Resumen

  • El borrador 2 proponía publicar, dos años después de cada solicitud de recursos aceptada, un resumen breve de la justificación presentada; la evaluación de AFRINIC indicó que unos 5.000 expedientes históricos ya habrían alcanzado ese plazo, pero que no existían resúmenes normalizados ni consentimiento de los miembros para publicarlos.
  • La evaluación jurídica publicada por AFRINIC sostuvo que la información intercambiada antes o durante el acuerdo de servicios era confidencial conforme al common law y que la revelación requería consentimiento expreso del miembro o una orden judicial. Esa fue la posición jurídica institucional de AFRINIC, no una sentencia.
  • Una recomendación del proceso de desarrollo de políticas puede definir una opción futura, pero no sustituye una autorización contractual vigente, el consentimiento específico de la persona afectada ni una orden emitida por una autoridad competente. El silencio durante treinta días tampoco es consentimiento expreso.
  • El argumento favorable más sólido es real: resúmenes comparables de decisiones pueden revelar criterios inconsistentes, excepciones ocultas o favoritismo. Sin embargo, esa rendición de cuentas puede lograrse mediante un recibo público mínimo de la decisión, sin abrir el expediente privado del solicitante.
  • Una solución legítima separaría las pruebas protegidas del registro público, aplicaría cualquier autorización solo hacia el futuro, permitiría corregir, retirar y sustituir información, registraría los accesos y prohibiría que negarse a una revelación no autorizada pusiera en riesgo derechos ya concedidos.

La colisión dentro del propio expediente oficial

El 9 de noviembre de 2021, Jordi Palet Martinez presentó la versión 2.0 de Publication of Information (Draft-2), identificada como AFPUB-2021-GEN-001-DRAFT02. La propuesta pretendía añadir un nuevo artículo 13.0 al manual de políticas de AFRINIC. Su idea central era sencilla de describir: una vez transcurridos dos años desde la aceptación de una solicitud de recursos, se publicaría un resumen breve de la justificación que había sustentado esa decisión. AFRINIC elegiría el lugar de publicación. El miembro recibiría aviso previo y podría reaccionar antes de que el texto se hiciera público.

Seis días después de la fecha de presentación que aparece en la página, el 15 de noviembre, figura la evaluación del personal. La historia de revisiones dice además que el borrador 2 se actualizó a partir de observaciones recibidas durante la evaluación de impacto. Esos datos no encajan en una secuencia documental completamente explicada por el material disponible. La conclusión prudente no consiste en inventar un orden oculto, sino en conservar las dos fechas: presentación el 9 de noviembre y evaluación mostrada el 15 de noviembre.

La incertidumbre sobre el proceso de producción del documento no altera la colisión sustantiva que la página oficial permite observar.

La propuesta deseaba una nueva capa de publicidad. La evaluación respondió que la organización custodiaba aproximadamente 5.000 solicitudes históricas que ya habían superado los dos años, que las razones de necesidad estaban dispersas en tiques de solicitud, que no existía un campo normalizado de resumen y que los miembros no habían dado permiso para publicar ese material. No era, por tanto, una operación mecánica sobre una lista preparada para ser abierta. Exigía volver a expedientes creados con otra finalidad, interpretarlos, resumirlos y decidir qué parte debía salir de la relación privada.

Ahí apareció el límite decisivo. Según la evaluación jurídica recogida por AFRINIC, la información de necesidad se había compartido en la fase precontractual y también podía encontrarse dentro de la relación regida por el acuerdo de servicios de registro. La evaluación afirmó que la información intercambiada antes o durante ese acuerdo era confidencial conforme al common law, y que no podía revelarse a terceros sin consentimiento expreso del miembro afectado o una orden de un juez. Añadió que el proceso de desarrollo de políticas no podía imponer unilateralmente esa revelación a cada miembro y concluyó que la propuesta carecía de solidez jurídica.

