Carlos B Fernández. 2020 puede ser un año muy interesante para la protección de la privacidad de los usuarios norteamericanos. En primer lugar porque el día uno de enero entrará en vigor la California Consumer Privacy Act (CCPA), la ley de defensa de la privacidad de los consumidores del Estado de California, una norma que, con algunas particularidades, está en muchos aspectos en línea con el Reglamento europeo de protección de datos.
Pero, además, es posible que a lo largo de ese año sean aprobadas varias normas cuyas propuestas se han ido presentando a lo largo de 2019.
Las iniciativas “Do not track Act”, “Dashboard Act” y “Smart Act” han iniciado su tramitación en las cámaras legislativas de ese país a lo largo que el año que ahora concluye, en una sucesión que indica la preocupación que están despertando en los Estados Unidos los temas relacionados con la privacidad de los ciudadanos y su protección frente al carácter adictivo de las redes sociales. Y ello pese al, según parece, fallido intento de contar con una ley de protección de datos en Nueva York.
Por su interés, a continuación presentamos las principales características de estas iniciativas, de cuya tramitación iremos dando cuenta.
Do not track Act – Impedir el rastreo de la actividad on line de los usuarios
A comienzos de junio de 2019, los senadores Mark Warner (demócrata) y Josh Hawley (demócrata) presentaron conjuntamente el proyecto de “Do Not Track Act” (A Bill to protect the privacy of internet users through the establishment of a national Do Not Track system).
Según estos senadores, "las grandes empresas de tecnología recopilan cantidades increíbles de datos personales y privados de las personas sin darles la opción de consentir de manera significativa” al respecto. De este modo, “empleando tácticas de vigilancia espeluznantes de sus usuarios” que no se suelen conocer salvo casos de fuga de información, se han “enriquecido increíblemente”. Por ello, “los estadounidenses merecen tener más control sobre quién recopila esa información y sobre cómo la puede utilizar”.
Y si bien en los Estados Unidos ya existía un programa denominado “Do Not Track”, aprobado por la Federal Trade Comision en 2010, este era un programa de carácter voluntario que los gigantes tecnológicos se se negaron a cumplir voluntariamente.
Por ello, indican sus impulsores, con esta propuesta de Ley se pretende dar rango legal a ese programa, ampliándolo para cubrir toda la actividad de Internet, no sólo la actividad basada en el navegador.
En concreto, esta ley se orienta a:
- Crear un programa similar a la lista nacional de "No llamar" (Do Not Call), que le da a cada persona el poder, con sólo tocar un botón, de bloquear a las compañías en línea para que no recopilen datos más allá de lo que es indispensable para la prestación de los servicios en línea.
- Prohibir a las compañías hacer perfiles de los estadounidenses que activen la opción “No rastrear”
- Prohibir la discriminación contra las personas que activen la opción “No rastrear”.
- Prohibir que las empresas transfieran datos a otras empresas cuando un usuario active la opción “No rastrear”, a menos que la primera empresa sea un intermediario contemplado en la norma.
- Obligar a las empresas de Internet a revelar a los usuarios los derechos que les confiere esta legislación.
- Imponer sanciones estrictas por violar estas disposiciones.
Es probable que ese mecanismo adopte la forma de una extensión de navegador y/o una aplicación móvil que envíe una señal a los propietarios del sitio sobre las preferencias del usuario en cuanto a la recopilación de datos y el seguimiento.
Dado que esta propuesta cuenta con el apoyo de los dos grandes partidos norteamericanos, esto le asegura ciertas garantías de prosperar en la tramitación, pese a las previsibles lobbys empresariales a que va a enfrentarse.
Dashboard Act, definiendo el valor de los datos personales para las empresas tecnológicas
La propuesta de Designing Accounting Safeguards to Help Broaden Oversight and Regulations on Data Act (Ley de diseño de salvaguardias contables para ayudar a ampliar la supervisión y regulación de los datos"), o Dashboard Act, fue presentada por los mismos senadores Warner y Hawley a finales de junio pasado, justo un mes después de la propuesta anterior. Al igual que esta, al contar con el apoyo de los dos grandes partidos norteamericanos, es previsible que prospere, si bien en su tramitación deberá enfrentar también a los poderosos lobbys tecnológicos.
Según sus promotores, los datos de los usuarios representan cada vez más uno de los activos más valiosos, aunque intangibles, de las empresas de tecnología, por lo que resulta fundamental aclarar cómo se recopilan, retienen, monetizan y protegen.
Por ello, la norma pretende obligar a las empresas que explotan datos personales de grandes volúmenes de usuarios (más de 100 millones al mes), que les informen de los tipos de datos recopilados, así como los contratos con terceros que impliquen la recopilación de sus datos; de todas las formas en que se están utilizando y a que les faciliten de forma regular una evaluación de su valor de mercado.
