Datos del Sector Público, Interoperabilidad, y Datos Abiertos

Por qué esto importa para el valor público

Cada organismo público ya sostiene más datos de los que usa bien. Una autoridad tributaria, una red hospitalaria, una agencia de transporte, y una oficina de planificación local cada una recopila información como un subproducto de ejecutar un servicio, y cada una descubre, usualmente demasiado tarde, que el registro que necesita para responder la pregunta de un ciudadano o resolver una disputa se sienta en un sistema que nadie más en la organización puede consultar. El coste no es abstracto: un ciudadano que ya le dio su dirección a un organismo no debería tener que decírsela de nuevo a otro organismo dentro del mismo gobierno.

Dos ambiciones separadas se sitúan dentro del título de este tema, y los organismos públicos habitualmente las confunden. La primera es la interoperabilidad —hacer que los datos se muevan confiablemente entre sistemas que diferentes equipos y épocas de tecnología construyeron independientemente, de modo que una parte del gobierno pueda actuar sobre lo que otra parte ya sabe. La segunda es la apertura —publicar datos completamente fuera del gobierno, de modo que periodistas, investigadores, y ciudadanos puedan usarlos para propósitos que el organismo publicador nunca anticipó. La interoperabilidad es mayormente un problema de ingeniería y gobernanza; la apertura es un valor público por derecho propio, de la misma familia que los bienes públicos descritos en el Tema 1.4 — Bienes Públicos, Bienes Preferentes, y Pluralismo de Valor, porque los datos publicados no son rivales y son difíciles de excluir de nadie una vez publicados, así que un mercado por sí solo los subproveería.

Ambas ambiciones chocan con un tercer hecho que este tema trata como una tensión genuina y no resuelta en lugar de un problema con una respuesta ordenada: los datos lo suficientemente detallados como para ser útiles a menudo son lo suficientemente detallados como para identificar al individuo que describen, incluso después de eliminar nombres e identificadores obvios. Un gobierno que publica ricamente y un gobierno que protege bien a las personas en sus registros están tirando en direcciones diferentes sobre la misma palanca, y el apetito creciente de datos para entrenar y evaluar sistemas algorítmicos (véase el Tema 5.2 — IA y Toma de Decisiones Algorítmica en el Gobierno) ha elevado lo que está en juego, porque más actores que nunca quieren datos públicos a exactamente la granularidad que hace más arriesgado publicarlos. Un líder que trata la gobernanza, la interoperabilidad, y la apertura como un único problema, con la privacidad como su restricción permanente, está mejor posicionado para capturar el valor de este tema que uno que trata cada uno aisladamente.

Conceptos fundamentales

La gobernanza de datos es el conjunto de derechos de decisión, estándares, y responsabilidades que determinan quién puede crear, cambiar, acceder, y retirar los datos de una organización, y a qué estándar de calidad debe sostenerse (véase Gobernanza de datos). Es distinta de la gestión de datos, que es el trabajo operativo de mover y almacenar datos día a día; la gobernanza decide las reglas, la gestión las ejecuta. Un organismo público sin gobernanza de datos todavía tiene datos, pero nadie puede decir con confianza cuál copia del registro de un ciudadano es la autoritativa, ni quién es responsable cuando ese registro resulta estar equivocado.

Un custodio de datos es el individuo o rol nombrado responsable de la calidad, definición, y uso apropiado de un conjunto de datos específico, distinto del personal técnico que opera los sistemas en los que vive (véase Custodio de datos). La custodia importa porque la calidad de los datos decae por defecto: un campo del que nadie es responsable acumula entradas inconsistentes, registros duplicados, y una deriva silenciosa entre lo que se supone que significa un campo y lo que el personal realmente pone en él. Asignar un custodio a un conjunto de datos convierte la calidad de datos de un ejercicio ocasional de limpieza en una responsabilidad continua y nombrada.

