- noyb presentó tres denuncias en Francia contra Fnac, SeLoger y MyFitnessPal, afirmando que la práctica de transferir datos personales a terceros inmediatamente después de abrir una app viola la legislación de protección de datos de la UE
- Al abrir apps en un smartphone Android, se recopilaron y compartieron datos como el Google Advertising ID, el modelo y la marca del dispositivo, y la dirección IP local; estos pueden usarse para crear perfiles destinados a publicidad personalizada y campañas de marketing
- La Directiva ePrivacy exige un consentimiento específico, libre y basado en información suficiente para acceder o almacenar datos en un terminal, pero ninguna de las tres apps ofreció una opción previa real
- El Advertising ID es un identificador único vinculado a un dispositivo personal, por lo que anunciantes y terceros pueden usarlo para distinguir a los usuarios y dirigirles publicidad posteriormente
- noyb solicitó a la CNIL la eliminación de los datos tratados ilegalmente, la notificación a los destinatarios y la imposición de multas, y anticipó nuevas denuncias contra empresas de apps móviles
Transmisión de datos que comienza apenas se ejecuta la app
- noyb presentó denuncias en Francia contra Fnac, una gran tienda francesa de productos electrónicos, SeLoger, una app inmobiliaria, y MyFitnessPal, una app de fitness
- La persona denunciante instaló las apps MyFitnessPal, Fnac y SeLoger en un smartphone Android, y apenas las abrió comenzó la recopilación de datos personales y su compartición con terceros
- Los datos compartidos incluían el Google Advertising ID (AdID), el modelo y la marca del dispositivo, y la dirección IP local
- Este tipo de recopilación de datos permite perfilar a los usuarios y puede usarse para monetizar a favor de las empresas mediante publicidad personalizada y campañas de marketing
Acceso a datos del terminal sin consentimiento
- Según la Directiva ePrivacy, para acceder o almacenar datos en el dispositivo terminal de un usuario se requiere un consentimiento libre, específico, claro y basado en información suficiente
- Dos de las tres apps móviles no mostraron ningún banner de consentimiento al iniciarse
- La app restante mostró un banner con opciones para aceptar o rechazar, pero comenzó a transmitir datos personales antes de que el usuario eligiera
- El AdID es información única vinculada al dispositivo de una persona concreta, por lo que anunciantes y terceros pueden usarlo para identificar al usuario y dirigirle publicidad más adelante
- Algunos proveedores de apps incluso pueden rastrear el comportamiento del usuario fuera de la aplicación y combinar más información sobre su vida con los datos recopilados
Un problema en todo el ecosistema de apps móviles
- Estas denuncias son el primer resultado de una investigación más amplia, que mostró que prácticas similares de compartición de datos se repiten en el entorno de las apps móviles
- Muchas apps tienen millones de usuarios, pero monetizan los datos de los usuarios compartiéndolos con terceros, incluidos intermediarios publicitarios, sin cumplir la legislación de protección de datos de la UE
- Según un estudio de Konrad Kollnig y otros, solo el 3.5% del total de apps ofrecía a los usuarios una opción real para rechazar el consentimiento
Análisis de tráfico de red y solicitud a la CNIL
- Para obtener pruebas de las infracciones fue necesario realizar un análisis técnico del tráfico de red de las apps en smartphones; la captura y el análisis se hicieron con PiRogue Tool Suite, desarrollada por Defensive Lab Agency
- La metodología detallada está resumida en el documento de metodología y especificaciones técnicas
- noyb solicitó a la CNIL que ordene a MyFitnessPal, Fnac y SeLoger eliminar todos los datos tratados ilegalmente
- Los destinatarios de los datos de la persona denunciante deben ser notificados de la solicitud de eliminar enlaces, copias y réplicas de los datos personales
- Considerando la gravedad de las acusaciones y la cantidad de personas que podrían verse afectadas, también propuso que la autoridad competente imponga multas
- noyb planea presentar más denuncias contra empresas de apps móviles para detener la compartición ilegal de datos de usuarios
1 comentarios
Opiniones de Hacker News
Lo peor que me tocó ver fue un widget de reloj/clima que parecía ofrecer la opción de tener anuncios o no, pero si elegías sin anuncios, convertía tu teléfono en parte de la red de proxies de Oxylabs sin avisarte.
