic Marketplace. A Report to Congress. Federal Trade Commision. Mayo 2000. http://www.ftc.gov/report/privacy2000/privacy2000text.pdf. Visitado 13/05/2001. 2 Ibidem p. ii 1

Gandy ha denominado una organización panóptica, una extensa estructura para recopilar información y discriminar de acuerdo a ella. 3 Según información citada en la encuesta de la Federal Trade Comission, un 92% de los consumidores demuestra preocupación (y un 67% mucha preocupación) acerca del mal uso de su información en la red. De acuerdo a un reporte de Jupiter Communications 64% de los encuestados desconfían de las políticas de privacidad de las páginas web. 4 La desconfianza, como no es difícil advertirlo, suele no ser una buena compañera del comercio; en este caso, el mismo reporte estima las pérdidas por falta de confianza en US $ 18.000 millones para el año 2002. 5 DOS EJEMPLOS: AVISAJE ELECTRÓNICO Y SUSCRIPCIONES 1. Galletas y escarabajos. Parker, Timex y Tom Waits: El acertijo y la solución. Suponga que Ud. es aficionado a las plumas fuente, a los relojes y a la música de Tom Waits. Durante un fin de semana recorre sitios Web en busca de un repuesto para su Parker 54, un modelo especial de Timex para el cumpleaños de su hijo y un álbum discontinuado de Tom Waits. Con este objetivo navega a través de algunos sitios especializados en estos tres productos. Algunos de esos sitios poseen banners 6 que ofrecen viajes a Río de Janeiro, juegos de casino, joyas y otros productos que no le interesan, de manera que Ud. no abre ninguno de ellos. Dos semanas después, leyendo la sección de noticias en su portal individualizado descubre tres avisos, el primero de ellos ofrece una nueva edición de Parker a precio rebajado, el segundo ofrece relojes Timex sin costos de envío, y el tercero, la discografía de Tom Waits completa. Utilizando cualquier patrón de probabilidades, se trataría de una coincidencia sorprendente que tres avisadores distintos y, probablemente sin conexión entre ellos- hayan presentido que resultaba una buena idea publicitar estos tres productos. Más sorprendente aún es que si llama a alguna amiga o amigo que esté afiliada(o) al mismo portal que Ud. para relatarle esta sorprendente coincidencia, lo más probable es que el(la) le informe que al abrir el portal en su computador no hay huella de estos avisos. Pues bien, en primer lugar no se trata de una coincidencia. En segundo lugar, su amiga(o) tiene razón, los avisos sólo son visibles en el computador que Ud. frecuentemente utiliza. La respuesta a este acertijo es que se trata de avisaje a la medida (personally-tailored ads), es decir, según las preferencias reveladas por el usuario a través de sus hábitos en la red. Aclarado lo anterior, resta advertir cómo averigua el avisador electrónico sus 3 Citado en Lessig, Lawrence, CODE AND OTHER LAWS OF CYBERSPACE. Basic Books. 1999, p. 153 4 http://www.jup.com/home.jsp 5 http://news.cnet.com/news/0-1007-200-346152.html 6 Utilizo la expresión banner para designar pequeños avisos gráficos que aparecen en forma de cajas desplegados sobre o a los lados del contenido primario de una página web. 2

preferencias; la respuesta, en este caso, se encuentra en la presencia de los banners que Ud. no atendió y en pequeños archivos invisibles para Ud. en las páginas que visitó que permiten al avisador y al propietario de la página Web rastrear sus movimientos en la red Cómo sucede esto? Paul Schwartz ha escrito que, una vez conectado a Internet nuestra computadora deja de ser una amiga silenciosa y leal y se transforma en una grabadora que traiciona nuestros secretos. 7 La transformación de un instrumento al que suele considerarse como la expresión suprema de una máquina de escribir o, incluso, una especie de amigo con quien se puede tener una relación intensa 8 en un sigiloso y eficaz medio de espionaje resultaría orwelliano si Orwell no se encontrara ya en el pasado. La transformación a la que alude Schwartz ocurre, en el caso que nos ocupa a través de la utilización de cookies y web bugs. Las Cookies son pequeños archivos de texto instalados en el disco duro de un usuario por un servidor Web. La Cookie transmite información al servidor que la instaló y que, en general, sólo puede ser leída por ese servidor. 9 Los Web bugs son pequeños archivos de imágenes invisibles a simple vista contenidas en una página web. Los Web bugs funcionan enviando información relativa al usuario (la información más frecuente es la dirección IP del computador del usuario, el URL 10 de la página donde está situado el Web bug y el tiempo que la página fue navegada por el usuario) al servidor que los puso en esa página. 