La relación entre los derechos digitales y el ESG corporativo
Este artículo examina la protección de los datos de los consumidores dentro del pilar “S” (Social) de ESG, con especial atención a los derechos humanos en el ámbito digital en expansión. Analiza cómo deben tratar las empresas los datos personales en un contexto en el que conviven las normativas de privacidad establecidas por gobiernos y organismos internacionales con una transformación digital acelerada. El análisis vincula la gobernanza de la información corporativa con consideraciones ESG más amplias y destaca el delicado equilibrio que se requiere entre la innovación y la protección de los derechos.
Qué son los derechos digitales
A medida que la digitalización avanza en toda la sociedad, los “derechos digitales” (Digital Rights) han ganado cada vez más atención.
En sentido amplio, los derechos digitales se refieren a los derechos legales relacionados con el acceso y el uso de los medios digitales, incluido internet. Sin embargo, en los últimos años el concepto ha ido más allá de la protección de los datos personales y biométricos. Ahora abarca la ética digital en su conjunto, incluidas la prevención de la discriminación causada por la IA y los algoritmos, la soberanía de los datos y la transparencia. Estas cuestiones se han convertido en temas centrales del pilar “S” de ESG.
Este artículo se centra principalmente en las cuestiones de derechos humanos relacionadas con los derechos digitales.
Con el avance de la digitalización, la información se trata ahora como datos digitales en casi todos los aspectos de la vida cotidiana y de los negocios. Esto incluye información personal altamente sensible. Los datos personales digitalizados se almacenan en diversas plataformas corporativas y se utilizan con frecuencia en análisis de datos destinados a aumentar el tráfico de los sitios web o a generar beneficios. Como resultado, los datos personales se reutilizan con frecuencia de formas no previstas sin que las personas lo sepan. En respuesta, muchas empresas han establecido políticas de protección de datos personales. Aunque las empresas hacen hincapié en el cumplimiento de estas políticas, el volumen y el alcance del uso de datos personales digitales siguen creciendo.
En las secciones siguientes se examinan las tendencias recientes y la evolución normativa en torno a los derechos digitales desde la perspectiva de la gestión ESG corporativa.
Regulación gubernamental rezagada y autorregulación impulsada por las empresas
Aunque los gobiernos de todo el mundo están acelerando sus esfuerzos legislativos, siguen existiendo brechas entre los marcos normativos y las prácticas empresariales. Esta brecha es especialmente evidente en ámbitos de rápida evolución como la IA y la autenticación biométrica, donde los requisitos normativos difieren entre jurisdicciones y se están volviendo cada vez más complejos. Para las empresas globales, garantizar la coherencia normativa se ha convertido en un desafío clave.
Ante la rápida digitalización, las empresas se ven con frecuencia obligadas a establecer sus propias normas internas. Sin embargo, el grado de esta autorregulación varía mucho de una empresa a otra.
Dado que estas iniciativas se basan a menudo en directrices ambiguas, las organizaciones orientadas al lucro tienden a no priorizar la protección de los derechos digitales. Como resultado, las respuestas empresariales suelen ir por detrás de la evolución tecnológica.
Por ejemplo, Amazon.com, Inc. introdujo “Amazon One”, un sistema de escaneo de la palma de la mano que permite a los clientes entrar en las tiendas y realizar pagos, en los establecimientos Amazon Go de Estados Unidos (*1). Si bien este servicio sin contacto parecía cómodo durante la pandemia de COVID-19, surgieron preocupaciones por la falta de transparencia sobre cómo se escanean, recopilan y posteriormente utilizan los datos de la palma de la mano. Varios senadores estadounidenses solicitaron formalmente a Amazon que divulgara información. Esta situación se debe en gran medida a la ausencia de una regulación integral sobre la autenticación por huella palmar en Estados Unidos (*2).
En 2019, varios políticos británicos enviaron una carta al secretario de Asuntos Exteriores del Reino Unido en la que expresaban su preocupación por que Huawei Technologies Co., Ltd. hubiera cometido graves violaciones de derechos humanos en China (*3). Estas preocupaciones surgieron cuando el gobierno británico consideró utilizar los servicios de Huawei para su infraestructura 5G. Tanto en el Reino Unido como en China, se citó como factor contribuyente la insuficiencia de los marcos normativos sobre las cuestiones de derechos humanos relacionadas con el 5G.