Sí informaba el envío de datos de ubicación, pero no había una opción de pago para quitar los anuncios o la venta de datos; me enteré revisando las solicitudes con NetGuard.
No le di ese permiso y uso una app alternativa de reloj/alarma; creo que este será mi último Xiaomi.
Decidí no usarla, pero encontrar una alternativa también me llevó tiempo; cobrar una suscripción mensual por una app de alarma y además querer rastrear al usuario es realmente descarado.
Según la explicación de Google, ese no es un uso permitido, y el problema es que Google no permite que el usuario dé consentimiento para ese tipo de permisos.
Los usos permitidos son apps que necesitan encontrar todas las apps instaladas en el dispositivo, por ejemplo búsqueda en el dispositivo, antivirus, administradores de archivos o navegadores.
En pocas palabras, no hay nada que realmente impida que una app instalada recopile todos los datos.
En cambio, las Progressive Web Apps están activamente restringidas por el sandbox del navegador, así que desde el punto de vista de la privacidad suelen ser una mejor solución.
https://web.dev/progressive-web-apps/
En principio, a una app se le da permiso de archivos o permiso de red, pero casi nunca ambos.
Muchas apps se pueden usar perfectamente sin permiso de acceso a archivos, compartiéndoles archivos desde el administrador de archivos.
GrapheneOS también tiene “Contact Scopes”, que hace que a la app le parezca que tiene acceso a los contactos, cuando en realidad solo recibe algunos contactos o una lista vacía.
También se recomienda con frecuencia usar varios perfiles, y muchos los usan para ejecutar las apps de Google en un entorno aislado del resto de los datos.
Me cuesta creer que Google lo haga por el bien público.
[1]: https://arstechnica.com/gadgets/2023/09/googles-widely-oppos...
En iPhone, por defecto no se puede acceder a más información que esa, y esa información también se entrega a los sitios web que visitas, así que una PWA no es particularmente distinta en ese aspecto.
[0] https://github.com/TrackerControl/tracker-control-android
Lo que hace noyb es realmente bueno.
Si quieres donar o hacerte miembro, hay enlaces en su sitio web; no tengo relación con ellos, pero creo que este tipo de aplicación de la ley de privacidad es justo lo que se necesita ahora.
Las empresas que hacen mal uso de los datos personales, especialmente las que a menudo infringen leyes europeas, deben saber que puede haber consecuencias reputacionales, económicas y legales.
Frente a una corriente en la que el sentido de derecho de las empresas y la indiferencia del público empujan el abuso tecnológico, este enfoque no es escalable ni sostenible.
Además de legislación, hacen falta programas activos de educación e información pública, como con otros problemas de salud pública y seguridad.
Una campaña de “no manejes alcoholizado” salva más vidas por dólar que darle más presupuesto a la policía para atrapar conductores ebrios.
“No instales esa app” debería convertirse en una frase que todos conozcan, como “See it. Say it. Sorted.”, y hacer que la gente se detenga un momento al instalar la app sospechosa de un restaurante y piense: “¿Voy a entregarle a un completo desconocido acceso a mis datos personales y a mi vida?”.
Organizaciones como NOYB también podrían usar medios modernos e influyentes de forma más sofisticada para atacar la raíz: un modelo de seguridad fundamentalmente defectuoso que depende de supuestos inadecuados.
Hay que cambiar los supuestos.
Según la ePrivacy Directive, para acceder o almacenar datos en el terminal del usuario se necesita un consentimiento libre, suficientemente informado, específico e inequívoco.
Pero dos de las tres apps ni siquiera mostraban un banner de consentimiento al iniciarse, y la tercera, en teoría, ofrecía opciones para aceptar o rechazar, pero en la práctica empezaba a transmitir datos personales antes de que el usuario hiciera nada, incluso antes de que pudiera plantearse dar consentimiento.
Me pregunto por qué nadie pregunta, para empezar, por qué una aplicación puede acceder a datos sin el consentimiento del usuario.