La interoperabilidad es la capacidad de sistemas construidos independientemente de intercambiar datos y usarlos correctamente sin ingeniería especial y única para cada par de sistemas involucrado (véase Interoperabilidad). Opera en tres niveles que son fáciles de confundir: la interoperabilidad técnica (¿pueden los sistemas conectarse y mover bytes en absoluto, típicamente mediante una interfaz de programación de aplicaciones, o API, una forma definida de que un software solicite datos o acción de otro —véase Interfaz de programación de aplicaciones); la interoperabilidad semántica (¿ambos sistemas quieren decir lo mismo con un campo compartido, como 'hogar' o 'caso activo'?); y la interoperabilidad organizacional (¿están las dos organizaciones de acuerdo sobre por qué se comparten los datos y quién es responsable de lo que ocurre después?). La mayoría de los fallos de interoperabilidad más costosos ocurren a nivel semántico u organizacional incluso cuando la conexión técnica funciona perfectamente.

Un esquema común, o estándar de datos, es una estructura acordada y publicada para cómo se representa una categoría de datos —nombres de campo, formatos, unidades, y valores permitidos— adoptada por más de un sistema u organización de modo que los datos producidos por uno puedan ser consumidos por otro sin traducción manual. Los organismos gubernamentales que adoptan un esquema compartido para algo tan básico como una dirección o un estado de caso convierten docenas de problemas de traducción bilateral potenciales en un único estándar que cada nuevo sistema simplemente puede implementar. Un identificador único que persiste a través de sistemas y con el tiempo —un número de caso, un número de registro comercial, una referencia de ciudadano— es el mecanismo específico que permite que los registros sobre la misma persona o entidad se vinculen correctamente, y diseñar mal el identificador (reutilizar números, cambiar formatos, o carecer de uno en absoluto) es una de las causas más comunes y evitables del fallo de interoperabilidad.

Los metadatos son datos sobre datos —la descripción de la estructura, procedencia, frecuencia de actualización, y significado de un conjunto de datos, publicada junto a los propios datos de modo que un usuario que no los creó pueda entenderlos y confiar en ellos (véase Metadatos). Un conjunto de datos publicado sin metadatos adecuados apenas es usable por nadie fuera del equipo que lo produjo, por muy abierta que sea su licencia; los metadatos son lo que convierte un volcado de archivo en algo que un tercero realmente puede reutilizar.

Un acuerdo de intercambio de datos es un arreglo formal entre agencias, o entre un organismo público y un socio externo, que especifica el propósito para el que se pueden usar los datos, la base legal para compartirlos, cuánto tiempo se pueden retener, y qué pasa si cambia el propósito. La limitación de propósito —restringir el uso de datos compartidos al propósito para el que se recopilaron o compartieron— es la disciplina que impide que un acuerdo de intercambio de datos se convierta en una licencia sin límites para reutilizar información personal, y su ausencia es un tema recurrente en los fallos de confianza pública que involucran datos entre agencias.

Los datos abiertos son datos puestos a disposición libremente para que cualquiera acceda, use, y redistribuya, para cualquier propósito, típicamente legibles por máquina y publicados bajo una licencia que permite la reutilización en lugar de meramente la visualización (véase Datos abiertos). Su caso de valor público sigue la lógica de bienes públicos establecida en el Tema 1.4 — Bienes Públicos, Bienes Preferentes, y Pluralismo de Valor: una vez publicado un conjunto de datos, el uso de una persona no disminuye el de otra, y el gobierno a menudo es el único actor con tanto la posición legal como la escala para recopilarlo y publicarlo en primer lugar, así que los mercados privados solos crónicamente subproveen este tipo de información. Los datos abiertos habilitan la rendición de cuentas (periodistas y ciudadanos que comprueban las propias afirmaciones del gobierno frente a sus propios registros), la innovación de terceros (empresas y tecnólogos cívicos que construyen servicios sobre datos públicos que el propio gobierno nunca construirá), y mejores decisiones públicas en otras partes de la economía, todo sin que el organismo publicador tenga que anticipar cada uso de antemano.