En general, se espera que los gobiernos establezcan políticas de privacidad aceptables para los ciudadanos y protejan los derechos digitales. Sin embargo, hay casos en los que los propios gobiernos vulneran estos derechos. En Rusia, por ejemplo, en 2020 se anunciaron planes para ampliar el uso policial de cámaras de vigilancia urbana equipadas con tecnología de reconocimiento facial (*4). Esto provocó críticas de activistas de derechos humanos, abogados y ONG tanto dentro como fuera del país.
Estos desafíos también están vinculados a la ausencia de normas internacionales.
Las Naciones Unidas han desempeñado un papel de liderazgo en el establecimiento de marcos de derechos humanos, como la Declaración Universal de Derechos Humanos y la Convención sobre los Derechos del Niño. Sin embargo, ningún tratado de la ONU aborda específicamente los derechos digitales. Por ello, las respuestas a la digitalización se han limitado a interpretaciones ampliadas o a modificaciones menores de los acuerdos existentes.
En junio de 2021, el Alto Comisionado de las Naciones Unidas para los Refugiados (ACNUR) fue duramente criticado por haber proporcionado al gobierno de Myanmar datos biométricos, incluidas huellas dactilares, utilizados para gestionar la información personal de los refugiados rohinyás que habían huido a Bangladesh (*5). Este incidente también refleja la falta de un tratado internacional que regule la autenticación biométrica.
Debido a la ausencia de normas internacionales, los gobiernos han tardado en emitir directrices. Esto, a su vez, ha llevado a las empresas a desarrollar sus propios estándares internos. La ONU se ha limitado a afirmar que “los mismos derechos que tienen las personas fuera de línea también deben protegerse en línea” en una resolución de 2016 (*6).
Entre las diversas cuestiones relacionadas con los derechos digitales, el uso de características físicas como las huellas palmares, los datos faciales y las huellas dactilares para gestionar información personal se denomina autenticación biométrica. Por su comodidad, se espera que la autenticación biométrica se generalice. Sin embargo, a diferencia de las direcciones o los números de teléfono, los datos biométricos no cambian a lo largo de la vida. Una vez filtrados, no pueden recuperarse, lo que ha generado una notable cautela.
Posibles repercusiones de la autorregulación en las empresas
A medida que continúan estas tendencias, los gobiernos de varios países han comenzado a establecer regulaciones sobre derechos digitales. Esto ha generado fricciones con las empresas que antes dependían de la autorregulación.
Caso de estudio: Estados Unidos
Un caso muy conocido en Estados Unidos es el de Facebook, Inc., que más tarde pasó a llamarse Meta (*7). En 2015, usuarios de Facebook en Illinois presentaron una demanda colectiva tras descubrir que las fotos en las que aparecían sus rostros habían sido etiquetadas automáticamente sin su consentimiento. Los demandantes sostuvieron que Facebook recopilaba datos de reconocimiento facial sin divulgarlo. Aunque Facebook tiene su sede en California, el tribunal dictaminó que esta práctica infringía la Ley de Privacidad de la Información Biométrica de Illinois (Biometric Information Privacy Act, BIPA). En 2021, se ordenó a Facebook pagar 550 millones de USD.
Además, se hicieron públicos y fueron ampliamente difundidos documentos internos que ponían de relieve el papel de Facebook en la propagación del discurso de odio y la desinformación (*8). Desde 2021, Meta ha suspendido por completo sus funciones de reconocimiento facial (*9). Desde entonces, la empresa ha orientado su atención hacia el diseño ético en la IA generativa, la optimización de la publicidad y los servicios relacionados con el metaverso, a la vez que ha aumentado la transparencia de su marco de gobernanza de la IA (*10). Por su parte, mientras Google avanza en la introducción de tecnologías alternativas a la publicidad basada en seguimiento (Privacy Sandbox), ha retirado su plan de eliminar progresivamente las cookies en 2024 y ahora explora formas de equilibrar la comodidad y la privacidad. （*11)
Caso de estudio: Unión Europea
En diciembre de 2020, la UE propuso una legislación dirigida a las grandes empresas tecnológicas, comúnmente denominadas GAFA, que cuentan con más de 45 millones de usuarios dentro de la UE (*12).
