Los límites del uso de la información de los usuarios

Una noticia en el WSJ, “Facebook, MySpace confront privacy loophole“ hace saltar todas las alarmas en lo relacionado con uno de los temas más candentes y en abierta discusión actualmente en todos los ámbitos de la sociedad: la privacidad.

En realidad, la discusión se inicia con algo parecido al “¡en esta casa se juega!” de Casablanca: todo el mundo sabía, en cierta medida, que algunas páginas web estaban compartiendo información de sus usuarios con terceras partes como agencias de publicidad. Pero reflejarlo en forma de titular de prensa tiene sus consecuencias, y es muy bueno que se produzca el debate sobre el tema. Pensemos que en algunos casos, este tipo de información se estaba compartiendo “con luz y taquígrafos” y a la vista de todo el mundo, mediante métodos en algunos casos tan simples como utilizar los query string de las URL (esas URL que “crecen” cuando provienen de un lugar determinado, con argumentos que se añaden detrás de un parámetro “?”) ¿Debe parecernos aceptable que un sitio web comparta información sobre sus usuarios con un tercero? ¿Es razonable, es una práctica común de negocios, que una tercera parte con la que no hemos acordado nada como usuarios en términos de privacidad, acceda a nuestra información?

La respuesta es clara y taxativa: NO. Así, en mayúscula y en negrita. Y conviene argumentarlo cuidadosamente, porque es uno de los temas peor entendidos en este ámbito: el comentario “es que tal sitio vende mis datos” es muy habitual, y en muchos casos resulta directamente falaz: lo que sigue será perfectamente sabido y de pleno sentido común para muchos, pero según lo que veo en clases y conferencias, no para todos.

Veamos: desde un punto de vista de estricto sentido común, que un usuario comparta datos con un servicio o sitio web es perfectamente normal. Es el usuario el que tiene que preocuparse de leer los términos de uso, de entenderlos, de aceptarlos y de invocarlos si se incumplen (aunque no lo haga). En la responsabilidad del sitio web estará el explicar esas políticas de manera comprensible, no hacerlo en veinte páginas de letra minúscula y escrita en idioma “legalés” solo comprensible por abogados con veinte años de ejercicio, y comunicarse con sus usuarios con el fin de crear una relación de mutua comprensión y respeto. Asimismo, será su responsabilidad custodiar esos datos adecuadamente, proporcionar el derecho a la consulta, eliminación o rectificación, y todo lo que el ámbito legal correspondiente exija en este contexto.

A partir de ahí, el sitio web podrá, si lo desea y así estaba expresado en esos términos de uso, gestionar con una tercera parte que ésta tenga ACCESO a los clientes definidos por esos datos, pero NUNCA LOS DATOS EN SÍ. Me explico: si yo, empresa X, quiero anunciarme en la red social Y, podré dirigirme a dicha red social y decirle que quiero poner mi anuncio ante los ojos de aquellos clientes de la red social Y que sean morenos, de ojos verdes, altos, que residan en el barrio de Salamanca y que tengan ingresos de más de sesenta mil euros. Si la red social Y tiene esos datos y es capaz de llevar a cabo esa segmentación de acuerdo con los términos de uso que firmó con sus usuarios, perfecto. A partir de ese momento, la red social Y podrá tomar el anuncio que le facilite la empresa X, exhibirlo ante el subsegmento de clientes solicitado, y facturar a la empresa X en los términos que acuerden (por exhibición, por clic, por lead, por acción…)

Lo que en modo alguno podrá hacer la red social Y es facilitar a la empresa X los datos de esos clientes que obran en su poder, sean éstos los que sean. En uso del sentido común, tantas veces el menos común de los sentidos, la red social Y no debería querer hacer eso: hacerlo significa ceder esos datos, algo que el usuario en su sano juicio no debería autorizar, y que ademas compromete el modelo de negocio de la propia red social, porque una vez que la empresa tiene esos datos en su poder, podría presuntamente acceder a esos clientes sin necesidad de su mediación. Podré, por tanto, ver un anuncio de la empresa X completamente adaptado a mi perfil que hace uso de todos los datos que yo he intercambiado con la red social Y para su correcta administración, PERO tendré que tener la seguridad de que mis datos no han salido de dicha red social Y, y sobre todo, que no se encuentran en poder de la empresa X. En el momento en que lo que ocurre es, como dice el WSJ, que

Advertising companies are receiving information that could be used to look up individual profiles, which, depending on the site and the information a user has made public, include such things as a person’s real name, age, hometown and occupation.

la cuestión, simplemente, rebasa el límite de lo aceptable, y requiere un marco que así lo contemple y permita establecer las responsabilidades y sanciones adecuadas.

La idea de empresas y medios pasándose los datos de los usuarios de unos a otros de manera casi promiscua es sencillamente insultante. Si un usuario decide marcar esa casilla de “acepto que mis datos personales sean compartidos con socios comerciales, etc.” a estas alturas, es sencillamente un descerebrado, porque está dando a ese sitio una auténtica carta blanca, una “licencia para matar”. Nuestros datos son nuestros: podemos cederlos a un tercero si eso redunda en un servicio que nos interesa, en una mejor experiencia o en algo que, de manera general, estamos dispuestos a aceptar. Pero no permitir que pasen de mano en mano como la falsa moneda, se compren, se vendan, y acaben llegando a aquellos con quienes nunca hemos firmado nada. Ese, no otro, es el tema en discusión. Para un español, acostumbrado ya a un entorno muy restrictivo (en algunas ocasiones puede que incluso demasiado) en estos temas, una discusión casi superada. Pero para un entorno como el de la red y países mucho menos garantistas en este ámbito, algo que conviene aclarar y dirimir de la mejor manera posible. Bienvenida sea la discusión.

(Enlace a la entrada original - Licencia)