Formulario y comité supervisor

La reacción de Google no se ha hecho esperar: en menos de 15 días ha sido capaz de poner a disposición de los usuarios un formulario en línea para que puedan ejercer ese dichoso derecho que se ha dado en llamar “derecho al olvido”, cuando realmente se trata de un derecho de oposición. Tal y como lo ha llamado Google, mejor decir “derecho a la retirada de resultados”, porque me parece que olvidar, lo que es olvidar…

Tal y como predije, han automatizado el proceso de solicitud. La mentalidad “useña”, bastante más práctica que la europea, está acostumbrada a solucionar problemas con mayor rapidez. La ingente información que maneja la empresa hace necesaria esa automatización, al menos para recibir las solicitudes. Ya tienen experiencia con la retirada de contenidos protegidos, así que no les costará mucho realizar este trabajo.

No han dado un plazo de resolución, pero suponemos que deben aplicar los 10 días de la normativa española. Revisarán cada petición de forma individual, y han nombrado un comité de expertos, entre los que está incluido nuestro compatriota don José Luis Piñar Mañas. Este comité revisará los casos más controvertidos:

No hace mucho leía a Jules Polonetsky (Future of Privacy Forum), que bromeaba en su perfil de Linkedin con la creación de un nuevo puesto de trabajo en Google, “Decider in Chief”. Este puesto estaría reservado para una persona que se dedicaría a fijar la política a seguir por un equipo de “revisores” que tendría que vérselas con millones de peticiones… Pues ahí lo tenemos. De momento no ha habido una avalancha de tal calibre, pero recibir 12.000 peticiones el primer día en el que se abre el cuestionario no está nada mal. Hoy he leído que llevaban unas 40.000.

Ya veremos lo eficaz que es el sistema. De momento, como bien cuenta David Gonzálezno permite al peticionario probar el contenido de su solicitud, ni tan siquiera se informa de la recogida de datos, y hasta se prevé comunicar a la web donde está el dato publicado la petición del afectado… ¿será ésto el cuento de nunca acabar?

Derecho a la portabilidad de datos (2ª Parte)

En el anterior post afirmé que el derecho a la portabilidad de los datos, tal y como está redactado en la propuesta, crea más problemas que soluciona. Es muy fácil que de aquí a que se apruebe como definitivo, sufra modificaciones. Veamos a continuación lo que dice:

1. Cuando se traten datos personales por vía electrónica en un formato estructurado comúnmente utilizado, el interesado tendrá derecho a obtener del responsable del tratamiento una copia de los datos objeto de tratamiento en un formato electrónico estructurado y comúnmente utilizado que le permita seguir utilizándolos.

2. Cuando el interesado haya facilitado los datos personales y el tratamiento se base en el consentimiento o en un contrato, tendrá derecho a transmitir dichos datos personales y cualquier otra información que haya facilitado y que se conserve en un sistema de tratamiento automatizado a otro sistema en un formato electrónico comúnmente utilizado, sin impedimentos por parte del responsable del tratamiento de quien se retiren los datos personales.

3. La Comisión podrá especificar el formato electrónico contemplado en el apartado 1 y las normas técnicas, modalidades y procedimientos para la transmisión de datos personales de conformidad con lo dispuesto en el apartado 2. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 87, apartado 2.

La primera cuestión que habrá que dilucidar es qué cabe entender por “formato estructurado comúnmente utilizado”. En ninguna parte de la propuesta de Reglamento se habla de ello, y sin embargo, es lo principal en el artículo. Se ha dejado la la Comisión la tarea de especificarlo, indicando formatos,  normas técnicas, modalidades y procedimientos para la transmisión de los datos.

Si la empresa no trabaja con un formato que sea común, no estaría obligada a cumplir con la obligación de facilitar la portabilidad, o al menos eso entiendo. Esta es la primera razón por la que la redacción del artículo es fallida. Si se condiciona este pretendido nuevo derecho a que los tratamientos se realicen con en formatos de uso común, se pierde la neutralidad tecnológica que hubiera permitido extender esta obligación a cualquier tratamiento. A mi juicio, buscar la interoperabilidad es bueno, pero una norma sobre datos personales no es el lugar más adecuado, y menos mezclándola con el ejercicio de un derecho.

Hice referencia al discurso de Almunia porque en él vemos parte del origen de este nuevo derecho: la libre  competencia. El regulador se ha dado cuenta de que los datos son la mercancía con la que se van a empezar a librar verdaderas batallas entre empresas, y espera que facilitando la portabilidad, las empresas de nueva creación puedan acceder a la información que los mismos usuarios les lleven de un modo más rápido y fácil.

En las empresas de Internet la tecnología ya no es una ventaja competitiva, sino cómo tratan la información y qué hacen con ella. Por esto me resulta curioso que este nuevo derecho sea de aplicación a cualquier empresa, independientemente de su tamaño. Pero claro, al ser un derecho no se puede acotar su aplicación a los grandes de Internet, a quienes sí que pueden alcanzar posiciones cercanas al monopolio.

Si le aplicas la medida a Facebook, por ejemplo, para colabore con los usuarios que quieran llevarse todos sus datos a una nueva red social más pequeña pero más atractiva, el esfuerzo y coste que le ha supuesto recopilar y tratar datos del usuario, terminará jugando a favor de esa nueva red social. Fastidio para Facebook, pero cumplimiento de derecho. Ahora viene la segunda parte: por pequeña que sea una empresa, también habrá de cumplir con el derecho a la portabilidad. ¿Va a resultar entonces atractiva la entrada en un tipo de negocio en el que tu esfuerzo por adquirir usuarios puede terminar en nada gracias a este derecho? Porque el usuario se lleva todos los datos.