La legislación consta de la Ley de Servicios Digitales (Digital Services Act, DSA) y la Ley de Mercados Digitales (Digital Markets Act, DMA).
La DSA se centra en proteger los derechos digitales de los ciudadanos de la UE exigiendo transparencia sobre cómo se crean los anuncios personalizados basados en seguimiento. La DMA tiene como objetivo regular a las empresas designadas, por ejemplo, obligándolas a compartir ciertos tipos de datos con los reguladores y los competidores (*13). Las sanciones por incumplimiento incluyen multas de hasta el 10 por ciento de los ingresos anuales globales.
La rapidez de este proceso regulatorio es digna de mención. Los debates y anuncios tuvieron lugar en 2021, seguidos de negociaciones con los Estados miembros de la UE a principios de 2022.
Tanto la DSA como la DMA entraron formalmente en vigor en 2024, con multas de entre el 10 y el 20 por ciento como máximo de la facturación global por infracciones. Además, la UE aprobó la Ley de IA (AI Act) en mayo de 2024. Esta introduce un marco regulatorio basado en el riesgo para la IA, cuya aplicación gradual se espera que comience antes de 2026 (*14).
Caso de estudio: Australia
En noviembre de 2021, la autoridad de privacidad de Australia ordenó a Clearview AI, una empresa con sede en Estados Unidos que ofrece servicios de reconocimiento facial con IA, que eliminara las imágenes faciales y los datos relacionados de ciudadanos australianos por infracción de la ley de privacidad (*15). Clearview AI recopila automáticamente imágenes faciales de plataformas de redes sociales como Facebook, YouTube, Twitter e Instagram. Ofrece servicios de reconocimiento facial a organizaciones estadounidenses, entre ellas más de 600 organismos encargados de hacer cumplir la ley, incluidos el FBI y el Departamento de Seguridad Nacional.
La Oficina del Comisionado de Información de Australia (OAIC) concluyó que la recopilación masiva de imágenes faciales por parte de Clearview AI infringía las disposiciones de la ley australiana de privacidad que prohíben recopilar información sensible sin consentimiento y por medios desleales (*16).
Clearview AI ha recurrido la decisión, alegando que la OAIC carece de competencia porque la empresa no realiza actividades comerciales ni tiene clientes en Australia (*17).
Sin embargo, también se determinó que Clearview AI había infringido el Reglamento General de Protección de Datos (RGPD) de la UE en Alemania en enero de 2021 (*18). Se reconocieron infracciones similares en Canadá, en virtud de la ley de privacidad de Quebec, durante el mismo período (*19). Estos casos demuestran que, incluso cuando las empresas operan el mismo modelo de negocio a través de las fronteras, los requisitos normativos varían según el país. Sin una consideración adecuada de los derechos digitales, un modelo de negocio que funciona en el ámbito nacional puede fracasar en el extranjero.
Implicaciones para las empresas japonesas
Desde 2023, los debates sobre derechos digitales en Japón se han intensificado, en particular en relación con la IA generativa y el sistema nacional de identificación digital. En 2024, el gobierno publicó las Directrices para Empresas de IA (AI Business Guidelines) y ha impulsado cambios de política que ponen el acento en la transparencia y la rendición de cuentas en materia de datos personales y algoritmos, bajo el liderazgo de la Agencia Digital. Para las empresas, la respuesta a la gestión del capital humano y a la debida diligencia en materia de derechos humanos se está convirtiendo en un factor clave de las evaluaciones ESG. Por ello, es probable que los derechos digitales se conviertan en una cuestión central en la toma de decisiones empresariales. Descuidar los derechos digitales puede reducir las calificaciones ESG en el pilar “S”, erosionar el valor corporativo global o aumentar los costes operativos.
Históricamente, los marcos normativos desarrollados en Europa y Estados Unidos se convirtieron más tarde en normas internacionales, que Japón adoptó posteriormente. Sin embargo, el mundo avanza ahora hacia un entorno regulatorio más sincronizado. Mientras que las iniciativas sobre cambio climático han recuperado impulso tras la pandemia de COVID-19, el pilar “S” también ha ganado importancia a través de cuestiones como la ética de la IA, la diversidad y la protección de los derechos humanos.
