Todo el mundo sabe que cuando un dato está en ´la nube`, en realidad reside en la corteza terrestre, en un servidor cuya ubicación no siempre se revela a los interesados. Lo que no todos conocen es la respuesta a otras preguntas elementales: ¿están los datos sometidos a la legislación del país donde se ubica el servidor? ¿tienen los estados ´anfitriones`, o los de residencia del ´huésped`, derechos de acceso a esa información? ¿corre algún riesgo la integridad de los datos y la intimidad de los usuarios? Y así, sucesivamente muchas más. Porque, en la práctica, la vertiginosa expansión del cloud computing ha abierto un sinfín de nuevas cuestiones legales que inevitablemente han pasado a primer plano.
Brad Smith
Brad Smith, veterano director de los servicios legales de Microsoft, ha visto juicios de todos los colores. Vuelve ahora al estrellato, con la misión de defender ante la Corte Suprema de Estados Unidos el punto de vista de la compañía en un litigio con el departamento de Justicia. El desenlace será trascendente para toda la industria de las TI, para sus clientes y también para el delicado equilibrio de relaciones con la Unión Europea.
Está en juego otro de esos desfases cada vez más notables entre las realidades creadas por la tecnología y su tratamiento legislativo con normas vetustas. Los nueve miembros del alto tribunal deberán interpretar definitivamente si una ley de 1986 – la Storage Communications Act – es aplicable para obligar a Microsoft a entregar al departamento de Justicia datos que se encuentran alojados en los servidores de su centro de datos en Irlanda.
En origen, el contencioso se remonta a 2013, cuando el departamento de Justicia exigió a Microsoft la entrega del correo electrónico de una cuenta presuntamente relacionada con tráfico de drogas en Estados Unidos; un primer juez validó esa exigencia y Microsoft cumplió sólo parcialmente la sentencia, negándose a entregar los datos alojados fuera de Estados Unidos. En 2016, un tribunal de apelaciones dio la razón a Microsoft. Esta decisión es la que ahora debe revisar SCOTUS (acrónimo con el que se conoce oficialmente a la Corte Suprema de Estados Unidos).
Entretanto, Estados Unidos ha desarrollado y domina un sector, los servicios cloud, cuyo valor se estima en 250.000 millones de dólares, al que empiezan a asomarse los competidores europeos pero sobre todo chinos. Brad Smith y su equipo de abogados sostienen que si Microsoft fuera obligada a entregar los datos extraterritoriales, sus clientes extranjeros – y por extensión los de Amazon, Google, etcétera – perderían toda confianza en que esos activos están en buenas manos.
Un punto central es la extraterritorialidad de los datos. Afirma Microsoft que los materiales cuya entrega le reclama el gobierno están sujetos al derecho comunitario europeo y la jurisdiccion irlandesa. Por lo tanto, la ley de 1986 no sería aplicable. En todo caso – puntualiza su documento – correspondería a los legisladores, no a los jueces, atacar la raíz del problema, dice el documento en una de sus frases más rotundas: «sólo el Congreso tiene la autoridad y los instrumentos para reescribir la norma equilibrando la realidad del siglo XXI y los intereses de Estados Unidos en su relación con otros países, con la privacidad de nuestros ciudadanos y la competitividad de nuestra industria tecnológica».
Un grupo de legisladores de ambos partidos ha presentado un proyecto de ley, que pretende subsanar la cuestión de la extraterritorialidad de los datos. En un alarde de ingenio, el nombre del artefacto legal se ha acomodado para que responda al nombre de CLOUD (Clarifying Lawful Overseas Use of Data) Act. Sin embargo, pese a tanta diligencia, no está claro que las batallas políticas de esta legislatura permitan sacar adelante el intento de ´clarificación`.
El senador Orrin Hatch, coautor del proyecto, explica que su objetivo es alentar el desarrollo de un marco legal suficientemente claro para que las compañías tecnológicas puedan cumplir con sus obligaciones como buenas ciudadanas: «estamos ante un problema apremiante en un mundo en el que los datos se almacenan no se sabe dónde y las empresas se ven envueltas continuamente en conflictos legales de diversa índole acerca de su tratamiento». Según Hatch, CLOUD Act debe entenderse como «una invitación» a gobiernos extranjeros a negociar acuerdos bilaterales con el de Estados Unidos.
En este contexto endiablado, el departamento de Justicia prefiere negar la mayor: en su alegato ante el Supremo cuestiona la sinceridad de Microsoft porque los empleados de esta gestionan directamente desde Estados Unidos los centros de datos de la empresa que «sólo físicamente se encuentran en suelo extranjero».
Se trata del enésimo enfrentamiento entre una empresa tecnológica y las autoridades estadounidenses, que esgrimen respectivamente el respeto a la privacidad de sus clientes o la seguridad nacional. El departamento de Justicia y los fiscales consideran que la sentencia de 2016 ha obstaculizado la investigación de delitos como el narcotráfico y la pornografía infantil, por lo que desbloquear correos y evidencias electrónicas es indispensable para la investigación. Es cierto que hay instrumentos diplomáticos, regidos por tratados de asistencia legal recíproca, que permiten solicitar a contrapartes extranjeras la colaboración para compartir datos relativos a actividades delictivas, pero son tan lentos que resultan ineficaces, aducen las autoridades.
Microsoft, apoyada en esto por Google y otras compañías, consideran que se les pone en una situación insostenible, atrapados entre consideraciones de seguridad nacional y su obligación de cumplir las leyes de los países donde operan. Aunque formalmente el asunto estaría limitado a Estados Unidos y sus ciudadanos, pone en evidencia que el concepto jurisdiccional es cuestionable en esta era de redes globales. Si cumplir las leyes de un país significa violar las de otro, la consecuencia no puede ser buena para los negocios.
De la sentencia que se espera en junio, podría depender en el futuro cómo se optimice el almacenamiento cloud y cómo se implementen las bases de datos. Así, por ejemplo, las prácticas de administración de red de Google suelen dividir los datos de un solo archivo de cliente en fragmentos que son movidos dentro de su red transnacional.
Entre incontables matices jurídicos, no se puede tomar a la ligera el argumento de que, si el fallo fuera favorable a Microsoft, una de las consecuencias podría ser que los delincuentes estadounidenses almacenaran sus datos fuera del país para eludir su incriminación.
Los organismos de la UE y las empresas europeas están muy pendientes de este caso. En vísperas de entrada en vigor del complejo Reglamento General de Protección de Datos (RGPD), temen que la decisión de la más alta instancia judicial estadounidense pueda crear otra fuente de conflicto en una larga estela de recelos mutuos.
En cierto sentido, el caso trae a la memoria la incomodidad creada por las filtraciones del prófugo Edward Snowden, hoy refugiado en Moscú, quien en 2013 reveló la cooperación clandestina entre compañías tecnológicas y los servicios de inteligencia de Estados Unidos para obtener información mediante puertas traseras. De entonces data una desconfianza que lastra las relaciones entre Bruselas y Washington.
[informe de Arantxa Herranz]