Category: show in Big Data from the South

[BigDataSur-COVID] La marcha digital de las madres de los desaparecidos en México

[EN] Mother’s Day is the symbolic anniversary for the Mexican desaparecidos’ mothers. During that occasion they protest and show their anger and pain in front of the institutions and national and international public opinion. This posts highlights their efforts to reaffirm the need for justice and truth during the coronavirus pandemic, and to protest while obliged to stay at home and maintain social distancing.

[ES] Cada 10 de mayo, durante el Día de la Madre, miles de madres mexicanas manifiestan en las calles y en las plazas por sus hijas e hijos desaparecidos. Debido a la pandemia, este año tuvieron que organizar la “Marcha de la Dignidad Nacional” de manera diferente. Pero ¿cómo lo hicieron? ¿Qué papel cumplió la tecnología?


by Thomas Aureliani

La propagación del coronavirus y las medidas restrictivas implementadas por los gobiernos de todo el mundo están teniendo un fuerte impacto en las formas de movilización. En México, las medidas de distanciamiento social y la interrupción de muchas actividades “no esenciales” están impidiendo que muchos familiares de desaparecidos salgan a buscar a sus seres queridos y a expresar públicamente su ira y dolor. Además, la cuarentena parece haber causado una disminución del trabajo, ya muy retrasado e ineficaz, de las instituciones encargadas de desarrollar las investigaciones y de la búsqueda de los más de 61 mil desaparecidos reconocidos oficialmente por el gobierno de Andrés Manuel López Obrador. De hecho, el país está experimentando una crisis humanitaria sin precedentes debido a la llamada “Guerra contra el Narcotráfico”, inaugurada por el expresidente Felipe Calderón Hinojosa (2006-2012) y continuada por el gobierno de Enrique Peña Nieto (2012-2018). La violencia vinculada a la militarización de la seguridad pública, el narcotráfico y los enfrentamientos por el control de territorios ricos en recursos estratégicos han despoblado enteras regiones de México. Muchos de estos territorios están sujetos al poder de las organizaciones criminales paramilitares que operan de forma autónoma o con la colaboración de las instituciones estatales, exacerbando los niveles endémicos de corrupción e impunidad que ya caracterizaban al país latinoamericano. Estos conflictos han causado más de 250 mil asesinatos en 12 años y una serie de violaciones de los derechos humanos, como por ejemplo las ejecuciones extrajudiciales, torturas y, de hecho, desapariciones. Estas últimas son perpetradas por agentes estatales y organizaciones criminales, y las víctimas pueden ser personas con o sin alguna militancia social o política, sospechosos por cualquier circunstancia o señalados por funcionarios públicos de los diferentes gobiernos de pertenecer a bandas del crimen organizado. Las desapariciones pueden afectar indistintamente a hombres y mujeres, niños y niñas, personas indígenas, campesinas, estudiantes, migrantes, defensores y defensoras de los derechos humanos, e incluso funcionarios estatales.

Resistencia civil

En respuesta a este contexto de violencia se han desarrollado diferentes formas de resistencia civil, movimientos, asociaciones y redes dedicadas a la defensa de los derechos humanos de las víctimas y de sus familiares. El 10 de mayo de 2012, el Día de la Madre, colectivos de familiares y organizaciones civiles del Noreste del país convocaron por primera vez la “Marcha de la Dignidad Nacional, Madres buscando a sus hijos e hijas y buscando justicia”, que se convirtió en el evento colectivo más importante para los familiares de los desaparecidos, especialmente para las madres. Año tras año, más y más madres, padres, hermanas, hermanos, hijos e hijas, abuelos y abuelas se han unido a esta marcha. Se han agregado también los comités y asociaciones de familiares de los desaparecidos de la “Guerra Sucia” de los años ’60 -’70 -‘80, décadas en las que el estado autoritario mexicano hizo desaparecer a los activistas políticos, estudiantes y trabajadores que se oponían al régimen. Pero no solo eso: cientos de asociaciones, ONG y organizaciones internacionales dedicadas a la protección de los derechos humanos como Amnistía Internacional, la asociación italiana antimafia “Libera”, la Cruz Roja Internacional o la Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos cada año se unen a las voces de las madres.

El impacto simbólico del evento es muy fuerte: las madres se reúnen y manifiestan que el 10 de mayo no hay nada que celebrar. Los 10 de mayo ellas desfilan con fotos de sus desaparecidos impresas en las playeras o en grandes pancartas. La gran mayoría de las madres todavía no ha encontrado a sus seres queridos y esperan tanto la verdad como la justicia y la reparación integral de los daños causados por la desaparición de sus hijos y hijas. Muchas madres sufren por la cuarentena porque no pueden salir, armadas con palas y rastrillos, a excavar en los territorios donde suelen encontrar fosas clandestinas y donde se supone que hay miles de cuerpos abandonados o restos humanos. No pueden seguir presionando a los órganos de gobierno y justicia, no pueden participar en las reuniones, conferencias, cursos de capacitación para aprender cómo buscar. Y sufren porque este año la Marcha no se ha podido organizar.

Por este motivo, el Movimiento por Nuestros Desaparecidos en México ha organizado una gran movilización digital durante la pandemia. Cabe señalar que el Movimiento se creó en marzo de 2015 con el propósito de redactar la la primera Ley General en materia de desapariciones en México, y hoy reúne a cientos de colectivos de familiares y organizaciones civiles que luchan por la correcta implementación de la misma Ley (las historias y actividades de estos colectivos, así como las noticias sobre el Movimiento se pueden encontrar en el sitio web). Con los años, el Movimiento se ha convertido en el principal referente nacional sobre el tema de las desapariciones a través de la presión política y de las manifestaciones públicas.

Marcha digital

Gracias al apoyo de algunas organizaciones civiles con mayor experiencia en el campo del activismo digital, el Movimiento ha impulsado muchas campañas a través de las redes sociales donde exige búsqueda efectiva de los desaparecidos, verdad, justicia y no repetición de los hechos criminales. Una de las primeras y más simbólicas campañas fue el lanzamiento del hashtag #SinLasFamiliasNo, que tenía el propósito de señalar la necesidad de involucrar a los familiares de víctimas en los procesos de redacción y implementación de la Ley a nivel federal y local. La participación activa de ellos siempre ha sido una piedra angular del Movimiento: muchos familiares se han convertido en activistas y defensores de los derechos humanos reconocidos a nivel nacional e internacional.

Este año la Marcha se ha desarrollado necesariamente en forma digital con el objetivo de “tomar las redes sociales”, igual que las calles y las plazas durante todos estos años de lucha: con dignidad, fuerza y un amor incansable. Las familias quieren decir que a pesar del coronavirus no se detiene ni su necesidad de justicia ni la búsqueda de los desaparecidos. Añaden también que México sigue viviendo una emergencia humanitaria en la que hay miles de cuerpos no identificados esperando de ser nombrados y devueltos a sus familiares. En un comunicado, el Movimiento ha invitado a todas las personas solidarias a enviar o publicar en redes sociales su propia imagen usando un cubrebocas con la leyenda: “¿dónde están?”; videos mensajes o piezas artísticas utilizando el hashtag #CorazonesEnMarcha. La movilización digital tuvo mucho éxito: miles y miles de mensajes, vídeos y fotos inundaron la red y contribuyeron a sensibilizar a la opinión pública y a visibilizar la tragedia. Las fotos de perfil se actualizaron con el motivo creado por el Movimiento.

Unos de los banners para participar en marcha virtual

Muchas madres compartieron con orgullo las fotos de sus hijos e hijas como ocurre cada año. Desde diferentes estados de la República, publicaciones con fotografías y música producidas por muchos colectivos se publicaron en Facebook, Twitter e Instagram. Manifestaciones de solidaridad vinieron también de ciudadanos comunes, mexicanos y extranjeros, y de organismos internacionales como Amnistía Internacional, la Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos, el Comité contra las Desapariciones Forzadas y el Grupo de Trabajo de la ONU sobre las Desapariciones Forzadas o Involuntarias. Además, se volvieron virales hashtags como #YoApoyoParaEncontrarles, #HastaEncontrarles, #NosHacenFalta y #10DeMayoNadaQuéCelebrar. Esta forma particular de movilización digital ha demostrado una vez más la fuerza de estos familiares, de las madres en particular: ellas no se detienen. Ni siquiera el virus más letal podrá detener sus espíritu de lucha y sus necesidad de justicia. Porque cómo siempre ellas dicen: ¡Vivos se los llevaron, vivos los queremos!

 

Bio. Estoy terminando mi doctorando en “Estudios sobre Criminalidad Organizada” en la Universidad de Milán con una tesis sobre la movilización de los familiares de desaparecidos en México. Además, colaboro con el Observatorio sobre la Criminalidad Organizada – CROSS de la misma Universidad. Durante varios años he estudiado y investigado la situación mexicana y las formas de resistencia civil a la violencia que existen en el País. He desarrolado mi trabajo de campo en Coahuila (México) y Ciudad de México el año pasado, entrevistando y recolectando historias de vida de los familiares de personas desaparecidas del colectivo “Fuerzas Unidas por Nuestros Desaparecidos en Coahuila y en México – FUUNDEC-M”

Correo electrónico: thomas.aureliani [at] gmail.com
Twitter: @ThomasAureliani

[BigDataSur-COVID] In Memory of COVID-19 in China: Various Forms of Digital Resistance towards Censorship

COVID-19, an epidemic that emerged in Wuhan city, has been always entangled with information censorship since the very beginning of it being detected in China. The Internet has witnessed a battle between censorship towards criticism and investigative reports, as well as supported various forms of resistance such as organizing group-documentation on GitHub and creating alternative new media projects. In this crisis, we see how citizens, journalists, and activists are brought together by digital networked communication to fight for the rights to be informed with accurate information.

by Anonymous Contributor

COVID-19, an epidemic that emerged in Wuhan city, has been always entangled with information censorship since the very beginning of it being detected. During the last week of December 2019, doctors in Wuhan, including Dr Li Wenliang who became known as the virus whistleblower, used their personal social media accounts to sound the alarm about the rapid spread of the unknown disease. Their attempt was stigmatised by local authorities as “spreading rumours and misinformation”. This is why even at the times of COVID-19 the Chinese internet witnesses a battle between censorship and various forms of resistance whereby Chinese citizens and journalists deal with the censored content and fight for the rights to be informed with accurate information by using digital networked communication. This creates a temporal “us” against the authorities state.

Nick Couldry offers a critical reflection on the ways in which digital networked communication forms solidarity——what he termed as “the myth of us” (2014). He argues that timescale matters as one of the social conditions of political changes, because networked action has provided effective means for disrupting government surveillance and the accessibility accounts for quick and massive mobilization. Yet, the long-term contexts that guarantee sustainable individual action in and through networks are missing. The author also says that it is too early to conclude that digital networks function as a process of autonomous communication. Nonetheless, Couldry does not deny the potential of political change that the use of digital networks in recent social movements might give rise. We can think of how COVID-19 outlined and amplified the problems of internet censorship in China, which triggers various ways of resistance that could become legacies for activists and citizens even after the crisis.

