Resumen

  • Draft 2 de la propuesta regional de privacidad fijaba seis meses como periodo general de conservación de datos personales. Añadía una excepción de hasta doce meses después de terminar un Registration Service Agreement para datos necesarios con fines financieros y permitía conservar como registro histórico ciertos datos de asignaciones que hubieran sido públicos durante al menos un mes.
  • Antes de transferir datos personales a otro país, el texto exigía una evaluación disponible al público sobre cinco materias. También proponía un registro público de metadatos de las transferencias. No especificaba quién debía aprobar la evaluación, qué resultado autorizaba el envío, cómo se coordinaba con la autorización prevista en el marco mauriciano ni qué debía ocultarse para no crear otra exposición.
  • La propuesta tenía una intuición valiosa en el punto de entrada: AFRINIC no debía recopilar de un solicitante datos capaces de identificar a más de una cuarta parte de los usuarios a quienes este hubiera asignado espacio IP. Ese techo intentaba contener una demanda privada de información sobre clientes. Sin embargo, no explicaba cómo calcular el denominador, cuándo medirlo ni por qué una cuarta parte era necesaria.
  • AFRINIC-17 discutió el texto el 28 de noviembre de 2012. Las actas oficiales registran objeciones sobre la claridad del problema y sobre la frontera entre política y ley mauriciana. La copresidencia declaró que no había consenso y devolvió la propuesta a la lista; el archivo registra después su retirada. Nada de ese historial permite decir que Draft 2 se adoptó, se aplicó o rigió una práctica posterior.
  • La salida duradera requiere dos capas conectadas: una regla de recursos numéricos que limite de manera exigible la evidencia que el registro puede pedir para una decisión concreta, y un programa corporativo separado, sometido a la ley, que gobierne inventarios, finalidades, conservación, borrado, seguridad, proveedores, transferencias, incidentes y derechos de las personas.

La frase central de Draft 2 cabía en una línea: el periodo de conservación de los datos personales sería de seis meses. Su aparente sencillez era también su principal debilidad. Un reloj uniforme solo funciona cuando se sabe qué pone en marcha la cuenta, qué dato está dentro, para qué se recogió, qué obligación puede exigir conservarlo y qué prueba demuestra su eliminación. El texto no resolvía ninguna de esas cuestiones. Tampoco decía si una actualización reiniciaba el plazo, si las copias de seguridad seguían el mismo calendario o si un dato utilizado para dos finalidades tenía un único vencimiento.

La regla transfronteriza era igual de concreta en su forma y más abierta en su funcionamiento. El borrador prohibía transferir datos personales a otro país sin una evaluación pública de la naturaleza de los datos, la finalidad y duración del tratamiento, los países de origen y destino final, la ley del país receptor y las reglas y medidas de seguridad observadas allí. Esa lista hacía visible un riesgo que no podía despacharse con la palabra «proveedor». Pero publicar una evaluación no equivale por sí mismo a obtener una autorización competente, establecer una base jurídica o asegurar una reparación si algo sale mal.

Draft 2 no identificaba al evaluador, al decisor ni el umbral que convertía el examen en permiso.

La posición institucional de AFRINIC define el análisis. AFRINIC es una empresa privada mauriciana que lleva un registro regional y coordina recursos numéricos. Puede mantener la unicidad, la exactitud de los asientos, la identificación funcional de los titulares, los contactos necesarios, determinados datos de seguridad y la continuidad del servicio. No es un Estado, un legislador, un regulador, una policía, una fiscalía, un órgano sancionador, una autoridad confiscatoria ni un tribunal. Una discusión abierta, una lista de correo o un consenso de participantes no crea esas potestades.

La dependencia técnica de una base de datos tampoco las crea.

Esa realidad permite separar dos preguntas que Draft 2 reunía. La primera es qué evidencia puede exigir un registro a quien solicita recursos numéricos. Aquí una política comunitaria estrecha tiene una función legítima: puede obligar al coordinador a explicar qué decisión está tomando, qué hecho prueba cada documento y por qué no basta una evidencia menos intrusiva. La segunda pregunta es qué hace la empresa con los datos después de recibirlos.

Ahí entran la base jurídica, el inventario de sistemas, los calendarios por finalidad, los accesos, los encargados, los traslados internacionales, la seguridad, el borrado y la rendición de cuentas ante autoridades competentes. Es gobierno corporativo de datos, no legislación producida por un foro de política numérica.

El destino formal del borrador debe permanecer a la vista. Subramanian Moonesamy lo presentó a distancia en AFRINIC-17, en Jartum, el 28 de noviembre de 2012. Las actas resumen intervenciones que cuestionaron el problema planteado y señalaron el papel de la ley del lugar de constitución de la empresa. La copresidencia constató la falta de consenso. El archivo fecha la retirada el 29 de noviembre, mientras el informe anual sitúa la retirada en diciembre. La discrepancia no debe rellenarse con una conjetura. Lo seguro es más limitado: hubo propuesta, presentación, falta de consenso y retirada. No hubo adopción mediante ese proceso.

Leer el texto con precisión evita dos errores opuestos. El primero sería tratarlo como una política operativa y juzgar supuestos resultados que las fuentes no muestran. El segundo sería desecharlo porque no prosperó y perder la advertencia que contenía. Un registro privado situado en un punto de paso necesario puede pedir demasiado, y la persona o empresa que necesita una decisión sobre recursos puede no tener una alternativa práctica. El límite correcto empieza ahí, en la puerta de la evidencia. Pero no termina con un número universal aplicado a toda la vida de los datos.