Sólo un 20% de las bases de datos personales están registradas, Google escapa de la ley de protección de datos y muchas empresas la incumplen sistemáticamente. La Unión Europea prepara una directiva para que toda empresa que preste servicios por internet a personas residentes en Europa tenga que adaptarse a las leyes comunitarias.

A finales de febrero, el director general de la Policía, Ignacio Cosidó, presentaba el Plan Azul, un programa integral para reforzar la colaboración con la seguridad privada. Según la propia Policía Nacional, el cuerpo lleva 30 años colaborando con el sector privado, que participa de alguna manera en una de cada tres intervenciones. La información recabada por las empresas de seguridad será integrada en los archivos policiales y, a cambio, la Policía Nacional se compromete a facilitarles datos. También se contempla la planificación conjunta de servicios. Cosidó declaró que la colaboración es obligada «en estos momentos de crisis».

El plan no implica nada nuevo porque, según la Ley 23/1992 de Seguridad Privada, las empresas ya estaban obligadas a compartir información sobre actividades presuntamente delictivas. El abogado David Maeztu indica que «por el tono de las declaraciones, lo que parece es que se va a vender el acceso a la base de datos». Maeztu aclara que su afirmación es especulativa y que le extrañaría que la Policía llegara a sistematizar «un atentado mayúsculo a nuestros derechos». Sin embargo, no parece tan descabellado mirando a nuestro alrededor. Poco después de anunciarse el Plan Azul, The Guardian publicaba que el servicio de inteligencia británico ha estado tres décadas suministrando a empresas del sector de la construcción perfiles de trabajadores «izquierdistas o problemáticos». La misma semana, en Francia, Le Canard enchaîné denunciaba que Ikea había llegado a un acuerdo con la empresa de seguridad privada Sûreté International para consultar los archivos policiales a los que tiene acceso. Por 80 euros la consulta, Ikea podría rastrear los antecedentes de empleados y de clientes que le hubieran puesto una reclamación.

También se conocen proyectos gubernamentales para monitorizar a la ciudadanía, como el sistema SITEL de escuchas telefónicas puesto en marcha por el Gobierno de Aznar y aún vigente o el programa INDECT de la Unión Europea para recoger y procesar datos digitales, que no fue público hasta que lo filtró Wikileaks. En EE UU, la Patriot Act obliga a los servicios en la nube de internet a entregar al Gobierno los datos que requiera, lo cual expone a usuarios de todo el mundo, pues la mayor parte de las empresas de la Web 2.0 están allí. En efecto, «el principal problema para la privacidad no es ya legal sino de norma social», ya que es usual publicar todos nuestros datos personales en Facebook o en las aplicaciones de Google, según explica Jose Alcántara, autor del libro La sociedad de control (El Cobre, 2008, descargable).

El derecho al olvido en la nube

El 1 de marzo entraba en vigor la nueva política de privacidad de Google, publicitada por la empresa como una simplificación de los términos de servicio que servirá para «aprender más de cada usuario y así mejorar su experiencia de uso». En la práctica, que Google haya integrado todos los datos de servicios como el buscador, YouTube, Gmail y Google+ supone mayor exactitud para elaborar perfiles de cada usuario. Google refina así su publicidad personalizada, la base de sus ingresos.

Con la proliferación de las redes sociales en internet se está reivindicando cada vez más el «derecho al olvido» sobre los datos que entregamos a cualquier empresa. Según la Ley Orgánica de Protección de Datos (LOPD), tenemos pleno poder sobre ellos y podemos pedir el borrado. Pero este derecho no está tan claro si los datos han sido publicados por otra persona porque puede entrar en conflicto con otros intereses o derechos, como el principio de publicidad o la libertad de información. En esos casos, la Agencia Española de Protección de Datos (AEPD) suele recomendar preservar la fuente original y las hemerotecas y poner fin a la difusión generalizada limitando el acceso. Es decir, por ejemplo, que el dato siga publicado en la web del BOE o de un periódico, pero Google no lo indexe.

Por su parte, Google España alega que no es responsable del motor de búsquedas de Google Inc., sino que se limita a representar a la transnacional en la venta de espacio publicitario en el mercado español. David Maeztu aclara que «Google no está sometido a la LOPD por el ámbito de aplicación», ya que su sede está en EE UU. El abogado explica que «se ha intentado justificar la competencia de los órganos europeos mediante argumentos más o menos ingeniosos como considerar las cookies dispositivos de tratamiento de datos, pero el problema estaba en el origen de la normativa». Las leyes de la Unión Europea derivan de una directiva de 1995, cuando internet no tenía mucho que ver con lo que es ahora, y se aplican en función del lugar donde estén los servidores. Los datos quedan sujetos a leyes más laxas de países como EE UU, las economías emergentes de Asia e islas remotas del Pacífico.

Racionalizar la normativa

La Audiencia Nacional, que tiene pendientes 130 reclamaciones de cancelación de datos en Google, se resiste a que la tutela de un derecho dependa del lugar donde se ubiquen los medios técnicos, y ha planteado una batería de preguntas al Tribunal de Justicia de la Unión Europea. La Audiencia quiere un pronunciamiento explícito sobre si las leyes que rigen en la UE se pueden aplicar contra Google. Las respuestas vincularán a todos los Estados miembros.

