Si tienes contrato de móvil con Movistar, Vodafone u Orange, este 18 de noviembre todos tus movimientos serán observados y ordenados para hacer una estadística sobre movilidad. Los tuyos y los de todos los usuarios de esas compañías. Esto es así hoy y lo será durante ocho días más: el 18 de noviembre es el primer día de una serie: el 18, el 19, 20, 21 y 24 de noviembre, 25 de diciembre, 20 de julio y 15 de agosto. Se trata de una operación que llevará a cabo el Instituto Nacional de Estadística (INE), mediante la que que obtendrán los datos de ubicación de todos los usuarios de las mencionadas, y principales, operadoras.  

La buena noticia para todos: que esta vez nos hemos enterado.

La buena noticia para nosotras, activistas de derechos digitales: que veáis que no estamos locas. Tengase en cuenta que estamos absolutamente a favor de los usos estadísticos, pero no a que se use a la gente como conejitos de India sin que lo sepa, sin que sepa cómo, y sin que se haya dado un consentimiento realmente informado. 

Al haber salido a la luz esta operación, las autoridades alegan que los datos que tratará el INE serán anonimizados, por lo que dejarán de ser datos personales y, por lo tanto, no les aplica la regulación de protección de datos. O sea, dicen que es legal, como si eso fuera una buena noticia.

¿Qué quiere decir anonimizados? Las operadoras saben a quien corresponde cada movimiento reportado porque saben a qué antena/repetidor se conecta  nuestro teléfono en cada momento para recibir cobertura (además, por ley deben guardar estos datos un año para su posible uso en la resolución de crímenes). En principio, en teoría y  a grosso modo, anonimizados quiere decir que las operadoras pasan esta información al INE eliminando el quién ha realizado el movimiento objeto de estudio. Por lo tanto, dicen, el INE no será el “responsable del tratamiento de los datos personales”, sino la operadora.

El uso estadístico es uno de los usos que la ley (Ley Orgánica de Protección de Datos y el Reglamento General UE de Protección de Datos(RGPD), cuyo artículo 89 permite el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos) considera legítimo casi por defecto en el tratamiento de datos personales. O sea que, al contratar el servicio de telefonía, casi con toda seguridad se nos pidió el consentimiento para hacer un uso estadístico de nuestros datos y seguramente la mayoría lo dimos. A la operadora, no al INE. 

Por otra parte el INE se encuentra facultado por la ley (la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública) para solicitar “datos de todas las personas físicas y jurídicas, nacionales y extranjeras, residentes en España”.

Algunos analistas dicen que la ley –¡ay, la ley!– (En este caso, la 25/2007, de 18 de octubre, de conservación de datos relativos a las  comunicaciones  electrónicas  y  a  las  redes  públicas  de comunicaciones) indica que los datos de localización sólo podrán ser cedidos previa autorización judicial. El INE,  por lo tanto, no tendría la autorización.

Nosotras creemos que no es así, que esto es legal y bien legal.  Ahora bien, la cuestión no es si es legal o no, sino que no debería serlo. O por lo menos no así.

El INE explica que el tratamiento se hace en interés público, cosa que, incluso, nos creemos. Los matices, sin embargo, importan, ya que anonimizado no es anónimo. Aquí van dos ejemplos de esto que aporta Ricardo Baeza-Yates.

En agosto de 2006, se hizo público el registro de consultas del buscador AOL.  Se suponían que eran anónimas, pero eran fácilmente identificables. En un artículo del New York Times, una mujer se reconoció claramente en este registro y se sorprendió porque “no imaginaba que alguien estuviera mirando por encima de su hombro”. Ella no demandó, pero podría haberlo hecho, y la compañía pidió disculpas. Su anonimato quedó expuesto. 

Algo similar ocurrió con Netflix, como recoge Forbes, cuando facilitó datos supuestamente anónimos que podían, sin embargo, ser identificados. En este caso, la víctima demandó y llegó a un acuerdo privado con la compañía. 

Estos dos ejemplos ponen en evidencia que hay anonimización y anonimización y que, como siempre, el diablo está en los detalles.

