- Google entregó información personal, incluidos números de cuenta bancaria y de tarjeta de crédito, de una periodista estudiantil en cumplimiento de una citación (subpoena) emitida por el Servicio de Inmigración y Control de Aduanas de EE. UU. (ICE)
- La persona afectada es Amandla Thomas-Johnson, quien tenía prohibido ingresar al campus tras participar en 2024 en una protesta contra empresas proveedoras de armas a Israel durante una feria de empleo de Cornell
- ICE exigió a Google una amplia gama de datos, incluidos nombre de usuario, dirección, servicio de enmascaramiento de IP, número telefónico, información de suscriptor y datos de pago, y Google cumplió sin notificación previa
- La Electronic Frontier Foundation (EFF) y la ACLU pidieron a grandes tecnológicas como Google, Amazon y Apple que resistan las solicitudes del gobierno sin orden judicial y notifiquen a los usuarios
- Expertos señalan que este caso muestra la necesidad de reformar las leyes de privacidad digital y limitar la cooperación de las big tech con el gobierno
La citación de ICE y la respuesta de Google
- ICE emitió una citación para exigir detalles relacionados con la cuenta de Gmail de Amandla Thomas-Johnson
- Entre los datos solicitados estaban nombre de usuario, dirección, historial de uso del servicio, servicio de enmascaramiento de IP, número telefónico, información identificadora del suscriptor, números de tarjeta de crédito y de cuenta bancaria
- ICE pidió a Google mantener la existencia de esta citación en secreto de manera indefinida
- Google solo envió a Thomas-Johnson un breve correo indicando que ya había entregado metadatos al Departamento de Seguridad Nacional (DHS), sin darle oportunidad de responder previamente
- Thomas-Johnson confirmó que en su cuenta tenía información de pago vinculada para compras de aplicaciones
- Un abogado de Google declaró que la empresa “solo proporcionó información básica del suscriptor”, pero el alcance total de los datos entregados sigue siendo incierto
Antecedentes de la periodista estudiantil y desarrollo del caso
- Thomas-Johnson participó durante unos cinco minutos en una protesta contra empresas proveedoras de armas a Israel realizada en Cornell en 2024 y luego recibió una prohibición de ingreso al campus
- Más tarde, cuando el presidente Donald Trump asumió el cargo y anunció una orden ejecutiva dirigida contra estudiantes que participaban en protestas pro-Palestina, entró en clandestinidad junto con su amigo Momodou Taal
- Taal, a través de abogados, impugnó legalmente las citaciones enviadas a Google y Meta y logró frenarlas, pero Thomas-Johnson no tuvo esa oportunidad
- Actualmente vive en Dakar, Senegal, y dijo que la solicitud de información de ICE buscaba rastrearla y detenerla
Respuesta de organizaciones civiles y críticas a las tecnológicas
- La EFF y la ACLU del Norte de California enviaron una carta a grandes empresas como Google, Amazon, Apple, Discord, Meta, Microsoft y Reddit para exigirles que no cumplan futuras citaciones similares del DHS sin una orden judicial
- La carta subraya que las empresas deben dar aviso previo a los usuarios para garantizarles la oportunidad de defenderse legalmente
- También las insta a resistir las órdenes de silencio (gag order) y avisar a los usuarios cuando exista una citación
- La carta señala que “el gobierno está solicitando repetidamente datos a las empresas tecnológicas para identificar a sus críticos” y acusa a estas compañías de no defender la privacidad de los usuarios ni la libertad de expresión frente a la vigilancia ilegal
- En otro caso relacionado con Meta, hubo solicitudes para revelar la identidad de usuarios que documentaban operativos migratorios, pero esas personas sí recibieron aviso previo y pudieron responder con demandas
Cuestiones legales y de política pública
- La profesora Lindsay Nash, de Cardozo Law, criticó a Google por no avisar con anticipación, ya que eso privó a la persona de ejercer su derecho a proteger su información
- La Stored Communications Act y la sección 5 de la FTC Act regulan el intercambio de datos por parte de las tecnológicas, aunque sigue en debate si estos casos constituyen prácticas engañosas hacia el consumidor
- El profesor Neil Richards (Washington University in St. Louis) explicó que si una empresa comunica de forma incorrecta cómo maneja los datos, eso podría considerarse una práctica comercial engañosa
- Citó el caso de Cambridge Analytica como ejemplo de cómo la transparencia sobre la recolección y el intercambio de datos ha sido objeto de disputas legales durante décadas
Necesidad de una reforma de privacidad de datos
- La política pública de privacidad de Google indica que puede entregar información en respuesta a “solicitudes gubernamentales legalmente válidas” y que puede negarse a responder cuando las solicitudes sean excesivas o presenten fallas de procedimiento
- Sin embargo, según el informe de transparencia de Google, en la última década las solicitudes gubernamentales de información de usuarios ascienden a millones y se han disparado en los últimos cinco años