Ahora se exige a las empresas que apliquen estrategias ESG que equilibren las consideraciones ambientales y sociales. (*20)
Cómo vincular eficazmente la información ESG con el aumento del valor corporativo
Como se ha destacado en este artículo, la digitalización de la información personal avanza con rapidez en todo el mundo. Posicionar los derechos digitales como un componente central de la gestión ESG se ha vuelto cada vez más importante. Muchas empresas buscan aumentar su valor corporativo mediante la gestión y la inversión ESG, a la vez que reducen el riesgo de pérdida de valor. La cuestión es cómo identificar con precisión estas oportunidades y riesgos.
El primer paso es evaluar estas oportunidades correctamente. Para ello se requiere un análisis comparativo de los datos ESG no solo dentro de una empresa, sino también entre sectores y empresas comparables, desde una perspectiva de valor a largo plazo.
A partir de 2025, el análisis de datos ESG mediante IA generativa se ha ido estandarizando cada vez más. La debida diligencia en materia de derechos humanos, incluido el cumplimiento de la Directiva sobre Diligencia Debida de las Empresas en materia de Sostenibilidad (CSDDD), y la gobernanza de la IA centrada en la transparencia algorítmica se están convirtiendo en componentes centrales de la evaluación del pilar “S”.
Al mismo tiempo, evitar el sesgo en los datos y garantizar la explicabilidad de los sistemas de IA han surgido como nuevos retos en materia de cumplimiento normativo. Las empresas que protegen de forma proactiva los derechos digitales son cada vez más favorecidas por los inversores.
Realizar de forma eficiente análisis ESG tanto amplios como en profundidad resulta difícil cuando cada empresa los aborda por separado. Centralizar la experiencia en equipos especializados reduce los procesos redundantes y permite un análisis más rápido y eficaz.
Si bien este artículo ha destacado una tendencia ESG, “cuoncrop” ofrece servicios como su “Diagnóstico 360° de la gestión ESG/ODS y apoyo a la mejora”. Estos servicios cuentan con equipos de expertos con experiencia en consultoría estratégica global y metodologías analíticas propias basadas en IA para ayudar a las empresas a identificar y mejorar el nivel de actividad ESG necesario para seguir siendo competitivas.
Estos servicios apoyan no solo a las grandes empresas con equipos ESG consolidados, sino también a organizaciones más pequeñas que están comenzando a adoptar la gestión ESG.
Se invita a las empresas interesadas en un enfoque de análisis científico y eficiente para acelerar la gestión ESG a ponerse en contacto con “cuoncrop”.
División de Investigación de Tendencias Globales ESG de cuoncrop
Referencias
*1 https://www.weforum.org/stories/2020/10/amazon-amazon-one-retail-technology/
*2 https://techcrunch.com/2021/08/13/amazon-biometric-data-senate-letter/
*4 https://www.hrw.org/news/2020/10/02/russia-expands-facial-recognition-despite-privacy-concerns#
*5 https://www.thenewhumanitarian.org/opinion/2021/6/21/rohingya-data-protection-and-UN-betrayal
*6 https://www.theverge.com/2016/7/4/12092740/un-resolution-condemns-disrupting-internet-access
*8 https://japan.cnet.com/article/35178549/
*9 https://about.fb.com/news/2021/11/update-on-use-of-face-recognition/
*11https://www.nikkei.com/article/DGXZQOGN2305Y0T20C24A7000000/
*12 https://www.newsweekjapan.jp/takemura/2020/12/gafa.php
*13 https://swapsss.com/dma-eu/
*14 https://digital-markets-act.ec.europa.eu/about-dma_en
*15 https://www.oaic.gov.au/updates/news-and-media/clearview-ai-breached-australians-privacy
*17 https://noyb.eu/sites/default/files/2021-01/545_2020_Anh%C3%B6rung_CVAI_ENG_Redacted.PDF
*19 https://www.security.org/identity-theft/breach/equifax/ *
*20https://iclg.com/practice-areas/environmental-social-and-governance-law/japan