Como sociedad civil adulta estamos hartos de que se nos trate como criaturas,  ya no nos basta con que se nos diga “tranquilos, lo estamos haciendo bien y por vuestro bien”. La geolocalización es uno de los elementos con los que más fácilmente se puede revertir la anonimización. 

Si no lo creen, miren esto: un activista alemán pidió a su operadora los datos que esta había recopilado. Para mostrarlos, creó una aplicación con la que podemos ver, haciendo zoom, todo lo que hizo durante dos días. De una forma asombrosa y morbosamente precisa. No se lo pierdan. 

Como indica el informático y profesor universitario Ricardo Baeza-Yates, los académicos Latanya Sweeney y Pierangela Samarati demostraron ya en el lejano 1998 que era posible identificar bastante bien al 80% de las personas usando tan solo información pública (nombre, género, edad, dirección). 

La forma para evitar la identificación de las personas en este contexto es la agregación: cuanto más agregados son los datos, más difícil es revertir el proceso. 

Se nos ha dicho que el estudio del INE quiere saber, por ejemplo, cuándo estamos en casa a ciertas horas del día. Para saber que estamos en casa, tienen saber que esa es nuestra casa. Si es cierto que esta información no llega al INE, quiere decir que ese control lo ha de hacer la operadora. ¿Qué hará entonces el INE, que, por cierto, pagará 500.000 euros por esta información?

En pocas palabras: ¿por qué motivo nuestras instituciones consideran que pueden ejercer una vigilancia masiva y capilar sin tener que explicar pormenorizadamente cómo piensan hacerlo?, ¿con qué grado de agregación?, ¿por parte de quién?

No debería necesitarse que la Agencia Española de Protección de Datos intervenga para solicitar información sobre los protocolos establecidos entre el INE y las operadoras para utilizar estos datos, sino que el conjunto de la población debería poder conocer estos detalles de forma directa y previa. 

Deberíamos poder conocer, por ejemplo, qué datos en concreto recibirá el INE. Y sería también conveniente conocer si el pago que realizará el INE está destinado sólo a cubrir los gastos ocasionados a las operadoras por la recogida de los datos, tal y como prevé el artículo 12.3 de la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública, o si las operadoras obtienen beneficio de participar en este estudio.

Dicen que es legal y, como se ha comentado antes, lo es. Como bien sabemos, sin embargo, no todo lo que es legal es justo. Como sociedad civil activa, debemos pedir la auditabilidad del proceso y sus objetivos, de forma previa y pormenorizada.

Mientras no nos contesten a todas estas preguntas, he aquí algunas cosas que podemos hacer  –a parte de dejar el teléfono en casa en estos días– recopiladas por el periodista José Carlos Castillo:

Algunas operadoras consienten desactivar el suministro de datos anonimizados. 

1. “Con Vodafone se accede a la aplicación ‘Mi Vodafone’ y a continuación seleccionar ‘No acepto que Vodafone ceda datos anonimizados…’ a través de ‘Mi cuenta’ > ‘Permisos y preferencias’ > ‘Permisos’. De igual modo, la filial de bajo coste de la compañía (Lowi) lo permite dentro de la app ‘Mi Lowi’, donde seguiremos la ruta ‘Configuración’ > ‘Notificaciones’ > ‘Permisos y preferencias’”. 

2. “En el caso de Orange el procedimiento ya no es tan fácil, se debe formalizar la solicitud mediante correo electrónico (orangeproteccion.datos@orange.com) o postal (a Orange España, Paseo Club Deportivo 1, Parque Empresarial La Finca, Edificio 8, 28223 Pozuelo de Alarcón, Madrid)”.

3. Con Movistar [naturalmente] “no existe opción alguna para desistir de la cesión de datos”, a través de su perfil de Twitter, la compañía alega que “los datos que forman parte de este proyecto son anonimizados y por tanto no sería aplicable la normativa de protección de datos, no siendo necesario el consentimiento del usuario para ello”. 

Todo legal. Chim Pum.

–––––– 

Simona Levi  es fundadora de Xnet.