GitHub: A new frontier of data activism

The individual and collective documentation of COVID-19 reports on the software repository GitHub reveal a form of data activism as a novel frontier of media activism, as Milan argues (2017). It is a re-active action enacted by technological experts who used web crawling or other data collection processes to transfer the related reports and published articles published to the repositories, racing against the speed of the censorship.

“Terminus2049”, an online crowd-sourcing project relying on GitHub, was set up in 2018 to archive articles that were censored from mainstream media outlets and social media such as WeChat and Weibo. As stated in its GitHub page, the project’s slogan is “no more 404”, where 404 is the error code indicating that a server could not find the requested page. It functions as a site of resistance towards the state censorship on media content. During the outbreak of COVID-19 in China, Terminus2049 also archived and documented various reports and articles that had been censored or removed, including a serious of in-depth reports questioning Wuhan local government’s early-stage reaction to the coronavirus published by Caixin Media. On the 19th of April, three volunteers from Terminus2049 went missing in Beijing and were presumed to be detained by the authority. However, Terminus2049 is not the only project on GitHub that is involved in crowdsourcing documentation of coronavirus memories. Similar projects such as “2019ncovmemory” (which has already set their archive to private to avoid risks),“womenincov” (which features recordings of female medical staff and issues related to domestic violence), and “workerundervirus” can be also found on GitHub.

How does GitHub become a platform for Chinese citizens and activists to preserve counter-narratives and to make sense of the accountability and legitimation of the government? To begin with, the software development website GitHub is accessible in China for its function of code-sharing. The platform gained its visibility outside the developer communities because of the Anti-996 Movement in 2019, initiated by Chinese programmers to protest again the excessive working conditions in tech companies. As part of the movement, the “996.ICU” project was devoted to complying a list of companies that follows a 996-working schedule (from 9 am to 9 pm, 6 days a week) and its repository has quickly become one of GitHub’s fastest-growing repositories. After mainstream media’s reporting and the wide-spread discussion about 996-working culture in China, the movement has brought people’s attention to GitHub itself as a suitable site for civic participation and a tactical choice for organizing contemporary activism in China, given its capacity to be operated both within and beyond “the Great Firewall”.

The explosion of creativities on social media

Yet, I am not arguing that GitHub is the only online space to contain Chinese citizens’ memories of coronavirus and their strong demand for transparency and accountability. In fact, social media accelerates cycles of action and protest and have the ability to produce new forms of collectivity.

What amazed me the most is how citizens creatively and collectively express their anger, discontentment, and solidary in spreading an interview of Dr Ai Fen on social media platforms. On 10th March, Renwu Magazine published an article titled “The one who gave out the whistle (发哨子的人)”—an interview with the head of Emergency Department in Wuhan Central Hospital, Dr Ai Fen, featuring her allegations that she had been reprimanded by superior officials after attempting to warn her colleagues on the novel virus and her experiences in the emergency department for the past two months. The article was quickly removed. However, censorship failed to silence the public. Citizens have started their own ways of preserving and spreading the article:  from screenshots, replacing words with emojis, and formatting the article vertically instead of horizontally, to more creatively using a serious of QR codes, using fictional languages such as Klingon and Sindarin, using Morse code and computer science encoding system Base 64. Chinese social media platforms were turned into battlefields against the censorship. As communication scholar Kecheng Fang commented to BBC, it was a ceremonial event that connected individual citizens who share similar values and led to the formation of solidarity.

Source: https://www.jixiaokang.com/2020/03/13/2020-03-13-fa-shao-zi-de-ren/

Alternative/Artistic new media projects

The creativities in this event bring forth the possibilities of adapting alternative or artistic activism, which is often recognized by its ability to slip under the radar and not be identified as “politics” to authorities, while still being able to communicate a social message. As Leah Lievrouw points out, besides citizens’ active engagement in spreading censored content regarding coronavirus on social media platforms, activists have incorporated the concept of memories into creating alternative and activist new media projects.

Unfinished Farewell” is a new media project that offers a pace for people to release their grief and for the public to mourn, directed by visual designer Jiabao Li and Laobai Wu. By collecting help-seeking posts and heartbreaking stories of losing the loved ones from accounts on different social media platforms, the project addresses individual stories to form counter-hegemonic narratives. It invites the visitors to reflect on a question: “after this pandemic, who can remember the pain of someone like my mother who had nowhere to seek medical treatment, being refused by the hospital, and died at home?” There is a need to document similar tragedies as evidence in terms of seeking accountability after the crisis, and this project set the urgency for such a need in an emotionally powerful way of presenting the visualization of information of the lost lives.

Qingming, A Sculpture of Resilience” has appeared online. Qingming Festival, which is also known as Tomb-sweeping Day, is a day to mourn and commemorate ancestors and the lost loved ones. Because of the pandemic measurements, people in China were unable to visit graves in this year’s Qingming Festival and online tomb-sweeping applications were used as an alternative. However, the project is not created for tomb-sweeping. It invites you to virtually join a counter-clockwise walk in front of the Hongshan Auditorium in Wuhan. It aims to transform the trajectories left by visitors into an online monument, which represents a collective will of remembering how the officials were trying to silence the alarms on the existence of coronavirus in Wuhan, presumably related to making sure the success of holding the “Hubei Two Sessions” at Hongshan Auditorium. As strongly stated in the website, “We shall never forget our pain and tear. Neither should we stop examining the systematic problems exposed during the crisis, the strive for a better future”. Despite that the state’s regulations and the pandemic measurements prohibit citizens to gather physically in front of Hongshan Auditorium in Wuhan, the project records an artistic form of protest online.

The political environment and the strict monitor and censorship voluntarily conducted by corporated social media platforms in contemporary China hamper the possibilities for organizing physical protests or forming grassroots collectives. The COVID-19 crisis has triggered an intensity that lasts for months in everyday life, but it also nurtured creative and alternative ways of resistances that could go beyond the restriction of holding protests physically. Despite that fact that one should be cautious about not mistakenly assume that the forms of collectivity in the crisis can represent the whole social picture, I would like to believe the diverse forms of resistance towards censorship will be able to maintain and evolve into the future.

[BigDataSur-COVID] Riesgos e incertidumbres en las aplicaciones para el rastreo de contagios (2/2)

by Javier Sánchez-Monedero (Data Justice Lab)[EN] After weeks of debate on the implications of contact-tracking applications to fight COVID-19, there is an urgent need to interrogate their effectiveness and social impact beyond privacy and data protection issues. The recent proposal by Google and Apple imposes a model of governance of the pandemic that has been already adopted by many countries. However, the applications are useless in the face of the scarcity of other resources, such as health personnel with specific training, availability of reliable and rapid diagnostic tests, legal reforms or socio-health responses. In addition, tracing systems based on apps could systematically exclude vulnerable social groups as well threatening individual and collective rights.

[ES]  Tras semanas de debate sobre las implicaciones de las aplicaciones de rastreo de contactos para luchar contra la COVID-19 urge analizar su eficacia e impacto social más allá de la privacidad y protección de datos. La alianza de Google y Apple de facto un modelo de gobernanza sanitaria desde las multinacionales que ya han aceptado muchos países. Sin embargo, las aplicaciones son inútiles ante la escasez de otros recursos, como personal sanitario con formación específica, disponibilidad de pruebas diagnósticas fiables y rápidas, reformas legales o respuestas sociosanitarias en caso de contagio, que a día de hoy, siguen siendo insuficientes. Además, los sistemas de rastreo mediante móviles podrían excluir sistemáticamente a grupos sociales vulnerables, además de presentar riesgos para los derechos individuales y colectivos.

(The first part of this post was published on May 18. Read it here]

Más allá de la privacidad y protocolos de rastreo

En mayo de 2020 el debate se sigue centrando en cuestiones de privacidad y modelo centralizado o descentralizado, pero la única alternativa es que la que permitan las tecnológicas. Suiza ya está desarrollando su aplicación sobre la plataforma que ofrecen Google y Apple y la Unión Europea ha escrito unas recomendaciones que son compatibles con esta propuesta.

Sin embargo, quedan muchas preguntas por hacer. ¿Pueden funcionar estos sistemas?¿Bajo qué hipótesis?¿Afectarán a todas las personas por igual?¿Excluirá a colectivos sociales?¿Deberíamos estar hablando más de otro tipo de medidas? En la segunda parte de este artículo analizaremos si es posible que funcione el rastreo de contactos y qué problemas y riesgos plantean estas propuestas más allá de cuestiones de privacidad y protección de datos.

En la primera parte de este artículo hemos analizado los problemas de puesta en práctica del modelo de rastreo de contactos de Singapur, así como las propuestas que hay sobre la mesa a nivel europeo. En esta segunda parte analizamos las hipótesis de éxito del rastreo automatizado así como riesgos de exclusión e impacto desigual de estos sistemas.

¿Podría funcionar el rastreo de contactos?

El debate sobre modelos de aplicaciones de rastreo apenas cuestiona la supuesta utilidad de este despliegue y se está centrando fundamentalmente en el “cómo” hacerlo y el impacto en la privacidad de las personas y la compatibilidad con leyes de protección de datos. El Parlamento Europeo acaba de publicar un documento sobre el rastreo de móviles como estrategia de lucha contra el coronavirus donde las referencias sobre utilidad de estas soluciones tecnológicas provienen de medios de comunicación estadounidenses, como Wired, caracterizados por su devoción por el solucionismo tecnológico. Como en otros temas, sobre todo relacionados con la puesta en marcha de sistemas de vigilancia en Europa, el Europarlamento sigue las recomendaciones de la Comisión Europea que “recomienda apoyar las estrategias de salida del confinamiento que se basen en datos móviles y aplicaciones” sin aportar ninguna evidencia sobre la supuesta utilidad. No obstante, según las hipótesis y simulaciones matemáticas del mencionado artículo en Science del equipo de Ferretti, y que cita Singapur como caso de éxito (lo era en el momento de escribirse), la adopción generalizada de esta aplicación, por parte de la población,  junto con medidas de distanciamiento físico,  ayudaría a controlar la pandemia.

Diversos artículos e incluso el propio Parlamento Europeo citan al estudio de Ferretti para justificar que una tasa de adopción de la aplicación del 60 % de la población podría controlar la epidemia. Sin embargo, esta cifra debe interpretarse correctamente y comprender las condiciones necesarias. En el estudio se plantean varios escenarios (ver siguiente figura) que dependen de lo rápido que se aislé a una persona diagnosticada y también a las personas asintomáticas que han estado en contacto con esta. Todos los escenarios asumen un ritmo reproductivo R0=2.0. Tanto los periodistas como el Europarlamento consideran el escenario más favorable, que es el aislamiento inmediato (figura de la derecha). Ignorando los márgenes de error, si un 60 % de las personas diagnosticadas utilizan la aplicación y se aíslan inmediatamente tras el diagnóstico y el 60 % de las personas asintomáticas con las que han estado en contacto son notificadas y aisladas inmediatamente se consigue parar la transmisión. En un escenario de margen de actuación (detección, notificación y aislamiento) de 24h se necesitaría aislar al 80% de las personas con síntomas y al 60 % de sus contactos. El matiz de la ventana de actuación es importante en la operacionalización, porque significa que una buena parte de personas asintomáticas serán puestas en cuarentena sin realizar un diagnóstico. A partir de 3 días de margen de actuación el uso de aplicaciones solo ralentizará la propagación. A día de hoy, en la mayoría de países y en particular en España, estas hipótesis de margen de notificación y actuación son inviables, además de otros problemas que comentaremos a continuación.

