Carlos B Fernández. Pese a las múltiples proclamas de compromiso con el respeto por la privacidad de los usuarios de muchas empresas y entidades; pese a las páginas y páginas que describen las políticas de administración de permisos y control de cookies; pese, incluso, a las rigurosas disposiciones al respecto del Reglamento europeo de protección de datos (RGPD) y de las amenazas de severas sanciones que prevé, la sensación general de los ciudadanos europeos es que la mayor parte de las empresas disponen de sus datos personales sin especial problema ni limitación, dedicándose al perfilado y segmentación sistemático de los mismos, sin que estos puedan hacer prácticamente nada por evitarlo.
Una conducta que provoca, en nombre de la elaboración de perfiles y de la publicidad dirigida, multitud de violaciones de los derechos fundamentales se producen a un ritmo de miles de millones de veces por segundo.
En otras palabras, puede considerarse que la situación del acceso, tráfico y explotación no consentidos de los datos personales de los ciudadanos está fuera de control, una situación que perjudica tanto a los consumidores, como las sociedades y las empresas.
Esta, quizás para algunos escandalosa, pero, probablemente cierta, es la conclusión de un amplio informe elaborado por el Consejo de los consumidores noruego (Forbrukerrådet), titulado precisamente “Sin control. Cómo son explotados los consumidores por la industria de la publicidad” (“Out of control How consumers are exploited by the online advertising industry”).
Ante esta situación, el informe plantea que ha llegado el momento de debatir seriamente si los sistemas publicitarios impulsados por la vigilancia que se han apoderado de Internet y que son motores económicos de la desinformación en línea, son una compensación justa por la posibilidad de mostrar anuncios ligeramente más relevantes: “parece pertinente cuestionar si esta vigilancia por parte de las empresas es un precio que valga la pena pagar para recibir un contenido y una publicidad más personalizados”.
Análisis de diez apps muy conocidas
Este informe se ha basado en el análisis de las prácticas de diez apps muy populares a nivel global, como Perfect365: One-Tap Makeover (una aplicación para retocar fotografías); MyDays y Period Tracker (dos aplicaciones de control del ciclo menstrual y la fertilidad de la mujer); Tinder, OkCupid, Grindr y Happn (aplicaciones de citas y contactos personales); My Talking Tom 2 (una aplicación infantil) y Muslim - Qibla Finder (una aplicación religiosa musulmana), todas ellas aplicaciones con al menos cinco millones de usuarios y hasta cien millones, como My Talking Room 2.
Según el informe, las pruebas técnicas realizas sobre estas aplicaciones revelaron una serie de infracciones graves de la privacidad, que se resumen en lo siguiente:
a) Las diez aplicaciones analizadas transmiten datos de los usuarios al menos a 135 terceros diferentes implicados en la publicidad y/o en la elaboración de perfiles de comportamiento.
b) El ID de publicidad de Android (Android Advertising ID), un dispositivo que por medio de una combinación de identificadores persistentes permite a las empresas rastrear a los consumidores a través de diferentes aplicaciones y dispositivos, facilitando la creación de perfiles completos sobre los consumidores individuales, fue transferido a por lo menos 70 terceros diferentes involucrados en publicidad y/o perfiles. Además, este identificador se transmitió a menudo en combinación con otros datos personales como la localización GPS y la dirección IP.
c) Todas las aplicaciones analizadas comparten datos de usuario con múltiples terceros y todas, excepto una, comparten datos más allá del ID de publicidad del dispositivo. Esta información incluye la dirección IP y la ubicación GPS del usuario, atributos personales como el sexo y la edad, y varias actividades del usuario. Dicha información puede ser utilizada para rastrear y dirigir a estos usuarios con anuncios, para hacer un perfilado y para inferir muchos atributos altamente sensibles, incluyendo la orientación sexual y las creencias religiosas de los usuarios.
- En concreto, la aplicación para citas Grindr comparte datos detallados de los usuarios con un gran número de terceros que están involucrados en la publicidad y la creación de perfiles. Estos datos incluyen la dirección IP, el ID de la publicidad, la ubicación GPS, la edad y el género. Así mismo, la filial de adtech de Twitter, MoPub, es utilizada como mediadora para gran parte de este intercambio de datos, y pasa datos personales a otros terceros publicitarios, incluyendo las principales empresas de adtech AppNexus y OpenX. A su vez, muchos de estos terceros se reservan el derecho de compartir los datos que recogen con un gran número de socios.
- Por su parte, la aplicación de maquillaje fotográfico Perfect365 comparte datos de usuarios con más de 70 terceros. Estos datos incluían el ID de la publicidad, la dirección IP y la ubicación GPS. Muchos de los terceros que recibían estos datos se dedican a la recopilación, el uso y la venta de datos de localización con diversos fines comerciales.
