Gobernanza digital

Adoptar un instrumento jurídico (como una ley o un reglamento) que defina qué se considera información pública digital (IPD), establezca su propósito, nombre la institución responsable de cada sistema e incorpore a cada sistema los estándares abiertos, la interoperabilidad y los principios de gobernanza del interés público.

Mantener un registro público centralizado en el ministerio responsable de cada sistema clasificado como DPI, que deberá actualizarse al menos anualmente. Como alternativa, el inventario de DPI podría incluirse en otras bases de datos de registros públicos y organizacionales a nivel de agencia o central.

• Propósito público: Como mínimo, el registro debe incluir la finalidad, la base jurídica, la institución responsable, los operadores, las categorías de datos tratados y un punto de contacto público.

Publique una evaluación de cada sistema en función de las obligaciones vigentes en materia de acceso a la información, protección de datos y formatos abiertos, junto con una hoja de ruta y un cronograma para subsanar las deficiencias e incorporar los requisitos legales en el diseño. Esta hoja de ruta puede servir como punto de partida para la fase de diseño del sistema.

Asegúrese de que la autoridad pueda recibir e investigar quejas sobre daños relacionados con DPI, inspeccionar sistemas, solicitar información y remitir casos para su aplicación. Exíjale que informe anualmente a la legislatura y al público. (Véase el Guía de Gobierno Abiertocapítulo Consulte “Toma de decisiones automatizada, algoritmos e inteligencia artificial” para obtener orientación más específica.

Las instituciones supremas de auditoría, las oficinas del defensor del pueblo, los organismos de protección al consumidor, los comisionados de información y los comités legislativos cuentan con estatutos que, si bien pueden otorgarles jurisdicción de forma implícita, deben explicitarse. Siempre que sea posible, conviene ampliar (y financiar) sus mandatos en lugar de crear nuevos organismos, por ejemplo, garantizando que puedan informar públicamente sobre el cumplimiento de sus funciones y que puedan recibir quejas o iniciar investigaciones a raíz de la participación ciudadana.

Los sistemas principales pueden trasladar la definición de objetivos y la evaluación a través de un foro gubernamental abierto ya existente, o bien crear un organismo específico con representación permanente de la sociedad civil. Esto puede incluir diversas acciones, como se detalla a continuación.

• Publicar los criterios de selección, los términos de referencia y las condiciones de servicio para los puestos de la sociedad civil.
• Publicar las agendas, las actas y las decisiones dentro del plazo establecido para cada reunión.
• Informar al organismo sobre cada sistema DPI principal al menos dos veces al año.
• Incluya a las personas que utilizan el sistema, no solo a las organizaciones que lo estudian.
• Proporcionar desarrollo de capacidades, acceso a documentación técnica pertinente y recursos para la participación (y la observación externa) junto con la creación de oportunidades formales de participación.
• Asigne puestos a múltiples agencias con intereses en el programa desde las primeras etapas del proceso de diseño, para garantizar la coordinación interministerial.

Exigir medidas de derechos humanos, protección de datos y privacidad, y exclusión en las evaluaciones de impacto antes de la implementación de un sistema DPI y nuevamente a intervalos regulares después de la implementación o cuando cambie su propósito o alcance. Publicarlas y proporcionar un período en el que el público pueda comentar antes de que se lleve a cabo la implementación. Directiva sobre la toma de decisiones automatizada ofrece un modelo para la evaluación, mientras que el Ley del Sistema de Identificación de Filipinas Ofrece una opción para legislar medidas de protección antes de la implementación, en lugar de después.

Destinar fondos para cubrir directamente la gobernanza del DPI. Garantizar que estos costos estén integrados en los presupuestos gubernamentales y acuerdos de financiación pertinentes desde el principio, incluso cuando el DPI se financie mediante asistencia para el desarrollo, préstamos u otra financiación externa.