Efectividad de las aplicaciones de rastreo en diferentes escenarios. Fuente Science.

Por el contrario, otros estudios interdisciplinares difieren de esta hipótesis. El estudio COVID-19 Rapid Evidence Review: Exit through the App Store?, publicado por el Ada Lovelance Institute, concluye que “No hay pruebas que apoyen el despliegue nacional inmediato de aplicaciones de rastreo de síntomas, aplicaciones de rastreo de contactos digitales y certificados digitales de inmunidad”. Esta conclusión afecta a las aplicaciones de rastreo, pero también a las de autodiagnóstico, como la que el Gobierno de España acaba de encargar a Telefónica o la aplicación de autodiagnóstico de la Comunidad de Madrid (con un algoritmo insultantemente simple) que además se descubrió que recopilaba sistemáticamente datos sensibles de las personas. Por otro lado, el rastreo y gestión de personas a través de sus móviles ya se ha probado con anterioridad. El investigador Sean McDonald, quien estudió este tipo de información en la pandemia de ébola de África en 2014-5 concluye en una entrevista que “el mayor determinante de la mortalidad del COVID-19 es la capacidad del sistema sanitario” y advierte de que los gobiernos están enfocando la pandemia como un problema de gestión de las personas más que de construcción de capacidad de respuesta y apunta a la falta de evidencias de que los modelos predictivos matemáticos y la tecnología de vigilancia puedan ayudar a controlar el virus.

Ante la ausencia de datos de validación, resulta difícil pensar en experimentos, fuera de planes piloto minuciosos, que puedan extrapolar sus conclusiones a la diversidad de situaciones de la vida cotidiana. Por poner un ejemplo, la exposición durante unos segundos puede ser significativa entre dos personas sin mascarilla a una distancia menor de dos metros o no serlo si una de ellas la lleva, o puede no ser significativo que una persona comparta transporte público con 20 más si todas llevan la protección adecuada o mantienen la distancia oportuna. Dos vecinos de pared pueden detectarse como contactos y no haberse cruzado en semanas. Por otro lado, también es necesario estudiar la capacidad real de la tecnología bluetooth para estimar la distancia entre dos dispositivos. Ante esto, solo cabe esperar una cantidad importante de falsos positivos (personas que reciban una notificación de riesgo no justificada) y de falsos negativos (interacciones de riesgo que no son detectadas). Las capturas de la nueva actualización del sistema operativo de Apple (figura anterior) indican que el usuario puede contribuir en el calibrado de estos parámetros, aunque como vemos, sigue habiendo mucha incertidumbre asociada a la información no medible.

Más allá de los debates sobre privacidad: riesgos sobre utilidad, exclusiones y seguridad.

Además de las limitaciones técnicas de interacción entre terminales y protocolo de rastreo (que resolverían Google y Apple), se necesitará la “cooperación” de la población que disponga de terminales; esto es, que acepten el rastreo a nivel de sistema operativo, que instalen la aplicación de la autoridad regional, que se encarguen de llevar el móvil consigo en todo momento durante su desplazamiento y actividad laboral, y que, por supuesto, acudan a la asistencia sanitaria para que esta realice tests fiables y se desencadene la alerta a la cadena de contactos. Para todo esto es necesario que las personas confíen en los actores tecnopolíticos y entiendan los componentes del sistema, lo que nos lleva a privacidad desde el diseño, código abierto, protecciones legales garantistas, limitación de uso, etc. pero también que las personas no sean penalizadas laboral o socialmente al dar a conocer su enfermedad o al ser etiquetados como sospechosos por la aplicación y que cuenten con sistemas de protección social adecuados, como ya apuntamos en otro artículo.

Resulta paradójico que el artículo del equipo de Ferretti argumente que uno de los problemas del confinamiento sea que los “individuos con bajos ingresos tengan capacidad limitada para quedarse en casa” y que a la vez la solución sea disponer de un móvil de última generación con un sistema operativo actualizado que incorpore los cambios técnicos necesarios para implementar la solución tecnológica. Recientemente, Ars Technica publicó un artículo en el que se afirma que dos mil millones de teléfonos inteligentes activos no tienen la tecnología necesaria para participar en el esquema de detección de contactos propuesto por Apple y Google. Precisamente, la mayoría de estos dispositivos incompatibles son los que utilizan las personas con pocos ingresos o las personas mayores. Otros 1500 millones de personas que utilizan móviles “no inteligentes” quedarían excluidas directamente. Por supuesto, segmentos completos de la población, como personas en exclusión social, mayores o niños no tienen móviles de ningún tipo. Ante semejantes datos, parece naíf pensar en un escenario de adopción generalizada de esta situación que además no incremente, aún más, las desigualdades estructurales de nuestras sociedades.

Las exclusiones del sistema de alarma no tienen que ver solo con el “parque” móvil sino también con las variables, pesos y umbrales del modelo riesgo. La conceptualización matemática del riesgo al modelar comportamientos puede resultar en impactos muy dispares a diferentes grupos sociales y colectivos, a menudo los más vulnerables, que no se han considerado durante el diseño y validación del modelo. La experiencia los sistemas de análisis de movilidad de las personas a menudo conceptualizan técnicamente el fenómeno que estudian excluyendo a colectivos. Pensemos, por ejemplo, cómo se mueve e interactúa, junto con su móvil, una trabajadora interna en un hogar o una abogada con un despacho propio.

En cualquier caso, todas las opciones de seguimiento de contactos a través de bluetooth son susceptibles de una serie de ataques individuales o globales al conjunto del sistema. Hablar de los problemas de interoperabilidad y seguridad de bluetooth daría para varios artículos, pero aquí daremos algunos ejemplos. Es factible inyectar falsos encuentros a los móviles para disparar falsas alarmas o por el contrario sabotear la detección de contactos. Además, es posible desplegar un sistema de dispositivos bluetooth a lo largo de una ciudad para recoger identificadores efímeros y direcciones físicas de los sensores bluetooth (dirección MAC) para reindentificar a las personas. Independientemente del protocolo, DP-3-T u otros, las aplicaciones de las autoridades regionales necesitan comunicarse con un servidor central que podría revelar la identidad de las personas. Para más información,  el equipo de DP-3T ha publicado un análisis completo de estos y otros riesgos. Las amenazas no son solo para la protección individual, sino que puede afectar a nivel de los estados hasta el punto de que los servicios de seguridad de Países Bajos enviaron una carta de cinco páginas al Ministerio de Sanidad Neerlandés advirtiendo de los riesgos de seguridad nacional que podría suponer el despliegue apresurado de aplicaciones de estas características.

Aplicaciones de rastreo: de bala de plata a posible parte de una solución

El rastreo de contactos es una práctica de salud pública utilizada para la respuesta a enfermedades infecciosas. Necesitamos protocolos de detección, investigación y reacción rápidos para los que las aplicaciones de seguimiento pueden ser un elemento más pero en ningún caso sustituir ni menoscabar los trabajos epidemiológicos hechos por personas que, como tales, tienen capacidad y flexibilidad para adaptarse e indagar en situaciones diversas. En las narrativas sobre la eficacia tecnológica se suelen eliminar tanto las incertidumbres funcionales o de seguridad en torno a las herramientas como el rol de las personas en las tareas y su interacción con la tecnología. A menudo se ignora que algunos de los países que han tenido éxito deteniendo la pandemia coinciden con los que en 2003 sufrieron la epidemia SARS. La preparación y respuesta ante epidemias van más allá de las soluciones técnicas, significa “disponer de recursos, competencias, planes y legitimidad política para desplegar las soluciones cuando hagan falta”. Las aplicaciones son inútiles ante la escasez de otros recursos, como personal sanitario con formación específica, disponibilidad de pruebas diagnósticas fiables y rápidas, reformas legales o respuestas sociosanitaria en caso de contagio, que a día de hoy, siguen siendo insuficientes. Por tanto, su papel debe ser de apoyo a las intervenciones desde la Salud y la Sanidad Públicas y no deben servir de coartada para evitar tomar otro tipo de decisiones. Por ejemplo, numerosos medios de comunicación y profesionales están denunciando la falta de planes y personal con formación epidemiológica para seguir el rastro de nuevos contagios. En cualquier caso, los márgenes temporales de diagnóstico y aislamiento propuestos por el equipo de Ferretti, que proporcionan la evidencia científica que justifica el despliegue de estos sistemas de vigilancia, están lejos de ser realistas en nuestro país.

Resulta sorprendente y preocupante que, en general, periodistas, políticos y ciudadanía se centren en debates sobre estas aplicaciones mientras se deja de lado medidas esenciales y con efecto positivo demostrado como el refuerzo de la atención primaria, desmantelada en la Comunidad de Madrid durante la gestión de la crisis. Puestos a hacer una inversión tecnológica, parece más sensato invertir esfuerzos en mejorar la calidad e integración de datos desde las diferentes administraciones sobre casos confirmados, datos que ya están en manos de las administraciones públicas custodiados por empleados públicos y sujetos a una protección legal clara.

Los problemas de reutilización de la tecnología siempre van a planear sobre cualquier opción. Sabemos que la mayoría de sistemas de vigilancia que se han implantado durante diferentes crisis han permanecido después en la sociedad. Durante el confinamiento, Marruecos ha usado la información de localización de aplicaciones de citas para identificar a hombres homosexuales. Nada impide, con opción descentralizada o no descentralizada, que regímenes no democráticos obliguen a entregar las claves efímeras recibidas para comprobar si un grupo de personas han tenido contacto entre ellas. Hemos de considerar el riesgo de que estas aplicaciones sean parte o normalicen los sistemas de vigilancia a las trabajadoras y trabajadores, tal y como advierte el European Trade Union Institute. No podemos olvidar los riesgos para la seguridad colectiva tales como la generación de falsas alarmas por actores con multitud de intereses. Por tanto, estamos ante un movimiento arriesgado que valorar sin prisas tras un debate científico, interdisciplinar y social.