- La aplicación de seguimiento de ciclo menstrual MyDays comparte la localización GPS del usuario con numerosos terceros implicados en la publicidad y la elaboración de perfiles de comportamiento.
- La aplicación de citas OkCupid comparte datos muy personales sobre sexualidad, consumo de drogas, opiniones políticas y más con la empresa de análisis Braze.
- El servicio de publicidad de Google DoubleClick recibe datos de ocho de las aplicaciones, mientras que Facebook recibe datos de nueve aplicaciones.
En resumen, cada vez que estas y otras muchas aplicaciones son utilizadas por sus usuarios, un gran número de terceros, en su mayoría desconocidos, reciben datos personales muy detallados sobre dichos usuarios. Estos datos permiten a muchas de estas empresas elaborar detallados perfiles sobre los consumidores individuales, que pueden ser utilizados para dirigir, discriminar y manipular a las personas. Todo ello al servicio de una compleja industria de actores que operan fuera de la conciencia pública y sobre una base legal cuestionable, pues el análisis legal de estos hallazgos muestra que una gran cantidad de este intercambio y procesamiento de datos resulta ser ilegal de acuerdo con el RGPD.
¿Qué efectos tiene esta gestión de los datos?
El informe recoge igualmente una amplia serie de efectos negativos que estas prácticas suponen para los ciudadanos, entre los que destacan:
1. Los consumidores no quieren ser rastreados, pero se sienten impotentes para evitarlo
El documento destaca que un número creciente de estudios muestra que, en general, los consumidores no se sienten cómodos con el seguimiento y la creación de perfiles en línea que se realiza a partir de sus datos. Muchos consideran que la publicidad dirigida es "espeluznante" o intrusiva, incluso si no entienden cómo se dirigen los anuncios y cuánta recopilación de datos se está llevando a cabo. Estos estudios indican que los consumidores no quieren que sus datos personales se utilicen para fines que vayan más allá de la prestación del servicio para el que se inscribieron, pero que se sienten impotentes para detener esa situación.
2. Asimetría de poder y falta de transparencia
Gran parte de la industria de la tecnología de la publicidad opera en las sombras, y los consumidores a menudo ni siquiera son conscientes de la existencia del sistema. Esto crea una asimetría de poder significativa, donde cualquier compañía adtech puede contar con miles de datos sobre un individuo y un gran arsenal de conocimientos derivados de la psicología del comportamiento, mientras que el individuo no tiene ni siquiera una idea de la existencia de la compañía. Debido a este desequilibrio, es extremadamente difícil para los consumidores optar por no participar o protegerse de otra manera de ser perfilados y categorizados.
Y ello pese a que de acuerdo con el RGPD los consumidores en Europa tienen una serie de derechos fundamentales en relación con sus datos personales, incluyendo el derecho a objetar, el derecho a una explicación, y el derecho a la eliminación. Sin embargo, estima el informe, estos derechos se vuelven imposibles de ejercer para el individuo cuando el alcance de la recopilación, el uso y el intercambio de datos es tan masivo y complejo.
3. Manipulación
Cuando se deja sin control, la publicidad puede ser un medio poderoso para dirigirse a consumidores en posiciones vulnerables. Con una tecnología omnipresente como los teléfonos inteligentes, los anunciantes ya no se limitan a adivinar cuándo responderá el consumidor a un anuncio. Pueden analizar grandes cantidades de datos del usuario para determinar el momento adecuado y medir cada interacción en tiempo real para refinar aún más el mensaje y el momento. Por ejemplo, Google pregona las ventajas de llegar a los consumidores en el "micromomento" exacto, cuando el consumidor es excepcionalmente receptivo porque necesita o desea algo.
4. Discriminación
La importante asimetría de información entre los consumidores y muchas empresas de publicidad permite nuevas formas de discriminación, por ejemplo en materia de precios. Así, aprovechando su amplio conocimiento sobre los historiales de compra de los usuarios, sus hábitos de navegación y hasta su situación económica, pueden determinar el precio máximo que uno concreto está dispuesto a pagar por un producto o servicio, ajustando el precio en consecuencia. De manera similar, las campañas de (des)información que utilizan mensajes dirigidos son difíciles de descubrir y de encuestar, porque dos personas nunca verán el mismo mensaje.
La discriminación también puede adoptar otras formas, como la exclusión de individuos y grupos de los anuncios de empleo y de vivienda. El concepto de ser excluido o discriminado de alguna otra manera sobre la base de supuestos intereses se ha denominado "discriminación por asociación" (“discrimination by association”).
5. Efectos laterales (Purpose creep)
Los brookers de datos no se limitan a utilizar datos y perfiles acumulados para fines publicitarios. La información que sale del ámbito de la publicidad e ingresa en mercados como el de la calificación crediticia o los seguros, puede generar consecuencias que afecten directamente a la vida de los consumidores individuales. En especial, si los datos utilizados son incompletos o erróneos, o se utilizan de forma irresponsable, las consecuencias pueden ser desastrosas. Si el consumidor no sabe que es víctima de una decisión errónea, no hay forma de protestar o corregir la situación.