De cualquier manera, la normativa va a cambiar. En enero, la comisaria europea de Justicia Viviane Reding presentó una propuesta legislativa según la cual todas las empresas que presten servicio en la UE tendrán que acatar sus leyes. Además, Reding quiere que se recojan los mínimos datos y que el usuario sepa en todo momento quién los almacena, cómo y para qué. Según el borrador, los internautas podrán reclamar a las autoridades de protección de su país, que estarán coordinadas con las de otros estados, y las sanciones se endurecerán hasta llegar a multas de un millón de euros o el 2% de las ventas globales anuales de la empresa. Algunas compañías, entre ellas Google, han advertido a la UE de que reglas demasiado estrictas pueden suponer barreras a la innovación tecnológica. Probablemente sufrirá modificaciones durante su tramitación y no se aprobará antes de 2015.

Supercomputer Center Barcelona, donde se encuentra el noveno ordenador más potente del mundo / Foto: Edu Bayer.

Más allá de la web social

El problema del tratamiento de los datos personales no se circunscribe a la Web 2.0. La AEPD lleva a cabo multitud de actuaciones en casos dispares como universidades que exponen las notas de su alumnado o filtraciones por parte de políticos. En 2011 se incrementaron las denuncias un 50% respecto a 2010.

Hay empresas que vulneran la ley sistemáticamente, como Orange, Movistar y Vodafone, sancionadas entre 2009 y 2010 en 139 ocasiones y con 7,7 millones de euros de multa por incluir ilegalmente a ciudadanos en ficheros de morosos. ONO, Endesa, Jazztel, BBVA y el Santander también son habituales en este tipo de infracciones. Además, muchas prefieren escapar al control estatal ubicando sus bases de datos en otros países. Lo pueden hacer automáticamente si se trasladan a sitios donde la AEPD considera que hay una protección adecuada (UE, EE UU, Canadá, Argentina, etc.) o, si no es así, pidiendo un permiso especial. La AEPD ha autorizado transferencias internacionales a Movistar, France Telecom, IBM, Vodafone y a otras grandes empresas que instalan plataformas de telemarketing en países con regulaciones de datos –y laborales– más flexibles.

Las entidades más pequeñas optan simplemente por no respetar la LOPD. Según Maeztu, «cumplir con el contenido íntegro de la ley en el día a día es imposible. Por ejemplo, un abogado debería anotar cada vez que saca un documento en papel de sus ficheros». Lo mínimo, que es registrar las bases de datos y se puede tramitar gratuitamente por internet, sólo lo hacen el 20% del total de empresas.

Por otro lado, dos sentencias del Tribunal Supremo han anulado la parte de la LOPD que señalaba que, sin consentimiento de su dueño, sólo se podían añadir a ficheros datos personales que vinieran de fuentes accesibles al público. Uno de los dos consorcios de marketing que recurrió al Supremo es, curiosamente, Adigital, la entidad que gestiona la Lista Robinson. A esta lista, que no es de acceso público pero todas las empresas están obligadas a consultar, se pueden apuntar las personas que no quieran recibir publicidad.

La emergencia de una industria

Los datos personales son la materia prima para un modelo empresarial que, asegura Jose Alcántara, es posible por el uso de computadoras para acumularlos y procesarlos. «Con el aumento de la potencia de cálculo, surgen ideas para monetarizarlos, cálculos estadísticos amparados en millones de muestras que permiten predecir consumos masivos y saber cómo reaccionará una persona ante una determinada campaña”.

El colectivo Ippolita criticó en El lado oscuro de Google (Virus, 2010, también descargable) que el algoritmo que regula los resultados del buscador supone una «objetivación del deseo». En palabras de de K., uno de sus miembros, Google «te dice objetivamente qué tienes que leer» según un cálculo matemático, como Facebook de quién hacerte amigo o Amazon qué libro comprar. «El discurso es supuestamente científico: una realidad objetivamente fundada sobre la masa de datos que esas empresas gestionan por el bien de los usuarios». Para K., en Google y otros servicios de gestión de datos personales funciona «la dictadura de la mayoría» y se invisibilizan las opciones minoritarias. «Aunque todas las empresas 2.0 dicen estar interesadas en las personalización, buscan la hegemonía: un sólo resultado exacto para ti, para que no tengas que elegir y dejes que sea una máquina la que lo haga». Frente a las grandes empresas que concentran el control de la memoria en la red, K. recuerda que desde el hacktivismo se opta por pequeñas redes federadas.

Según Alcántara, «cabe preguntarse no ya si se recogerán todos nuestros datos (algo casi inevitable), sino quién tiene acceso y bajo qué condiciones». Se busca democratizar los ficheros, sobre todo los públicos: «ya que el Estado recoge datos con dinero de los ciudadanos, éstos deben tener acceso libre», afirma Alcántara. El movimiento Open Data va en esta línea y aboga por la accesibilidad sin copyright ni mecanismos de control. «El Open Data no es una solución a la privacidad, pero sí ayuda a mejorar la vida pública al tiempo que impide la gestación de monopolios que controlen los datos y obtengan leyes a su favor y en detrimento de las personas», concluye Alcántara.

Los datos no son virtuales

Los datos que están en la nube se hacen tangibles en los datacenters, las instalaciones donde se almacenan y procesan. Los mayores complejos pertenecen a proveedores de alojamiento web como Akamai o OVH. Éstos son las dos que más servidores han declarado, pero se estima que Google, que los mantiene en secreto, posee diez veces más (cerca de un millón). Su localización y su capacidad se oculta alegando motivos de seguridad y de competencia. Cuentan con excelsos mecanismos de protección: cableado doble, subestaciones eléctricas, máquinas de respaldo que replican los datos continuamente, etc.

Los datacenters más grandes del mundo se encuentran en EE UU, con dos excepciones: el de BT en Gales y el de Microsoft en Irlanda. IBM está construyendo uno en China que los superará a todos (576.000 m2). El BBVA acaba de inaugurar en Madrid un centro con 10.000 procesadores que pueden realizar 44 millones de operaciones diarias.

Ilustración: Luis de Mano