Google: lo que vemos y lo que no queremos ver

La asociación de usuarios francesa UFC-QUE CHOISIR denunció a Google a finales de junio con una acción colectiva ante el Tribunal de Gran Instancia de París por incumplir el RGPD. Según la asociación, Google no solicita permiso para utilizar los datos de localización con finalidades publicitarias, y mantiene unas condiciones de uso de los datos agobiantes y laberínticas, con más de 5700 palabras, 57 reenvíos y 100 enlaces a otros contenidos.

Aquí puede verse el vídeo de Youtube con la explicación (en francés):

El 12 de febrero de 2019, el TGI de París dio la razón a esta asociación y condenó a Google por incluir 38 cláusulas abusivas en el uso de datos personales, considerando compatible la invocación de la ley francesa de protección de datos con la defensa de los intereses de los consumidores.

Con esto en la mano, y sin que Google haya movido un dedo para cambiar el modo en el que recaba el consentimiento, ni las condiciones, ahora la asociación solicita una indemnización de 1000€ para cada usuario del sistema Android que ha visto cómo se recopilaban sus datos sin permiso.

En la misma línea, el 21 de enero de 2019 la CNIL sancionó a Google con 50 millones de euros, a iniciativa de NOYB, la asociación que promovió Max Schrems, y de la ONG francesa La Quadrature du Net. El resultado se apoya en las siguientes conclusiones:

1. La información que se da al usuario no es fácilmente accesible y no cumple las obligaciones del RGPD. Entre otras cosas, la información sobre las finalidades, el tiempo de conservación de los datos o sobre qué datos se utilizan para la personalización de la publicidad, están excesivamente diseminadas en diversos lugares. Además, si se quiere disponer de la información completa, el mecanismo es complejo, implicando en ocasiones más de 5 o 6 acciones por parte del usuario, como acceder a enlaces o pulsar botones. Y una vez que se llega, la redacción no es clara.

2. Aunque Google dice tener el consentimiento de los usuarios para el tratamiento de los datos, la CNIL no lo admite porque la información que se les da está tan diluida que no les permite entender su amplitud. Esto provoca que el consentimiento que se otorga no sea específico y unívoco.

El asunto tiene las mismas causas que el planteado ahora por UFC-Que choisir: ni se informa ni se recaba el consentimiento de un modo adecuado.

Visto el asunto, vamos a entrar en materia… ¿es esto tan complicado de cumplir? No, en absoluto. Es puridad, es cuestión de diseño a la hora de mostrar las condiciones y de su aceptación, y modificar los sistemas internos de la empresa para que respondan a lo que el usuario quiere, no tiene más complicación. Es cuestión de voluntad, y ahí está el problema.

En una primera aproximación  nos podemos dejar llevar por la superficialidad, pensando que Google no se entera de cómo cumplir el dichoso RGPD, y que claro, como son “yankees”, pues se la trae al pairo… “allí las cosas funcionan diferente”… “como ganan tanto las sanciones les dan igual”… El más avezado diría que su modelo de negocio sufriría muchísimo teniendo que pedir a cada europeo que utilice sus sistemas el consentimiento, cosa que es verdad.

Prácticamente todas las controversias que surgen en protección de datos sobre los grandes de Internet tienen en común la recopilación de información sin el consentimiento del feliz usuario. Todo esto es lo que vemos, batallitas ante autoridades nacionales protección de datos y tribunales contra gigantes de Internet que nos pirran a los del sector, y que hacen las delicias de los periodistas.

Pero lo que no queremos ver es mucho más interesante. Lo más importante es que Google no puede cumplir con la legislación europea porque si lo hiciese dejaría de servir a la razón principal por las que la empresa fue creada, que es ser el mejor instrumento de espionaje al servicio de USA jamás desarrollado. Sí, tal cual. Leed los artículos de Nafeed Ahmed en Medium (Primera parte, How the CIA made Google, y segunda parte, Why Google made the NSA). Son extensos, pero merece la pena leerlos para conocer los personajes, entresijos y maniobras de las agencias de seguridad del gobierno “useño” para crear Google.

Ahora hay gente que anda descubriendo la pólvora con el caso Huawei, que es otra empresa también creada para lo mismo, fundada por Ren Zengfei, que, ¡oh, casualidad!, fue oficial del Ejército Popular de Liberación y es miembro del Partido Comunista Chino. Estos se andan con menos tonterías que los “useños”, que se buscan chavalitos estudiantes de doctorado a los que vender como genios creadores de una gran empresa a los ingenuos ciudadanos, pero al cabo de la calle el objetivo es el mismo.

