Hablando sobre los límites de la videovigilancia en La Nueva España

Elena Menéndez, redactora en La Nueva España, me escribía el miércoles pasado para trasladarme algunas preguntas respecto a la decisión del Principado de Asturias de instalar unas cámaras de videovigilancia en los transportes públicos (ES) con la idea de minimizar el acoso y los delitos de tinte sexual.

Un tema un tanto conflictivo, ya que como le comentaba a la periodista, tiene muchas lecturas distintas que afectan de diferente modo a la seguridad y privacidad de los ciudadanos, y cuyas respuestas le han servido para publicar estos días una pieza al respecto (ES).

Así que como suelo hacer habitualmente, te dejo por aquí mis respuestas a las preguntas que me trasladaba Elena.

¿En qué entornos hay cámaras de videovigilancia? ¿Podrían, en plan peli, controlarnos desde que salimos de casa hasta que volvemos a entrar?

¡Ay Elena!, ya hace tiempo que algo así dejó de ser ciencia ficción. En toda China, por ejemplo, existe una suerte de centralización de sistemas de tratamiento de datos compuesto por millones de videocámaras (tanto privadas como públicas) conectadas con los ficheros de la policía.

De hecho, en los próximos meses se está planteando la creación de un sistema de rating crediticio (EN) al más puro estilo del Reminder de la lista de relatos distópicos que un servidor lleva años escribiendo. Un sistema en el que cada ciudadano tiene una puntuación que viene dada por «el civismo» que demuestra en el día a día. Y esta puntuación servirá de acceso a servicios públicos tales como el uso del transporte ciudadano o la capacidad de pedir una hipoteca.

Una sociedad que a ojos de un occidental parece sacada de las peores pesadillas de George Orwell, y que sin embargo, se postula por ser la próxima potencia mundial ya no solo económica, sino también tecnológicamente hablando.

Realmente el escenario que planteas es real y posible. Ahora bien, en el Principado de Asturias es más bien poco probable, jeje. 

Y lo es no solo por la capacidad que tiene el gobierno y el tejido tecnológico y social que existe en Asturias, sino porque Asturias pertenece a España, y España pertenece a Europa, quizás el lugar del mundo más proteccionista de cara al usuario.

Que aquí, por defecto, algo innovador está prohibido hasta que esté convenientemente regulado. El actual GDPR, e incluso la Constitución, deja muy claro que ante todo una persona tiene derecho a la intimidad. Un derecho que únicamente se puede saltar bajo petición judicial, lo que lleva un proceso largo y debe hacerse de forma individual.

A lo sumo, podría llegar a ocurrir que el día de mañana estos sistemas, cada vez más habituales en grandes urbes, acaben sirviendo de ojos a alguna herramienta de espionaje masivo/control ciudadano. Actualmente está claro que algo así en Europa parece poco probable, pero vaya, que la legislación cambia, y bien sabemos que existen otros intereses estratégicos que operan al margen de la ley.

Eso, o que sean sujeto de algún ataque externo, como comentaré más adelante.

¿Cómo se tratan los datos obtenidos por estas cámaras?

He intentado buscar información sobre el proyecto más allá de la que ha dado Guillermo Martínez, el consejero de Presidencia y Participación Ciudadana, y al menos yo no he visto nada.

Pero podemos hacernos una idea de que el sistema que van a implantar en Asturias será bastante parecido al Sistema VEA (ES/PDF) que tienen implementado gran parte del parqué móvil de la EMT en la capital española.

Básicamente, este sistema está continuamente grabando en bucle hasta que el conductor del autobús acciona el llamado «Pisón de Alarma». En ese momento, las cámaras envían la información a la Central Receptoras de Alarmas, que verán la imagen en tiempo real y se inicia, según la situación frente a la que estemos, los protocolos de emergencia adecuados.

Es decir, entiendo que hablamos de un sistema que estará grabando por defecto, almacenando durante X meses/años dichas grabaciones por si en el futuro hay una petición judicial, y posiblemente cuente con un sistema de alerta en tiempo real como el comentado.

Sobra decir que cualquier ciudadano puede pedir ante el organismo oportuno (deberá estar bien informado en las marquesinas y en el propio vehículo) su derecho a que el contenido de los vídeos donde aparezca sean eliminados.

Las cámaras de videovigilancia, ¿son hackeables?

Es el segundo punto que te comentaba arriba.

Hablamos de un sistema con cámaras de videovigilancia conectado a la nube. Ergo, es hackeable.

Sin ir más lejos, hace tiempo demostré cómo utilizando Shodan (para que nos entendamos, una especie de Google que en vez de mostrarte páginas web te muestra servidores) era posible navegar por miles de cámaras de videovigilancia, tanto caseras como de locales, que estaban expuestas en Internet. Sin hackear nada, ojo, simplemente porque el dueño las había colocado ahí y ni siquiera se había molestado en parametrizarlas.

Es de sentido común pensar que algo así no ocurrirá con las cámaras de estos vehículos. Que tomarán las medidas oportunas para segurizarlas. Pero vaya, que en esta vida no existe nada 100% seguro. Con tiempo y recursos todo activo digital es susceptible de ser atacado.