- No está claro qué proporción de esas solicitudes fue acompañada de notificación previa o posterior al usuario
- El profesor Richards enfatizó la necesidad de reformar la ley para elevar el estándar de acceso gubernamental a datos digitales y de regular para limitar el intercambio de información por parte de las big tech
- También sostuvo que en el último año la relación entre las big tech y el gobierno se ha vuelto aún más estrecha y que las empresas están adoptando una postura más favorable al poder estatal
Reacción de la periodista y contexto de libertad de prensa
- Thomas-Johnson expresó su impacto al señalar que esta experiencia le hizo vivir en carne propia una estructura de vigilancia que antes observaba solo desde fuera como periodista
- Dijo que “debemos repensar qué significa resistir en una era en la que el gobierno y las big tech pueden rastrearnos, detenernos y destruirnos”
- Sus palabras son vistas como una ocasión para volver a examinar el papel de las tecnológicas en la intersección entre libertad de prensa y vigilancia digital
- Según una actualización al final del artículo, su equipo legal todavía no ha podido determinar el alcance completo de la información que Google entregó a ICE
1 comentarios
Comentarios de Hacker News
Comparte el enlace al artículo original (archive)
Pienso que no hay problema con que una empresa entregue datos de clientes cuando existe una orden judicial o citación válida
El problema es la estructura que permite al DHS abusar de las citaciones administrativas (administrative subpoena)
Se emiten sin revisión de un juez y ni siquiera están dirigidas a criminales
Antes servían para agilizar investigaciones, pero ahora se han convertido en una herramienta para que ICE haga detenciones indiscriminadas sin supervisión judicial
Al final, el problema más grande que la privacidad es que el Congreso está dejando existir este “sistema judicial en la sombra”
Intentar adivinar si una agencia del gobierno “lo estará haciendo bien esta semana” es inútil
Siempre intentan ir más allá de los límites y nunca se dan por satisfechos
En un país libre no debería poder perseguirse a alguien sin una razón justificada
Lo que pasa es que la mayoría de la gente no sufría el daño directamente y por eso no sentía el problema
Es parecido a cuando la defensa de la libertad de expresión cambia según quién esté en el poder
Me pregunto por qué cambiaron el título
El título original era “Google Fulfilled ICE Subpoena Demanding Student Journalist’s Bank and Credit Card Numbers”
Ver las guías de HN
En este enlace archivado aparece como “GOOGLE HANDED ICE STUDENT JOURNALIST’S BANK AND CREDIT CARD NUMBERS”
Google publica estadísticas de solicitudes gubernamentales en su informe de transparencia
Yo mismo estuve incluido hace unos años en una National Security Letter (NSL) del FBI
Google me notificó cuando terminó el periodo de confidencialidad
Me pregunto si esta información de pago corresponde a gastos reales, o si salió del proceso de verificación de tarjeta de crédito para adultos de YouTube
Es decir, podría ser información recopilada durante la verificación de edad de YouTube para decidir si mostrar contenido para adultos
Deja un comentario sarcástico del tipo: “suban obligatoriamente su licencia de conducir e identificación para mantener a los niños seguros”
Sistema bancario centralizado, internet centralizado, poder centralizado — plantea con sarcasmo si algo podría salir mal en una estructura así
Se pregunta si Google tenía la obligación legal de entregar la información
La revisión judicial ocurre después. Si Google considera que es improcedente, puede objetarla en tribunales, pero mientras tanto tiene que cumplirla o arriesgarse a un desacato
Es decir, Google entregó la información voluntariamente
Las citaciones administrativas no tienen fuerza legal coercitiva, y para registrar una vivienda siempre se necesita una orden firmada por un juez
En este caso parece haber sido emitida solo por el DHS, y el problema es que avanzó sin aprobación de un juez
El hecho de que Google entregara parte de la información y aun así notificara a la persona afectada fue una medida para darle la oportunidad de responder legalmente
Sobre todo si esta solicitud tenía como objetivo tomar represalias contra participantes de una protesta, eso sería una amenaza grave para el Estado de derecho
¿Hay alguna forma en que una persona pueda protegerse en una situación así?
Apple quizá sea un poco mejor que Google, pero al final, si es una empresa estadounidense, ICE puede acceder
La información emitida o autorizada por el gobierno (pagos, identidad, etc.) al final no se puede evitar
Lo importante es tratar a Google o a los servicios en la nube como sistemas a los que el gobierno puede acceder, y no subir ahí información sensible
La nube al final no es más que la computadora de otra persona
Por ejemplo, operar directamente el correo, los contactos y el almacenamiento
El título debería decir “Google handed over these things”
De lo contrario, se presta a una confusión de sentido, como si Google los hubiera recibido