En concreto, la propuesta se dirige a los que denomina “operadores de datos comerciales” (“commercial data operator”), entendiendo por tales aquellas entidades que en su condición de proveedor de servicios en línea de consumo (“consumer online services provider”) o de bróker de datos, obtienen una cantidad importante de ingresos por el uso, la recolección, el procesamiento y la venta o la compartición de datos de sus usuarios y tienen más de 100.000.000 de usuarios o visitantes mensuales únicos en los Estados Unidos, durante la mayor parte del último año.
En este contexto la ley entiende por “datos del usuario” cualquier información que identifique, se refiera, describa, pueda estar asociada con, o podría razonablemente estar vinculada con, un usuario individual, ya sea porque el usuario se la haya facilitado al operador de los datos comerciales o porque se deriven de la actividad observada del usuario por el operador de datos comerciales
Según se prevé, en el plazo de un año desde la aprobación de la ley, la Securities and Exchange Comision (Comisión de Bolsa y Valores de los Estados Unidos, SEC), deberá establecer que:
A) de forma rutinaria, y no menos de una vez cada 90 días, los operadores de servicios comerciales deberán, por una parte, informar de forma clara y evidente a cada uno de sus usuarios, i) los tipos de datos que le conciernan de que dispone, ya sea por sí mismo o por o por otra persona en virtud de un acuerdo con el operador de datos comerciales; ii) las formas en que se utilizan dichos datos por el operador si el uso no está directa o exclusivamente relacionado con el servicio en línea que el operador de datos comerciales proporciona al usuario; y iii), por otra, deberán también proporcionar a cada usuario una evaluación del valor económico que atribuye a sus datos.
En este sentido, la ley faculta a la SEC para que desarrolle metodologías de cálculo del valor de los datos, a la vez que la alienta a facilitar que las empresas afectadas puedan adoptar metodologías que reflejen los diferentes usos, sectores y modelos de negocio.
(B) además, los operadores de datos deberán igualmente proporcionar a sus usuarios la posibilidad de eliminar todos los datos, en conjunto y para un campo individual, que el operador de datos comerciales posea, o sobre los que mantenga el control o el acceso con respecto al usuario, mediante un mecanismo claro y visible mediante el cual el usuario pueda realizar dicha eliminación. Ello a salvo de las excepciones legalmente previstas.
SMART Act – Limitar la capacidad adictiva de las redes sociales
Finalmente, a finales de julio pasado, el mismo senador Josh Howley, un reconocido y muy activo opositor de las grandes tecnológicas, presentó la propuesta de Social Media Addiction Reduction Technology (SMART) Act (Ley de Tecnología de Reducción de la Adicción a los Medios Sociales).
Esta propuesta se basa en el hecho de que las grandes empresas titulares de las redes sociales, como Facebook, Instagram, You Tube o Twitter diseñan sus plataformas con el objetivo de captar la mayor atención posible de sus usuarios, para poder comercializar con ella. Para ello explotan la ciencia de la adicción para poner tantos obstáculos como sea posible para evitar que abandonen sus plataformas.
Estas tácticas incluyen el scroll o desplazamiento vertical infinito (cargando automáticamente más contenido al llegar a la parte inferior de una página web), la reproducción automática de música y vídeo, o la concesión de reconocimientos por el uso repetido de una aplicación.
Se trata de una estrategia que según Howley está funcionando, pues los usuarios dedican en la actualidad una media de casi dos horas y diez minutos al día en las redes sociales, cuando en 2012 era en torno a una hora y veintidós minutos, lo que supone un aumento del 56%.
Para evitarlo, esta ley pretende prohibir a las grandes plataformas de redes sociales, como Facebook, Instagram, You Tube o Twitter incluir ciertas características en sus aplicaciones que animan a la gente a usarlas durante largos periodos de tiempo.
El proyecto de ley también requiere que las compañías de medios sociales proporcionen varias maneras para que los usuarios puedan identificar fácilmente el tiempo que dedican a las aplicaciones de medios sociales.
Para ello, el proyecto de Smart Act:
- Prohibe el scroll infinito, la reproducción automática y otras funciones adictivas en los medios sociales.
Se excluye de esta prohibición las listas de reproducción de música, medios sociales diseñados predominantemente para transmitir música en tiempo real y las distinciones que aumentan sustancialmente el acceso a nuevos servicios o funciones.
Además, las plataformas tendrían que incluir “puntos de parada naturales” en la navegación.
- Requiere paridad de elección para el consentimiento
Ya no se permitiría a las empresas manipular a las personas para que den su consentimiento, dificultando la denegación del mismo.
Las empresas tendrían que diseñar cajas de "aceptar" y "rechazar" la prestación del consentimiento utilizando los mismos formatos, fuentes y tamaños.
- Faculta a la Federal Trade Comision (FTC) y al Health and Human Social Services Department (HHS) para prohibir otras prácticas similares.
- Otorga a los usuarios el poder de monitorear y controlar su tiempo de uso en las redes sociales.