7. Efectos escalofriantes y libertad de expresión
Aunque gran parte de la industria de la publicidad en línea es prácticamente invisible para el consumidor, la recopilación masiva de datos tiene el potencial de crear efectos escalofriantes (chilling effects) sobre los consumidores. Los estudios han demostrado que cuando los individuos sienten que su comportamiento está siendo registrando y que posiblemente se puede utilizar en su contra, lo moderarán en consecuencia. En el sistema de seguimiento de la publicidad, prácticamente todo se registra y se puede utilizar con fines impredecibles. Esto puede afectar a la forma en que utilizamos Internet y tener consecuencias negativas para la libertad de expresión.
8. Reducción de confianza en la economía digital
El seguimiento generalizado en todo el mundo en línea tiene el potencial de degradar seriamente la confianza del consumidor en los servicios digitales. Como se ha descrito anteriormente, muchos consumidores están preocupados por su privacidad, pero se sienten impotentes para restringir o impedir el seguimiento y la vigilancia en línea. En muchos casos, la única manera de detener el rastreo es evitar el uso de ciertos productos y servicios. Esta falta de confianza puede tener el efecto a largo plazo de reducir la adopción de nuevas tecnologías innovadoras
9. Fraude publicitario y degradación de los servicios en línea
Una gran mayoría de los servicios en línea se financian a través de la publicidad que ofrecen las empresas del sector. Pero en la práctica esto provoca que los periódicos en línea y otros editores suelan tener escaso o ningún contrato directos con los anunciantes, utilizando las redes publicitarias y las empresas de adtech como intermediarios. Esto significa que el editor a menudo no tiene ni idea de qué anuncios se muestran en los artículos que publican, ni qué consumidores acceden a los mismos cuando visiten un mismo artículo. Del mismo modo, los anunciantes no tienen ningún contacto directo con el editor, sino que compran los anuncios a través de los intermediarios de adtech. El intermediario facilita una serie de transacciones que a menudo son opacas tanto para el editor como para el anunciante, y ha sido descrito como una caja negra.
¿Qué se puede hacer?
A la vista de la situación descrita, los autores de este informe concluyen que, en el complejo entramado que es la industria de la publicidad on line, los consumidores están siendo monetizados a través de sus datos personales y se encuentran en una situación en la que cuentan con pocos medios para evitar ser parte de las transacciones que constantemente tienen lugar cuando utilizan los servicios en línea.
Pese a que es evidente, añaden, que cientos o miles de empresas permiten, facilitan y participan en la recolección, el intercambio y la venta de información de los consumidores, monetizando esos datos, una situación que conocen las autoridades nacionales y los organismos de protección de datos, poco se ha hecho para frenar esta explotación masiva de datos personales. Por ello proponen una serie de medidas:
1. Recordar el que tráfico inconsentido de datos es ilegal
Aunque el informe reconoce que los consumidores no disponen realmente de mecanismos para defender sus derechos ante la proliferación de partes que intervienen en el tráfico de sus datos y que generalmente les son desconocidos, se pone énfasis en recordar que, en cualquier caso, la difusión incontrolada de datos personales que actualmente impregna la industria de la tecnología publicitaria es ilegal y debe ser frenada.
2. Las autoridades deben hacer cumplir la ley
Como consecuencia del punto anterior, y de la evidencia de los daños directos e indirectos, como la manipulación, la discriminación o la propagación de información engañosa, que se derivan de ese tráfico masivo de datos, es hora de que las autoridades reguladoras tomen medidas para limitar estos daños en la medida de lo posible.
Para ello el informe destaca la importancia de las autoridades, y no solo las de protección de datos, también las de defensa de los consumidores, estén abriendo investigaciones sobre posibles infracciones, en una actividad en la que la cooperación internacional resulta fundamental.
E igualmente las autoridades de competencia tienen un papel que jugar, a la vista de que este mercado está dominado por unos pocos gigantes tecnológicos, como Google, Facebook y Amazon.
3. Los anunciantes y los medios de información deben asumir su responsabilidad
El informe apunta a las empresas que dependen de la publicidad digital para generar ingresos, como las marcas, los comercializadores y muchos editores, como las encargadas de buscar soluciones alternativas al sistema adtech actualmente dominante. Para cumplir con la legislación europea y respetar los derechos fundamentales de los consumidores, la industria debería buscar soluciones tecnológicas innovadoras que no se basen en una amplia difusión y recopilación de datos personales.
El estudio se encuentra disponible en este enlace: https://fil.forbrukerradet.no/wp-content/uploads/2020/01/2020-01-14-out-of-control-final-version.pdf