El rastreo de contactos basado en apps excluirá a personas en situación de vulnerabilidad como personas con pocos ingresos, menores, mayores y, seguramente, otros grupos que nos cuesta anticipar. Las exclusiones sistemáticas de grupos de la población afectarán a la precisión y por tanto a la utilidad real de cualquier solución, descentralizada o no. Esta advertencia, junto con otras, se plantean en el documento sobre garantías en derechos del documento “The Coronavirus (Safeguards) Bill 2020”. A día de hoy, desconocemos cualquier estudio o simulación matemática que analice los impactos desiguales que estas soluciones podrían tener sobre colectivos vulnerables. Debemos, en general, reflexionar sobre qué significa la validación de la evidencia, quién la realiza y qué significa esta validación para cada comunidad.

Cualquier despliegue de sistemas de rastreo necesita la adopción masiva a unos niveles probablemente muy difíciles de conseguir considerando las exclusiones de los sistemas propuestos. En todo caso, sería esencial conseguir la confianza de la sociedad. Las personas tienen que saber que su privacidad y derechos serán respetados, y para ello, la instalación de la app debe ser un acto voluntario y sin consecuencias negativas para el individuo en caso de no hacerse o no poderse hacer. No podemos permitir que los grupos más vulnerables vean mermados sus derechos de movilidad, laborales o de acceso a espacios por no poder pagar un móvil con las prestaciones necesarias.

Debemos permanecer vigilantes ante las propuestas de solucionismo tecnológico donde las empresas están no solo imponiendo un modelo de gobernanza sobre la gestión de la pandemia, que afecta a derechos individuales y colectivos, sino limitando el imaginario de soluciones y sirviendo a la agenda de la austeridad con la promesa de reemplazar o reducir las medidas de salud pública eficaces por medios tecnológicos inteligentes. No debemos olvidar que las intervenciones sociotécnicas no solo monitorizan, sino que disciplinan a la ciudadanía, y que dejar que las empresas de Silicon Valley definan e implementen la gobernanza de cada vez más aspectos de la vida es un ataque directo a la democracia y los derechos individuales y colectivos.

Gracias a todo el colectivo de La Paradoja de Jevons y a Elena Ruiz Peralta por sus correcciones y aportaciones.

Author’s bio

Javier Sánchez Monedero is Research Associate at Cardiff’s School of Journalism, Media and Culture and the Data Justice Lab. With a background in Computer Science, his current research aims at filling the knowledge gap between social and media researchers and technology as well as to perform technological auditing and design proposals in the intersection of intelligent information systems

[BigDataSur-COVID] Riesgos e incertidumbres en las aplicaciones para el rastreo de contagios (1/2)

by Javier Sánchez-Monedero (Data Justice Lab)

Originally published in El Salto Diario

[EN] After weeks of debate on the implications of contact-tracking applications to fight COVID-19, there is an urgent need to interrogate their effectiveness and social impact beyond privacy and data protection issues. The recent proposal by Google and Apple imposes a model of governance of the pandemic that has been already adopted by many countries. However, the applications are useless in the face of the scarcity of other resources, such as health personnel with specific training, availability of reliable and rapid diagnostic tests, legal reforms or socio-health responses. In addition, tracing systems based on apps could systematically exclude vulnerable social groups as well threatening individual and collective rights.

[ES] Tras semanas de debate sobre las implicaciones de las aplicaciones de rastreo de contactos para luchar contra la COVID-19 urge analizar su eficacia e impacto social más allá de la privacidad y protección de datos. La alianza de Google y Apple de facto un modelo de gobernanza sanitaria desde las multinacionales que ya han aceptado muchos países. Sin embargo, las aplicaciones son inútiles ante la escasez de otros recursos, como personal sanitario con formación específica, disponibilidad de pruebas diagnósticas fiables y rápidas, reformas legales o respuestas sociosanitarias en caso de contagio, que a día de hoy, siguen siendo insuficientes. Además, los sistemas de rastreo mediante móviles podrían excluir sistemáticamente a grupos sociales vulnerables, además de presentar riesgos para los derechos individuales y colectivos.

El despliegue de sistemas de vigilancia casi nunca es temporal

En 2003 entraba en funcionamiento el sistema EURODAC, una base de datos biométricos para coordinar las peticiones de asilo en Europa. Los datos eran sencillos, las huellas dactilares y el país de entrada en la UE de quien demandaba asilo, y el objetivo único:  evitar peticiones de asilo en más de un país a la vez. Tras varias reformas, en la actualidad EURODAC es utilizado para controlar la inmigración irregular, deportar y separar a familias y es empleado por las fuerzas de seguridad como una base de datos de criminales. El ámbito e interoperabilidad de este sistema sigue ampliándose. La actual propuesta de reforma, en trámite, incluye la ampliación de datos (biografía, documentos, fotografía…), la reducción de la edad obligatoria para el registro a 6 años, la integración sistemática de los datos en los sistemas de visado, viajeros y policiales europeos y la cesión de datos a terceros países. Así, una herramienta sencilla y con un único fin se ha ido ampliando y reformando, incluyendo el marco legal, hasta convertirse en un sistema de vigilancia a escala continental de colectivos vulnerables.

Inmersos en el debate continuo sobre la gestión de la pandemia, las narrativas oficiales insisten en que si algo tienen en común las diferentes estrategias de éxito es el rol de la tecnología en la vigilancia epidemiológica de la población. En las últimas semanas, se ha intensificado el debate sobre la necesidad de adoptar aplicaciones de rastreo en nuestros móviles que permitan notificar a los usuarios que han estado en contacto con una persona infectada. Para ello, se registraría la línea temporal de desplazamientos y/o la lista de personas con las que se interactúa para informar a una persona que ha estado en contacto con un caso positivo. Se nos presentan China, Singapur o Corea del Sur como casos de éxito basados en la tecnología y se sugiere, en aras de controlar la epidemia, sacrificar la privacidad y autonomía permitiendo a estados y empresas gestionar, a través de la tecnología, aspectos de nuestras vidas a los que hasta ahora no podían acceder como son la libertad de circulación, el acceso a nuestro puesto de trabajo o nuestra libertad para reunirnos con otras personas.

La propuesta, sin precedentes en la historia, ha encendido numerosos debates alertando de los riesgos de que tal información exista o si es posible implementar estos sistemas mitigando al máximo estos riesgos. Al debate se suman Google y Apple con una propuesta de rastreos de contactos descentralizada y que parece ofrecer ciertas garantías de privacidad, aunque no debemos olvidar que estas dos empresas ya tienen en su poder el historial de movilidad de la mayor parte de los usuarios de sus terminales. En este texto interrogamos críticamente las opciones tecnológicas que se están barajando en Europa y España y cuestionamos tanto su función técnica como su rol desde la economía política y los riesgos que entrañan. En un momento de shock colectivo conviene no aceptar sistemas de control social irreversibles. La experiencia de casos como EURODAC nos dice que una vez puestos en marcha no se vuelven a apagar.

El (fracasado) modelo de Singapur

El debate viene presentado por el “éxito” del  modelo empleado en Singapur, país que aparentemente había controlado la pandemia en marzo gracias, en parte, al rastreo de contactos a través de los móviles, y de un estudio matemático publicado en Science el 30 de marzo (ver Ferretti et al. 2020). Frente a la idea de registrar dónde ha estado una persona, Singapur implementó el rastreo de contactos, es decir, con quién ha estado esa persona. Si tenemos una base de datos de contactos entre personas, cuando una presente síntomas y se confirme su caso, se podrá notificar a la lista de personas que estuvieron en contacto con esta persona. Este sistema funciona utilizando los sensores bluetooth de los móviles para poder establecer qué dispositivos están cerca de otros. Para ello, una aplicación emite periódicamente una serie de señales que son detectadas y almacenadas por los móviles de otras personas.

Frente a esta propuesta, otras opciones pasan por registrar todos los movimientos de una persona para ver si se ha coincidido en lugar y hora con una persona infectada o ha accedido a un recinto cerrado donde estuvo esta persona. Esto se implementaría, como ya lo hace Google para fines publicitarios, utilizando todos los sensores disponibles del móvil (GPS, wifi, bluetooth, brújula, acelerómetro, etc.). Además de estas opciones, los estados pueden implementar otras, como ocurre en el caso polaco o taiwanés, donde las personas en cuarentena deben activar la ubicación de su móvil y sacarse una fotografía en el interior de su casa tres veces al día o de lo contrario recibirán la visita de la policía. El catálogo de aplicaciones, como vemos, es variado.

Recientemente, el caso de “éxito” de Singapur dejó de serlo cuando a finales de abril el país tuvo que adoptar el confinamiento de la población ante la imposibilidad de controlar la expansión del virus por medios tecnológicos. Las causas son múltiples, por ejemplo se ha apuntado al hacinamiento de trabajadores inmigrantes pero también al exceso de confianza en las capacidades del sistema de seguimiento de contactos a través de móviles. Este sistema de rastreo de móviles de Singapur no ha funcionado por varias razones: 1) sólo 1 de cada 6 personas había instalado la aplicación; 2) para que la aplicación funcionase correctamente el móvil necesitaba estar desbloqueado y la aplicación en primer plano (es decir, no se podía utilizar otra función del móvil simultáneamente); 3) y fuera del objetivo de este texto, el porcentaje tan alto de personas contagiosas asintomáticas no diagnosticadas reduce mucho su eficacia. Además, aunque se nos presente el caso como un éxito basado en la tecnología, el gobierno de Singapur insiste en el que el sistema requería de una buena cantidad de rastreadores humanos para tener un control efectivo de los casos. Esta segunda parte de la historia no suele estar presente entre los promotores de estos sistemas automáticos.

Propuestas europeas y modelos con “privacidad desde el diseño”

El modelo de rastreo de movilidad ha sido descartado por la mayoría de países europeos tanto por la presión de la opinión pública como por la regulación de protección de datos de la UE. De este modo, muchos países como Alemania, Francia, SuizaReino Unido o Italia están estudiando o desarrollando sistemas de rastreo de interacciones entre personas. La posición de España aún no es clara al respecto. En todo caso, la UE acaba de publicar un serie de recomendaciones para el rastreo de contactos: las autoridades sanitarias deberán aprobar las aplicaciones y ser responsables del cumplimiento de la normativa europea de protección de datos incluyendo a las autoridades nacionales de protección de datos; los usuarios deben tener control total sobre sus datos; la instalación de la app debe ser voluntaria; no se podrán rastrear los movimientos de las personas; los datos deben almacenarse de forma cifrada únicamente en los móviles; las apps deben ser interoperables entre países de la UE y deberían desactivarse en cuanto no sean necesarias. Un ejemplo es la aplicación propuesta por la Generalitat de Catalunya, encargada a una empresa de marketing y geofencing, que incumpliría muchas de estas recomendaciones y probablemente cualquier reglamento europeo de protección de datos.

La mayoría de las soluciones caben en dos categorías, centralizadas o descentralizadas, y se diferencian en los grados de protección de la privacidad para la ciudadanía. El punto común es que todas se basan en el uso de bluetooth para detectar a personas a nuestro alrededor con las que hemos coincidido.

La opción centralizada consiste en el envío sistemático de información de interacciones de riesgo con personas a un servidor central. En este caso, se intenta mantener el anonimato dando al móvil un código (o pseudo-identificador) que permite que el servidor central notifique alguna interacción con un positivo de COVID-19 pero no permite identificar a la persona.