Publique la cobertura de inscripción, las tasas de fallos de autenticación, las tasas de excepciones, los fallos en las transacciones, las quejas y los resultados de las apelaciones, desglosados ​​cuando los datos lo permitan, para cada tipo de sistema DPI (como identificación o pagos). Cuando los datos muestren exclusiones, publique las medidas correctivas, el plazo, la institución responsable y el progreso periódico para solucionarlo.

Consulte con las organizaciones que representan (o prestan servicios regularmente) a grupos como personas indocumentadas, personas con discapacidad, migrantes, poblaciones rurales y personas con bajo nivel de alfabetización durante la fase de diseño, no después del lanzamiento. Depositar Fondos Su participación, incluyendo los costos de viaje y el tiempo del personal, es fundamental para que no se limite a las organizaciones y representantes que ya pueden costearla. Las estructuras para implementar esto pueden incluir un consejo asesor, un comité de diseño, un foro de adopción u otros órganos de participación de múltiples partes interesadas, como se describió anteriormente.

Proporcionar gratuitamente credenciales de registro civil e identidad legal para sistemas de identificación digital y pagos digitales. Cuando se apliquen tarifas para la reemisión de credenciales o el procesamiento de transacciones, exigir que sean proporcionales y se publiquen, e informar periódicamente sobre ellas.

Incluya en el instrumento legal la limitación de la finalidad y exija que cualquier nueva finalidad sea autorizada mediante un proceso público, en lugar de una decisión administrativa. Esto puede incluir diversas acciones, como se detalla a continuación.

• Exigir a todas las partes que confían en el sistema, públicas o privadas, que registren su caso de uso en un registro público, indicando las funciones y los atributos de datos que utilizan.
• Publique el registro y cualquier adición al mismo antes de que entren en vigor.
• Exigir una justificación pública para cada nueva conexión a un sistema DPI.

Publique los acuerdos que rigen la transferencia de datos de información personal entre agencias y entre entidades gubernamentales y privadas, incluido el acceso de las fuerzas del orden y los servicios de inteligencia. Cuando el contenido de un acuerdo se mantenga confidencial por ley, publique su existencia, las partes involucradas y su fundamento jurídico, y recopile estadísticas sobre su uso. Exija que los sistemas muestren a los usuarios la identidad de cualquier entidad que les solicite datos, dinero o identificación.

Periodistas, investigadores y organizaciones de la sociedad civil son la fuente práctica de la mayor parte de la evidencia sobre cómo fallan estos sistemas. También están expuestos a riesgos al informar sobre cuestiones relacionadas con la información pública digital y, por lo tanto, deben ser protegidos. Esto puede adoptar diversas formas.

• Prohibición de vigilancia: Prohibir el uso de datos derivados del DPI para perfilar, localizar o restringir a periodistas, defensores de los derechos humanos y organizaciones de la sociedad civil, y proporcionar una solución cuando esto ocurra.
• Prohibiciones de represalia: Prohibir la denegación o retirada del acceso a la información personal confidencial como respuesta a protestas, críticas o afiliación política.
• Protección de los denunciantes: Establecer un canal protegido a través del cual los operadores del sistema, los contratistas y los investigadores independientes puedan informar sobre defectos y usos indebidos sin temor a represalias.

Asegúrese de que la adquisición de DPI se realice mediante licitación competitiva y publique el proceso de acuerdo con la Estándar de datos de contratación abierta, incluyendo documentos de licitación, adjudicaciones, valores contractuales, enmiendas y titularidad del proveedor ganador. Puede encontrar más recomendaciones a continuación. Para obtener detalles sobre las mejores prácticas de contratación abierta, consulte la Guía de Gobierno Abiertocapítulo sobre “Contratación abierta”.

• Disposiciones de salida: Exigir cláusulas de rescisión, portabilidad de datos y el derecho a migrar a otro proveedor en cada contrato de DPI, y publicar dichas cláusulas.
• Construcción modular: Estructura los sistemas en módulos para que los componentes puedan sustituirse de forma independiente.