Esa formulación debe leerse con precisión. Es la posición jurídica que AFRINIC decidió publicar en su propia página. No es una decisión de un tribunal mauriciano, no resuelve por sí sola el alcance de todas las versiones históricas del acuerdo y no demuestra que cada dato imaginable esté protegido en cualquier circunstancia. Tampoco prueba que el borrador fuera adoptado, aplicado o utilizado para revelar información. El acto acreditado es la publicación del borrador y de las evaluaciones de personal y jurídicas que lo acompañan.

En el material examinado no hay una divulgación concreta, una víctima identificada, una infracción consumada ni daños cuantificados.

Esa cautela no debilita la importancia institucional del episodio. Al contrario, la precisa. Lo notable no es que un tribunal invalidara una política, pues no consta tal sentencia. Lo notable es que la propia organización señaló una separación entre lo que un foro podía recomendar y lo que jurídicamente podía hacer con los datos confiados por una contraparte. El caso permite estudiar una pregunta más estrecha y más útil que una controversia general sobre transparencia: ¿de dónde sale el derecho a divulgar?

Tres puertas, no una mayoría abstracta

Hay tres rutas de autorización que no deben confundirse. La primera sería un derecho contractual ya existente y redactado con claridad suficiente para abarcar el objeto concreto de la divulgación. Si el miembro aceptó de forma válida que un resumen definido se publicaría para una audiencia definida, en un momento determinado y con una finalidad identificada, el análisis empieza por ese texto y sus límites. Pero la evaluación indicó que AFRINIC no había solicitado acuerdo para publicar los resúmenes históricos y que los miembros existentes no habían consentido esa publicación.

La segunda ruta sería un consentimiento nuevo, expreso y específico. No basta con informar de que algo ocurrirá si el miembro no protesta. El consentimiento exige una acción afirmativa respecto del objeto que se va a revelar. También exige saber quién podrá verlo, cuándo, para qué se usará y qué efectos tendrá una negativa. La propuesta contemplaba un aviso tres meses antes, un borrador preparado para el miembro y un plazo de un mes para responder con texto alternativo o pedir, en ciertas circunstancias sensibles, una prórroga. Sin embargo, un procedimiento de aviso no convierte la falta de respuesta en autorización.

Treinta días de silencio pueden significar muchas cosas: que el contacto estaba desactualizado, que la notificación no llegó al decisor correcto, que la empresa necesitaba asesoramiento o que simplemente no aceptó. Ninguna de esas posibilidades es una expresión afirmativa de voluntad.

La tercera ruta es una orden vinculante emitida por un tribunal competente o por otra autoridad pública que actúe dentro de sus atribuciones. Esa ruta no depende de que el miembro quiera divulgar. Depende de una facultad pública reconocida, de jurisdicción y de las garantías que correspondan. Un proceso interno del registro no se transforma en esa autoridad por adoptar vocabulario deliberativo. La lista de correo no es una legislatura; el proceso de políticas no es una fuente autónoma de derecho público; el Consejo de AFRINIC no es un tribunal.

Escuchar al titular antes de que el Consejo decida sobre una objeción puede ser una garantía interna útil, pero no convierte esa decisión privada en una orden judicial.

Las tres puertas responden a fuentes distintas. El contrato expresa un compromiso aceptado dentro de la relación de servicios. El consentimiento posterior expresa una autorización particular del titular. La orden competente ejerce una potestad pública externa al acuerdo privado. El consenso comunitario, en cambio, puede mostrar que muchas personas apoyan una regla o que existe un problema de diseño. No prueba que el miembro cuya información será difundida haya autorizado la difusión.

Sustituir el consentimiento individual por el acuerdo de terceros sería cambiar la pregunta: de quién tiene el derecho a abrir el expediente a cuántos participantes prefieren que se abra.

Esta distinción importa especialmente en un registro regional de Internet. AFRINIC desempeña funciones técnicas esenciales como custodio de registros, proveedor de servicios a miembros y coordinador de recursos únicos. Necesita mantener unicidad, exactitud, datos de contacto, trazabilidad de cambios de control, coordinación relevante para la seguridad y continuidad operativa. Ese trabajo puede requerir que un solicitante entregue información detallada. Pero la necesidad de recibirla para decidir una solicitud no incluye automáticamente el derecho a publicarla después.