La opción descentralizada y con “privacidad desde el diseño” consiste en mantener los datos exclusivamente en el móvil de una persona (descentralizada) y evitar el uso de identificadores que puedan revelar la identidad de la persona pero que permitan que el sistema funcione. Este sería el ejemplo de DP-3T, que surge de un grupo multidisciplinar de investigadores en privacidad y seguridad de varias instituciones europeas. En este caso, cada terminal genera una serie de identificadores efímeros (cadenas de caracteres aleatorias) que emite a través de bluetooth. Estas cadenas cambian cada poco tiempo de manera que otros terminales pueden guardarlas y estimar cuánto tiempo han estado cerca de una persona sin saber quién es esta persona. En este caso, tanto los identificadores efímeros producidos como detectados se almacenan únicamente en el teléfono. Ante un caso positivo los identificadores efímeros generados desde un terminal se añadirían a una base de datos central que los teléfonos de todos los ciudadanos descargarían periódicamente para comprobar que los identificadores que han ido almacenando coinciden con los de alguna persona que haya dado positivo. De esta forma no se puede revelar la identidad de ninguna persona ni el lugar de la interacción. Para más detalles sobre el protocolo DP-3T animamos a consultar la documentación oficial y la versión en castellano del cómic explicativo.

A este tipo de diseños se les considera “privacidad desde el diseño” porque la privacidad se garantiza a nivel de diseño y código, y no se implementa en base a confianza a terceras partes. El equipo detrás del DP-3T genera confianza por varios factores que no se dan a la vez en otras propuestas: privacidad por diseño, el equipo tiene experiencia y es interdisciplinar, la documentación y código son abiertos y discutibles, el sistema está siendo auditado por terceras partes, etc. Por último, el nivel de centralización o descentralización pueden ser graduales. Este es el caso de Reino Unido, donde una clave de cifrado maestra protege, basándonos en nuestra confianza en el buen uso y custodia del organismo correspondiente, que se puedan usar los pseudo-identificadores (que luego se utilizan para generar identificadores efímeros) que genera la app al instalarse para identificar a personas reales. Por lo demás, esta opción tiene bastantes similitudes funcionales con DP-3T. Es complejo entrar en más detalles sobre el funcionamiento de las propuestas, ya que los cambios van por días (de hecho, en el momento de escribir este artículo el NHS está considerando descentralizar su propuesta en parte para cumplir con los requisitos técnicos y de privacidad que impone Apple, como veremos a continuación). Sea cual sea la opción, para completar el puzle, es necesario un servidor central, de la autoridad sanitaria, donde registrar los códigos de las personas diagnosticadas con COVID-19

Hace un mes, Google y Apple anunciaban una alianza para desarrollar un sistema de seguimiento de contactos a través de los móviles. Su propuesta se inspira en el protocolo de seguimiento DP-3T: detección de contactos con personas a través de las balizas bluetooth con identificadores efímeros que se almacenan y verifican siempre en el terminal del usuario. La propuesta de Google y Apple se implantaría a nivel del sistema operativo en próximas actualizaciones y no queda claro cómo podría aceptarla o rechazarla el usuario, aunque las primeras versiones desveladas apuntan a que sería una opción más de la configuración. La alianza ya ha publicado las especificaciones de la interfaz de programación para impulsar el desarrollo de aplicaciones que hagan uso de estos datos. La idea es que, si bien las multinacionales proporcionarán esta funcionalidad a nivel del sistema operativo, sea cada organismo local (estado, autoridad sanitaria, etc.) quién desarrolle una aplicación que haga uso de esos datos y los integre dentro del sistema de salud. Por ejemplo, en España el Ministerio de Sanidad podría desarrollar una aplicación que gestione qué acciones se disparan después de que nuestro terminal detecte que hemos estado con una persona diagnosticada de COVID-19.

En cualquier caso, las soluciones de cualquier tipo tendrán que pasar obligatoriamente por el visto bueno de Google y Apple si quieren ser operativas. Esto tiene varias razones técnicas: 1) cualquier solución pasa por la “adopción” masiva por la población, y esto probablemente se conseguirá con un sistema implantado a nivel del sistema operativo y/o una notificación a cada persona sugiriendo instalar la aplicación de la autoridad sanitaria correspondiente; 2) los dispositivos de Apple no permiten que una aplicación se ejecute en segundo plano por seguridad (fuente de enfrentamiento reciente entre el Gobierno Francés y Apple); 3) los sensores bluetooth de Android y Apple, a pesar de estar estandarizados, no son capaces de interaccionar correctamente sin una serie de modificaciones en las que trabajan las dos compañías. Como vemos, esta solución tecnológica impone de facto un modelo de gobernanza sanitaria desde las multinacionales que ya han aceptado países como Suiza.

[to be continued]

Gracias a todo el colectivo de La Paradoja de Jevons y a Elena Ruiz Peralta por sus correcciones y aportaciones.

Author’s bio

Javier Sánchez Monedero is Research Associate at Cardiff’s School of Journalism, Media and Culture and the Data Justice Lab. With a background in Computer Science, his current research aims at filling the knowledge gap between social and media researchers and technology as well as to perform technological auditing and design proposals in the intersection of intelligent information systems.

[BigDataSur-COVID] Rescatar lo común. Redes de cuidados en España

[EN] Children from precarious families have been more affected during the coronavirus pandemic due to their economic condition. The organization of citizens through social movements has been extremely effective in showing the lack of public policies to serve the poorest families.

[ES] Los niños de las familias vulnerables han sido uno de los grandes afectados durante la  pandemia del coronavirus por su situación económica. La organización de los ciudadanos a través de los movimientos sociales ha sido necesaria para mostrar las debilidades de las políticas públicas para ayudar a las familias más pobres

by Irene Ortiz 

Estos tiempos de pandemia, por su excepcionalidad como acontecimiento, así como de las medidas que los diferentes gobiernos han debido tomar en nombre de salud pública, son tiempos difíciles para todos. Sin embargo, los menores que eran beneficiarios de las becas de comedor de la Comunidad de Madrid, capital de España, alrededor de 11.500 niños, han visto su condición todavía más precarizada. Estos niños percibían estas becas de comedor por la situación de vulnerabilidad en la que se encontraban sus familias, beneficiarias de la renta mínima de inserción, que consiste en una cuantía de entre 512,67€ al mes para núcleos familiares de dos personas y de 587,78 para tres personas, con la posibilidad de llegar a un máximo de 950€ para todo el núcleo familiar. Estos niños recibían a través de las becas de comedor, en sus centros de estudios, una comida sana al día. La Comunidad de Madrid rescindió los contratos que tenía con las empresas de catering en los centros escolares el 11 de marzo, y seis días después, el 17 de marzo, la presidenta de la comunidad, Isabel Díaz Ayuso, anunció que había firmado un nuevo convenio con las empresas de comida Telepizza y Rodilla. El menú aprobado para los más de 11.000 niños en situación de exclusión consiste en pizzas, hamburguesas, ensaladas y nuggets de pollo, por parte de Telepizza, y sándwiches, ensaladas y bocadillos acompañados de dos piezas de fruta a la semana, ofrecidos por Rodilla.

Además, los niños de familias en situación de vulnerabilidad económica se enfrentan a otro problema: la interrupción de su educación. Al suspenderse las clases presenciales en los colegios e institutos por el covid-19, los niños y las niñas más vulnerables han sufrido serios problemas para continuar las clases que, desde entonces, son todas online. La falta de ordenadores o tablets, así como la conexión a internet ha mostrado cómo afecta la brecha tecnológica a los más vulnerables (un 3% de las familias con menores en España, según el Instituto Nacional de Estadística). De momento, la oenegé Save the Children ha tenido que atender a más de 1.500 familias para proporcionarles las herramientas necesarias para continuar con el curso.

El confinamiento ha mostrado sin ambages la profundidad de los problemas a los que se enfrentan las familias más vulnerables en España. No es solo la privación material severa que se traduce en la imposibilidad de continuar con sus clases, sino también los problemas mentales derivados de la falta de espacio. Según un informe de la oenegé Cáritas, 769 menores viven en una habitación en un piso compartido con su familia en la ciudad de Barcelona dada la imposibilidad de pagar un espacio más grande. No es admisible que algo tan básico como la vivienda se deje en manos de especuladores que convierten al fondo de inversión Blackstone en el mayor casero de España, porque nunca antepondrán el derecho a la vivienda a sus beneficios económicos.

Según la Red Europea de Lucha contra la Pobreza y la Exclusión social, un 21,6% de la población en España se encuentra dentro de la tasa de riesgo de pobreza. La crisis del coronavirus ha hecho visible la fragilidad de los niños de estas familias con escasos recursos económicos. Sin embargo, las familias, las asociaciones, las oenegés y las fundaciones llevan muchos años alertando de la precariedad en la que se encuentran más de 10.000.000 de personas en España, entre ellas el 30% de los niños del país. La pregunta que deberíamos hacernos es por qué se permite que los niños de familias pobres se alimenten con comida basura durante casi dos meses o por qué no ha sido una prioridad del gobierno garantizar la educación de los niños sin recursos.

Tejiendo redes

Por suerte, los movimientos vecinales, las asociaciones de padres y madres de los colegios, los diferentes movimientos sociales por la vivienda, así como varias oenegés, han creado redes de apoyo para las familias más vulnerables en estos momentos. Además del apoyo con material tecnológico por parte de Save the Children, algunas Asociaciones de Madres y Padres de Alumnos han querido colaborar donando ordenadores para los niños más vulnerables. También hemos visto cómo algunos vecinos han hecho turnos en los supermercados para solicitar la colaboración ciudadana para donar comida a los bancos de alimentos o cómo se han organizado redes para ir a hacer la compra a las personas que no podían salir de sus casas, entre los que debemos destacar la organización del Sindicato de Vendedores Ambulantes de Barcelona, que ha creado un banco de alimentos para las personas que se dedicaban a la venta ambulante y han visto su actividad interrumpida por las medidas adoptadas durante la cuarentena. Los vecinos voluntarios de Malasaña, Conde Duque y Chueca han creado un banco de alimentos que, de momento, entrega comida a 55 familias a la semana. Todos estos movimientos comparten una tónica común: el recurso de las soluciones tecnológicas para conseguir fines estrictamente sociales. Algunos movimientos que ya existían antes de la pandemia, como el Sindicato de Vendedores Ambulantes de Barcelona o el colectivo Malasaña Acompaña han adaptado sus actividades a las necesidades derivadas de la crisis sanitaria y las redes sociales han desempeñado un papel fundamental durante la crisis a la hora de difundir estas actividades y poder llegar a un mayor número de beneficiarios. Otras iniciativas, surgidas durante la pandemia, se han definido desde el inicio por su marcado carácter digital. Por ejemplo, el colectivo @Efecto_Llamada es un movimiento rigurosamente digital que está teniendo un impacto, de momento, en más 200 personas. Esta iniciativa ha aprovechado la cuarentena para conectar a través de Twitter a personas migrantes que quieran aprender castellano con voluntarios para conversar. De esta forma, a través de videollamadas, se da toda la libertad a las parejas participantes para ajustar sus horarios y participar de la forma que mejor les convenga. El uso de diferentes hashtags (#despensasolidaria,#RegularizacionYa o #HuelgaAlquileres) ha permitido lanzar campañas para solicitar ayuda, como el caso de los bancos de alimentos, pero también para demandar soluciones institucionales, como es el caso de #RegularizacionYa, que exige la regularización de las personas migrantes que, por su condición administrativa, se ven expulsados del sistema de derecho.

