La privacidad de nuestros datos explotada por aplicaciones móviles

Carolina González, corresponsal de Computer Hoy, me escribía ya hace unas semanas mientras estaba de viaje por Ecuador para preguntarme sobre el presunto abuso en la recolección de datos personales en aplicaciones móviles.

Por supuesto, le dije que en cuanto sacara un poco de tiempo le respondería, y con mis respuestas acabaron publicando ese mismo fin de semana un reportaje en el medio en el que me mencionan (ES).

Te dejo, como hago siempre en estos casos, las preguntas y respuestas que le di sobre el tema, por si pudiera ser de tu interés.

¿Cuáles son las principales motivaciones detrás de la recopilación excesiva de datos por parte de las empresas?

La respuesta es sencilla, pero tiene dos lecturas diferentes:

• Negocio: A fin de cuentas, y como ya comenté en su día, los datos son el petróleo del mundo digital. Sin ir más lejos, no hay que ser un lince de las finanzas para darse cuenta de que entre las 20 empresas más valiosas del mundo, hay 19 cuyo principal activo ha sido, precisamente, la gestión óptima de millones de datos. Datos obtenidos de todos sus usuarios, en muchos casos mediante el uso de herramientas que presuntamente eran gratuitas (pagas con datos, no con dinero). Y la otra, está ahí por literalmente ser una de las empresas más rentables en cuanto a explotación de petróleo (el físico, no el digital) se refiere. Hablo, por supuesto, de la petrolera saudí Aramco. Los datos, per sé, no valen (casi) nada. Pero como le pasa al petróleo, al procesados se vuelven en información, un bien cada vez más valioso. Así pues, como te decía, se llega a ofrecer incluso servicios y aplicaciones gratuitas, con el coste oculto que esto entraña (servidores en la nube, lidiar con problemas técnicos y soporte a usuarios, coste de desarrollo e implementación de mejoras/actualizaciones…), con el único fin de monetizar toda esa data en el presente o incluso en el futuro.
• Síndrome de Diógenes Digital: Lo que me lleva al segundo punto. Porque si bien es cierto que todos estamos de acuerdo en que el petróleo digital son los datos, como te decía, hasta que no se transforman en información, su valor es muy bajo. Y claro, hay que saber procesarlos. Algo que no está al alcance de cualquiera. De ahí que, por un lado, haya un negocio relativamente lucrativo que se basa en obtener datasets y revenderlos a grandes agregadores, que son quienes los explotan, y por otro, haya una Fiebre por el Dorado que lleva a muchas compañías a recopilar datos por el simple hecho de que quizás, en el futuro, los puedan explotar. Una suerte de Síndrome de Diógenes, pero en digital, que puede llegar a ser hasta contraproducente para la compañía (costes asociados al mantenimiento de esos datos que quizás jamás van a rentabilizar), pero que, sobre todo, es nocivo para la sociedad (atenta contra nuestra privacidad, exponiendo potencialmente datos personales nuestros que pueden acabar en malas manos el día de mañana).

¿Qué tipos de datos son más comúnmente recopilados por aplicaciones y productos, y cómo se utilizan después? ¿Podemos estar realmente tranquilos?

Los más habituales son de índole estadística y de comportamiento.

Recordemos que a una compañía de data no le suele importar el QUIÉN, sino el QUÉ.

Es decir, hablamos de datos de uso de las herramientas digitales, datos conductuales (cuándo y cuánto las usamos, para qué, cómo…), con suerte agregados y anonimizados.

Y digo con suerte, porque aquí está el quid de la cuestión.

Agregar data con el fin de anonimizarla requiere conocimiento y un procesado que no siempre se realizar con las garantías adecuadas (o directamente no se hace), lo que se vuelve, de facto, un problema de privacidad e incluso de seguridad a futuro.

¿El cómo? Pues con algo tan sencillo como que el día de mañana haya una filtración masiva de esos datos que exponga toda la base de datos, y por tanto, poniendo en riesgo a todos los afectados.

Mira, yo suelo poner de ejemplo en muchas de mis charlas y formaciones los filtrados masivos en los que ya sé que en mi caso me afectaron.

Y uno de ellos fue un ataque que sufrió en 2015 un proveedor que usaba datos de LinkedIn (la red social para temas profesionales de Microsoft), enfocado a aquellos que nos dedicábamos al mundo de la programación. El tema es que en ese filtrado, junto con los datos expuestos habituales (usuario, contraseña, nombre completo, correo…) se expuso también los datos de geolocalización desde donde nos conectábamos.

Yo de aquella trabajaba en un departamento de I+D de Telefónica y tenía un horario híbrido, de manera que desde entonces está expuesto en Internet tanto mis conexiones desde Distrito C, los edificios de Telefónica en Madrid, como, y aquí viene lo importante, los datos de geolocalización de mi casa de aquel entonces, ya que parte de las jornadas las trabajaba en remoto.

Esto creo que ejemplifica a la perfección el riesgo que supone exponer datos en Internet. Nunca sabes en dónde van a acabar, y el uso que se les pueda dar en el futuro.

¿Hasta qué punto la recopilación de datos puede considerarse una violación de la privacidad del consumidor?

Pues depende de la necesidad ESTRICTAMENTE NECESARIA de dichos datos para el buen funcionamiento de la herramienta.

Por ponerte un par de ejemplos:

• ¿Tiene sentido que una app de mapas pida datos de geolocalización? Pues sí. A fin de cuentas, en su propia funcionalidad está el hecho de precisar dicha información para operar.
• ¿Tiene sentido que una app de linterna pida datos de geolocalización? Pues, a priori, no. Ya me dirás para qué te sirve el GPS cuando quieres encender o apagar el flash.

En el segundo caso, que, por cierto, es un caso real, se estaría violando los derechos del consumidor. Y en regulaciones como la europea, de poder demostrarse, probablemente acabaría suponiendo una multa considerable a la empresa que esté detrás.

¿A qué leyes puede acogerse un usuario español?

Cada caso es un mundo, y ahí un abogado especializado es quien debería dictaminar cuál es la defensa adecuada, pero así a modo de resumen, podríamos decir que la LOPD en el caso español, o la RGPD en el europeo, ya son bastante claras con el uso que debe darse de los datos personales según su nivel de riesgo y las necesidades reales del servicio.

O si hablamos de carga de archivos en conexiones web (cookies), existe la política de cookies, que recoge una serie de normativas de cómo se debe consensuar explícitamente con el usuario qué tipo de cookies se cargan en cada ocasión.

Yo empezaría por ahí, y ya se escala o se especializa en alguna otra regulación si el caso así lo requiere.