Los grandes tienen que desarrollar mecanismos para poder llevar a cabo la portabilidad. Los nuevos, sea cual sea su tamaño, ya habrán de nacer con él, con el servicio al usuario que facilitará, en un futuro, su futura desaparición.

El artículo da al individuo el derecho a llevarse sus datos personales y cualquier otra información que haya facilitado (sic). Pienso por un momento en las fotografías, por ejemplo. O en los “check-in” de un servicio de localización,  en su perfil como consumidor de juegos de plataforma… Todo esto hay que facilitarlo para que se lo lleve a su casa, o a la competencia. ¿Por qué la propuesta no deja fuera los tratamientos que la empresa ha realizado con su “know-how”? Eso es lo que la diferencia de otras, su ventaja competitiva. Cómo trata la información para sacar ventaja económica. Una vez más, la propuesta trata asuntos que no tienen nada que ver con la protección de datos, y entra a regular asuntos de competencia.

El último problema al que quiero hacer referencia es la seguridad. El artículo está redactado pensando en las grandes empresas, o mejor dicho, a servicios que traten gran cantidad de datos (Google, Facebook y similares). La entrega de TODA la información, datos personales y otros, se tendrá que haceridentificando al individuo correctamente. ¿Cuántos servicios, la mayoría de origen norteamericano, están preparados para hacer esto?¿es la identificación del usuario su fuerte? Ni por asomo. Lo que pretende la UE que sea un derecho, más bien lo está convirtiendo en una grave amenaza para la seguridad de la información de los usuarios. Ya puestos a inventarnos nuevos derechos, podríamos haber mencionado un “derecho a la seguridad”.

Dar acceso sin demora a todos los datos personales tratados en un sistema provoca riesgos que sobrepasan con mucho lo razonable. Soy muy pesado… pero la rueda ya está inventada. En el año 2000, el Comité Asesor sobre Seguridad y Acceso Online de la FTC (EE.UU.), advirtió sobre el alto riesgo del acceso en línea a la información de los usuarios: dar acceso a la persona equivocada puede convertir una política de privacidad en una política anti-privacidad. ¿Qué hubiera costado haberse leído ese informe? ¡Que tiene 12 años ya!

En resumen, creo que la inclusión del derecho a la portabilidad, tal y como se propone, es un despropósito más de la UE, y tendrá que rehacerse, cuando no eliminarse.

Derecho a la portabilidad de datos (1ª Parte)

El 26 de noviembre, en una conferencia sobre privacidad y mercados de datos celebrada en Bruselas, Joaquín Almunia, Comisario de Competencia, sugirió que las empresas que no respeten el derecho a la portabilidad de los datos, pueden verse sujetas a intervenciones basadas en la legislación antimonopolísticas europeas.

Tras advertir del riesgo que supone la recogida y análisis de datos personales a gran escala, remarcó el alto valor comercial que han adquirido los datos personales, que ahora se han convertido en la mercancía más preciada para las empresas. Como éstas pueden infringir la normativa sobre privacidad para tomar ventajas frente a sus competidores, o para restringir la entrada en el mercado de otros, ahí es donde han de entrar en acción los organismos europeos que vigilan la competencia. No basta con quedarse en la protección de datos y en la protección del consumidor.

Basta con ver los miles de millones de euros que generan gigantes como Google o Facebook, cuyos modelos de negocio giran en torno a este nuevo petróleo, para darse cuenta de que los datos personales van a ser el caballo de batalla de las cuestiones de competencia en los mercados internacionales dentro de muy poco tiempo.

No es posible abordar este análisis sin tener en cuenta los antecedentes históricos de la portabilidad de los datos. En noviembre de 2007, Chris Saadinvitó a un grupo de personas a compartir impresiones sobre este concepto, naciendo entonces el “Data Portability Project“. Se trataba de trabajar para intentar devolver a los usuarios el control sobre sus propios datos, y que pudieran disfrutar de una movilidad real de estos datos entre diferentes aplicaciones o empresas, siempre respetando la privacidad de los usuarios. No sólo participan los usuarios, sino que también los desarrolladores pueden adherirse, puesto que se trata de buscar soluciones tecnológicas para poder llevar a cabo esa portabilidad. Sin el concurso de la industria, sería imposible.

Es obligado citar la experiencia de Robert Scoble. Intentó descargar sus más de 5000 contactos de Facebook utilizando un “script”, pero esta acción violaba las condiciones de uso que había aceptado para utilizar la red social. Así queFacebook procedió a bloquear su cuenta. Al ser un blogger bastante conocido en el mundo de la tecnología, el caso tuvo amplia cobertura mediática y gran repercusión, por lo que supuso un gran impulso para el proyecto.

El 2008 se convirtió en el año de la portabilidad, y el proyecto logró las adhesiones de los grandes de la industria, como Microsoft,  Google y el mismo Facebook. Y ahora, más de 3 años después, la portabilidad de los datos nos aparece ¡y como derecho! en la propuesta de Reglamento de protección de datos. ¿Es entonces tan novedoso, y tan “europeo” como se pretende? Más bien no.

El derecho a la portabilidad aparece en el artículo 18 de la propuesta de Reglamento; ¿en qué consiste tal y como está concebido?… ¿soluciona el problema de competencia al que hace referencia Almunia?

En los pocos artículos que he leído hasta ahora los puristas del derecho están más que satisfechos porque ven en este derecho de “nuevo” cuño una ampliación o refuerzo del derecho de acceso. Pero este análisis peca de superficial. El artículo, tal cual está redactado, plantea más problemas en la práctica de los que pretende solucionar, como vamos a tener oportunidad de ver. Eso sí, en la 2ª parte.