Hace un tiempo comenté que Apple había aprovechado el lanzamiento del iphone 4 para cambiar su política de privacidad para poder recoger y ceder a terceros datos de diversa índole que la empresa consideraba como «de carácter no personal». El párrafo con la modificación es el siguiente:
Apple también lleva a cabo la recogida de datos de carácter no personal -datos en un formato que impide que sean asociados directamente con una persona determinada. Podremos recoger, tratar, transferir y divulgar datos de carácter no personal para cualquier fin. Estos son algunos ejemplos de las categorías de datos de carácter no personal que podrá recoger Apple y los fines para los que podremos llevar a cabo el tratamiento de los mismos:
– podremos recoger datos tales como profesión, idioma, código postal, código de área, Identificador Único de Dispositivo (Unique Device Identifier – UDID), ubicación y zona horaria en la que se utiliza un producto de Apple, para conocer mejor la conducta de nuestros clientes y mejorar nuestros productos, servicios y anuncios publicitarios
Toda esa información asociada a un identificador único, aquí, en España, debiera ser sin ninguna duda tratada como si fuera un conjunto de datos de carácter personal, ya que son fácilmente asociables a una persona física identificada o identificable. Sin profundizar mucho, todos los usuarios de un iphone han que pasar por el trámite de registro, por lo que la afirmación que Apple de que se trata de datos que tienen carácter «no personal», no es en absoluto cierta, ya que el dichoso UDID se transmite a Apple, y por ende, todos esos datos que «no son personales» pueden asociarse fácilmente a un usuario.
Como también puede transmitir esos datos a terceras partes (la política de privacidad habla de «transferencia»), ¿hasta dónde pueden esas terceras partes identificar al usuario? Existe a priori una duda más que razonable. Y así es: para quienes quieran profundizar, en este enlace pueden encontrar un documento elaborado por la Universidad de Bucknell donde se explican los riegos asociados con ese UDID, y donde se demuestra que la mayoría de las aplicaciones del iphone transmiten información a los servidores de sus desarrolladores (…¿alguien podría dudarlo?…).
Por eso le han colocado a Apple y a diversas empresas desarrolladoras de aplicaciones (Pandora, The Weather Channel, dictionary.com y Backflip) una «class action» en California. No es noticia, ni mucho menos, pero sí que me resulta novedoso el argumento principal que se ha utilizado: que todos esos datos «no personales» pueden llevar a la identificación de la persona física usuaria del aparatito… El razonamiento parece calcado de la definición de dato de carácter personal de nuestra Ley Orgánica de Protección de Datos. Estaremos atentos a ver en qué concluye el asunto.
Hace unos días leí un curioso caso ocurrido en EE.UU. que veo interesante comentar porque es un buen ejemplo de lo dispares que son las normativas de privacidad o protección de datos españolas de las norteamericanas. El editor de una revista dirigida a público gay de Nueva Jersey llamada XY, presentó concurso de acreedores. Esta revista tenía un sitio web con más de un millón de usuarios que habían dado información personal, incluyendo obviamente sus preferencias sexuales. Los acreedores solicitaron medidas encaminadas a adquirir la titularidad de la base de datos que contenía información acerca de sus abonados.