La reidentificación es el proceso de emparejar datos supuestamente anonimizados con otra información disponible para averiguar qué persona real describe un registro, y es el hecho técnico central que hace inevitable, en lugar de meramente inconveniente, la tensión de privacidad de este tema (véase Reidentificación de datos). Eliminar un nombre, o un identificador obvio como un número de seguridad social, no elimina el riesgo: una combinación de cuasi-identificadores como la edad, el código postal, y una condición médica rara puede identificar únicamente a alguien incluso en un conjunto de datos que nunca lo nombró, especialmente una vez que se cruza con otro conjunto de datos separadamente público. El k-anonimato es una forma formal de razonar sobre este riesgo: un conjunto de datos satisface el k-anonimato si cada combinación de campos cuasi-identificadores que contiene la comparte al menos un número definido, k, de registros, de modo que ninguna fila individual se puede aislar a menos de k personas posibles (véase K-anonimato). La privacidad diferencial es un enfoque más reciente y matemáticamente riguroso que añade ruido estadístico cuidadosamente calibrado a un conjunto de datos o a los resultados de consultas contra él, de modo que la presencia o ausencia del registro de cualquier individuo cambia el producto publicado solo en una cantidad limitada y demostrable, independientemente de lo que ya sepa un atacante (véase Privacidad diferencial). La privacidad por diseño es el principio más amplio de que la protección de la privacidad debería construirse en la arquitectura de un sistema desde el principio, como una configuración predeterminada, en lugar de atornillarse como un paso de redacción justo antes de la publicación (véase Privacidad por diseño); redactar identificadores obvios después del hecho es la forma más débil de esta disciplina, no un sustituto de ella.

Mejores prácticas

1. Nombre un custodio responsable para cada conjunto de datos que importe, no solo una oficina de datos central. Una oficina de datos puede fijar estándares, pero no puede saber si un campo específico en un sistema específico todavía significa lo que se definió que significara; ese juicio pertenece a alguien cercano al uso real de los datos.
2. Publique abierto por defecto, y documente la razón específica siempre que no lo haga. Invertir el valor predeterminado —exigir una justificación para retener en lugar de una justificación para publicar— saca a la superficie sensibilidades genuinas para revisión individual en lugar de dejar que la precaución se aplique a todo indiscriminadamente.
3. Adopte un esquema compartido existente antes de diseñar uno nuevo. Una estructura de datos a medida que encaja perfectamente en un proyecto y no coincide con nada más en el gobierno garantiza un coste de integración futuro; compruebe qué ha publicado ya su sector, jurisdicción, o un organismo de estándares internacional antes de construir el suyo propio.
4. Diseñe identificadores únicos persistentes y bien gobernados antes de que un sistema entre en funcionamiento, no después. Adaptar retroactivamente un esquema de identificador a registros que se han estado acumulando durante años bajo claves inconsistentes es dramáticamente más caro que acertar el diseño desde el principio.
5. Construya el intercambio de datos mediante API gobernadas en lugar de transferencias de archivos únicas. Una API que impone un esquema, registra el acceso, y se puede versionar le da un punto de interoperabilidad controlable y auditable; una hoja de cálculo enviada por correo entre departamentos no le da nada de eso y nadie nota cuando se vuelve obsoleta.
6. Escriba acuerdos de intercambio de datos que declaren el propósito, la base legal, y la expiración, no solo el mecanismo técnico. Un acuerdo que especifica cómo se mueven los datos pero no por qué, o por cuánto tiempo, tiende a sobrevivir al propósito que lo justificó y silenciosamente se convierte en permiso para algo que nadie autorizó explícitamente.
7. Trate la desidentificación como una evaluación de riesgo con un resultado residual, no una tarea de redacción única. Pregunte qué otros conjuntos de datos públicos o comprables podrían vincularse con el que está a punto de publicar, y dimensione el riesgo de reidentificación frente a ese modelo de amenaza realista, no frente a un atacante idealizado sin información externa.
8. Aplique la privacidad diferencial o una técnica formal equivalente a cualquier publicación que involucre poblaciones pequeñas o características raras. La supresión o generalización simple de identificadores obvios es insuficiente una vez que un conjunto de datos incluye algo lo suficientemente inusual como para ser identificante por sí solo, como una condición rara, una población local pequeña, o una transacción de alto valor.
9. Mantenga un catálogo de datos público y actual con metadatos reales, no solo una lista de nombres de archivo. Un conjunto de datos que un usuario potencial no puede entender lo suficientemente bien como para confiar en él está funcionalmente sin publicar, por muy permisiva que sea su licencia; las entradas del catálogo deberían decir qué significa un campo, con qué frecuencia se actualiza, y cuáles son sus limitaciones conocidas.
10. Mida la calidad de datos frente a estándares definidos en un calendario recurrente, e informe los resultados a quien posea el conjunto de datos. La calidad que se comprueba solo cuando algo se rompe decae invisiblemente durante largos tramos entre medio; una medición rutinaria convierte la decadencia en una tendencia visible y manejable.
11. Revise periódicamente cada conjunto de datos publicado por valor público continuado y riesgo continuado. Las poblaciones cambian, las técnicas de reidentificación mejoran, y una publicación que era segura hace cinco años puede no ser segura hoy frente a datos que desde entonces se han vuelto nuevamente disponibles en otro lugar.
12. Separe la decisión de compartir o publicar datos del equipo técnico que los mueve. Las personas mejor posicionadas para juzgar el propósito, la proporcionalidad, y el riesgo de privacidad rara vez son las mismas personas mejor posicionadas para construir la tubería, y colapsar los dos roles en uno deja el juicio más difícil poco examinado.