11 De esta manera las cookies quedan instaladas en el disco duro de su computador, los web bugs permanecen estacionados en la página web. Escarabajos y galletas en acción. Cada vez que Ud. abre una página web su navegador o browser 12 envía a esta página cierta información necesaria para proveerle acceso: el tipo de navegador y el sistema operativo de su computador, el (o los) lenguaje(s) aceptado(s) por el navegador, y la dirección IP de su computador 13. El servidor que hospeda a la página web recibe la información y puede almacenarla, así como otros movimientos que Ud. realice. Esa es la actividad de los web bugs. Junto con lo anterior, el servidor responde enviando el HTTP 14 y el código HTML 15, 7 Privacy and Democracy in Cyberspace. 1610-1622. http://www.wcbcourses.com/wcb/schools/lexis/law08/pschwartz/3/files/vand-schwartz.pdf. Visitado 15/07/2001) 8 Ibidem p. 1622 9 Un aspecto a tener en cuenta respecto de las cookies en el caso del avisaje electrónico es que una vez instaladas puede seguir al usuario por todos los sitios web servidos por esa compañía a través de Internet. 10 URL es un acrónimo para Uniform Resource Locator. 11 La información ha sido extraída de Online Profiling: A Report to Congress. June 2000. http://www.producersconference.com/pdf_files/online_profiling_one.pdf. Visitado 02/03/2001. p. 3. 12 Programa utilizado para acceder a sitios en Internet. Los más conocidos son Netscape y Explorer. 13 Protocolo Internet. Es el esquema de comunicación standard utilizado para navegar en Internet. 14 Acrónimo para Hyper Text Transfer Protocol, el sistema que se utiliza para solicitar documentos HTML en la Red 15 Acronimo para Hyper Text Markup Language, formato de la mayoría de los documentos en la Red. 3

lo que le permite bajar la página a su computador. Pues bien, inserto en el código HTML de algunas de las páginas que Ud. visitó y que poseían banners de avisaje existía un enlace invisible a la compañía que administra esos banners y que es capaz de rastrear las cookies de esa compañía que su computador tiene o, en caso de que no tenga, insertárselas. Estas cookies que ingresan a su computador sin noticia 16 permiten a quien las instale seguirlo a través de todos los sitios en que posea banners. En el caso que el avisador electrónico posea una cantidad importante de banners distribuidos a través de la red le resulta posible construir perfiles de los hábitos de consumo de los usuarios. 17 Las cookies y los web bugs que utilizan los sitios Web y las empresas de avisaje electrónico pueden ser utilizados para diversos fines, como suprimir la necesidad de identificación del usuario en el acceso a determinados sitios, agilizar la compra de productos, 18 determinar el número de usuarios únicos de un sitio, personalizar el avisaje, etc. Las cookies y los web bugs pueden ser utilizados además para construir un perfil (profile) de los hábitos de los usuarios en Internet, llamemos a esto un perfile online (PO). El PO es la representación de los hábitos e intereses de los usuarios en la red. La construcción de este PO resulta posible a través del monitoreo de la conducta de los usuarios a través de miles de sitios comerciales servidos por un mismo avisador que recolecta esa información. 19 La información que recolectan las cookies y los web bugs no permite, en general, individualizar a los usuarios, sino únicamente sus conductas (páginas que visita, tiempo que pasa en ellas, compras que realiza, etc). La información que no permite individualizar al usuario se denomina información personal no identificadora (NPII) (non-personally identifiable information). Como ya se ha advertido, al comunicarse el computador con la página web, éste envía cierta información, parte de esta información es la dirección IP del computador; si se inserta una cookie en el disco duro de ese computador, el dueño de la cookie sabrá los movimientos de ese computador en el ciberespacio, pero no quién está 20 21 detrás de esos movimientos. 16 La excepción a esto es que Ud. haya ordenado a su navegador notificarlo antes de admitir cookies. Sin embargo, de acuerdo a una encuesta llevada a cabo en los Estados Unidos sólo el 40% de los usuarios de computadores había escuchado acerca de las cookies y, de estos, sólo un 75% poseía una comprensión básica acerca de qué eran (citado en Online Profiling...ob. cit. p. 12 17 De acuerdo a la Declaración de la directora del Bureau of Consumer Protection of the Federal Trade Commision de la Federal Trade Commision: (M)ás de la mitad del avisaje en línea es en la forma de avisos-banner (banner ads) desplegados en páginas web...frecuentemente, estos avisos no son seleccionados y enviados por el sitio Web visitado por el consumidor, sino por una cadena de avisaje electrónico que administra y provee publicidad para varios sitios que no poseen relación entre sí (Prepared Statement of The Federal Trade Commision Online Profiling: Benefits and Concerns. http://www.ftc.gov/os/2000/06/onlineprofile.htm. Visitado 31/07/01 18 Un ejemplo de esto es One Click, el sistema de pago utilizado por Amazon.com 19 Ver Network Advertising Initiative: Principles not Privacy. http://www.epic.org/privacy/internet/nai_analysis.html. Visitado 30/07/2001. 20 A este respecto debe recordarse que la mayoría de los proveedores de conectividad (ISP) proveen de IP dinámicos y no estáticos. Lo anterior significa que los ISP proveen de diferentes direcciones IP a los usuarios cada vez que ingresan a Internet. De esta manera resulta prácticamente imposible relacionar una dirección IP con un usuario. La situación, sin embargo, se 4

