Datos de te Tiriti y Māori

Agents at Work — CC BY 4.0

La última lección de la lista, entre las expectativas del Comisionado de Privacidad, incluye una línea que es fácil pasar por alto y que no debería pasarse por alto: informar a Māori sobre los riesgos que su información supone para taonga. Aparece en las directrices junto a «realizar una evaluación de impacto sobre la privacidad» y «mantener a una persona al corriente», pero no es el mismo tipo de punto, y tratarlo como un casilla que hay que marcar es el error que esta lección pretende evitar.

Por qué se trata de una obligación distinta —relacionada con la relación y el te Tiriti, no solo con la privacidad

La legislación ordinaria en materia de privacidad pregunta: ¿se gestiona la información de esta persona de forma lícita y segura? Esa pregunta es importante, pero no abarca esta otra. El marco te Tiriti plantea algo que los principios de privacidad no abordan: ¿quién tiene autoridad sobre esta información y en virtud de qué derecho?

En el caso de los datos Māori —información sobre personas Māori o que les pertenece, whānau, hapū y iwi—, el principio es que se rigen por la gobernanza Māori. A menudo se trata de taonga: algo que se custodia, con obligaciones, y no simplemente algo que se posee como una mercancía para ser procesada. Esa es una cuestión de autoridad y de relación, no solo de seguridad. Un agente puede gestionar datos Māori con una seguridad técnica perfecta y, aun así, equivocarse, porque la cuestión nunca fue solo «¿es seguro?», sino «¿a quién le correspondía decidir si se debía utilizar esto?».

Lo que un agente empeora

Todo lo que hizo que los agentes subieran el listón en el Nivel 1 tiene un fuerte impacto aquí. Un agente actúa sin supervisión y accede a los datos por su cuenta. Así pues, el peligro concreto es un agente que, por defecto y sin que nadie lo haya decidido, recopila discretamente información sobre Māori —la envía al extranjero a un modelo público, la almacena, la evalúa— porque puede hacerlo, y nadie se detuvo a preguntarse si debía hacerlo. Ese es precisamente el tipo de decisión que no debería tomarse mediante una configuración predeterminada a las 2 de la madrugada.

Qué significa esto en la práctica

• Es una conversación, no una decisión en solitario. Si un agente fuera a acceder a información sobre Māori o que le pertenezca, esa es una decisión que hay que tomar con las personas a las que pertenece, sobre cuál es el uso adecuado —no una que se pueda resolver en silencio por tu cuenta solo porque la herramienta sea capaz de hacerlo. Esta es la pregunta «¿a quién le corresponde decidir?» de la cuestión de los datos, con una respuesta clara.
• La custodia forma parte de la respuesta. Aquí es donde la opción soberana (Nivel 3) deja de ser una preferencia y se convierte en una forma de cumplir con la obligación: mantener los datos bajo la gobernanza y la infraestructura de Nueva Zelanda, en lugar de enviarlos a una jurisdicción y a una empresa que no tienen relación alguna con ellos, es un acto sustancialmente diferente.
• Por defecto, no lo hagas si no estás seguro. Si no puedes responder a «¿de quién es la autoridad?», no estás preparado para asignar un agente a esos datos. No se trata de precaución por el simple hecho de ser precavido; es la obligación funcionando tal y como se pretendía.

Aquí es donde se unen el Ancla 3 y el Ancla 4: mantener la calidad del trabajo y asegurarse de que sirva —y no se imponga— a las personas a las que pertenece. Para una empresa que se toma en serio la soberanía, esto no es una carga administrativa de cumplimiento añadida al final. Es parte de la razónde ser de la empresa.

Esta lección expone un principio y una obligación; se trata de formación general, no de asesoramiento jurídico, y no sustituye al diálogo directo con las comunidades cuyos datos están en cuestión. La soberanía de datos Māori es un campo en constante evolución: trata los detalles como algo que hay que aclarar con las personas adecuadas, no como algo que se pueda extraer de la página de un curso.

Siguiente

Todo el nivel ha girado en torno a un punto: siempre hay una persona al otro lado del agente. La última lección lo deja claro —tus obligaciones para con las personas cuyos datos procesa tu agente— y te entrega el documento de una página redactado para ellas.