Preguntas para discutir con su equipo

¿Sabemos qué sistema sostiene el registro autoritativo para cada una de nuestras entidades de datos centrales, y todos realmente lo tratan de esa forma? Muchas organizaciones tienen, en la práctica, varias copias 'verdaderas' de la misma información —la dirección de un ciudadano en el sistema de facturación, el sistema de gestión de casos, y el registro de correspondencia, todas ligeramente diferentes y todas siendo usadas por alguien. Use esta pregunta para listar las entidades centrales de su organización (ciudadano, caso, propiedad, negocio) e identifique, honestamente, si existe una única fuente autoritativa para cada una o si el personal silenciosamente ha aprendido en qué sistema confiar para qué propósito. Discuta qué se necesitaría para designar y hacer cumplir una fuente autoritativa por entidad, y qué se rompería en la transición. Esto usualmente es más barato de arreglar temprano que después de que se haya tomado una decisión seria sobre la copia equivocada.

Si una persona nos preguntara por qué tuvo que dar la misma información a dos partes de nuestra propia organización, ¿cuál sería nuestra respuesta honesta? La respuesta honesta a menudo es 'porque nuestros sistemas no pueden intercambiarla', que es un fallo de interoperabilidad disfrazado de requisito de proceso. Use esta pregunta para elegir un recorrido de servicio que abarque más de un equipo o sistema y rastree, paso a paso, dónde se captura el mismo hecho más de una vez. Discuta si la solicitud repetida está protegiendo algo genuino —un consentimiento nuevo, un paso de verificación— o si simplemente es la ausencia de un acuerdo de intercambio de datos o un esquema común. Considere qué costaría, tanto en confianza ciudadana como en tiempo del personal, dejarlo sin arreglar un año más.

¿Dónde reidentificaría más plausiblemente a alguien un periodista o investigador decidido en un conjunto de datos que actualmente llamamos anonimizado? La mayoría de las organizaciones que publican datos desidentificados no los han sometido a prueba de estrés frente a una combinación realista de cuasi-identificadores y otros conjuntos de datos públicos. Use esta pregunta para elegir su conjunto de datos publicado o próximo a publicar de mayor riesgo y recorra qué otra información —un informe de noticias local, el conjunto de datos abierto de otra agencia, un registro público— podría plausiblemente vincularse con él. Discuta si su enfoque de desidentificación actual (supresión, generalización, o una técnica formal como el k-anonimato o la privacidad diferencial) realmente resistiría esa combinación, y quién es responsable de volver a probarla a medida que se vuelven disponibles nuevos datos externos.