2. Entregar o no entregar información, he ahí el dilema. Junto a la información personal no identificable, algunos sitios de avisaje electrónico también recopilan información personal identificadora (PII)(Personal Identifiable Information). Este segundo tipo de información es aquella que permite vincular perfiles a personas reales e incluye nombre, dirección, número de teléfono, dirección email, cédula de identidad, etc. Actualmente una gran cantidad de sitios solicita la entrega de PII. Suponga que Ud. tiene algunas preferencias que no está dispuesto a hacer públicas por un determinado partido político y se inscribe en un sitio virtual que le ofrece, en forma gratuita, enviarle información sobre ese partido. Suponga además que el sitio no es capaz de cubrir sus gastos de operación y quiebra. Dos semanas después de quebrar, el sitio ofrece sus activos a remate, entre estos activos se encuentra una lista de dieciséis mil simpatizantes del partido X, entre los cuales figura Ud. Súbitamente Ud. recuerda que alguna vez advirtió que el sitio tenía un enlace a algo que se llamaba términos de privacidad, con cierto apremio busca la página del sitio y descubre que aún está vigente. Abre el enlace de los términos de privacidad y revisa cuidadosamente un documento de siete páginas y descubre que en las dos últimas líneas hay una cláusula que dice que la información que Ud. entregue a ese sitio podrá ser transferida únicamente a sitios que presenten objetivos relacionados con el de éste - El sitio de los partidos opositores cumple con este requisito?. Suponga finalmente que ninguno de los miembros de su familia conoce su simpatía por este partido y que en su lugar de trabajo sus jefes son abiertamente opositores a este partido. 22 Este ejemplo puede ser extrapolado a una infinidad de preferencias sexuales, políticas, literarias, etc.- sobre las que Ud. puede buscar información en Internet, pero que no desea que sean conocidas públicamente. La venta de este tipo de datos no es un fenómeno inédito. La información sobre los consumidores siempre ha sido valiosa para quienes producen o distribuyen bienes y revierte en el caso de los IP estáticos; esto parece amenazante toda vez que en la medida que la banda ancha gane popularidad más usuarios tendrán IP estáticos (ver Request for Participation and Comment from the Electronic Information Center (EPIC). http://www.cdt.org/privacy/ftc/profiling/shen.pdf. Visitado 31/07/2001). Con todo, esta situación debería resolverse una vez que se adopte en forma masiva el standard IP v.6, el cual no se ha difundido de la manera esperada por la falta de apoyo de los fabricantes de software y hardware (a nivel de sistemas operativos y equipos de networking tales como routers). Además de ampliar el rango de direcciones IP, la v.6 incorpora mejoras como la capacidad de asegurar la velocidad de downloading, algo sumamente útil en la medida que las aplicaciones multimedia son cada vez más (agradezco en este punto la ayuda experta de Pablo Hoffenberg). 21 No resulta imposible, sin embargo, vincular este tipo de información a aquella que si permite identificar al sujeto. El ruido que despertó entre las asociaciones de protección de los consumidores la posible alianza entre Doubleclick y Abacus parece ser una muestra de ello (ver Request for Participation and Comment from the Electronic Information Center. Ob. Cit. y http://www.ftc.gov/bcp/profiling/comments/shen.htm. 22 El ejemplo del sitio que quiebra y que vende sus activos entre ellos la lista de afiliados- está tomado de la quiebra del sitio norteamericano Voter.com 5