Están convirtiendo esto en un problema de personas, pero la responsabilidad está en la tecnología.
Técnicamente es perfectamente posible crear una tienda de apps que incentive el uso de la menor cantidad posible de permisos o que alimente con datos falsos a las apps demasiado entrometidas.
De hecho, ya hubo intentos así, pero no creo que llegue el día en que Google lo haga fácil.
Ej.: https://playsearch.kaki87.net/
Así se puede enviar el evento “consent-banner-displayed” a Google Analytics para saber si el banner de consentimiento funciona bien.
El hecho de que el trabajo de los defensores de la privacidad digital ya fuera difícil hace 10 años, y que hoy siga siéndolo, es uno de los fracasos de gobernanza más claros de los últimos tiempos.
El gobierno parece no tener esto para nada ordenado, y no tiene sentido volver a repasar las razones, desde la incompetencia hasta la complicidad.
Usando una analogía popular, es como si hubieran bajado a propósito la puerta de la ciudad y hubieran dejado entrar a carteristas expertos entre ciudadanos indefensos.
Tal vez funcione mejor enfatizarle a la clase política que esta negligencia perjudica el futuro de la economía y la sociedad digitales.
Los actores económicos actúan según las señales que envían el gobierno y las instituciones sobre lo que permiten, y cuando esas señales no existen o son confusas, invierten en la dirección “equivocada”.
La publicidad dirigida aumenta los ingresos porque se concentra en las personas con mayor probabilidad de reaccionar positivamente a un anuncio.
Si se presupone la agencia del usuario, esto es algo bueno y puede ser de beneficio mutuo.
Pero tratarlo de forma negativa equivale a asumir que el usuario no tiene agencia sobre sus propias acciones.
La lógica es que, aunque responde a la publicidad, en realidad esta le resulta dañina o no deseada, por lo que hay que protegerlo de esa “tentación”.
Es parecido a la lógica de prohibir la venta de sustancias adictivas a menores.
Aquí no se habla del tema de la privacidad, sino solo de ese tipo de objeciones comunes.
Nuestra mente es sagrada y nuestras funciones cognitivas son inalienables.
Ninguna empresa del planeta tiene derecho sobre ellas, y nuestra atención nos pertenece.
No es una moneda para pagar servicios ni un producto para vender al mejor postor.
No tienen derecho a insertar sus marcas en nuestro cerebro sin consentimiento; eso debería considerarse una intrusión mental, y las medidas para impedirlo deberían verse como defensa propia.
Ejerzo toda la agencia posible para evitar la publicidad, pero aun así veo anuncios y las empresas me rastrean para mostrármelos.
Si tuviera opción, rechazaría todo el rastreo; entonces, ¿no me falta algo de agencia aquí?
Cuando uno ve de pronto una imagen o un texto, las funciones perceptivas más bajas lo procesan antes de que la corteza prefrontal emita un juicio.
Los publicistas y psicólogos lo saben, y por eso lo siguen haciendo: porque funciona.
Por mi ADHD tengo que estar vigilando constantemente mi impulsividad, y si la publicidad dirigida me sigue poniendo enfrente objetos interesantes que no necesito pero sobre los que mi cerebro dice “podría servir para X”, se vuelve realmente difícil.
No lo quiero, o al menos quisiera tener más control, pero no puedo bloquear por completo la publicidad dirigida.
En la web los bloqueadores de anuncios ayudan mucho, y parece que tendría que evitar por completo apps populares con publicidad dirigida, como Instagram.
Me gustaría ver las Stories de Instagram de mis amigos cercanos, pero si uso la app me encuentro una y otra vez con anuncios “interesantes” y termino agotado de pelear contra mi impulsividad, así que es mejor no usarla.
Aunque yo tenga agencia completa, un anuncio de suplementos para ganado es fácil de ignorar porque no crío vacas, pero un anuncio de una conferencia de contabilidad es más difícil de ignorar porque necesito créditos de educación continua para CPA.
La publicidad está diseñada, por naturaleza, para interrumpir, y cuanto mejor dirigida esté, más me retrasa el día.
Eso es malo para mí.
Aunque existen leyes adecuadas desde hace años, las normas de privacidad se están incumpliendo a gran escala.