La finalidad de recopilación y la finalidad de publicación son actos diferentes y pueden exigir autorizaciones diferentes.

La evaluación citó la sección 4(d) del acuerdo de servicios, según la cual AFRINIC debía tratar los datos de los solicitantes de conformidad con las leyes aplicables de protección de datos y privacidad de Mauricio. El personal advirtió que publicar después de treinta días de silencio podía exponer a la organización a un posible incumplimiento de esa disposición. También aquí el verbo correcto es advirtió: no existe en el material una sentencia que declare producido el incumplimiento. La observación muestra, sin embargo, por qué el diseño basado en la inacción no resolvía el problema de origen.

Dar un aviso puede ser necesario, pero no crea por sí mismo el permiso que falta.

Lo que el episodio demuestra y lo que deja abierto

La página oficial acredita que el segundo borrador existió, que llevaba ese identificador, que propuso la publicación diferida y que AFRINIC difundió unas estimaciones y una evaluación jurídica. Permite atribuir a la organización la cifra aproximada de 6.500 recursos ASN, IPv4 e IPv6 emitidos desde 2005, así como la estimación de que alrededor de 5.000 ya habían alcanzado el segundo aniversario. Permite saber que el personal esperaba preguntas, aclaraciones, desacuerdos y trabajo adicional. Esas cifras son estimaciones institucionales, no el resultado de una auditoría independiente ni una medición de pérdidas.

La página no acredita que los participantes alcanzaran consenso, que la propuesta fuera ratificada, que se implantara un sistema de publicación o que saliera a la luz un solo resumen. Tampoco demuestra que una negativa provocara la pérdida de recursos, que el Consejo decidiera un caso concreto o que un miembro sufriera daños. Decir que el diseño creaba un riesgo jurídico y operativo es distinto de afirmar que ese riesgo se materializó. Mantener esa frontera evita que una crítica institucional se convierta en una acusación fáctica que las fuentes no sostienen.

La guía oficial de AFRINIC dirigida a autoridades policiales refuerza, desde otro contexto, la postura de confidencialidad de la organización: señala que está contractual y legalmente obligada a proteger la información no pública presentada por sus miembros. Esa declaración es relevante porque muestra coherencia con la preocupación expresada en la evaluación. No convierte toda pieza de información en confidencial por definición ni sustituye el análisis de una solicitud concreta. Sirve para establecer que la propia AFRINIC reconoce un deber de protección, incluso cuando una autoridad externa desea información.

El planteamiento de los miembros también merece una atribución cuidadosa. En una carta de Cloud Innovation del 7 de octubre de 2021, alojada por NRS, la empresa sostuvo que AFRINIC, como compañía privada, debía identificar la base en el acuerdo para imponer determinadas cargas y no debía presentarse como poseedora de poderes policiales continentales sin intervención judicial. Esa era la posición de una parte, no una conclusión de un tribunal, y la carta no prueba que el borrador 2 se aplicara.

Su valor aquí es estructural: obliga a preguntar por el título jurídico de la exigencia, en vez de presumir que el control de una base de datos técnica concede una potestad regulatoria general.

La respuesta institucional correcta no exige negar que la comunidad tenga algo importante que decir. Un foro de políticas puede detectar opacidad, comparar experiencias, proponer formatos y recomendar términos para relaciones futuras. Puede identificar que la falta de información pública debilita la confianza. Pero su competencia deliberativa no es soberanía. AFRINIC no es legislador, regulador público, policía, fiscal, sancionador, confiscador ni tribunal de derecho público. Su región de servicio no es territorio estatal. Su capacidad técnica para actualizar registros no amplía el catálogo de poderes jurídicos de la organización.

Ese es el núcleo de la colisión: el borrador trató la publicación como una consecuencia de una regla colectiva, mientras que la evaluación identificó una relación confidencial que requería una fuente de permiso distinta. La transparencia puede ser un objetivo legítimo. El consenso puede ser un método legítimo para diseñar servicios. Ninguno de los dos fabrica un derecho de divulgación que el contrato y el derecho ordinario no conceden.