servicios. Un ejemplo más cotidiano de lo mismo son las frecuentes y a veces molestasllamadas o cartas personalizadas de administradoras de fondos de pensiones, isapres o proveedores de televisión por cable. Generalmente su información llega a ellos de una manera similar. Como sucede con la mayoría de los desafíos jurídicos que plantea Internet, no se trata de problemas nuevos. La novedad radica en que los problemas antiguos se agudizan 23 y, por lo mismo, la necesidad de enfrentarlos se torna más apremiante. LA ECONOMÍA DE LA INFORMACIÓN. Una de las características más atractivas de Internet para el comercio electrónico es la enorme cantidad de información que permite recolectar y procesar. En el espacio real resultaría insufriblemente costoso seguir a los consumidores a diario a través de sus actividades y construir un registro detallado de todas sus preferencias y hábitos, Internet lo hace posible a bajo costo. 24 De esta manera la verdadera ventaja comparativa de Internet para el comercio no consiste como se pensó- en generar mercados a escala mundial, sino en la posibilidad de discriminar el mercado a bajo costo, generando productos y servicios a la medida del usuario. La posibilidad de discriminar el mercado beneficia, en principio, a consumidores y a quienes ofrecen sus productos y servicios a través de la red. 25 En el caso de la publicidad a la medida por ejemplo, los consumidores tienen la posibilidad de recibir información sobre artículos respecto de los cuales manifiestan alguna preferencia, de esta manera se reducen los costos de transacción adscritos a la búsqueda de esos productos y se evita el envío o exhibición repetitiva de publicidad que no presenta interés para el usuario. En el caso de los productores, esta información les permite averiguar las preferencias de sus consumidores a bajo precio, posibilitando la adecuación de sus productos a las necesidades de estos. 26 La sumatoria de estos beneficios permitiría a la economía, según han sostenido algunos prominentes economistas, funcionar con menor fricción a través de la disminución de los precios y un mayor dinamismo en la adecuación de los productos a las necesidades de los usuarios. 27 El precio de la información. 23 Como examino más adelante, en este caso los problemas se agudizan gracias a que disminuye el costo de recopilar información. 24 Ver Lessig, Larry, The Law of the Horse. P. 504 505. http://cyberlaw.stanford.edu/lessig/content/works/finalhls.pdf Visitado 07/01/2001. 25 Según un estudio encargado por la Association of National Advertisers, Inc. A los economistas Kenneth Arrow y George Stigler, la provisión de información a través de la publicidad en mercados cambiantes llega ser una condición determinante del bienestar de los usuarios (citado en Statement of the Association of National Advertisers Inc. Abril, 15, 1997. http://www.ftc.gov/bcp/privacy/wkshp97/comments2/anai.htm. Visitado 27/07/01. Desde otra perspectiva, algunos comentaristas han alertado acerca de los peligros que subyacen en la capacidad de discriminar mercados, enfatizando la manipulación que, potencialmente, permite y la posibilidad de afectar consideraciones de igualdad al permitir la discriminación sobre la base de factores sociales y económicos (Ver CODE. ob. cit. 153-156) 26 Productos en este caso designa no sólo aquello que es transado, sino además las características del sitio web a través del cual se transa interfaz, seguridad, etc. 27 Ver Statement of the Association of National Advertisers Inc. Ob.cit. 6

El derecho a la privacidad. Si bien la recolección masiva de información sobre usuarios disminuye las fricciones en el funcionamiento de la economía, resulta necesario advertir que produce asperezas en términos de protección de derechos individuales, en este caso, el derecho a la privacidad. Qué sea el derecho a la privacidad resulta un tema complejo y no es el objeto de estas líneas endosarlo; digamos nada más que dentro de su arquitectura nos interesa examinar el derecho que asiste a los individuos a ser dejados solos según la fórmula publicitada por Brandeis y Warren 28, a mantener fuera de la mirada pública cierta información acerca de uno mismo, al deseo de opacidad frente a la avidez de novedades de otros. 29 Como han señalado algunos comentaristas, cuando los individuos navegan a través de la Red, tienen una cierta expectativa de anonimato. Si el individuo no ha revelado información sobre sí mismo, aspira a que nadie sepa qué es lo que está haciendo. 30 Ahora bien, para funcionar este argumento precisa una cierta cualificación de la información que debe ser protegida, en este sentido, los contornos de la opacidad a la que aspiramos deben ser definidos. Sin pretender agotar el tema, puede afirmarse que existe cierto consenso en que los márgenes de la opacidad deberían cubrir aquella información que resulta relevante para garantizar la autonomía del individuo y la posibilidad de desempeñar roles sociales diferenciados. 31 Sin perjuicio de lo anterior, no sólo las razones de autonomía y desempeño de roles sociales diferenciados militan a favor de la protección de la privacidad, sino además razones de carácter económico que pueden ser esgrimidas para garantizar este derecho. De esto último me ocupo en el apartado siguiente. Economía de la Privacidad. Ya se ha advertido más arriba que los usuarios de Internet poseen en general una cierta expectativa de anonimato. Pues bien, esa expectativa de anonimato tiene un cierto valor económico. Como afirma Shen: Mucha gente utiliza la Red para buscar información acerca de temas de temas sensible (sensitive topics). Parte de la razón de buscar esa información a través de la red que ella puede ser buscada anónimamente. 