Es necesario poner de relieve que esta crisis sanitaria ha demostrado, una vez más, la importancia del cuidado de la vida desde lo comunitario. Las formas de lo común se han revelado en las diferentes iniciativas de cooperación que se han ido tejiendo en el cuidado de los otros durante la pandemia, curiosamente enmarcados en una época de distanciamiento social. La posibilidad de un mundo común se manifiesta en la existencia de estas redes que niegan la privatización de la existencia. Porque la pobreza de nuestras ciudades no nos puede ser indiferente, sigamos construyendo tejido social.

 

Author’s bio

Ph.D in Philosophy, unemployed.  Interested in biopolitics and philosophy of law. Student of International Relations. Contact: irene.ortiz.gala@gmail.com

[BigDataSur] The Challenge of Decolonizing Big Data through Citizen Data Audits [3/3]

 

Author: Katherine Reilly, Simon Fraser University, School of Communication

Data Stewardship through Citizen Centered Data Audits

In my previous two posts (the first & the second), I talked about the nature of data audits, and how they might be applied by citizens. Audits, I explained, check whether people are carrying out practices according to established standards or criteria with the goal of ensuring effective use of resources. As citizens we have many tools available at our disposal to audit companies, but when we audit companies according to their criteria, then we risk losing sight of our own needs in the community. The question addressed by this post is how to do data audits from a citizen point of view.

Thinking about data as a resource is a first step in changing our perspective on data audits. Our current data regime is an extractive data regime. As I explained in my first post, in the current regime, governments accept the central audit criteria of businesses, and on top of this, they establish the minimal protections necessary to ensure a steady flow of personal data to those same corporate actors.

I would like to suggest that we rethink our data regime in terms of data stewardship. The term ‘stewardship’ is usually applied to the natural environment. A forest might be governed by a stewardship plan which lays out the rights and responsibilities of resource use. Stewardship implies a plan for the management of those resources, both so that they can be sustained, and also so that everyone can enjoy them.

If the raw material produced by the data forest is our personal information, then we are the trees, and we are being harvested. Our data stewardship regime is organized to support that process, and audits are the means to enforce it. The main beneficiaries of the current data stewardship regime are companies who harvest and process our data. Our own benefits – our right to walk through the forest and enjoy the birds, or our right to profit from the forest materially – are not contemplated in the current stewardship regime.

It is tempting to conclude that audits are to blame, but really, evaluation is an agnostic concept. What matters are the criteria – the standards to which we hold corporate actors. If we change the standards of the data regime, then we change the system. We can introduce principles of stewardship that reflect the needs of community members. To do this, we need to start from the audit criteria that represent the localized concerns of situated peoples.

To this end, I have started a new project in collaboration with 5 fellow data justice organizations in 5 countries in Latin America: HiperDerecho in Chile, Karisma in Colombia, TEDIC in Paraguay, HiperDerecho in Peru and ObservaTIC in Uruguay. We will also enjoy the technical support of Sula Batsu in Costa Rica.

Our focus will be on identifying alternative starting points for data audits. We won’t start from the law, or the technology, or corporate policy. Instead, we will start from people’s lived experiences, and use these as a basis to establish criteria for auditing corporate use of personal data.

We will work with small groups who share a common identity and/or experience, and who are directly affected by corporate use of their personal data. For example, people with chronic health issues have a stake in how personal data, loyalty programs and platform delivery services mediate their relationship with pharmacies and pharmaceutical companies. The project will identify community collaborators who are interested in working with us to establish alternative criteria for evaluating those companies.

Our emerging methodology will use a funnel-like approach, starting from broad discussions about the nature of data, passing through explorations of personal practices and the role of data in them, and then landing on more specific and detailed explorations of specific moments or processes in which people share their personal data.

Once the group has learned something about the reality of data in their daily lives – and in particular the instances where data is of particular concern from them – we will facilitate group activities that help them identify their data needs, as well as the behaviors that would satisfy those needs. An example of a data need might be “I need to feel valued as a person and as woman when I interact with the pharmacy.” A statement of how that need might be satisfied could be, for example, “I would feel more valued as a person and as a woman if the company changed its data collection categories.”

We are particularly interested to think through the application of community criteria to companies who have grown in power and influence during the Covid-19 pandemic. Companies like InstaCart, SkipTheDishes, Rapi, Zoom, and Amazon are uniquely empowered to control urban distribution chains that affect the welfare of millions. What do community members require from these companies in terms of their data practices, and how would they fare against an audit based on those criteria?

We find inspiration for alternative audit criteria in data advocacy projects that have been covered by DATACTIVE’s Big Data from the South Blog. For example, the First Nations Information Governance Centre (FNIGC) of Canada has established the principles of ownership, control, access and permission for the management of First Nations data, and New Zealand has adopted Maori knowledge protocols for information systems used in primary health care provision (as reported by Anna Carlson). Meanwhile, the Mexican organization Controla tu Gobierno argues that we need to view data “less as a commodity – which is the narrative that constantly tries to make us understand data as the new oil – and more as a source of meaning” (Guillen Torres and Mayli Sepulveda, 2017).

From examples like these, and given the concept of data stewardship, we can begin to see that data is only as valuable as the criteria used to assess it, and so we urgently need alternative criteria that reflect the desires, needs and rights of communities.

How would corporate actors fare in an audit based on these alternative criteria? How would such a process reposition the value of data within the community? Who should carry out these evaluative processes, and how can they work together to create a more equitable data stewardship regime that better serves the needs of communities?

By answering these questions, we can move past creating data literate subjects for the existing data stewardship regime. Instead, we can open space for discussion about how we actually want our data resources to be used. In a recent Guardian piece, Hare argued that “The GDPR protects data. To protect people, we need a bill of rights, one that protects our civil liberties in the age of AI.”2 The content of that bill of rights requires careful contemplation. Citizen data audits allow us to think creatively about how data stewardship regimes can serve the needs of communities, and from there we can build out the legal frameworks to protect those rights.

 

About the author: Dr. Katherine Reilly is Associate Professor in the School of Communication at Simon Fraser University in Vancouver, Canada. She is the recipient of a SSHRC Partnership Grant and an International Development Research Centre grant to explore citizen data audit methodologies alongside Derechos Digitales in Chile, Fundacion Karisma in Colombia, Sula Batsu in Costa Rica, TEDIC in Paraguay, HiperDerecho in Peru, and ObservaTIC in Uruguray.

[BigDataSur-COVID] La otra epidemia: Los feminicidios que no se cuentan

by Teresa Villaseñor

Antes del Covid-19, México ya sufría otra epidemia que durante el 2019 reclamó miles de vidas: los feminicidios. ¿Qué están haciendo las mujeres mexicanas para visibilizar la violencia de género en tiempos de cuarentena?

English abstractAs the COVID-19 virus spreads across Central America, another pandemic remains under the radar: domestic violence, which worsens as a consequence of the lockdown induced by the pandemic. This blog post explores the efforts of Mexican women to raise awareness of gender violence, reflecting on how data activism is helping to make this happen.

Mientras la pandemia provocada por el Covid-19 avanza en Latinoamérica, existe otra pandemia que sigue invisible: la creciente cantidad de casos de violencia de género que arrasa en México. Los números siguen aumentando, como la consecuencia no deseada de la cuarentena impuesta por el gobierno para combatir el contagio del virus. Esta violencia de género es la otra epidemia que lleva años cobrando vidas en México. ¿Qué están haciendo las mujeres mexicanas para visibilizar la violencia de género en tiempos de cuarentena?

Violencia de género en México y la movilización feminista

La violencia de género ya era una epidemia en México cuando se dieron los primeros casos positivos de Covid-19 en el país. Durante el 2019 asesinaron a 3,825 mujeres, cifra que la geofísica María Salguero ha rastreado a través de su mapa de feminicidios, el cual se nutre de los asesinatos a mujeres reportados en la prensa, proyecto que lleva desde 2016. Es decir, en México se asesinaba por lo menos a diez mujeres al día. Cabe notar que estas no son cifras oficiales gubernamentales, las cuales difieren mucho de las de este proyecto generado por la ciudadanía.

En febrero de este año las redes sociales se llenaron de los hashtags #JusticiaParaTodas y #CosasQuePasanPorSerMujer. La sociedad mexicana se había enfurecido por los asesinatos de la pequeña Fátima e Ingrid Escamilla. El caso de Fátima se trató de una niña de 7 años secuestrada, asesinada y mutilada por sus vecinos. Ingrid Escamilla fue una mujer asesinada y mutilada, cuyas imágenes del cuerpo sin vida fueron publicadas en varios medios de comunicación. Como resultado, las fotografías fueron compartidas en las redes sociales. Esto causó que muchos usuarios etiquetaran fotografías hermosas con el nombre de Ingrid Escamilla, para “limpiar” su nombre y hacer que se perdieran las imágenes publicadas por los medios de comunicación amarillistas.

Este año, el 8 de marzo, Día Internacional de la Mujer, fue muy especial para las mexicanas. Ese día salieron a la calle cientos de mujeres para protestar contra la violencia de género, un problema que lleva años en la sociedad latinoamericana y que cada vez parece empeorar. Las manifestantes demandaron un cambio en la estructura social para que ya no se permita la violencia sexual, exigieron igualdad de género en las políticas públicas y la no impunidad a los agresores, y la transparencia en los datos sobre violencia de género.

Hasta ese momento, todo el cambio que se había logrado venía desde las mismas sociedades, de las mujeres reunidas bajo un objetivo y sin el apoyo del gobierno mexicano.

Cuatro días después, el 12 de marzo, se declaró la pandemia mundial, y en México el 20 de marzo el gobierno federal declaró la cuarentena. Pero esto no fue lo peor para las mujeres mexicanas. La mayoría de los casos de violencia de género se dan en los hogares, y ahora muchas mujeres se vieron obligadas a estar encerradas junto con sus agresores.

Sin mecanismos para frenar la violencia de género durante la pandemia

En México se están haciendo esfuerzos para frenar el contagio de Covid-19, pero no existen mecanismos para frenar la violencia doméstica de género. Esto hace que las mujeres mexicanas no sólo tengan miedo de un contagio, sino que también aumenta el miedo a sufrir violencia en sus casas, sin contar el número de mujeres que viven en condición de pobreza. 

