Este artículo se publicó originalmente como parte de un análisis legal de ARTICLE19.
Un proyecto de ley de protección de datos personales se encuentra actualmente en espera de revisión en el Parlamento iraní. El proyecto tiene por objeto proteger los datos personales de las personas, aunque es probable que, en realidad permita una mayor vigilancia y censura.
El proyecto de ley, sobre protección de datos en general, tiene por objeto proteger a los usuarios cuando las organizaciones del sector público y privado procesan sus datos.
Sin embargo, deja espacio para que el Gobierno recopile datos personales en nombre de la seguridad nacional. Cuando la recopilación se realiza sin el consentimiento de la persona –fundamental para de la protección de datos– en realdidad es una tarea de vigilancia, y es motivo de gran preocupación para la libertad de expresión.
Con disposiciones imprecisas e inconsistentes, el proyecto de ley corre el riesgo de otorgar mayores controles en línea al Estado y, por lo tanto, poner en peligro las vidas de periodistas y activistas que son víctimas de la vigilancia del Gobierno. El borrador se publicó en julio de 2018, y fue redactado por el Ministerio de Tecnologías de la Información y las Comunicaciones y el Centro de Investigación de la Asamblea Legislativa Islámica (la rama de investigación del Parlamento iraní). Sin embargo, desde mayo de 2019, los legisladores iraníes señalaron que no quedaba claro cuándo presentará el Gobierno el proyecto de ley al Parlamento para su revisión y ratificación.
Desde el crecimiento exponencial del uso de Internet en Irán a finales de la década de 1990 y principios de la década de 2000, el Gobierno intentó institucionalizar su control sobre el uso y el acceso de los iraníes a la internet global. Aunque de manera esporádica, el Ministerio de Comunicaciones ha aplicado una serie de controles para restringir a los ciudadanos el acceso en línea a la información.
Después de las protestas del Movimiento Verde de 2009, los operarios legislativos de Irán se pusieron en marcha para ratificar la Ley de Delitos Informáticos de 2010. Además de las complicadas disposiciones de esta ley, ha habido una serie de disposiciones políticas, proyectos dirigidos por el Gobierno y nuevos proyectos de ley que despertaron el temor de aumentar la centralización de internet iraní. Sin embargo, a pesar de años de estas políticas restrictivas, en mayo de 2018 el ministro de Tecnología de la Información y las Comunicaciones, Mohammad-Javad Azari Jahromi, anunció que su ministerio acogía con satisfacción el Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Prometió lanzar un proyecto de ley de protección de datos para Irán y entablar «conversaciones constructivas con la Unión Europea sobre asistencia legal y técnica mutua».
Dado el precedente de Irán como uno de los entornos más restrictivos para la libertad de expresión, este paso hacia la protección de los derechos sería bienvenido. Pero plantea muchas interrogantes sobre cómo funcionaría esta nueva ley junto con las disposiciones problemáticas preexistentes en el Código Penal Islámico y la Ley de Delitos Informáticos del país.
Si bien se acogen con satisfacción los esfuerzos del Gobierno iraní por mejorar la protección de datos, y los esfuerzos por colaborar con la Unión Europea y las iniciativas mundiales para proteger a las personas a través de las fronteras digitales, el proyecto de ley no cumple con los parámetros mundiales.
El Reglamento General de Protección de Datos de la Unión Europea contra el proyecto de Ley de Protección de Datos de Irán
Cuando la Unión Europea creó su nueva legislación de protección de datos en abril de 2016, vigente desde mayo de 2018 como Reglamento General de Protección de Datos (GDPR), puso la protección de datos como un parámetro global. Aunque ciertamente no fue el primer reglamento de protección de datos en el mundo (ni de la Unión Europea), fue el primero en abarcar una región tan extensa. Como uno de los esfuerzos más completos para asegurar los derechos de la persona en el ámbito digital, cultivó una plataforma para la creación de asociaciones mundiales en torno a la naturaleza mundial de las corrientes de datos.
Por el contrario, el proyecto de ley de protección de datos de Irán no tiene un alcance claro qué materiales se consideran datos (datos procesados por computadoras, o como en el GDPR, datos que también incluyen información fuera de línea), y los derechos que concede a las empresas. El proyecto de ley tampoco protege contra los riesgos que la reglamentación del procesamiento de datos podría plantear a las actividades periodísticas y culturales, ni contra los esfuerzos de transparencia, como se establece en la Ley de libertad de información de Irán.
El artículo 12 del proyecto de ley, que incluye una definición preocupantemente amplia de lo que constituye una excepción de «seguridad» a la protección de los datos de una persona para que no sean procesados sin su consentimiento, podría ayudar a los casos recientes de periodistas que se enfrentan a procesos judiciales por sus denuncias de corrupción en el Gobierno. Por lo tanto, el proyecto corre el riesgo de legitimar aún más la represión judicial de periodistas y activistas.
Irán ya ha sentado precedentes aterradores de problemas de «seguridad» de los que abusa la Guardia Revolucionaria iraní para acceder a los datos de personas como periodistas, quienes pertenecen a grupos marginados, o personas con doble nacionalidad, para perseguirlos injustamente. Entre los casos notables se encuentran la incautación ilegal de datos de Nazanin-Zaghari Ratcliffe, ciudadada con doble nacionalidad en prisión, y los ilegales ataques informáticos a las cuentas de correo electrónico y de medios sociales de Jason Rezaian, periodista del Washington Post, antes de su detención. Estas incautaciones de datos, a través de la Guardia Revolucionaria, se utilizaron para fundamentar casos absurdos de espionaje contra ambos.
Además, el proyecto de ley propone la creación de una comisión de protección de datos (encargada de supervisar el tratamiento de los datos de conformidad con la ley), que incluiría a quienes se sabe forman parte de los aparatos de seguridad que reprimen la libertad de expresión. Esta ley permitiría además la inmunidad para el procesamiento y la recopilación de datos sobre las personas que se considere que infringen las leyes de seguridad nacional preexistentes y de amplio alcance del Irán. El Código Penal iraní contiene numerosas restricciones excesivamente amplias e imprecisas a la libertad de expresión basadas en contenido que violan el derecho internacional de derechos humanos y facilitan la persecución de defensores de derechos humanos, periodistas y otras voces disidentes o minoritarias.
Los elementos del proyecto de ley destinados a aumentar la ubicación por internet coinciden con el proyecto más amplio de la Red Nacional de Información (NIN), creada durante el mandato del expresidente Mahmoud Ahmadinejad y que continúó durante toda la gestión de Rouhani. Estos esfuerzos de ubicación incluyen incentivos gubernamentales para que los programadores de software iraníes construyan aplicaciones de mensajería que compitan con las extranjeras, como recompensas por el número de usuarios. Los ingenieros de seguridad demostraron que la transmisión de datos de los usuarios de estas aplicaciones está fuera de los protocolos de encriptación (la encriptación es ilegal según el artículo 10 de la Ley de Delitos Informáticos), lo que socava aún más las normas internacionales de privacidad.
Se deben eliminar estos requisitos de ubicación, además de la débil redacción sobre rendición de cuentas e independencia de la comisión que supervisa el procesamiento de datos de los usuarios, y los parlamentarios y políticos iraníes deberían revisar la ley según las normas internacionales.
Si el proyecto de ley se ajusta debidamente a las normas internacionales, podría servir como un pequeño paso hacia la protección de los derechos humanos de los iraníes.