32 28 Citado en Garzón Valdés, Ernesto. Privacidad y publicidad. En Revista Jurídica de la Universidad de Palermo. Argentina, 1999. P. 21 29 La expresión avidez de novedades pertenece a Heidegger y es utilizada por Carlos Peña. A este último pertenece la expresión deseo de opacidad (ambas expresiones son utilizadas por el profesor Peña en Notas sobre las relaciones entre privacidad y autonomía. Revista Jurídica de la Universidad de Palermo. Argentina, 1999. P. 70. 30 Berman, Jerry & Mulligan Deirdre, Privacy in the Digital Age: Work in Progress. (S/P). http://www.cdt.org/publications/lawreview/1999nova.shtml. Visitado 30/07/2001 31 Los dos argumentos aparecen brevemente desarrollados en González, Francisco, Privacidad de la información digital: autodeterminación vs. commodity. Revista Jurídica de la Universidad de Palermo. Argentina 1999. P. 90 32 Online Profiling Project Comment, P994809/ Docket No. 990811219-9219-01 http://www.epic.org/privacy/internet/profiling_reply_comment.pdf. Visitado 29/07/2001 7

Desde una perspectiva económica, la falta de protección a la privacidad de los usuarios representa el costo de oportunidad en que incurren los usuarios cada vez que navegan en la red. Lo anterior implica que, al menos, aquellos individuos que presenten aversión al riesgo poseerán fuertes incentivos para no revelar información personal en la red y, eventualmente si resulta factible vincular hábitos en la red con personas reales-, no utilizar la red para temas que desearían explorar protegidos por el aura de la privacidad. Aún en actores que se comporten con neutralidad al riesgo, la falta de certeza respecto de la protección de la información que ellos mismos consideran confidencial o que no desearían que se divulgase se incorpora como un costo al momento de utilizar la Red. Es probable que frente a este argumento pueda criticarse el uso de la razón instrumental que subyace a este tipo de razonamiento y afirmarse que los usuarios no necesariamente actúan motivados por un cálculo de costo-beneficio. Con todo, prescindiendo del enojoso tema de la razón instrumental, puede citarse en apoyo de lo dicho la encuesta de la Federal Trade Commision según la cual un 92% de los consumidores demuestra preocupación (y un 67% mucha preocupación) acerca del mal uso de su información en la red 33 y las estimaciones sobre los costos de esa desconfianza. 34 En suma. Internet incrementa la calidad, cantidad y accesibilidad de la información personal sobre los usuarios, esto, asociado a la escasa protección del derecho a la privacidad no sólo vulnera la esfera cubierta por este derecho, sino que además pone en peligro el desarrollo de las potencialidades del comercio electrónico. ACERCANDO LAS DIFERENCIAS. Las diferencias que existen entre la protección del derecho a la privacidad y el acceso a la información necesaria para disminuir las fricciones que se generan al interior de los mercados no resultan irreconciliables. Resulta posible desarrollar un conjunto de requisitos que permitan recolectar información sin vulnerar el derecho a la privacidad de los usuarios. Hasta el momento han existido dos aproximaciones al problema y aún puede imaginarse una tercera. La primera aproximación (utilizada en los Estados Unidos) confía la protección del derecho a la privacidad en la autorregulación por parte de la empresa. La segunda (utilizada en la Comunidad Europea) entrega esta protección a la regulación legal. La tercera aproximación confía la protección de la privacidad al libre juego de la oferta y la demanda. 35 36 En los párrafos que siguen examino brevemente los requisitos que se 33 Ver supra nota 4 34 Ver supra nota 5 35 La división entre estas tres formas de enfrentar el problema de la privacidad pertenece a Paul Schwartz y es desarrollada en Privacy and Democracy in Cyberspace. Ob. cit. pp. 1681-1700. 36 La autorregulación y la regulación de mercado poseen amplios espacios de convergencia, sin embargo presentan diferencias que hace aconsejables tratarlas separadamente. En el primer caso los estándares de privacidad son tratados caso a caso entre el propietario del sitio Web y el usuario. En el segundo, las empresas que participan en el negocio acuerdan las reglas bajo las cuales se protegerá la privacidad de los usuarios. La autorregulación puede ser considerada entonces como un punto medio entre la regulación de mercado (en cuanto comparte con ésta el 8

