Google: lo que vemos y lo que no queremos ver

La asociación de usuarios francesa UFC-QUE CHOISIR denunció a Google a finales de junio con una acción colectiva ante el Tribunal de Gran Instancia de París por incumplir el RGPD. Según la asociación, Google no solicita permiso para utilizar los datos de localización con finalidades publicitarias, y mantiene unas condiciones de uso de los datos agobiantes y laberínticas, con más de 5700 palabras, 57 reenvíos y 100 enlaces a otros contenidos.

Aquí puede verse el vídeo de Youtube con la explicación (en francés):

El 12 de febrero de 2019, el TGI de París dio la razón a esta asociación y condenó a Google por incluir 38 cláusulas abusivas en el uso de datos personales, considerando compatible la invocación de la ley francesa de protección de datos con la defensa de los intereses de los consumidores.

Con esto en la mano, y sin que Google haya movido un dedo para cambiar el modo en el que recaba el consentimiento, ni las condiciones, ahora la asociación solicita una indemnización de 1000€ para cada usuario del sistema Android que ha visto cómo se recopilaban sus datos sin permiso.

En la misma línea, el 21 de enero de 2019 la CNIL sancionó a Google con 50 millones de euros, a iniciativa de NOYB, la asociación que promovió Max Schrems, y de la ONG francesa La Quadrature du Net. El resultado se apoya en las siguientes conclusiones:

1. La información que se da al usuario no es fácilmente accesible y no cumple las obligaciones del RGPD. Entre otras cosas, la información sobre las finalidades, el tiempo de conservación de los datos o sobre qué datos se utilizan para la personalización de la publicidad, están excesivamente diseminadas en diversos lugares. Además, si se quiere disponer de la información completa, el mecanismo es complejo, implicando en ocasiones más de 5 o 6 acciones por parte del usuario, como acceder a enlaces o pulsar botones. Y una vez que se llega, la redacción no es clara.

2. Aunque Google dice tener el consentimiento de los usuarios para el tratamiento de los datos, la CNIL no lo admite porque la información que se les da está tan diluida que no les permite entender su amplitud. Esto provoca que el consentimiento que se otorga no sea específico y unívoco.

El asunto tiene las mismas causas que el planteado ahora por UFC-Que choisir: ni se informa ni se recaba el consentimiento de un modo adecuado.

Visto el asunto, vamos a entrar en materia… ¿es esto tan complicado de cumplir? No, en absoluto. Es puridad, es cuestión de diseño a la hora de mostrar las condiciones y de su aceptación, y modificar los sistemas internos de la empresa para que respondan a lo que el usuario quiere, no tiene más complicación. Es cuestión de voluntad, y ahí está el problema.

En una primera aproximación  nos podemos dejar llevar por la superficialidad, pensando que Google no se entera de cómo cumplir el dichoso RGPD, y que claro, como son “yankees”, pues se la trae al pairo… “allí las cosas funcionan diferente”… “como ganan tanto las sanciones les dan igual”… El más avezado diría que su modelo de negocio sufriría muchísimo teniendo que pedir a cada europeo que utilice sus sistemas el consentimiento, cosa que es verdad.

Prácticamente todas las controversias que surgen en protección de datos sobre los grandes de Internet tienen en común la recopilación de información sin el consentimiento del feliz usuario. Todo esto es lo que vemos, batallitas ante autoridades nacionales protección de datos y tribunales contra gigantes de Internet que nos pirran a los del sector, y que hacen las delicias de los periodistas.

Pero lo que no queremos ver es mucho más interesante. Lo más importante es que Google no puede cumplir con la legislación europea porque si lo hiciese dejaría de servir a la razón principal por las que la empresa fue creada, que es ser el mejor instrumento de espionaje al servicio de USA jamás desarrollado. Sí, tal cual. Leed los artículos de Nafeed Ahmed en Medium (Primera parte, How the CIA made Google, y segunda parte, Why Google made the NSA). Son extensos, pero merece la pena leerlos para conocer los personajes, entresijos y maniobras de las agencias de seguridad del gobierno “useño” para crear Google.

Ahora hay gente que anda descubriendo la pólvora con el caso Huawei, que es otra empresa también creada para lo mismo, fundada por Ren Zengfei, que, ¡oh, casualidad!, fue oficial del Ejército Popular de Liberación y es miembro del Partido Comunista Chino. Estos se andan con menos tonterías que los “useños”, que se buscan chavalitos estudiantes de doctorado a los que vender como genios creadores de una gran empresa a los ingenuos ciudadanos, pero al cabo de la calle el objetivo es el mismo.

Además de que permitan ganar mucho dinero estas empresas a sus dueños o accionistas, ambas son instrumentos de espionaje en manos de países que luchan por la hegemonía mundial. De esto va la película. Lo de toda la vida, vamos, que no es nada extraño. Mientras tanto, en Europa, que perdió hace muchísimos años la iniciativa en absolutamente todo, estamos muy entretenidos con nuestra legislación de protección de datos, en la que intervinieron descaradamente los useños cuanto y como quisieron. El resto es literatura y entretenimiento para despistados.

El delegado de protección de datos, en el punto de mira

A partir de mayo, ciertas empresas están obligadas a nombrar un delegado de protección de datos. Hay bastantes comentarios hechos ya por internet con sus funciones, el problema de su independencia, formación y un largo etcétera. Pero no he visto ningún comentario relativo a la exposición pública a la que se van a ver sometidos los individuos que ocupen esta posición.

Tanto los responsables como los encargados tienen que publicar los datos de contacto de este sujeto, tal y como se dice en el artículo 37.7 del Reglamento:

El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control

Además hay que comunicárselos a la autoridad de control. En nuestro caso, a la Agencia Española de Protección de Datos.

El proyecto de Ley Orgánica de protección de datos dice en el apartado IV de su exposición de motivos que “La designación del delegado de protección de datos ha de comunicarse a la autoridad de protección de datos competente. La Agencia Española de Protección de Datos mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona. Y así lo establece en el punto 4 de su artículo 34:

La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos.

No cabe duda de que es un buen ejercicio de transparencia, a primera vista suena muy bien esto de conocer al sujeto que es el responsable del sistema de protección de datos que tiene en marcha una empresa.

Ahora enlacemos esta bondad del nuevo sistema con la también transparente publicación de las resoluciones sancionadoras por parte de la Agencia Española de Protección de Datos. Como resultado, nuestro afortunado delegado se verá expuesta su competencia o incompetencia profesional ante la opinión pública cuando la empresa en la que desempeña sus funciones sea sancionada.

Cuando este sistema lleve funcionando un tiempo, cualquier departamento de recursos humanos tendrá un elemento más de juicio sobre la eficacia profesional de estos individuos solo con mirar en una página web.

Sí, ya sé que soy muy retorcido; ya sé que hay sanciones que no serán atribuibles directamente al mal ejercicio de la profesión, y que juegan muchas circunstancias… Pero es una situación que se va a presentar,  y creo que debiéramos reflexionar sobre ella.

Por cierto, ¿dónde se dice en el Reglamento que la autoridad de control tenga que publicar los datos del delegado de protección de datos? Porque solo menciona los datos de contacto, que no tienen por qué ser los datos personales del delegado… ¿No está yendo el legislador más allá de lo que toca?