¿Quién tiene actualmente la autoridad para decir que no se debería publicar un conjunto de datos, y confiamos en que se use esa autoridad por las razones correctas? Una política predeterminada de abierto todavía necesita un proceso de excepción creíble y bien razonado, y la persona que lo ejerce debería ser identificable y responsable. Use esta pregunta para comprobar si las decisiones de retención en su organización las toma un rol nombrado frente a criterios documentados, o informalmente, por quien resulte que se le pregunte y erre por precaución. Discuta si su tasa de retención se parece más a un juicio cuidadoso caso por caso o a un reflejo institucional permanente, y qué podría revelar una revisión externa periódica de los conjuntos de datos retenidos.

¿Nuestros acuerdos de intercambio de datos entre agencias todavía se usan para el propósito para el que se escribieron? La limitación de propósito es fácil de declarar en un acuerdo y fácil de erosionar silenciosamente en la práctica, especialmente una vez que un conjunto de datos resulta útil para algo que sus signatarios originales nunca anticiparon. Use esta pregunta para elegir dos o tres arreglos de intercambio de datos entre agencias en vivo y comprobar el uso real actual frente al propósito escrito y la fecha de expiración. Discuta qué paso de gobernanza falta si aparece un desajuste, y quién debería ser responsable de captar ese tipo de deriva antes de que lo haga una auditoría externa o un periodista.

Si nuestros estándares de interoperabilidad o datos se convirtieran en una barrera para un nuevo uso legítimo de nuestros datos, ¿lo descubriríamos antes o después de que causara daño real? Los estándares que eran sensatos cuando se adoptaron pueden osificarse en obstáculos a medida que cambian las necesidades y la tecnología, y las organizaciones rara vez incorporan un mecanismo para notar que esto le está ocurriendo a sus propias reglas. Use esta pregunta para discutir cómo revisa actualmente su organización si sus estándares de datos, esquemas de identificador, o procesos de intercambio todavía sirven su propósito, frente a simplemente heredarse sin cuestionarse. Considere si las personas que notarían que un estándar se ha convertido en un obstáculo —el personal de primera línea, las organizaciones socias, los desarrolladores externos que usan sus datos abiertos— tienen un canal real para plantearlo, y si ese canal alguna vez realmente ha cambiado un estándar.

En la práctica: un ejemplo de valor público

Una agencia regional de bienestar social y una autoridad de salud regional separada —ficticias, ilustrativas de un patrón en lugar de un informe sobre ningún organismo real— habían pasado una década ejecutando sistemas de gestión de casos incompatibles, así que una familia conocida por ambas se podía registrar bajo números de referencia diferentes, sin ninguna forma confiable de decirle al personal de la agencia que el hogar que aparecía en una carga de casos de apoyo de vivienda era el mismo hogar que aparecía en una carga de casos de alcance pediátrico. Un programa conjunto para identificar a niños en riesgo de caer en la brecha entre los dos servicios se estancó repetidamente, no por falta de voluntad política, sino porque nadie podía producir una única vista combinada y confiable de qué familias necesitaban ambos tipos de apoyo.

Las dos agencias eventualmente adoptaron un identificador de hogar compartido y un esquema común para los campos que ambos sistemas necesitaban intercambiar, construido mediante una API gobernada en lugar de las exportaciones periódicas de hoja de cálculo de las que ambas habían dependido anteriormente, bajo un acuerdo de intercambio de datos que nombraba el propósito específico —coordinar el apoyo para hogares en riesgo— y exigía revisión anual. Dentro de un año, los gestores de casos de ambos lados podían ver, por primera vez, qué familias eran conocidas por el otro servicio, y las conferencias de casos conjuntas que anteriormente habían dependido de comprobación cruzada manual se volvieron rutinarias. Las agencias entonces fueron más lejos, publicando un conjunto de datos abiertos agregado a nivel de área que mostraba el número de hogares que recibían apoyo combinado por distrito, destinado a ayudar a las organizaciones benéficas locales a dirigir su propio alcance y a permitir que los concejales electos vieran si el programa conjunto estaba alcanzando las áreas para las que estaba diseñado.