deberían considerar para conciliar y las dos formas de articular la recolección de información y el derecho a la privacidad. Los requisitos. En general, en el ámbito del derecho comparado, se han conciliado las necesidades del comercio con la protección del derecho a la privacidad de los individuos, estableciendo ya sea a través de la autorregulación o de la ley- una serie de requisitos a la recolección, uso y diseminación de la información sobre los usuarios. De esta manera, tanto la Directiva 95/46 de la Comunidad Europea 37 (en adelante la Directiva) y el Reporte al Congreso enviado por la Federal Trade Commision 38 (en adelante el Reporte al Congreso) establecen una serie de requisitos destinados a proveer de conocimiento al usuario cada vez que se recolecta su información y determinar ciertos límites a los usos que pueden dársele a esa información. En este sentido, el Reporte al Congreso identifica como los requisitos o principios, en el lenguaje de ambos documentos- la Noticia, esto significa que aquellos sitios que recolecten información sobre los usuarios deben proveer a los estos de información acerca de esta práctica antes de comenzar a realizarla. En el caso de la Directiva, junto con consagrar el mismo principio, se establece que debe obtenerse el consentimiento del usuario, carente de cualquier ambigüedad, para procesar esa información. El segundo requisito contenido en el Reporte al Congreso es la Opción. De acuerdo a este requisito se exige que se provea a los consumidores de la posibilidad de decidir si y cómo su información personal será utilizada para otros propósitos distintos de los explícitamente requeridos por el sitio. En el mismo sentido, la Directiva consagra el principio de la finalidad. De acuerdo a este principio, la información personal sobre los usuarios sólo puede ser utilizada para aquellos fines en que el usuario haya prestado su consentimiento carente de toda ambigüedad, o bien cuando: (1) La información es necesaria para el perfeccionamiento del contrato; (2) La información es necesaria para cumplir con alguna obligación legal a la que quién solicita la información se encuentra sujeto; (3) La información es necesaria para proteger los intereses vitales del usuario; (4) La información es necesaria para la ejecución de una tarea derivada del interés público o cuando se ha confiado en quien requiere la información esa tarea o bien quien hecho que no existe la posibilidad de coaccionar centralizadamente las decisiones, pero difiere en la generalidad de los estándares) y la regulación implementada por el legislador (con ésta coincide en la generalidad de los estándares y difiere en la posibilidad de coacción centralizada). 37 Una buena explicación de los alcances de la directiva puede encontrarse en Graham Greenleaf, The European privacy Directive completed. http://www.austlii.edu.au/cgibin/disp.pl/au/journals/plpr/1995/52.html?query=%7e%20european% 20privacy%20directive#disp5. Visitado 02/08/2001. 38 Ver Online Profiling: A Report to Congress. June 2000. Op. Cit. 9

requiere la información la revelará a una tercera parte a quien ha sido encomendada la tarea; (5) La información resulte necesaria para los propósitos legítimamente perseguidos por quien requiere la información o bien por una tercera parte a quien la información es revelada. 39 El tercer requisito establecido por el Reporte al Congreso es el Acceso. Los consumidores deben ser capaces de examinar los datos que se han recolectado sobre ellos y, en caso que estos presenten deficiencias, exigir su corrección. En términos similares, la Directiva consagra el derecho de los usuarios a obtener una copia de la información recopilada, exigir correcciones o supresión de la información recolectada con violación a los términos establecidos en ese mismo cuerpo legal. El requisito final contemplado por el Reporte al Congreso es la Seguridad. En virtud de éste, quienes recopilen información deben tomar las previsiones razonables con el objeto que la información de los usuarios no sea alterada o sea objeto de usos no autorizados. En el caso de la Directiva se establecen responsabilidades para quien controle la información en caso de que ésta sea alterada u objeto de usos no autorizados. 40 El mercado, la autorregulación y el estado. He afirmado que la protección del derecho a la privacidad puede llevarse adelante acudiendo a tres mecanismos: la regulación por parte del legislador, la autorregulación por parte de la empresa y, finalmente, el libre juego de la oferta y la demanda; comencemos por el primero. Como ha sugerido Schwartz, existen al menos dos razones para desconfiar de éste tipo de aproximación, el autor denomina a la primera vacíos de conocimiento (knowledge gaps) y, a la segunda la falacia del consentimiento (consent fallacy). 