Apple había avisado, no es para tanto… ¿o sí?

Este miércoles pasado Peter Warden y Alasdair Allan anunciaron en la conferencia Where 2.0 que Apple recogía datos de localización de los iPhone/iPpad sin que los usuarios tuvieran conocimiento de ello. Su intervención está disponible aquí. El revuelo ha sido tremendo, y Apple sigue sin dar señales de vida para explicarlo.

Cualquier iPhone o iPad 3G con el sistema operativo iOS4, lanzado en junio de 2010, almacena datos de localización en un fichero ((Library/Caches/locationd/consolidated.db) que se puede encontrar en los dispositivos y en cualquier PC/Mac con el que sincronicen porque se copian en éstos. El fichero almacena latitud y longitud, y además la hora en la que se recoge esa información. Si antes esos datos estaban sólo en manos de las operadoras de telecomunicaciones, ahora resulta que tras esta acción de Apple, están guardados en los dispositivos móviles y los ordenadores de los usuarios, y además sin proteger de ningún modo.

No está claro para qué se utiliza esta información, pero tal y como cuentan en F-Secure, es bastante más que probable que Apple esté fabricando su propia base de datos global de localización, una vez que ha prescindido de los caros servicios de Skyhook. Ahora, igual que Google aprovechó para intentar construir su propia base de datos con sus coches mientras elaboraba el Google Street View, Apple aprovecha a sus usuarios, que son más y por supuesto más baratos que poner un coche en circulación.

Nuestros iPad/iPhone envían dos veces al día a Apple la información de localización que generan. Así viene indicado en la carta de contestación que Apple envió al Congresista Ed Markey cuando preguntó en junio de 2010 sobre la política de privacidad y servicios de localización de la empresa. Ayer mismo Markey volvió a preguntar, “¿se trata de iPhone, o de iTrack?“… Supongo que Apple contestará que ya ha informado a los usuarios de ésto en su “política de privacidad“:

Servicios de localización

Para prestar servicios de localización (Location Based Services – LBS) en relación con productos de Apple, tanto Apple como sus socios y licenciatarios podrán recoger, utilizar y compartir datos precisos sobre localizaciones, incluyendo la localización geográfica a tiempo real de suordenador o dispositivo Apple. Dichos datos de localización son recogidos anónimamente de forma que no puedan utilizarse para identificarle personalmente y son utilizados por Apple y sus socios y licenciatarios para suministrar y mejorar sus productos y servicios de localización. Por ejemplo, podremos compartir su localización geográfica con proveedores de aplicaciones cuando usted acepte participar en los servicios de localización.

Apple no considera los datos de localización como datos de carácter personal, y dice recogerlos “anónimamente”. Pero ya me contarán cómo, porque cada dispositivo tiene un identificador único que a su vez está asociado con un usuario registrado. En España esto sería considerado medio más que razonable por el que identificar sin esfuerzo a una persona física. En Estados Unidos se están preparando las primeras acciones legales por considerar esta práctica como desleal con el consumidor, no tardaremos en verlas.

Este “incidente”, por llamarlo de alguna manera, es más que un indicio de la carrera que ya han emprendido las grandes tecnológicas para prestar servicios de publicidad utilizando la geolocalización. Es lógico y normal que los gigantes Google y Apple están intentando construir estas bases de datos, les hace falta un buen mapa de antenas y de redes Wi-Fi para poder afinar. ¿Podemos imaginarnos la construcción de semejante mapa con la normativa española de protección de datos? Una vez más, desventaja competitiva europea/española, o invasión de la vida privada por la tecnología, tomémoslo como queramos.

Por cierto, para quien no quiera sorprenderse con lo que queda por venir, recomiendo la lectura del libro “Everyware: the dawning age of ubiquitous computing”, de Adam Greenfield. Escrito en 2006, ya preludiaba lo que se ha dado en llamar “el Internet de los objetos”.

¿De carácter no personal?

Apple utilizará la geolocalización de los usuarios de sus sistemas.

Hace un tiempo comenté que Apple había aprovechado el lanzamiento del iphone 4 para cambiar su política de privacidad para poder recoger y ceder a terceros datos de diversa índole que la empresa consideraba como “de carácter no personal”. El párrafo con la modificación es el siguiente:

Apple también lleva a cabo la recogida de datos de carácter no personal -datos en un formato que impide que sean asociados directamente con una persona determinada. Podremos recoger, tratar, transferir y divulgar datos de carácter no personal para cualquier fin. Estos son algunos ejemplos de las categorías de datos de carácter no personal que podrá recoger Apple y los fines para los que podremos llevar a cabo el tratamiento de los mismos:

– podremos recoger datos tales como profesión, idioma, código postal, código de área, Identificador Único de Dispositivo (Unique Device Identifier – UDID), ubicación y zona horaria en la que se utiliza un producto de Apple, para conocer mejor la conducta de nuestros clientes y mejorar nuestros productos, servicios y anuncios publicitarios

Toda esa información asociada a un identificador único, aquí, en España, debiera ser sin ninguna duda tratada como si fuera un conjunto de datos de carácter personal, ya que son fácilmente asociables a una persona física identificada o identificable. Sin profundizar mucho, todos los usuarios de un iphone han que pasar por el trámite de registro, por lo que la afirmación que Apple de que se trata de datos que tienen carácter “no personal”, no es en absoluto cierta, ya que el dichoso UDID se transmite a Apple, y por ende, todos esos datos que “no son personales” pueden asociarse fácilmente a un usuario.

Como también puede transmitir esos datos a terceras partes (la política de privacidad habla de “transferencia”), ¿hasta dónde pueden esas terceras partes identificar al usuario? Existe a priori una duda más que razonable. Y así es: para quienes quieran profundizar, en este enlace pueden encontrar un documento elaborado por la Universidad de Bucknell donde se explican los riegos asociados con ese UDID, y donde se demuestra que la mayoría de las aplicaciones del iphone transmiten información a los servidores de sus desarrolladores (…¿alguien podría dudarlo?…).

Por eso le han colocado a Apple y a diversas empresas desarrolladoras de aplicaciones (Pandora, The Weather Channel, dictionary.com y Backflip) una “class action” en California. No es noticia, ni mucho menos, pero sí que me resulta novedoso el argumento principal que se ha utilizado: que todos esos datos “no personales” pueden llevar a la identificación de la persona física usuaria del aparatito… El razonamiento parece calcado de la definición de dato de carácter personal de nuestra Ley Orgánica de Protección de Datos. Estaremos atentos a ver en qué concluye el asunto.