31 / 01 / 2012

Investigacion

SUBE, CuitOnline y el drama de las bases de datos en la Argentina

ILEGALIDADES PRIVADAS E INSEGURIDADES PÚBLICAS

El pasado 28 de enero, Tribuna de Periodistas dio cuenta sobre la subrepticia publicación de los datos personales de 1.000 usuarios de las tarjetas SUBE en la que un grupo —presuntamente vinculado a Anonymous— se dispuso a probar el monitoreo de la población y la existencia de esta información sensible al alcance de cualquiera.

Sin embargo, el caso de SUBE podría ser solo la punta del iceberg de una gran cantidad de información personal que estaría circulando en manos equivocadas. Se trata de la existencia de ciertos sitios web destinados a proveer datos que constan en registros o bancos de datos públicos o privados sin que la persona al respecto tenga conocimiento.

Una de las páginas web en cuestión es cuitonline.com, portal que reza como slogan: “La manera más sencilla de encontrar el CUIT que buscás”. Y es verdad, allí no hay más que ingresar el nombre o DNI de la persona para acceder a su número de CUIT, luego de transcribir un código CAPTCHA. Pronto, se despliega una copia de la constancia de inscripción en la AFIP (donde figura CUIT, nombre completo, DNI y domicilio fiscal), deudas contraídas con Banco Central y la posibilidad de acceder a otros “informes avanzados”, para lo cual deberemos dejar una dirección de email. El sitio, que funciona desde 2009, está registrado en Estados Unidos y no tiene un responsable que pueda identificarse.

Si bien los datos son públicos y figuran también en sitios web como los del Banco Central y la AFIP, cuitonline.com se trata de un sitio privado que provee información pública, por lo tanto la pregunta que surge es: ¿Se puede considerar legal esta divulgación irrestricta?

Según le explicó a Tribuna el abogado Gustavo Tanús, especialista en cuestiones jurídicas vinculadas con la informática, la privacidad y las tecnologías de la información y las comunicaciones, este tipo de actividad es totalmente ilegal. “Al sitio del Banco Central se ingresa con número de CUIT y allí despliega la situación de deuda de la persona, se trata de un organismo público que facilita datos públicos. A cuitonline.com se ingresa sólo con DNI o nombre para conocer su CUIT, el procedimiento es el inverso y se provee información de los habitantes de todo el país, que si bien es pública, es delicada por tratarse de un sitio privado. Acá la pregunta es cómo este sitio obtuvo esos datos”, reveló Tanús.

Según la Ley de Hábeas Data, el tratamiento de datos personales es ilícito cuando el titular no hubiere prestado su consentimiento libre, expreso e informado. No se necesita tal consentimiento cuando la información se limite a nombre, documento nacional de identidad, identificación tributaria o previsional, ocupación, fecha de nacimiento y domicilio; siempre y cuando se informe debidamente sobre la finalidad de los mismos.

“Es totalmente ilícito. Para que no lo sea, el sitio debe estar registrado e inscripto en el Registro Nacional de base de datos, aclarando su finalidad”, explica el especialista, y ejemplifica: “El padrón publica los datos sin mi consentimiento, pero tiene una finalidad y es la del conocimiento libre y público de dónde voto, esa información es publicada de manera temporal.”

Sin embargo, cuitonline.com no es el único sitio en proveer información pública. Sepalo3.info, es otro portal a través del cual —con un mecanismo parecido— se accede a información que según la legislación vigente es considerada “sensible”. “Ese sitio es aún peor, la vez que me busqué a mí mismo figuraban todos mis datos, mi apellido materno, el cual nunca usé ni dejé asentado en ningún lado y una dirección en la que ya no vivía”, contó el abogado. Y aún hay más, el sitio brinda dominio de chapas, patentes y “datos útiles o inútiles aportados por los propios usuarios de sepalo.info”, entre los que se encuentra la posibilidad de saber si la persona tiene antepasados judíos.

Según Tanús, aquí no solo está en juego la privacidad y el control de datos, que si bien son públicos, no pueden estar en poder de cualquiera para cualquier uso, sino que también se trastoca una problemática de competencia desleal, por ejemplo, con sitios registrados que cobran para proporcionar ese tipo de información, como el Veraz o Nosis que sí están registrados y cobran por su servicio.

La ley deja en claro la posibilidad por parte de cualquier particular de exigir la supresión, rectificación, confidencialidad o actualización de estas bases de datos, y cuitonline.com lo permite; eso sí, nos piden "fotocopia certificada ante escribano del DNI de la persona a remover".

Este medio trató de comunicarse con la única vía de contacto que figura en el sitio: una dirección de email desde la cual no se obtuvo respuesta alguna.

En la Argentina, la protección de los datos personales se ha transformado en una gran nebulosa, no solo por permitir que bases públicas lleguen a manos privadas, sino porque siendo públicas no han sabido garantizar la seguridad informática necesaria para evitar algún ilícito.

A fines del año pasado, el sitio de Internet donde uno podía renunciar a los subsidios estatales, demostró sus fallas al exponer en esa nómina los nombres, entre otros, de Néstor Kirchner y Emilio Massera. La conexión entre el usuario y el servidor no estaba encriptada y cualquiera podía ingresar datos falsos, renunciar en nombre de un tercero, o bien robar la información que se ingresaba.

El sistema de las tarjetas SUBE, que exige innecesariamente proveer número de DNI para poder acceder a ella, también es frágil. Con solo el número de la tarjeta puede conocerse tipo de transporte, línea, lugar de origen, costo del viaje y el saldo de la tarjeta del usuario. El costo a pagar por que alguien ajeno sepa sus horarios de viaje y lugares que frecuenta, parece demasiado alto en una Argentina cada vez más insegura.

“Si al comprar un boleto de colectivo no me piden DNI, ¿por qué me lo piden para la tarjeta SUBE? Acá lo que hay conocer es la finalidad de la recolección de estos datos personales, y en cuanto a SUBE las explicaciones oficiales no han sido suficientes”, agrega Tanús.

El sitio de Rentas tampoco se destaca por su seguridad. Si uno quiere consultar la deuda de su patente, la página le pide el dígito verificador que se encuentra en la factura, el cual tiene una secuencia lógica tan accesible que hasta puede encontrarse en el sitio Taringa!, a disposición de todo aquel que quiera averiguar los datos de rentas de un vehículo en particular.

“Las patentes de las motos son tres números y tres letras. Al revés de los autos (tres letras y tres números) Al poner los datos de mi moto al revés me encontré que el mismo dígito verificador me arrojaba los datos de un Volkswagen Gol”, cuenta a Tribuna Diego Gentilezza.

Mientras tanto, particulares, empresas de riesgo crediticio, compañías financieras de baja estofa, prestamistas y hasta servicios de inteligencia estatales y privados, consumen este tipo de bancos de datos con la información más importante de los argentinos. 

 

Eliana Toro
Twitter: @toroeliana

 

Comentarios: RSS de este artículo