Un defensor local de derechos de datos, trabajando con un investigador universitario, descubrió que las cifras publicadas a nivel de distrito se podían cruzar contra un conjunto de datos abiertos igualmente bienintencionado y publicado por separado de la autoridad de transporte local —que mostraba solicitudes de tarifa subsidiada por área pequeña— para reducir algunos distritos a recuentos de hogares lo suficientemente pequeños como para que se pudiera identificar plausiblemente familias específicas, particularmente en distritos rurales escasamente poblados donde ambos conjuntos de datos contaban números de un solo dígito de hogares. Ningún conjunto de datos por sí solo era revelador; combinados, en las áreas menos pobladas, sí lo eran. El primer instinto de las agencias, retirar por completo el conjunto de datos abiertos, habría destruido el valor de rendición de cuentas y focalización benéfica que ya había comenzado a entregar. En cambio, trabajando con el mismo defensor, volvieron a publicar el conjunto de datos usando un enfoque de privacidad diferencial que añadía ruido calibrado a los recuentos pequeños, preservando su utilidad para detectar patrones regionales amplios mientras hacía que el recuento real de cualquier distrito de baja población individual fuera lo suficientemente incierto como para derrotar el ataque de cruce de referencia que había expuesto la publicación original. El episodio se convirtió en el estudio de caso que las agencias usaron en su propia formación de personal posterior, sobre por qué la desidentificación debe evaluarse frente a lo que más esté públicamente disponible, no frente al conjunto de datos aislado.

Cuatro lentes sectoriales

Gobierno local

Una autoridad local típicamente ejecuta sistemas más distintos, más antiguos, y menos integrados por residente servido de lo que hace un organismo nacional, porque décadas de sistemas departamentales adquiridos individualmente —vivienda, planificación, residuos, atención social— rara vez se construyeron para compartir datos entre sí. Esto hace de la interoperabilidad una batalla genuinamente interna antes de que jamás sea una externa: un residente que interactúa con tres departamentos del consejo en una semana puede encontrar que ninguno puede ver lo que ya saben los otros. Los datos abiertos locales, mientras tanto, tienden a tener un valor cívico inusualmente directo —horarios de recolección de contenedores, solicitudes de planificación, gasto local— porque los residentes y periodistas locales se comprometen con ellos a un nivel de especificidad que los conjuntos de datos nacionales rara vez ofrecen, lo que eleva lo que está en juego en acertar los metadatos y la frecuencia de actualización incluso para conjuntos de datos modestos y cotidianos.

Gobierno nacional

Los gobiernos nacionales típicamente operan el rango más completo de instrumentos de gobernanza de datos e interoperabilidad —una estrategia de datos nacional, esquemas de identificador entre todo el gobierno, portales de datos abiertos mandatados, y reguladores dedicados de protección de datos— pero el mero número de sistemas heredados acumulados a través de décadas y administraciones hace de la interoperabilidad técnica una tarea de fondo persistente y cara en lugar de un proyecto único. Los programas nacionales de datos abiertos conllevan un riesgo de reidentificación desproporcionado precisamente porque los conjuntos de datos nacionales son lo suficientemente grandes como para ser genuinamente valiosos y lo suficientemente detallados, una vez vinculados con otros registros nacionales, como para identificar individuos; los documentos de estrategia de datos nacional que ahora publican varios gobiernos cada vez más nombran explícitamente las técnicas de divulgación que preservan la privacidad, en lugar de tratar la desidentificación como un detalle de implementación por debajo de la atención de la política.

Sector social y sin ánimo de lucro

Una organización sin ánimo de lucro u organización no gubernamental (ONG) rara vez está sujeta a un mandato de datos abiertos, pero cada vez más enfrenta una expectativa paralela de financiadores, reguladores, y el público de que los datos del programa se compartan transparentemente, y a menudo trabaja con poblaciones —sobrevivientes de violencia, personas en pobreza aguda, residentes indocumentados— para quienes el riesgo de reidentificación conlleva un coste personal mucho mayor del que típicamente conlleva para la población general en un conjunto de datos gubernamental. Los acuerdos de intercambio de datos importan desproporcionadamente aquí porque una organización sin ánimo de lucro frecuentemente comparte datos de clientes con financiadores gubernamentales u organizaciones socias bajo contratos que no escribió, y necesita la capacidad de negociar la limitación de propósito en lugar de simplemente aceptar cualesquiera términos de intercambio de datos que se adjunten a la financiación. Los estándares de interoperabilidad adoptados por financiadores gubernamentales o filantrópicos más grandes pueden ser una carga genuina sobre la capacidad técnica limitada de una organización pequeña, lo cual es un coste real que vale la pena nombrar en lugar de tratar la adopción de estándares como sin coste.