Publique la documentación de la arquitectura del sistema y las especificaciones técnicas. Adopte estándares y protocolos abiertos en todos los componentes y publique el proceso de certificación. Cuando el código fuente sea de propiedad pública, publíquelo bajo una licencia abierta. Etiopía, Marruecos y Filipinas han construido sistemas de identidad nacional en código abierto compartido, Esto es lo que hace posible la migración y la inspección independiente.

Exigir que los contratos, licencias y normas de participación de los operadores privados incluyan obligaciones de transparencia, auditabilidad, protección de datos, no discriminación, compensación al consumidor e información pública. Publicar la distribución de responsabilidades entre las instituciones públicas y los operadores privados para cada sistema, así como las soluciones disponibles en caso de fallo. Definir las vías de responsabilidad y compensación antes de que el sistema entre en pleno funcionamiento.

Publicar partidas presupuestarias específicas para cada sistema DPI principal, que abarquen los costos de construcción, operación y mantenimiento, junto con los ingresos por tarifas y transacciones, en un informe financiero anual publicado.

• Rendición de cuentas independiente: Separar el papel del regulador del papel del operador de infraestructura.
• Reglas de participación: Publicar las normas que rigen la adhesión de los proveedores al sistema, incluidas las condiciones de no discriminación.
• Informes sobre la competencia: Informe periódicamente sobre el número de proveedores y la concentración de mercado en cada sistema DPI.

Designar canales de queja, apelación, defensoría del consumidor, judiciales o cuasi judiciales para los daños relacionados con DPI, y publicar los procedimientos, los estándares de servicio, los tiempos de respuesta y las vías de escalamiento.

• Partes responsables: Muestre la autoridad pública responsable y sus datos de contacto en la propia interfaz del sistema, incluso cuando el servicio sea prestado por un tercero.
• Canales de reclamación: Ofrecer canales para presentar quejas de forma presencial y por teléfono, no solo en línea. Esto es importante porque quienes más necesitan un canal de quejas son precisamente aquellos a quienes el sistema ya ha fallado.

Establecer legalmente que un usuario no es responsable de transacciones no autorizadas ni del uso indebido de sus credenciales, a menos que el operador demuestre lo contrario. Publicar las reglas de asignación de pérdidas en términos comprensibles y exigir registros de transacciones auditables suficientes para resolver una disputa.

Exigir auditorías independientes periódicas de los principales sistemas DPI por parte de instituciones de auditoría supremas, autoridades de protección de datos o terceros acreditados, que abarquen el cumplimiento de las exclusiones y los derechos, así como la seguridad. Esto puede incluir las siguientes acciones.

• Auditorias Publicar los resultados de la auditoría, las medidas correctivas que generan, los plazos y el progreso.
• Acciones de ejecución: Publicar investigaciones, sanciones, incumplimientos contractuales y órdenes correctivas, con sujeción a los límites legales de privacidad y seguridad.
• Revisión de la gobernanza: Evalúe si los mecanismos de gobernanza funcionan en la práctica, no solo si existen sobre el papel.

Establecer un mecanismo de financiación transparente para la supervisión por parte de la sociedad civil de los principales sistemas de información pública digital, abierto a organizaciones que prestan servicios directamente a los usuarios y a organizaciones no técnicas, y proporcionar acceso a asistencia jurídica independiente para las personas perjudicadas por estos sistemas.

• Datos sobre la resolución del caso: Establecer canales a través de los cuales los resultados del monitoreo lleguen a la institución responsable y publicar las medidas adoptadas en respuesta.
• Supervisión independiente: Supervisión de fondos durante la fase piloto y la implementación inicial, cuando el diseño aún es modificable.
• Aprendizaje del ciclo de vida: Fomentar revisiones públicas periódicas o temáticas para determinar si los acuerdos legales, institucionales, comerciales y técnicos subyacentes que respaldan la DPI funcionan según lo previsto.