El que no sienta garantías, ¡que no se registre!

Ya tendríamos cámaras de vigilancia en Transmilenio, la DIJIN podría contar con años de experiencia en reconocimiento facial y en los estadios se estarían identificando a los barras bravas, pero no es así. Esos sistemas no existen o apenas arrancan. No porque sea una tecnología invasiva y que pone en riesgo derechos humanos, sino porque no funcionaron. Los sistemas se contrataron sin tener las bases de datos para comparar la imagen facial de la persona que querían identificar. Pero eso es historia. La Registraduría ya cuenta con la base de datos y está haciendo “pruebas de concepto” en proyectos con privados.

El reconocimiento facial consiste en una herramienta que autentica que haya suficientes coincidencias entre una imagen del rostro de una persona que queremos identificar y otra imagen, que está en una base de datos que sirve de referencia. A pesar de las alertas sobre el hecho de que el reconocimiento facial es una forma de identificación biométrica muy intrusiva, que facilita mecanismos de vigilancia masiva y afecta el ejercicio de derechos humanos, esta se desarrolla sin debates legislativos y en ausencia de discusiones públicas. Crece basada en el imaginario de que es una tecnología “segura” que evita “fraudes” sin mostrar evidencias comparativas, ni hablar de los errores, sesgos y críticas.

Pero, en Colombia, esto se desarrolla con el protagonismo de la Registraduría Nacional del Estado Civil. Desde los años 90 la Registraduría administra el sistema de identificación nacional. Desde 2012, usa huellas digitales y presta el servicio de autenticación a diferentes actores públicos -con acceso privilegiado para la fuerza pública- y como negocio con los privados que pagan por él -como en las notarías-.

En 2018, en silencio, la Registraduría incorporó el reconocimiento facial. Es decir, creó la base de datos de fotos que permite unir rostros con las identidades de las personas en sus registros. En 2020 lanzó la cédula digital que le garantiza un permanente, universal y obligatorio registro de esos rostros. Finalmente, en 2021 contó que ya tenía la plataforma para darle servicios a terceros, para que autenticar la identidad de una persona -mediante el reconocimiento facial- sea un proceso automatizado, masivo. Todo esto ha costado mucho dinero y la dependencia del proveedor es un tema en sí mismo.

Pero además les cuento que no existe un marco legal para esto. No hay un análisis de impacto de derechos, de riesgos o de críticas. Mientras que en el congreso de EE.UU. está en discusión una ley para decretar la moratoria del reconocimiento facial, acá, sin discusión -en medio del afán-, la reforma al Código Electoral incluyó el artículo 44 para autorizar a la Registraduría a usar “todo tipo de biometría” para identificar y autenticar personas. Lo que faltaba: el cheque en blanco.

Los datos biométricos son datos sensibles -cuyo tratamiento puede afectar derechos como la libertad de expresión, la intimidad y la dignidad de los titulares de los datos-. Por eso, la ley obliga a contar con autorización expresa e informada de sus titulares. En casos especiales, de interés público, se puede evitar, pero requerirá la habilitación de una ley estatutaria -que cumpla las garantías del habeas data y requisitos de proporcionalidad-.

La ley electoral será estatutaria pero no cumple con el resto de los requisitos. En Karisma, donde trabajo, explicamos a la Corte -en el proceso de revisión de constitucionalidad de la ley- que no se puede girar ese cheque para cualquier biometría y cualquier finalidad.

La situación actual en todo caso es que aparecerán más y más aplicaciones en el Estado para reconocimiento facial que ya no serán fallidas. Además florecerá el negocio de servicios para esa entidad, que por su monopolio en la identificación nacional competirá con ventaja con los privados, que ofrecen cosas similares. Las opciones son infinitas, insospechadas y peligrosísimas a menos que la Corte haga un análisis que le ponga freno.

Mientras tanto esta semana empiezan las pruebas de la aerolínea Viva para implementar el reconocimiento facial usando la base de datos de la Registraduría, con el fin de acelerar el proceso de ingreso de pasajeros. Empezando por lo básico, si la Registraduría maneja olímpicamente nuestros datos, tampoco sorprende que en este modelo de “ensayo-error” el socio también sea alegre. No tiene política sólida de manejo de los datos y tranquilamente responde que entregas tu consentimiento en el aeropuerto. Me surgen muchas preguntas sobre esta alianza, sobre lo que están pensando en la Registraduría acerca de la relación entre su función pública y el negocio, sobre los riesgos, sobre la seguridad digital, etcétera.

¿Si diariamente le damos nuestros datos a Facebook, por qué no a la Registraduría, si esto nos va a facilitar y agilizar la vida? Siendo ambas preocupantes, no podemos comparar. La relación de poder y afectación de derechos de una y otra es muy diferente. No tenemos la obligación de darle los datos a Facebook, pero sí a la Registraduría. Derechos como el del voto, la salud y la educación dependen de que la Registraduría tenga nuestros registros y la respalda el aparato represivo del Estado.

Frente al poder del Estado un mecanismo de control es nuestra intimidad. Entre entidades públicas no puede compartirse libremente los datos de las personas, ni tienen que saberlo todo sobre ellas -solo lo necesario para prestar el servicio y con las debidas precauciones y garantías-. Son los Estados autoritarios los que quieren y tienen poderes para saber todo sobre su gente y así tener control, sin controles, sobre la gente.

Nuestro sistema legal tiene controles, pero no se han trasladado a la implementación de la tecnología y la Registraduría los ignora mientras -además- las autoridades se dan por no enteradas, incluso en esta mezcla de función pública y negocio.

Entonces, piense una vez más e imagine el poder qué está acumulando la Registraduría. Ella decide hoy, sin criterios públicos, quién, para qué y con qué profundidad (plástico, huella y/o rostro) puede identificar y autenticar a personas en Colombia. Y, si protestamos, el Registrador podría decirnos ¡El que no sienta garantías, pues que no se registre! (¡Plop!)