Multilateral e internacional

Los organismos multilaterales agregan datos entre estados miembros con madurez de gobernanza, capacidad estadística, y regímenes legales de privacidad vastamente diferentes, lo que hace de la interoperabilidad semántica —acordar qué significa realmente un campo compartido— un problema tanto diplomático como técnico persistente; un término tan básico como 'hogar' o 'desempleado' se define de forma lo suficientemente diferente entre países que los organismos estadísticos internacionales mantienen estándares enteros, como el formato de Intercambio de Datos y Metadatos Estadísticos (SDMX), puramente para hacer que los datos entre países sean genuinamente comparables. Los datos abiertos a este nivel funcionan como un bien público especialmente claro en el sentido establecido en el Tema 1.4 — Bienes Públicos, Bienes Preferentes, y Pluralismo de Valor, porque ningún estado miembro individual tiene un incentivo para financiar un conjunto de datos comparativo global por sí solo, sin embargo cada estado e investigador se beneficia una vez que un organismo multilateral publica uno. Las preocupaciones de soberanía de datos corren más profundo aquí que en un contexto de un único país: un estado miembro puede resistirse a compartir datos que tiene derecho legal a retener, o puede disputar cómo ha clasificado o agregado un organismo multilateral sus propias cifras nacionales, lo que hace de la pregunta de gobernanza sobre quién controla una estadística compartida algo tan consecuente como la pregunta técnica de cómo se intercambia.

Modos de fallo comunes

Silos de datos silenciosos. Los sistemas se acumulan independientemente a través de una organización sin identificador ni esquema compartido, y el coste permanece oculto hasta que un caso específico —un fallo de salvaguarda, una auditoría, una interrupción de servicio— requiere una vista combinada que resulta imposible de producir rápidamente, momento en el cual el coste del silo se vuelve visible todo a la vez y caro de arreglar bajo presión.

Teatro de anonimización. Se eliminan de un conjunto de datos los nombres e identificadores obvios y luego se trata como seguro publicarlo sin ninguna evaluación de cuasi-identificadores o riesgo de vinculación frente a otros datos disponibles. El coste sale a la superficie, a menudo pública y vergonzosamente, cuando un investigador, periodista, o defensor demuestra que es posible la reidentificación, momento en el cual la credibilidad de la organización sobre la privacidad se daña mucho más allá del conjunto de datos específico involucrado.

Gobernanza sin propietario. La política de gobernanza de datos existe en papel, pero ninguna persona específica es responsable de la calidad o actualidad de ningún conjunto de datos específico, así que los estándares decaen silenciosamente y nadie nota hasta que se depende de los datos para una decisión que en realidad no pueden respaldar. Este es un fallo particularmente común porque el propio documento de política parece completo, enmascarando la ausencia de alguien realmente responsable debajo de él.

Interoperabilidad por mandato, sin recursos. Se mandata centralmente un esquema o esquema de identificador compartido pero nunca se financia para los equipos de los que se espera que lo adopten, así que el cumplimiento se convierte en un ejercicio de casilla de verificación —un campo técnicamente presente pero no poblado apropiadamente— en lugar de interoperabilidad genuina y usable. El coste es una falsa sensación de que existe un estándar compartido, descubierta solo cuando alguien realmente intenta depender de los datos que se suponía que estandarizaba.

Lavado de apertura. Una organización publica paneles de control y visualizaciones resumidas y llama a esto datos abiertos, mientras el conjunto de datos legible por máquina subyacente que un tercero necesitaría para construir algo nuevo permanece sin publicar o publicado en un formato que nadie puede reutilizar prácticamente. Esto captura la apariencia de transparencia y apertura descrita en el Tema 3.4 — Rendición de Cuentas, Transparencia, y Legitimidad sin su sustancia, y a menudo se confunde con un programa de datos abiertos genuino porque el panel de control parece impresionante.

