Facebook: la caja negra de la privacidad

Entrar al Aviso de Privacidad de cualquier página web causa tedio anticipado pues queremos obtener lo antes posible lo que estamos buscando: un producto de Amazon, o bajar una película de Netflix, hacer un pedido al supermercado por Internet para preparar la cena, asegurar una reservación en Airbnb para un viaje próximo, o incluso apartar un lugar en clases de pilates.

Y para entrar y realizar estas consultas o transacciones rápidamente nos saltamos todos los obstáculos posibles proporcionando lo que nos piden sin preocuparnos si esta información se protegerá o se compartirá con terceros, que es lo que nos informa el Aviso de Privacidad. Marcamos el casillero “Sí, estoy de acuerdo” sin más.

No podemos negar las grandes ventajas que obtenemos del Internet y el costo de exponernos un poco puede parecer intrascendente: nos proporciona correo electrónico gratuito, contacto de voz directo, navegación con múltiples buscadores sin costo alguno, acceso a documentos, periódicos, mercados, conocimientos que pueden mejorar nuestra salud, nuestra educación, nuestro esparcimiento, o bien asegurarnos la comida a través de Uber Eats cuando sólo tenemos media hora de tiempo para comer en la oficina.

El problema está en que con sólo proporcionar nuestro número de celular o nuestro correo electrónico abrimos un canal expedito para que pueda reunirse una cantidad inverosímil de información personal de la que uno no está consciente. Y eso sólo es parte de lo que recaban las empresas, pues una vez adentro de las páginas como Facebook, todas las expresiones de “me gusta” o la propia navegación que uno realiza en Google, arroja una enorme cantidad de información sobre nuestros intereses y necesidades. El perfil nuestro que emana de estos inocentes actos, fáciles y rápidos, si es compartida entre la empresa que la capta y otras, que pueden usarlos comercialmente o de otras formas, se convierte en un búmeran. La información que proporcionamos tiene valor y es la materia prima de la existencia misma de Internet y ésta se nos regresa en forma de una metralla de publicidad cada vez más personalizada, pues conocen nuestras preferencias (y de ella derivan muchos de sus ingresos los gigantes tecnológicos como Google, Amazon, Facebook, y otros). Pero el uso de nuestra información personal para nutrir la publicidad que recibimos es sólo una parte del búmeran, en realidad es la más inocua. En cambio, el uso de nuestra información puede ir en nuestra contra en formas mucho más peligrosas.

Prueba de ello es el escándalo de Cambridge Analytica (CA), ya conocido por muchos, que terminará en la imposición de una multa de 5 mil millones de dólares a Facebook por parte del Comisión Federal de Comercio (FTC) de Estados Unidos, si es ratificado por el Departamento de Justicia, por la violación a la privacidad de los datos personales de ¡87 millones de personas! Estos datos fueron utilizados para influir sobre las preferencias electorales en Estados Unidos (las que favorecieron a Donald Trump). La minería de datos de esa enorme fuente de información permitió a CA enviar mensajes personalizados y distorsionantes a los votantes americanos, haciendo uso de información muy delicada, incluyendo el perfil psicológico de la población meta. Este tipo de manejo puede poner en peligro el sistema democrático mismo de los países que lo tienen, o bien puede reforzar el control que ejercen gobiernos autoritarios sobre su población, como es el caso de China. Considerando el avance acelerado de la inteligencia artificial, el control de la mentalidad de la humanidad puede llegar a hacer realidad la ciencia-ficción si no se llega a acuerdos globales sobre estos delicados asuntos (véase el libro de Max Tegmark, Life 3.0, por ejemplo).

Se necesita, por tanto, una vigilancia mucho mayor, un marco legal adecuado y acciones más fuertes contra el abuso de los datos personales de estas grandes compañías. La pregunta es si estamos a tiempo o no de parar la transgresión de la privacidad. El poder de estas empresas es inmenso; cada día más de dos mil millones de personas utilizan Facebook o alguna de las otras empresas que posee, Instagram, WhatsApp o Messenger, es decir, ¡la cuarta parte de la humanidad, y sigue creciendo! (CNBC, https://cnb.cx/2Z0EQ8s).

Por ello Facebook no se esmera en cumplir con sus acuerdos de protección de datos. La FTC ya había sancionado a Facebook en 2012 por engañar a sus usuarios sobre el uso de su información privada, tras lo cual la empresa se comprometió a proteger mejor la privacidad de sus clientes, cosa que evidentemente no cumplió, según la nueva investigación de la FTC.

La multa impuesta, la más grande que se haya aplicado a una compañía de este tipo, si bien parece enorme, en opinión de muchos es inocua, dado que los ingresos en 2018 de Facebook fueron de casi 56 mil millones de dólares. Además, el acuerdo negociado al que llegó la empresa con la FTC no limita mayormente su capacidad de seguir captando la información de los usuarios ni de compartirla con otras empresas. La debilidad de la sanción se percibe claramente en que el precio de las acciones de Facebook subió en más de 1% cuando la inminente multa se hizo pública (The Guardian, bit.ly/2JKIYmn).

Sin embargo, el escándalo de CA que salió a la luz pública en 2016 prendió los focos rojos en una buena parte del mundo y ha habido una oleada de investigaciones específicas dirigidas a la forma de operar de Facebook y de otros gigantes tecnológicos, así como numerosas nuevas legislaciones que tratan de evitar el abuso en el uso de la información personal.

