Informes recientes han encendido las alarmas por el uso de PatronScan, un sistema de verificación de identificación y escaneo facial, en varios bares LGBTQ+ del vecindario del Castro en San Francisco. Gran parte de la atención se ha centrado en informes que indican que el sistema fotografía a las personas al entrar a los locales, y en dudas sobre si esas imágenes se usan para reconocimiento facial.

Pero también merece atención una preocupación de privacidad más amplia. Durante años, PatronScan se ha promocionado no solo como una herramienta de verificación de identidad, sino como un sistema que permite a bares y clubes identificar a sus clientes, mantener registros sobre ellos y compartir información entre distintos locales. Como documentó un artículo periodístico publicado en 2019, PatronScan construyó una red que permitía a los bares participantes marcar a ciertos clientes y compartir información sobre ellos con otros establecimientos. 

Y en California, no queda nada claro cómo el modelo de negocio de PatronScan —que consiste en escanear identificaciones y compartir la información de esos escaneos con otros bares— se ajusta a la ley. La ley de privacidad de identificaciones de California, que fue enmendada en 2018 para incluir los “escaneos” de identificaciones, establece que ninguna empresa puede “conservar o usar” información obtenida de una identificación escaneada, salvo para fines limitados como verificar la edad, cumplir con un requisito legal o prevenir el fraude. 

Un local no puede afirmar ser un espacio seguro mientras alimenta los datos de sus clientes a una base de datos de terceros.

Las personas de California deberían preocuparse profundamente por las empresas que recopilan información de identificaciones emitidas por el gobierno y la usan para construir bases de datos sobre a dónde va la gente, con quién se relaciona y si se le debe permitir el ingreso a otros espacios públicos de reunión. Esa preocupación es especialmente fuerte en los espacios LGBTQ+, que durante mucho tiempo han funcionado como refugios para que las personas puedan estar sin ser rastreadas, vigiladas o incluidas en listas. 

Nos comunicamos con Patronscan para consultarles sobre sus prácticas y su postura respecto a la ley de identificaciones de California. Nos remitieron a la pregunta de su FAQ publicada: “¿Patronscan cumple con la privacidad en California?”, en la que afirman que el uso de los quioscos de Patronscan es legal en California. También señalaron que “Patronscan no realiza reconocimiento facial en Norteamérica, ni ningún tipo de análisis automatizado de la identificación o de la fotografía en vivo”. 

La Legislatura de California ha investigado el modelo de negocio de PatronScan 

En 2018, la Legislatura de California publicó análisis de proyectos de ley (sobre la AB 2769 de ese año) que detallaban el negocio de PatronScan. Al revisar los propios materiales de PatronScan, el Comité Judicial del Senado de California determinó que la empresa había recopilado y conservado información sobre 561,087 clientes solo en Sacramento durante los primeros cinco meses de 2018, una cifra notable para una ciudad cuya población recién había superado los 500,000 habitantes.

Quienes legislaban también encontraron que, en ese momento, PatronScan conservaba la información durante al menos 90 días, y a veces más; compartía información entre los bares participantes; y mantenía prohibiciones de ingreso que duraban en promedio más de 19 años. Un “Informe de Seguridad Pública” de PatronScan utilizó 10,000 escaneos recopilados en un solo día para informar sobre “dónde viven los clientes, qué tan lejos han viajado y cuántos locales distintos han frecuentado”. 

Esto no era simplemente revisar identificaciones en la puerta. PatronScan estaba construyendo una base de datos. 

Una organización de derechos de personas inmigrantes, la Coalición para los Derechos Humanos de las Personas Inmigrantes (CHIRLA, por sus siglas en inglés), expresó su preocupación en aquel momento por el crecimiento de estas bases de datos de identificaciones, señalando que “incluir a una persona en una base de datos que la etiqueta como una ‘amenaza a la seguridad pública’” tiene “consecuencias migratorias significativas que podrían derivar en la deportación, la revocación del estatus actual o la denegación de futuros beneficios migratorios”. 

Hoy, Patronscan declara que conserva información personal de todos sus clientes durante 21 días, y de los clientes marcados durante hasta cinco años. Esto incluye el nombre del cliente, su fecha de nacimiento, fotografía, género y código postal. También incluye las fechas y horas en que el cliente ingresó a determinados bares. Este tipo de bases de datos representan una grave amenaza a la privacidad. Los datos personales son robados con frecuencia por delincuentes, usados indebidamente por empleados de las empresas, incautados por agencias gubernamentales y desviados hacia nuevos fines por decisión de sus ejecutivos. 

La ley de California sigue prohibiendo las bases de datos de identificaciones escaneadas, y los bares deberían cumplirla

En 2018, quienes legislaban en California cerraron lo que consideraban un vacío legal. La ley vigente ya prohibía a las empresas conservar o usar la información obtenida al “pasar” una licencia de conducir por un lector, salvo para los fines limitados de cumplir requisitos legales (como una orden judicial) o “prevenir el fraude, el abuso o la tergiversación material”. 

Tras revisar a empresas como PatronScan, la Legislatura enmendó la ley para dejar en claro que las mismas restricciones aplicables a las empresas que “pasan” identificaciones por un lector también se aplican cuando esas identificaciones son “escaneadas”. PatronScan se opuso a ese cambio, argumentando que quería conservar la capacidad de compartir información entre bares para que los locales participantes pudieran decidir si admitir o no a determinados clientes.

Aun así, el proyecto se convirtió en ley. Sin embargo, PatronScan sigue promocionando y vendiendo un sistema que, según todo indica, conserva la información de las identificaciones escaneadas y permite a los locales participantes marcar a los clientes y compartir información a través de su red. 

Como mínimo, esto plantea serias dudas sobre cómo esas prácticas encajan con la ley de privacidad de identificaciones vigente en California. Quienes son dueños de bares y locales nocturnos que utilizan PatronScan deberían pensarlo dos veces sobre el efecto que esto tiene en sus clientes, y considerar volver a la revisión visual estándar de identificaciones. Estas revisiones físicas han sido eficaces durante décadas para impedir el ingreso de menores de edad a locales exclusivos para mayores de 21 años, y no presentan los graves riesgos de privacidad que implica crear una base de datos privada de clientes de bares. 

Para los locales que atienden a comunidades vulnerables, como las personas inmigrantes o la comunidad LGBTQ+, lo que está en juego al usar esta tecnología es aún mayor. Resulta decepcionante y alarmante ver que algunos de los espacios nocturnos LGBTQ+ más reconocidos de California se hayan sumado como adoptantes tempranos de PatronScan. Un local no puede afirmar ser un espacio seguro mientras alimenta los datos de sus clientes a una base de datos de terceros. Estas empresas deberían rechazar PatronScan, volver a las revisiones de identificación estándar que todos los demás bares han podido utilizar, y demostrarles a sus clientes que su privacidad y seguridad siguen importando.