Modelo de madurez

Lista de verificación

• Identificar el sistema fuente autoritativo para cada una de las entidades de datos centrales de su organización.
• Confirmar que cada conjunto de datos que materialmente importa tiene un custodio nombrado y responsable.
• Comprobar si ya existe un esquema o estándar compartido para un nuevo proyecto de datos antes de diseñar uno a medida.
• Revisar el diseño de identificador único por persistencia y consistencia a través de los sistemas que lo usan.
• Reemplazar al menos un intercambio de datos manual o basado en hoja de cálculo recurrente con una API gobernada.
• Confirmar que cada acuerdo activo de intercambio de datos entre agencias declara su propósito, base legal, y expiración, y coincide con el uso real actual.
• Ejecutar una evaluación de riesgo de reidentificación, incluyendo vinculación plausible frente a otros conjuntos de datos públicos, antes de publicar cualquier conjunto de datos que involucre información personal.
• Aplicar una técnica formal que preserve la privacidad, como el k-anonimato o la privacidad diferencial, a cualquier publicación que involucre poblaciones pequeñas o características raras.
• Confirmar que el catálogo de datos abiertos incluye metadatos reales y actuales, no solo nombres de archivo.
• Revisar los conjuntos de datos previamente publicados frente a datos externos recién disponibles por riesgo de reidentificación emergente.
• Confirmar que las decisiones de retención las toma un rol nombrado y responsable frente a criterios documentados.
• Hacer a su equipo las seis preguntas de discusión anteriores y registrar dónde difiere la respuesta honesta de la oficial.

Fuentes clave

• International Open Data Charter, sus seis principios, y su orientación sobre la publicación abierta por defecto.
• Recomendación del Consejo de la OCDE sobre la Mejora del Acceso y el Intercambio de Datos (2021).
• Instituto Nacional de Estándares y Tecnología de EE. UU., Publicación Especial 800-226, Guidelines for Evaluating Differential Privacy Guarantees.
• Material de la Oficina del Censo de EE. UU. sobre la evitación de divulgación y su aplicación de la privacidad diferencial a los datos del censo decenal.
• El trabajo fundacional de Cynthia Dwork formalizando la privacidad diferencial, y la literatura académica más amplia sobre el control de divulgación estadística.
• El triángulo estratégico de Mark H. Moore y la lógica de bienes públicos establecida en el Tema 1.4 — Bienes Públicos, Bienes Preferentes, y Pluralismo de Valor, como el encuadre sobre el que se construye este tema.

Referencias

1. Data governance — Wikipedia — https://en.wikipedia.org/wiki/Data_governance
2. Data steward — Wikipedia — https://en.wikipedia.org/wiki/Data_steward
3. Interoperability — Wikipedia — https://en.wikipedia.org/wiki/Interoperability
4. Application programming interface — Wikipedia — https://en.wikipedia.org/wiki/Application_programming_interface
5. Metadata — Wikipedia — https://en.wikipedia.org/wiki/Metadata
6. Open data — Wikipedia — https://en.wikipedia.org/wiki/Open_data
7. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
8. K-anonymity — Wikipedia — https://en.wikipedia.org/wiki/K-anonymity
9. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
10. Privacy by design — Wikipedia — https://en.wikipedia.org/wiki/Privacy_by_design
11. Open Data Charter principles — International Open Data Charter — https://opendatacharter.org/principles/
12. Recommendation of the Council on Enhancing Access to and Sharing of Data (2021) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0463
13. Guidelines for Evaluating Differential Privacy Guarantees, SP 800-226 (Initial Public Draft) — US National Institute of Standards and Technology — https://csrc.nist.gov/pubs/sp/800/226/ipd
14. Disclosure avoidance and data stewardship — US Census Bureau — https://www.census.gov/about/policies/privacy/statistical_safeguards/disclosure-avoidance.html
15. Data.gov — US federal open data portal, General Services Administration — https://www.data.gov/