bookmark_borderDerecho a la portabilidad de datos (1ª Parte)

El 26 de noviembre, en una conferencia sobre privacidad y mercados de datos celebrada en Bruselas, Joaquín Almunia, Comisario de Competencia, sugirió que las empresas que no respeten el derecho a la portabilidad de los datos, pueden verse sujetas a intervenciones basadas en la legislación antimonopolísticas europeas.

Tras advertir del riesgo que supone la recogida y análisis de datos personales a gran escala, remarcó el alto valor comercial que han adquirido los datos personales, que ahora se han convertido en la mercancía más preciada para las empresas. Como éstas pueden infringir la normativa sobre privacidad para tomar ventajas frente a sus competidores, o para restringir la entrada en el mercado de otros, ahí es donde han de entrar en acción los organismos europeos que vigilan la competencia. No basta con quedarse en la protección de datos y en la protección del consumidor.

Basta con ver los miles de millones de euros que generan gigantes como Google o Facebook, cuyos modelos de negocio giran en torno a este nuevo petróleo, para darse cuenta de que los datos personales van a ser el caballo de batalla de las cuestiones de competencia en los mercados internacionales dentro de muy poco tiempo.

No es posible abordar este análisis sin tener en cuenta los antecedentes históricos de la portabilidad de los datos. En noviembre de 2007, Chris Saadinvitó a un grupo de personas a compartir impresiones sobre este concepto, naciendo entonces el “Data Portability Project“. Se trataba de trabajar para intentar devolver a los usuarios el control sobre sus propios datos, y que pudieran disfrutar de una movilidad real de estos datos entre diferentes aplicaciones o empresas, siempre respetando la privacidad de los usuarios. No sólo participan los usuarios, sino que también los desarrolladores pueden adherirse, puesto que se trata de buscar soluciones tecnológicas para poder llevar a cabo esa portabilidad. Sin el concurso de la industria, sería imposible.

Es obligado citar la experiencia de Robert Scoble. Intentó descargar sus más de 5000 contactos de Facebook utilizando un “script”, pero esta acción violaba las condiciones de uso que había aceptado para utilizar la red social. Así queFacebook procedió a bloquear su cuenta. Al ser un blogger bastante conocido en el mundo de la tecnología, el caso tuvo amplia cobertura mediática y gran repercusión, por lo que supuso un gran impulso para el proyecto.

El 2008 se convirtió en el año de la portabilidad, y el proyecto logró las adhesiones de los grandes de la industria, como Microsoft,  Google y el mismo Facebook. Y ahora, más de 3 años después, la portabilidad de los datos nos aparece ¡y como derecho! en la propuesta de Reglamento de protección de datos. ¿Es entonces tan novedoso, y tan “europeo” como se pretende? Más bien no.

El derecho a la portabilidad aparece en el artículo 18 de la propuesta de Reglamento; ¿en qué consiste tal y como está concebido?… ¿soluciona el problema de competencia al que hace referencia Almunia?

En los pocos artículos que he leído hasta ahora los puristas del derecho están más que satisfechos porque ven en este derecho de “nuevo” cuño una ampliación o refuerzo del derecho de acceso. Pero este análisis peca de superficial. El artículo, tal cual está redactado, plantea más problemas en la práctica de los que pretende solucionar, como vamos a tener oportunidad de ver. Eso sí, en la 2ª parte.

bookmark_borderLinkedIn cede información a terceros sin consentimiento de sus usuarios

LinkedInParece que no se va a escapar ninguna tecnológica ni red social de cometer alguna pifia con los datos… LinkedIn fue denunciada el mes pasado por violar la privacidad de sus usuarios. El ciudadano de San Francisco, Kevin Low, demandó a la empresa por ceder información personal a diversos anunciantes sin su permiso, entre los que se encuentran IMR/Nielsen, Quancast, Scorecard Research y Doubleclick. Según la demanda (vía Eric Goldman), LinkedIn asocia los identificadores únicos de sus usuarios gracias a las cookies y “beacons” de terceras empresas, y hace paquetes de información del siguiente modo:

1.- Al registrarse en el servicio, asigna a cada miembro un número único (ID) que se asocia al nombre del usuario

2.- Las páginas del sitio de LinkedIn enlazan y transmiten el ID gracias a las diferentes cookies, puesto que hay colocados “beacons” de terceros en éstas.

3.- LinkedIn envía ese paquete de información no sólo una vez, sino que lo va poniendo al día cada vez que se entra en el servicio y se visitan esas páginas. Y de dos formas diferentes: una, enviando las cabeceras (“HTTP Referer”), que indican qué página está visitando el usuario, y otra, añadiendo explícitamente la ID del usuario como un parámetro URL cuando se solicita una página.

Lo cierto es que la demanda está muy bien fundamentada, y de entre sus razonamientos, me quedo con el siguiente:

LinkedIn ha cedido información personal identificable del Sr. Low en conexión con su historial de navegación sin su consentimiento. Si se le hubiera dado ocasión, el Sr. Low no hubiera permitido que se cediera su historial a terceras partes, sintiéndose humillado y avergonzado por la divulgación de su historial. Por otra parte, el historial de navegación del Sr. Low es una valiosa propiedad personal con un valor de mercado. Como resultado de este comportamiento ilegal, se ha utilizado este historial sin dar al Sr. Low la compensación que se merece.

¿Podemos considerar el historial de navegación como una propiedad? Más que una propiedad, ya estamos hablando de una mercancía de tráfico común para las páginas web y las empresas anunciantes. En este caso ya incluso no hacen falta grandes esfuerzos para identificar a la persona a la que pertenece el historial de navegación, porque ya la red social se encarga de enviar esa información.

Lo más penoso es que LinkedIn indica en su política de privacidad que “la privacidad de los usuarios es muy importante para LinkedIn. No vendemos, alquilamos ni ofrecemos de modo alguno sus datos personales a terceros con fines publicitarios”. Pues menos mal. Hay que recordar que les ocurre lo mismo que en el caso de Google Buzz: si LinkedIn no se hubiera comprometido a nada, no estaría obligado a nada. Pero al afirmar que no se ceden datos a terceros, cualquier acción contraria a ese compromiso puede considerarse como una práctica engañosa.

Con que se hubiera indicado lo que se hace realmente, y con qué información, no hubiera sucedido nada en absoluto. Los usuarios hubieran estado informados sobre las finalidades para las que se emplean tanto sus perfiles como su historial de navegación. Desconozco qué grado de impacto hubiera tenido sobre el número de usuarios de LinkedIn, pero apostaría a que casi ninguno: recordemos que los usuarios no leen esas políticas de privacidad, y si lo hicieran, costaría demasiado