El problema con esto es que si los que están detrás tienen unos fines más allá de simplemente jactarse de que han sido capaces de comprometer el sistema de videovigilancia del Principado de Asturias, es probable que nos enteremos cuando el mal ya esté hecho.

De ahí la importancia de pasar auditorías periódicas, de apostar por la seguridad en todos los ciclos de desarrollo de un sistema, y no solo como «un añadido que sale caro» a la hora de entregarlo al cliente, sea el Consorcio de Transporte o la Administración Pública.

¿La intimidad de las personas está en riesgo con la nueva era tecnológica?

No sé si decir que está en riesgo es lo más adecuado. Lo que está claro es que los límites entre lo que debe ser privado y público se van a ver forzosamente difusos.

Algo que no debería sorprendernos. Un servidor mismamente hace unos años hubiera estado 100% seguro que jamás utilizaría un sistema en la nube para subir automáticamente todas las fotos que hago con el smartphone. Y hoy en día utilizo Google Photos…

Simplemente la idea de privacidad y de seguridad se va a ir moldeando con el paso del tiempo.

¿Estamos dispuestos a entregar parte de nuestra privacidad en favor de una mayor seguridad? Pues me consta que buena parte de la sociedad está de acuerdo.

Ahora bien, me parece importantísimo que los ciudadanos sean conscientes de lo que están sacrificando. Este sistema tiene como fin luchar contra el acoso y los delitos de género que al parecer se producen normalmente en los vehículos nocturnos del Principado. Gracias a este sistema, y por el simple peso de saber que existe un «Gran Hermano» que nos vigila, presumiblemente bajarán los delitos. Pero a cambio, tenemos que ser conscientes de que por sí solo este sistema no es dañino para nuestra imagen. Pero este sistema junto con todos los sistemas de videovigilancia pública de los edificios oficiales y bancos, y junto a todos los sensores que tiene el smartphone que llevamos el bolsillo y los smartphones que llevan todos alrededor nuestro en el bolsillo, se vuelve de facto una herramienta que en buenas manos puede, como es el caso, reducir por ejemplo el impacto de los atascos. Pero que en malas manos puede servir para identificar personas entre una multitud. Sea porque esa persona en efecto ha cometido un delito y un juez, después de analizar el caso, ha decidido que debe estar en prisión. Sea porque esa persona, por la razón que sea, es molesta para un gobierno o un colectivo específico. O porque es negra. O porque es homosexual…

¿Entiendes por dónde voy, verdad?

Amazon fue muy criticada por desarrollar un sistema de reconocimiento facial muy potente que vendió a varios gobiernos para localizar a sospechosos porque todos viviríamos controlados, ¿vamos camino de esto en España?

En España hemos tenido acercamientos bastante peligrosos a este tema. Hace unos años por ejemplo se dio a conocer la existencia de una herramienta denominada Evident X-Stream, desarrollada por BAE Systems, y que tenía entre sus clientes a países como España e Italia.

La herramienta funcionaba como un sistema masivo de espionaje, interceptando paquetes de datos enviados en comunicaciones de los ciudadanos, categorizándolos y más tarde analizándolos.

El objetivo, al menos de puertas hacia fuera, era velar por la seguridad nacional. Exactamente lo mismo que la NSA americana.

La realidad es que mientras tanto se estaba atacando al derecho de intimidad de millones de personas. Millones de ciudadanos que estábamos siendo espiados sin que hubiera una orden judicial de por medio.

Y como expliqué en su día, lo peor de todo es que estos sistemas no sirven para acabar con los malos de verdad. Sí tú o yo somos cibercriminales, ¿crees que vamos a enviarnos un email desde una bandeja de correo normal? Utilizaremos canales alternativos que no dejan rastro, o cuyo rastro es tan difícil de seguir que en la práctica podríamos considerar que es irrastreable.

Ahí está el problema, y por eso noticias como la de Amazon, o la reciente de Google con su colaboración con el Departamento de Defensa de los Estados Unidos (ES), son tan criticadas en occidente.

Sencilla y llanamente es un acercamiento que la tecnología permite realizar que conlleva hoy en día más problemas que los que solventa. Y la bola se va haciendo más y más grande conforme más tiempo pasa.

 

Tampoco quería acabar siendo tan pesimista. Lo cierto es que la medida tomada por el Principado me parece adecuada, y rema en la misma dirección que la de cada vez más provincias españolas. Me consta que en Aragón, Andalucía y Cantabria tienen proyectos semejantes (lucha contra la violencia de género). Y otras como Madrid hace tiempo que lo han implementado como medida para mejorar la seguridad dentro de los transportes públicos, tanto autobuses como metro y tren.

Aquí la cuestión está en que primero tengan el presupuesto y los recursos adecuados para mantener convenientemente segurizados los sistemas, y segundo se mantenga esa suerte de descentralización actual (que este sistema no esté en contacto con otros sistemas de identificación policial, y dependa de paso de organismos distintos), de forma que en caso de compromiso, el impacto no sea tan crítico para la ciudadanía.

Vamos, hacer justo lo contrario que están haciendo en China :).