Si los países de la UE hubieran inspeccionado proactivamente aunque fuera los 1000 sitios web y apps principales, este problema no existiría.
Ahora es una situación en la que, como todos lo hacen, si no lo haces quedas como tonto.
El envío no solicitado por correo postal o email es parecido: las reglas son claras, pero tanto empresas pequeñas como grandes e instituciones las pisotean.
No es que el gobierno no tenga experiencia o creatividad.
Recopila imágenes aéreas todos los años para detectar construcciones y ampliaciones ilegales, y la autoridad fiscal de ese mismo gobierno raspa activamente la web y las redes sociales para recopilar y almacenar datos personales con el fin de crear perfiles de fraude de todos los ciudadanos.
[0]: https://www.dutchnews.nl/2023/09/tax-office-scraped-social-m...
El spam se volvió “ilegal” en EE. UU. y la UE hace más de 10 años, pero eso no redujo su volumen.
Con el GDPR pasa lo mismo: solo sufren los actores honestos y de buena fe, mientras que los deshonestos o gigantes como Google obtienen una ventaja y hacen crecer su negocio con ella.
También hace falta prestar más atención a los problemas crecientes de privacidad en infraestructura crítica como los autos.
Ver “Privacy Nightmare on Wheels’: Every Car Brand Reviewed by Mozilla”: https://news.ycombinator.com/item?id=37443644
O también está el problema de los dispositivos de escucha propiedad de terceros.
En algunos contextos, casi todos los productos exigen renunciar a la privacidad, dejando muy pocas opciones, y la gran batalla se dará ahí.
Viber pide demasiados permisos en Android, así que aun si no tuviera tantos socios, ya sería escalofriante.
En ese entonces usaba XPrivacy, y cuesta imaginar cuán expuesto habrá estado un usuario común.
En general me parece bien lo que hace noyb, pero no me gusta la forma en que mete publicidad y analítica de producto en la misma bolsa.
Puedes enviar datos de usuarios a empresas externas como Mixpanel o Amplitude, pero ellas procesan esos datos solo para ti y no los usan en otros lados.
Lo mismo aplica a empresas externas como RevenueCat, que ayudan a implementar compras dentro de la app.
Es una situación muy distinta a enviarle datos a Google o Facebook y que ellos los aprovechen en todos sus negocios.
No todos los terceros son iguales.
En esencia, permiten enviar datos desde la herramienta a otros lugares.
Si quieres enviar datos de Amplitude a Facebook, es fácil: https://amplitude.com/blog/amplitude-customer-data-platform
Al usuario puede no gustarle que lo rastrees con el pretexto de analítica o “mejora del producto”, independientemente de si interviene o no otro tercero adicional.
Creo que “mejora del producto” es una de las mayores mentiras de la industria tecnológica de la última década.
Entiendo que se necesita una lógica jurídica para castigar a las organizaciones que abusan del sistema, pero me preocupa que el enfoque actual esté mal puesto.
Las empresas que manejan datos siempre pueden conseguir suficientes lobistas para hacer que su forma de actuar sea técnicamente legal.
Por ejemplo: “no enviamos el ID, compartimos un hash”.
El criterio debería ser si la gente entiende qué hacen las empresas y si esa claridad permite que la gente respalde la forma en que se hace la publicidad.
Varias generaciones de tecnólogos han soñado con una plataforma donde el usuario controle y transmita información como “tengo intención de comprar una tostadora” y reciba ofertas relevantes.
El mercado publicitario y las plataformas no ganarían menos dinero por permitir que los usuarios indiquen sus intereses y dejen de ver anuncios de criptomonedas o apuestas.
Como en el caso en que usuarios que instalaron una app de mensajería polémica descubrieron que sus mensajes se enviaban a Facebook: https://news.ycombinator.com/item?id=37506851
Estoy de acuerdo en que la gente debería entender qué se está haciendo.
Parte de esto es un problema de percepción, pero también hay mucha población a la que no le importa la privacidad.
Eso también muestra que sigue siendo común la vieja visión de “si no tienes nada que ocultarle a las autoridades legítimas”.