En el Banco Nacional de Datos e Información sobre Casos de Violencia contra las Mujeres (BANAVIM), se declaró que del 20 de marzo al 2 de mayo se registraron 19,602 agresiones contra la mujer, y el 90% de estas agresiones fueron cometidas por personas que viven bajo el mismo techo. El Secretariado Ejecutivo del Sistema Nacional de Seguridad Pública (SESNSP) mencionó que durante el mes de marzo se recibieron 64,858 llamadas al 911 debido a violencias contra la mujer, con un aumento del 23% en comparación con el mes anterior. 

Esto indica que cada día de cuarentena se denuncian de manera formal 490 casos de violencia, uno cada tres minutos. Este cálculo no cuenta el número de casos que se dan en casa y no son denunciados a las autoridades. Hasta el mes de abril se declararon al menos 210 feminicidios en el país.

Todos los esfuerzos que se han hecho para medir el índice de contagios de Covid-19 han desviado la mirada al problema que afectaba a las mujeres desde hace años. La crisis provocada por la pandemia Covid-19 es más visible porque ocurre a nivel mundial y se compara a México con otros países. De esta manera, los recursos gubernamentales han sido recortados de los programas de violencia de género para darlos a la infraestructura en el sector salud, a pesar de que la violencia contra las mujeres sigue creciendo.

Las respuestas desde abajo

Como ahora están prohibidos los eventos masivos, las marchas y las protestas como las ocurridas el ocho de marzo, la mejor opción para las mujeres mexicanas es recurrir al activismo digital, como se vio en los casos de Fátima e Ingrid Escamilla. El 6 de mayo, el presidente de México, Andrés Manuel López Obrador, fue cuestionado sobre las políticas contra la violencia doméstica durante la cuarentena. López Obrador negó que los índices hubieran aumentado. Los días posteriores, diversas organizaciones feministas como Brujas del Mar y Luchadoras alzaron la voz, y junto con otras asociaciones de derechos humanos hicieron declaratorias públicas en sus redes sociales.

Desde el lunes once de mayo, muchísimas mujeres se unieron a exigir que se visibilice la violencia de género doméstica bajo el hashtag #NosotrasTenemosOtrosDatos, para pedir transparencia en la identificación y publicación de casos de violencia doméstica en todo el país.

Debido a la pandemia, el activismo de datos -es decir el uso estratégico de información para generar un cambio social- es cada vez más relevante y necesario para visualizar todos los problemas que enferman a la sociedad, no sólo las infecciones de Covid-19 sino también las otras epidemias como la violencia de género.

 

Teresa Villaseñor es feminista, bibliotecóloga y actualmente es estudiante de la maestría en Desarrollo Económico y Cooperación Internacional en la Benemérita Universidad Autónoma de Puebla.

 

[BigDataSur] The Challenge of Decolonizing Big Data through Citizen Data Audits [2/3]

 

A First Attempt at Citizen Data Audits

Author: Katherine Reilly, Simon Fraser University, School of Communication

In the first post in this series, I explained that audits are used to check whether people are carrying out practices according to established standards or criteria. They are meant to ensure effective use of resources. Corporations audit their internal processes to make sure that they comply with corporate policy, while governments audit corporations to make sure that they comply with the law.

There is no reason why citizens or watchdogs can’t carry out audits as well. In fact, data privacy laws include some interesting frameworks that can facilitate this type of work. In particular, the EU’s General Data Privacy Regulation (GDPR) gives you the right to know how corporations are using your personal data, and also the ability to access the personal data that companies hold about you. This right is reproduced in the privacy legislation of many countries around the world from Canada and Chile to Costa Rica and Peru, to name just a few.

With this in mind, several years ago the Citizen Lab at the University of Toronto set up a website called Access My Info which helps people access the personal data that companies hold about them. Access My Info was set up as an experiment, so the site only includes a fixed roster of Canadian telecommunications companies, fitness trackers, and dating apps. It walks users through the process of submitting a personal data request to one of these companies, and then tracks whether the companies respond. The goal of this project was to crowdsource insights from citizens that would help researchers learn what companies know about their clients, how companies manage personal data, and who companies share data with. The results of this work have been used to advocate for changes to digital privacy laws.

Using this model as a starting point, in 2019, my team at SFU, and a team from the Peruvian digital rights advocate HiperDerecho, set up a website called SonMisDatos (Son Mis Datos translates as “It’s My Data”.) Son Mis Datos riffed on the open source platform developed by Access My Info, but made several important modifications. In particular, HiperDerecho’s Director, Miguel Morachimo, made the site database-driven so that it was easier to update the roster of corporate actors or their contact details. Miguel also decided to focus on companies that have a more direct material impact on the daily lives of Peruvians – such as gas stations, grocery stores and pharmacies. These companies have loyalty programs that are involved in collecting personal data about users.

Then we took things one step further. We used SonMisDatos to organize citizen data audits of Peruvian companies. HiperDerecho mobilized a team of people who work on digital rights in Peru, and we brought them together at two workshops. At the first workshop, we taught participants about their rights under Peru’s personal data protection laws, introduced SonMisDatos, and asked everyone to use the site to ask companies for access to their personal data. Companies need time to fulfill those requests, so then we waited for two months. At our second workshop, participants reported back on the results of their data requests, and then I shared a series of techniques for auditing companies on the basis of the personal data people had been able to access.

Our audit techniques explored the quality of the data provided, corporate compliance with data laws, how responsive companies were to data requests, the quality of their informed consent process, and several other factors. My favorite audit technique reflected a special feature of the data protection laws of Peru. In that country, companies are required to register databases of personal information with a state entity. The registry, which is published online, includes lists of companies, the titles of their databases, as well as the categories of data collected by each database. (The government does not collect the contents of the databases, it only registers their existence.)

With this information, our auditors were able to verify whether the data they got back from corporate actors was complete and accurate. In one case, the registry told us that a pharmaceutical company was collecting data about whether clients had children. However, in response to an access request, the company only provided lists of purchases organized by date, skew number, quantity and price. Our auditors were really bothered by this discovery, because it suggested that the company was making inferences about clients without telling them. Participants wondered how the company was using these inferences, and whether it might affect pricing, customer experience, access to coupons, or the like.

In another case, one of our auditors subscribed to DirecTV. To complete this process, he needed to provide his cell phone number plus his national ID number. He later realized that he had accidentally typed in the wrong ID number, because he began receiving cell phone spam addressed to another person. This was exciting, because it allowed us to learn which companies were buying personal data from DirecTV. It also demonstrated that DirecTV was doing a poor job of managing their customer’s privacy and security! However, during the audit we also looked back at DirecTV’s terms of service. We discovered that they were completely up front about their intention to sell personal information to advertisers. Our auditors were sheepish about not reading the terms of the deal, but they also felt it was wrong that they had no option but to accept these terms if they wanted to access the service.

On the basis of this experience, we wrote a guidebook that explains how to use Son Mis Datos, and how to carry about an audit on the basis of the ‘access’ provisions in personal data laws. The guide helps users think through questions like: Is the data complete, precise, unmodified, timely, accessible, machine-readable, non-discriminatory, and free? Has this company respected your data rights? What does the company’s response to your data request suggest about its data use and data management practices?

We learned a tonne from realizing these audits! We know, for instance, that the more specific the request, the more data a company provides. If you ask a company for “all of the personal data you hold about me” you will get less data that if you ask for “all of my personal information, all of my IP data, all of my mousing behaviour data, all of my transaction data, etc.”

Our experiments with citizen data audits also allow us to make claims about how companies define the term “personal data.” Often companies define personal data very narrowly to mean registration information (name, address, phone number, identification number, etc.). This lies in extreme contrast to the academic definition of personal data, which is any information that can lead to the identification of an individual person. In the age of big data, that means pretty much any digital traces you produce while logged in. Observations like these allow us to open up larger discussions about corporate data use practices, which helps to build citizen data literacy.

However, we were disappointed to discover that our citizen data audits worked to validate a data regime that is organized around the expropriation of resources from our communities. In my first blog post I explained that the 5 criteria driving data audits are profitability, risk, consent, security and privacy.

Since our audit originated with the law, with technology, and with corporate practices, we ended up using the audit criteria established by businesses and governments to assess corporate data practices. And this meant that we were checking to see if they were using our personal and community resources according to policies and laws that drive an efficient expropriation of those very same resources!

The concept of privacy was particularly difficult to escape. The idea that personal data must be private has been ingrained into all of us, so much so that the notion of pooled data or community data falls outside the popular imagination.

As a result, we felt that our citizen data audits did other people’s data audit work for them. We became watchdogs in the service of government oversight offices. We became the backers of corporate efficiencies. I’ve got nothing personal against watchdogs — they do important work — but what if the laws and policies aren’t worth protecting?

We have struggled greatly with the question of how to generate a conversation that moves beyond established parameters, and that situates our work in the community. With this in mind, we’ve begun to explore alternative approaches to thinking about and carrying out citizen data audits. That’s the subject of the final post in this series.

 

About the author: Dr. Katherine Reilly is Associate Professor in the School of Communication at Simon Fraser University in Vancouver, Canada. She is the recipient of a SSHRC Partnership Grant and an International Development Research Centre grant to explore citizen data audit methodologies alongside Derechos Digitales in Chile, Fundacion Karisma in Colombia, Sula Batsu in Costa Rica, TEDIC in Paraguay, HiperDerecho in Peru, and ObservaTIC in Uruguray.

[BigDataSur-COVID] Surveillance in the Time of Coronavirus: The Case of the Indian contact tracing app Aarogya Setu

by Soumyo Das (Center of Information Technology and Public Policy at IIIT Bangalore)

Covid-19 has brought governments across the world to the drawing boards trying to design efficient pandemic containment strategies. In India, while reports suggest that the rise in number of cases has reduced from exponential levels, the spread continues. The government, alongside enforcing a complete lockdown of all human activity in non-essential services and sectors, has considered the use of digital technologies (ICTs) to monitor and control the spread of the virus as an informational and preventive model. In tune with other national governments, including those of Singapore and China, on April 2nd, 2020 the Government of India launched the ‘contact tracing technology’ initiative called ‘Aarogya Setu’. Developed in house, namely by the National Informatics Center of the Ministry of Electronics and Information Technology, the mobile application is available in eleven national languages. As April 25, it has reached 7.5 million registered users.

The application, designed to keep track of the travel and contact history of an individual, can be downloaded by users voluntarily. It registers the personal information of users—including name, age, gender, health status, and recent travel history. Asking users to respond to a series of questions designed to assess if the person is Covid-19 positive, Aarogya Setu generates a Unique Digital Identity for the individual. It also assigns the user a Covid-19 status: low risk, high risk, positive, or negative. It uses Bluetooth and GPS to collect all the other data. The connectivity system (Bluetooth) allows the application to record details of other registered users that the registered individual comes in contact with. The location tracking system (GPS) constantly registers the location of a user in 15-minute intervals. In the initial phase, users’ data are stored locally on their mobile device; however, for those who are assessed to be positive, the data is transferred from the mobile device to a national server for assessment and communication purposes—which raises a number of worries.