Una de las iniciativas más importantes fue la Regulación General de Protección de Datos de la Unión Europea (GDPR, por sus siglas en inglés), que el 25 de mayo cumplió un año en vigor. Ésta es una disposición que se aplica uniformemente en los 28 países de la Unión Europea (UE). Todas las compañías que operan en esa región deben cumplir con la normativa, independientemente de dónde esté su base geográfica.

Las nuevas regulaciones son considerablemente mejores que las que existían y las autoridades tienen la potestad de aplicar multas de hasta 20 millones de euros a una empresa o hasta el 4% de sus ingresos mundiales. Los usuarios tendrán mucho más control de su información, pudiendo saber cuál es la que maneja cada empresa, trasladándola de una red social a otra si lo desean, o bien decidiendo borrar toda su información, entre otras facultades. Además, las políticas de privacidad tendrán que ser escritas en un lenguaje claro y directo para que todos puedan entenderlas y los robos o filtraciones de información tendrán que ser informadas a los usuarios afectados en un máximo de 72 horas desde que se descubran (Comisión Europea, http://bit.ly/2LpbY6E).

A un año de haberse firmado el GDPR, los resultados parecen inciertos. La Unión Europea ya tiene bastante experiencia en los desacatos de las empresas del Silicon Valley. Las autoridades habían aplicado anteriormente diversas sanciones a esas compañías por violar las leyes antimonopolio y las de impuestos, entre otras. Pero el abuso en el uso de información privada por parte de estas compañías significa un desafío muy grande. Ello especialmente para Irlanda, donde está la sede en Europa de compañías como Airbnb, Apple, Facebook, Google, Twitter y Microsoft (NYT, https://nyti.ms/2YQaSnn). Helen Dixon, la comisionada para la protección de datos en ese país tiene toda la intención de hacer valer las nuevas normas, pero está a la cabeza de una agencia que maneja un presupuesto anual de sólo 7.5 millones de euros. “Eso es aproximadamente el ingreso que el conjunto de las compañías que ella supervisa genera en 10 minutos” (NYT, https://nyti.ms/2YQaSnn). Es claro que los recursos que manejan empresas como Facebook, para contratar equipos de abogados especializados en protección de datos para defenderse ante las nuevas leyes, constituyen un verdadero reto para estas autoridades.

Es innegable que las nuevas disposiciones han surtido cierto efecto. En este primer año, más de 375,000 empresas han registrado un Delegado de Protección de Datos (DPO, por sus siglas en inglés) en cinco países europeos, especialmente Alemania, los cuales se ocuparán de la protección de datos personales que se manejan en sus respectivas entidades; hubo también 89,000 notificaciones de transgresión de datos a las agencias de protección de datos en toda la UE; y una aplicación de multas por 56 millones de euros en la región (cifra muy modesta comparado a la multa a Facebook de la FTC), entre otras medidas (International Association of Privacy Professionals, IAPP, http://bit.ly/2YWInnW).

A nivel global, desde 2016, alrededor de 43 naciones han legislado o regulado el uso de información privada en las redes sociales. En Estados Unidos no existe una ley federal de protección de la información (aunque ya se habla de esa posibilidad), pero hay iniciativas muy importantes como la California Consumer Privacy Act de junio de 2018 que, al igual que el GDPR, dará el derecho a las personas de conocer la información que sobre ellas tienen las empresas y qué uso hacen de ésta, además de que a partir de 2020 podrán pedir que se borren sus datos y que se prohíba la venta de ellos a otras compañías.

Cuando se toma en cuenta esta nueva ola de disposiciones en muchos países, incluyendo varios en vías de desarrollo como la India o Brasil, algunos analistas perciben que lo que enfrenta Facebook es sólo el comienzo de una gran batalla contra el abuso de datos y que la multitud de demandas que ya comienza a enfrentar puede inhibir su forma de proceder actual.

México cuenta con la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP) desde 2010 y el INAI (Instituto Nacional de Acceso a la Información y Protección de Datos) es la encargada de su aplicación. Este marco es considerado más débil que aquel que tienen Estados Unidos, Canadá, la Unión Europea y Brasil (GLA Piper, http://bit.ly/2JDaFP2). El IFAI tiene la facultad de aplicar multas (no significativas para los gigantes tecnológicos) e incluso hay penas de cárcel para aquellos que vendan bases de datos. Si bien no puede seguirse procedimientos en contra de empresas internacionales que no tengan filiales en México, sí puede hacerlo para las que las tienen. Ése es el caso del procedimiento iniciado por dicha institución contra la filial mexicana de Google Inc., en enero de 2015 por no responder a la solicitud legítima de un usuario de cancelación de sus datos personales, y también otro contra el propio Facebook en 2018 por la posible afectación de CA sobre los usuarios de Facebook en México. El potencial de la protección de datos en México es importante, aunque los recursos del INAI para ello son pocos y no hay conciencia aún de la importancia de este tema entre los ciudadanos.

Como hemos visto, los instrumentos de los que dispone el público para defenderse del mal uso de la información que se recaba vía electrónica, aunque aún muy insuficiente, se han multiplicado y afinado. Pero, al final de cuentas, somos los ciudadanos los que tenemos que hacer uso de ellas para asegurarnos que podemos seguir siendo nosotros mismos, sin ser utilizados, manipulados o abrumados por la avalancha de información, desinformación y publicidad de la que somos blanco.