41 Siguiendo a Schwartz, el vacío de conocimiento se presenta por que rara vez los sujetos poseen conocimiento sobre el hecho que su información será utilizada o la forma en que será utilizada, esto se debería a dos razones, la primera es que los sitios Web utilizan una infraestructura tecnológica opaca 42 que impide a los sujetos negociar los términos en virtud de los cuales se administrará su derecho a la privacidad. La segunda razón utilizada por Schwartz para justificar los vacíos de consentimiento es que quien requiere la información, por lo general, tiene incentivos para mantener las políticas de privacidad tan difusas como sea posible. 43 39 The European Privacy Directive completed. Ob. cit. 40 En las líneas anteriores solamente he reseñado qué debe entenderse por cada requisito. Un análisis detallado de los problemas interpretativos a que pueden dar lugar estos requisitos puede encontrarse en Privacy Online Fair Information Practices in the Electronic Marketplace. A Report to Congress. Ob. cit. 41 Privacy and Democracy in Cyberspace. Ob. cit. p. 1682 42 Ibidem p. 1683 43 Se podría argumentar que en un mercado que funcione competitivamente quienes sólo quienes ofrezcan mejores condiciones sobrevivirán. Con todo, se podría responder que la transparencia es justamente el problema que se trata de endosar. 10

La falacia del consentimiento consiste en que para que el consentimiento tenga alguna relevancia para atar la libertad de los individuos precisa ser informado y valga el pleonasmo- voluntario. En una parte significativa de las transacciones llevadas a cabo a través de Internet esta condición no se cumple. 44 En resumen, como se sabe desde antiguo, el mercado en forma pura debe ser considerado solamente como un modelo típico-ideal de asignación de recursos y no en cambio como una respuesta definitiva. 45 La segunda aproximación al tema consiste en que la misma empresa se autorregule. Éste, como ya he indicado es el caso de los Estados Unidos de Norteamérica en lo referente a la regulación del avisaje electrónico. La regulación es llevada adelante a través de la formación de un grupo representativo de la industria la Network Advertising Initiative (NAI)- cuyo objetivo es desarrollar un marco regulatorio de la actividad de la industria del avisaje dedicada a la confección de PO. 46 La ventaja de la autorregulación consiste en evitar a la industria los costos que supone la regulación por parte del estado. El argumento funciona de la siguiente manera, si la industria es capaz de regularse por si misma y articular los principios a que se ha hecho mención más arriba por qué debe imponérsele una regulación que le resultará costosa de asumir y que se traducirá, finalmente, en los precios?. 47 Como puede advertirse la parte fundamental de este argumento reside en la suposición que contiene la primera parte del argumento, es decir que la industria es capaz de regularse a sí misma, donde esa capacidad denota la posibilidad de proteger el derecho a la privacidad. 48 En principio, puede afirmarse que la privacidad beneficia a todos los actores del sistema pues beneficia tanto a quienes proveen bienes y servicios a través de la red como a quienes los demandan pues genera aquello que Fukuyama ha denominado capital social y que, el mismo autor, utiliza para medir el éxito de un determinado entorno económico. 49 Con todo, aún cuando la protección de la privacidad beneficie tanto a productores como consumidores, del lado de la oferta particularmente si el mercado presenta niveles de opacidad importante- tiende a producirse una situación similar a la presentada en el dilema 44 Para advertir por qué sucede esto puede revisarse Privacy Online Fair Information Practices in the Electronic Marketplace. A Report to Congress. Ob. cit. 45 Esta constatación puede ser criticada afirmando que el mercado puede ser una respuesta definitiva cuando funcione competitivamente. De acuerdo, pero en este caso no funciona. 46 Ver Online Profiling: A Report to Congress. Part 2 Recommendations. Federal Trade Commission. Julio 2000. http://www.ftc.gov/os/2000/07/onlineprofiling.htm. Visitado 27/04/2001. 47 Salvo la última parte, este argumento ha sido sostenido por Mozelle Thompson, comisionado de la Federal Trade Commission en el Reporte al Congreso que se cita en supra nota 32. 48 Esta suposición, al menos en el caso de los Estados Unidos es fuertemente criticada. Ver Lessig, Larry, The Law of the Horse. P. 542 http://cyberlaw.stanford.edu/lessig/content/works/finalhls.pdf. visitado 05/01/2001. 49 Para comprender el concepto de capital social resulta necesario indagar primero que entiende Fukuyama por confianza. En sus propias palabras: (L)a confianza es la expectativa que surge dentro de una comunidad de comportamiento normal, honesto y cooperativo, basada en normas comunes, compartidas por todos los miembros de dicha comunidad (CONFIANZA [TRUST]: LAS VIRTUDES SOCIALES Y LA CAPACIDAD DE GENERAR PROSPERIDAD. Editorial Atlántida. Argentina, 1995). Por capital social Fukuyama entiende: la capacidad que nace a partir del predominio de la confianza, en una sociedad o en determinados sectores de ésta (loc cit). 11