Además de que permitan ganar mucho dinero estas empresas a sus dueños o accionistas, ambas son instrumentos de espionaje en manos de países que luchan por la hegemonía mundial. De esto va la película. Lo de toda la vida, vamos, que no es nada extraño. Mientras tanto, en Europa, que perdió hace muchísimos años la iniciativa en absolutamente todo, estamos muy entretenidos con nuestra legislación de protección de datos, en la que intervinieron descaradamente los useños cuanto y como quisieron. El resto es literatura y entretenimiento para despistados.

Apple había avisado, no es para tanto… ¿o sí?

Este miércoles pasado Peter Warden y Alasdair Allan anunciaron en la conferencia Where 2.0 que Apple recogía datos de localización de los iPhone/iPpad sin que los usuarios tuvieran conocimiento de ello. Su intervención está disponible aquí. El revuelo ha sido tremendo, y Apple sigue sin dar señales de vida para explicarlo.

Cualquier iPhone o iPad 3G con el sistema operativo iOS4, lanzado en junio de 2010, almacena datos de localización en un fichero ((Library/Caches/locationd/consolidated.db) que se puede encontrar en los dispositivos y en cualquier PC/Mac con el que sincronicen porque se copian en éstos. El fichero almacena latitud y longitud, y además la hora en la que se recoge esa información. Si antes esos datos estaban sólo en manos de las operadoras de telecomunicaciones, ahora resulta que tras esta acción de Apple, están guardados en los dispositivos móviles y los ordenadores de los usuarios, y además sin proteger de ningún modo.

No está claro para qué se utiliza esta información, pero tal y como cuentan en F-Secure, es bastante más que probable que Apple esté fabricando su propia base de datos global de localización, una vez que ha prescindido de los caros servicios de Skyhook. Ahora, igual que Google aprovechó para intentar construir su propia base de datos con sus coches mientras elaboraba el Google Street View, Apple aprovecha a sus usuarios, que son más y por supuesto más baratos que poner un coche en circulación.

Nuestros iPad/iPhone envían dos veces al día a Apple la información de localización que generan. Así viene indicado en la carta de contestación que Apple envió al Congresista Ed Markey cuando preguntó en junio de 2010 sobre la política de privacidad y servicios de localización de la empresa. Ayer mismo Markey volvió a preguntar, “¿se trata de iPhone, o de iTrack?“… Supongo que Apple contestará que ya ha informado a los usuarios de ésto en su “política de privacidad“:

Servicios de localización

Para prestar servicios de localización (Location Based Services – LBS) en relación con productos de Apple, tanto Apple como sus socios y licenciatarios podrán recoger, utilizar y compartir datos precisos sobre localizaciones, incluyendo la localización geográfica a tiempo real de suordenador o dispositivo Apple. Dichos datos de localización son recogidos anónimamente de forma que no puedan utilizarse para identificarle personalmente y son utilizados por Apple y sus socios y licenciatarios para suministrar y mejorar sus productos y servicios de localización. Por ejemplo, podremos compartir su localización geográfica con proveedores de aplicaciones cuando usted acepte participar en los servicios de localización.

Apple no considera los datos de localización como datos de carácter personal, y dice recogerlos “anónimamente”. Pero ya me contarán cómo, porque cada dispositivo tiene un identificador único que a su vez está asociado con un usuario registrado. En España esto sería considerado medio más que razonable por el que identificar sin esfuerzo a una persona física. En Estados Unidos se están preparando las primeras acciones legales por considerar esta práctica como desleal con el consumidor, no tardaremos en verlas.

Este “incidente”, por llamarlo de alguna manera, es más que un indicio de la carrera que ya han emprendido las grandes tecnológicas para prestar servicios de publicidad utilizando la geolocalización. Es lógico y normal que los gigantes Google y Apple están intentando construir estas bases de datos, les hace falta un buen mapa de antenas y de redes Wi-Fi para poder afinar. ¿Podemos imaginarnos la construcción de semejante mapa con la normativa española de protección de datos? Una vez más, desventaja competitiva europea/española, o invasión de la vida privada por la tecnología, tomémoslo como queramos.

Por cierto, para quien no quiera sorprenderse con lo que queda por venir, recomiendo la lectura del libro “Everyware: the dawning age of ubiquitous computing”, de Adam Greenfield. Escrito en 2006, ya preludiaba lo que se ha dado en llamar “el Internet de los objetos”.