Aarogya Setu raises privacy and security concerns

Since the application allows to monitor the contact history and location of registered individuals who test positive, it is supposed to empower the Government to analyze the virus spread in a localized area, and informs individuals who came in contact with the positive individuals about self-isolation and further steps. Two things have to be kept in mind about the application. Firstly, its effectiveness is dependent on the individual practice of self-reporting symptoms in an honest and timely manner. Secondly, it has been designed only for smartphone users, and is furthermore voluntary, thus it can effectively monitor a subset of https://www.news18.com/news/tech/smartphone-users-in-india-crossed-500-million-in-2019-states-report-2479529.html. Therefore, as Jason Say, Senior Director of Government Technology Agency, Singapore, argues, ‘automated contact testing is not a panacea’, and ‘a competent human-in-the-loop system with sufficient capacity’ is a more effective strategy than over-relying on techno-centric solutions.

On top of that, Aarogya Setu comes with its fair share of privacy and security problems. To start with, with no comprehensive legislation in the Indian lawbooks which outlines protection of online privacy for individuals, application users have little to no choice but to agree to privacy policies set by the developers as instructed by the Government of India. While said policy provides a sketchy outline of where and for how long individual data would be retained, the majority of the text offers nothing but a string of vague statements which simply miss out on disclosing who owns and controls access to the data. Specifically, the policy reads that ‘persons carrying out medical and administrative interventions necessary in relation to Covid-19’ can have access to the data. Given that practically all ministries and departments of the Government of India are playing an active role in devising strategies and implementing processes to contain the spread of the virus, policy statements like this evoke ample chances of ‘interdepartmental exchanges of people’s personal information’ based on an analysis of the policy outlined in the application, as denounced by the Internet Freedom Foundation.

Beyond the concerns surrounding undisclosed and vague data use and data protection policies, the fact that individuals are assigned a Unique Digital Identifier number raises concerns of privacy as well. Firstly, given that all individuals are provided with a static identity number, there are concrete chances of identity breach. Moreover, all individuals in India have a national Unique Identity number (the so-called ‘Aadhar Number’) associated with the contact details of the same communication device used for the purpose of Aarogya Setu, with amplified risks of identity & data sharing. For example, these two identities might be leaked, which sounds the alarm bells regarding the potential linkage of biographical information, location and contact history of registered users of Aarogya Setu with that of an individual’s Aadhar number. In the meantime, numerous cases have been recorded of the National Unique Identity system being used to link identity metrics including those of an individual’s financial accounts and social welfare program accounts amongst others (Masiero & Das 2019). The same might happen for individual data collected via Aarogya Setu. Finally, fears have multiplied with intel sources reporting that software already available in the market can bypass the system security and extract sensitive information of an individual.

Voluntary adoption?

While downloading the application is voluntary, certain states has made individual registration on the application a mandatory requirement. For example, in New Delhi, Mr. Surjit K. Singh, Director of National Center for Disease Control, has strongly recommended the Delhi government to allow people to enter the city capital only after they have installed the application, therefore setting the tone for the use of the application for monitoring inter-district & inter-state movement of people. Similarly, the Tamil Nadu state government has urged employees of all higher education institutions in the state to use the application. App-based platforms like Zomato has made Aarogya Setu registration mandatory for food delivery personnel, while IT companies have mandated the same for employees who are reporting to office. Furthermore, both government and private organizations are actively pushing individuals to register on the Aarogya Setu application, and with reports of the government working towards procuring thousands of wristbands to be integrated with the application for greater individual monitoring.

A ‘Bridge to Wellness’

With no documentation being available at the time of writing for Aarogya Setu, organizations such as Internet Freedom Foundation and Software Freedom Law Center have raised concerns that the application is something of a black-box. They have called for more transparency on the algorithmic functioning of an application which is developed and promoted by the Government of India and deals with accessing and databasing the personal details of individuals. Ironically, the very same name of the application, which can be roughly translated as ‘Bridge to Wellness’, points to empowerment and better futures. But what would it take for the app to yield that “wellness” it evokes?

It is time for individuals and action groups in the country to raise demands for a greater transparency regarding the functioning of the application. The government must address the privacy concerns of its citizens. It must provide clarity on who owns the data, where it is stored, who can access and use it, and how—and for how long it will be stored. Unless such concerns are addressed, and effective measures taken at the earliest, Aarogya Setu only promises to cross people over to a world of algorithmic surveillance.

Author’s bio: Soumyo Das is a Research Scholar at the Center of Information Technology and Public Policy at IIIT Bangalore. His research primarily focusses on Information Systems in Organisations, and ICT4D. Soumyo holds an undergraduate degree in the applied sciences, and was formerly associated with a technology consulting firm as a Client Associate.

[BigDataSur] The Challenge of Decolonizing Big Data through Citizen Data Audits [1/3]

Author: Katherine Reilly, Simon Fraser University, School of Communication

A curious thing happened in Europe after the creation of the GDPR. A whole new wave of data audit companies came into existence to service companies that use personal data. This is because, under the GDPR, private companies must audit their personal data management practices. An entire industry emerged around this requirement. If you enter “GDPR data audit” into Google, you’ll discover article after article covering topics like “the 7 habits of highly effective data managers” and “a checklist for personal data audits.”

Corporate data audits are central to the personal data protection frameworks that have emerged in the past few years. But among citizen groups, and in the community, data audits are very little discussed. The word “audit” is just not very sexy. It brings to mind green eyeshades, piles of ledgers, and a judge-y disposition. Also, audits seem like they might be a tool of datafication and domination. If data colonization “encloses the very substance of life” (Halkort), then wouldn’t data auditing play into these processes?

In these three blog posts, I suggest that this is not necessarily the case. In fact, we precisely need to develop the field of citizen data audits, because they offer us an indispensable tool for the decolonization of big data. The posts look at how audits contribute to upholding our current data regimes, an early attempt to realize a citizen data audit in Peru, and emerging alternative approaches. The series of the following blogposts will be published the coming weeks:

  1. The Current Reality of Personal Data Audits [find below]

  2. A First Attempt at Citizen Data Audits [link]

  3. Data Stewardship through Citizen Centered Data Audits [link]

 

The Current Reality of Personal Data Audits

Before we can talk about citizen data audits, it is helpful to first introduce the idea of auditing in general, and then unpack the current reality of personal data audits. In this post, I’ll explain what audits are, the dominant approach to data audits in the world right now, and finally, the role that audits play in normalizing the current corporate-focused data regime.

The aim of any audit is to check whether people are carrying out practices according to established standards or criteria that ensure proper, efficient and effective management of resources.

By their nature, audits are twice removed from reality. In one sense, this is because auditors look for evidence of tasks rather than engaging directly in them. An auditor shows up after data has been collected, processed, stored or applied, and they study the processes used, as well as their impacts. They ask questions like “How were these tasks completed, and, were they done properly?”

Auditors are removed from reality in a second sense, because they use standards established by other people. An auditor might ask “Were these tasks done according to corporate policy, professional standards, or the law?” Auditors might gain insights into how policies, standards or laws might be changed, but their main job is to report on compliance with standards set by others.

Because auditors are removed from the reality of data work, and because they focus on compliance, their work can come across as distant, prescribed – and therefore somewhat boring. But when you step back and look at the bigger picture, audits raise many important questions. Who do auditors report to and why? Who sets the standards by which personal data audits are carried out? What processes does a personal data audit enforce? How might audits normalize corporate use of personal data?

We can start to answer these questions by digging into the criteria that currently drive corporate audits of personal data. These can be divided into two main aspects: corporate policy and government regulation.

On the corporate side, audits are driven by two main criteria: risk management and profitability. From a corporate point of view, personal data audits are no exception. Companies want to make sure that personal data doesn’t expose them to liabilities, and that use of this resource is contributing effectively and efficiently to the corporate bottom line.

That means that when they audit their use of personal data, they will check to see whether the costs of warehousing and managing data is worth the reward in terms of efficiencies or returns. They will also check to see whether the use of personal data exposes them to risk, given existing legal requirements, social norms or professional practices. For example, poor data management may expose a company to the risk of being sued, or the risk of alienating their clientele. Companies want to ensure that their internal practices limit exposure to risks that may damage their brand, harm their reputation, incur costs, or undermine productivity.

In total, corporate data audits are driven by, and respond to, corporate policies, and those policies are organized around ensuring the viability and success of the corporation.

Of course, the success of a corporation does not always align with the well-being of the community. We see this clearly in the world of personal data. Corporate hunger for personal data resources has often come at the expense of personal or community rights.

Because of this, governments insist that companies enforce three additional regulatory data audit criteria: informed consent, personal data security, and personal data privacy.

We can see these criteria reflected clearly in the EU’s General Data Privacy Regulation. Under the GDPR, companies must ask customers for permission to access their data, and when they do so, they must provide clear information about how they intend to use that data.

They must also account for the personal data they hold, how it was gathered, from whom, to what end, where it is held, and who accesses it for what business processes. The purpose of these rules is to ensure companies develop clear internal data management policies and practices, and this, in turn, is meant to ensure companies are thinking carefully about how to protect personal privacy and data security. The GDPR requires companies to audit their data management practices on the basis of these criteria.

Taking corporate policy and government regulation together, personal data audits are currently informed by 5 criteria – profitability, risk, consent, security and privacy. What does this tell us about the management of data resources in our current data regime?

In a recent Guardian piece Stephanie Hare pointed out that “the GDPR could have … [made] privacy the default and requir[ed] us to opt in if we want to have our data collected. But this would hurt the ability of governments and companies to know about us and predict and manipulate our behaviour.” Instead, in the current regime, governments accept the central audit criteria of businesses, and on top of this, they establish the minimal protections necessary to ensure a steady flow of personal data to those same corporate actors. This means that the current data regime (at least in the West) privileges the idea that data resides with the individual, and also the idea that corporate success requires access to personal data.

Audits work to enforce the collection of personal data by private companies, by ensuring that companies are efficient, effective and risk averse in the collection of personal data. They also normalize corporate collection of personal data by providing a built in response to security threats and privacy concerns. When the model fails – when there is a security breach or privacy is disrespected – audits can be used to identify the glitch so that the system can continue its forward march.

And this means that audits can, indeed, serve as tools of datafication and domination. But I don’t think this necessarily needs to be the case. In the next post, I’ll explore what we’ve learned from experimenting with citizen data audits, before turning to the question of how they can contribute to the decolonization of big data in the final post.

 

About the author: Dr. Katherine Reilly is Associate Professor in the School of Communication at Simon Fraser University in Vancouver, Canada. She is the recipient of a SSHRC Partnership Grant and an International Development Research Centre grant to explore citizen data audit methodologies alongside Derechos Digitales in Chile, Fundacion Karisma in Colombia, Sula Batsu in Costa Rica, TEDIC in Paraguay, HiperDerecho in Peru, and ObservaTIC in Uruguray.