Filipinas ha pasado años debatiendo sobre privacidad de datos, ciberseguridad, computación en la nube y gobierno digital. Sin embargo, una pregunta básica a menudo ha quedado sin resolver: ¿sabe realmente el gobierno qué datos posee, qué tan sensibles son esos datos y qué nivel de protección requiere cada conjunto de datos?

La Orden Ejecutiva No. 119, titulada “Updating the Government Data Classification, Establishing a Data Residency Framework, and for Other Purposes,” parte de esa preocupación. Su importancia no se limita a decidir dónde pueden almacenarse los datos gubernamentales. De manera más fundamental, exige a las agencias identificar la información que poseen, evaluar el daño que podría derivarse de su uso indebido o divulgación no autorizada, y aplicar protecciones proporcionales al riesgo. El gobierno no puede proteger datos que no ha identificado adecuadamente.

La EO 119 separa la información gubernamental en dos categorías amplias: Datos de Acceso Restringido y Datos de Acceso Abierto. Los Datos de Acceso Restringido se refieren a información que debe protegerse porque su divulgación no autorizada podría perjudicar la seguridad nacional, las operaciones gubernamentales, el interés público o a individuos. Los Datos de Acceso Abierto abarcan la información que no entra dentro de esas categorías protegidas.

El método importa más que las etiquetas. Las agencias deben elaborar un inventario de los datos bajo su custodia, realizar evaluaciones de riesgo e impacto, asignar la clasificación correspondiente y revisar esas clasificaciones con el tiempo. Cuando cambien las circunstancias, los datos pueden rebajarse de categoría o desclasificarse. La clasificación, la base legal y la evaluación de riesgo también deben registrarse en un registro gubernamental.

Esto representa un cambio necesario: dejar de tratar la clasificación como un simple sello en un documento y pasar a entenderla como un proceso continuo de gobernanza. Tanto la subclasificación como la sobreclasificación generan riesgos. Una clasificación débil puede exponer al Estado a brechas de seguridad, fraude, violaciones de privacidad e interrupciones operativas. Una clasificación excesiva puede obstaculizar la transparencia, ralentizar el trabajo entre agencias y dificultar el acceso público legítimo. El objetivo debe ser la precisión.

La Orden también conecta adecuadamente la residencia de datos con la clasificación. En general, los datos Top Secret y Secret deben permanecer dentro del territorio filipino o en otros territorios bajo soberanía o jurisdicción filipina. Los datos Confidential están sujetos a un tratamiento similar, aunque el almacenamiento o procesamiento en el extranjero puede permitirse bajo procedimientos estrictos de aprobación y salvaguardas. La información gubernamental menos sensible puede mantenerse en plataformas de nube seguras, siempre que existan cifrado y controles de riesgo.

Ese enfoque es más práctico que exigir que todos los datos gubernamentales permanezcan dentro del país. Un archivo de seguridad nacional no debe manejarse de la misma manera que un informe estadístico publicado. Un marco basado en riesgos permite al gobierno alinear los requisitos de seguridad con la sensibilidad real, en lugar de depender de restricciones generales. También puede mejorar la adquisición de tecnología al dar a las agencias una base más clara para decidir si la información debe estar en una plataforma soberana, una nube privada, un servicio comercial de nube o un sistema público abierto.

Las implicaciones económicas también son significativas. La información mal clasificada genera incertidumbre. Las agencias dudan en compartir datos, los proyectos de nube enfrentan retrasos, los proveedores encuentran requisitos inconsistentes y las iniciativas de datos abiertos se estancan porque los funcionarios no tienen claro qué puede divulgarse. Un marco coherente puede hacer que la adquisición de servicios en la nube sea más predecible, mejorar el intercambio de datos y ofrecer estándares más claros a los proveedores de servicios.

También puede respaldar la posición de Filipinas en la economía digital de ASEAN. Un país que busca un papel más amplio en servicios en la nube, centros de datos, ciberseguridad y servicios digitales necesita algo más que infraestructura. También necesita reglas creíbles que gobiernen la información que circula por esa infraestructura. En ese sentido, la clasificación no está separada de la transformación digital; es una condición previa para decidir qué sistemas pueden abrirse, cuáles deben restringirse y qué salvaguardas deben acompañar la modernización.

La implementación, sin embargo, será el desafío central. La tarea más difícil no será producir registros o plantillas, sino desarrollar un criterio sólido dentro de las agencias. Los funcionarios deben poder distinguir las preocupaciones genuinas de seguridad de la cautela burocrática. Deben evitar clasificar información simplemente para eludir el escrutinio, al tiempo que garantizan que el acceso abierto legítimo no debilite la protección necesaria.

La EO 119 establece un Comité Conjunto de Supervisión para la Clasificación de Datos, copresidido por el Department of Information and Communications Technology y el National Security Council, y otorga a las agencias tres años para lograr el pleno cumplimiento. Ese período de transición no debe convertirse en un ejercicio masivo de reetiquetado. La calidad de los inventarios de las agencias, las evaluaciones de riesgo y las revisiones posteriores será tan importante como el cumplimiento formal del plazo.

El objetivo no es crear más sellos, carpetas e informes. Es mejorar la manera en que el gobierno entiende y gobierna la información. En última instancia, la Orden Ejecutiva No. 119 trata sobre disciplina institucional: antes de que el gobierno pueda proteger datos, moverlos, compartirlos o utilizarlos para inteligencia artificial, primero debe saber qué son esos datos.

Esa puede ser una de las partes menos glamorosas de la transformación digital, pero también puede estar entre las más importantes.

Las opiniones expresadas aquí son propias del autor y no reflejan necesariamente la opinión de su oficina ni de FINEX.

Joel Luis E. Dabao se desempeña como presidente de Kabankalan Community Antenna Television (K-CAT, Inc.), un importante proveedor de servicios de cable e internet con sede en Kabankalan City, Negros Occidental. Bajo su liderazgo, la empresa ha sido un pilar de la conectividad en Southern Negros.