del prisionero. 50 Aún cuando las empresas, como conjunto, obtendrían mayor beneficios si protegieran la privacidad de los usuarios, individualmente consideradas maximizan sus utilidades vulnerando el derecho a la privacidad de los usuarios. Puede argumentarse en contra de los que vengo sosteniendo afirmando que ésta es solamente una predicción que utiliza las herramientas conceptuales de la microeconomía y que, por lo tanto adolece de todas las críticas de que es susceptible este enfoque. Así formulada, la crítica es correcta, sin embargo, en este caso existen antecedentes empíricos que inmunizan el argumento recién esbozado contra este tipo de crítica. De esta manera, de acuerdo al Privacy Online Fair Information Practices in the Electronic Marketplace: La información obtenida en la Encuesta 2000 (...) demuestra que los esfuerzos de la industria no han sido suficientes. Toda vez que las iniciativas autorregulatoria emprendidas a la fecha han quedado cortas en la meta de implementar ampliamente programas de autorregulación, la Comisión ha concluido que estos esfuerzos solos no pueden asegurar que el mercado en línea como un todo seguirá los estándares adoptados por los líderes de la industria. En efecto (...) sólo un 20% de los sitios más concurridos de la World Wide Web implementan en alguna medida los cuatro principios de información justa (fair information) 51 en sus políticas de privacidad. Aún cuando sólo la Noticia y la Opción fueron consideradas. Menos de la mitad de los sitios encuestados (41%) cumple con los estándares relevantes. 52 La tercera y última opción para proteger el derecho a la privacidad es la regulación a través de la ley. Como ya se ha afirmado, ésta es la solución que ha adoptado la Comunidad Europea. Parece existir cierto consenso en que, al menos ciertos aspectos de la protección 50 El dilema del prisionero puede ser presentado de la siguiente forma: Dos sospechosos se confabulan para cometer un delito. La policía los captura luego de que el delito ha sido cometido, son llevados a la comisaría y puestos en celdas distintas de manera que no pueden comunicarse entre sí. Las pruebas de la fiscalía son tenues, de manera que si ninguno de los detenidos confiesa sólo podrán ser sancionados por faltas leves -tenencia ilícita de armas-, pasando noventa días en prisión. Si uno sólo confiesa y el otro no, aquel que confiese será sancionado con una pena de cinco años y un día y el que no será condenado a 30 días. Finalmente, si ambos confiesan serán sancionados con una pena de tres años y un día. Si ambos prisioneros utilizan como estrategia el maximin, es decir la menor cantidad de días que pueden estar seguros de conseguir (ver Davis, Morton, INTRODUCCIÓN A LA TEORÍA DE LOS JUEGOS. Alianza Editorial. España, 1986. P. 38) el resultado que obtendrán será inferior al que hubiesen obtenido colaborando entre los dos (para un desarrollo más claro que éste sobre el dilema del prisionero puede ser consultado Cooter, Robert & Ulen, Thomas, DERECHO Y ECONOMÍA. Fondo de Cultura Económica. México, 1998). En el caso de la empresa los costos de transacción involucrados en la identificación, negociación y vigilancia de los demás participante cumple el rol de la incomunicación en el dilema del prisionero. 51 Estos son los principios que hemos tratado más arriba establecidos por el Reporte al Congreso (ob. cit). 52 Ob. cit. p. 35 12

del derecho a la privacidad en Interrnet deben ser confiados a la protección legal 53. Como ha sugerido Schwartz, uno de los efectos de disponer de normas legales sobre privacidad es que, paradojalmente, éstas favorecen la autorregulación y la eficiencia de los mercados. Ahora bien, Thompson 54 está en lo cierto cuando afirma que una legislación que proteja la privacidad puede resultar extraordinariamente costosa para quienes planean desarrollar negocios a través de la red. En este mismo sentido, una legislación extraordinariamente exigente actúa como una barrera de ingreso para desarrollar el comercio electrónico. Se puede sugerir que lo deseable en este caso sería una legislación minimalista que, al menos garantizara un consentimiento real e informado por parte del usuario acerca del uso de sus datos personales. Redactada en términos de garantizar estas dos metas, la legislación capturaría aquella área en que el razonamiento económico y el jurídico convergen: la protección de las decisiones de los sujetos. En el primer caso por motivos de eficiencia y, en el segundo, por motivos de autonomía. ******** 53 Confiamos que esta conclusión se desprenda de lo expuesto anteriormente. Con todo, sobre lo mismo pueden ser consultados Privacy Online Fair Information Practices in the Electronic Marketplace (ob. cit) y Privacy and Democracy in Cyberspace. (Ob. cit). 54 Ver supra 40 13