Cómo las empresas adivinan tus datos personales para venderlos

Los brókers de datos reco­pi­lan y venden clan­des­ti­na­mente infor­ma­ción perso­nal –desde la condi­ción de salud física y mental de las perso­nas, hasta sus ingre­sos o ubica­ci­ón–, causando daños eviden­tes.

Artí­culo rela­ci­o­nado en Dones­Tech: EU plans allow Big Tech to exploit your medi­cal records, without permis­sion

En Esta­dos Unidos, millo­nes de perso­nas utili­za­ban GoodRX, una empresa de tele­me­di­cina y prove­e­dora de medi­ca­men­tos de pres­crip­ción, pero proba­ble­mente no sabían que también esta­ban compar­ti­endo sus medi­ca­men­tos rece­ta­dos y su estado de salud con Face­book, Google y otras enti­da­des. Los niños y adul­tos que usaban la popu­lar apli­ca­ción, “segura para toda la fami­lia”, proba­ble­mente no se perca­ta­ron de que la empresa estaba vendi­endo discre­ta­mente sus datos de loca­li­za­ción. Este y muchos otros casos tienen un hilo conduc­tor: la subasta de datos, o el ecosis­tema multi­mi­llo­na­rio y prác­ti­ca­mente no regu­lado, de empre­sas que reco­pi­lan, infi­e­ren, agre­gan y luego venden y compar­ten los datos de los esta­dou­ni­den­ses.

Los brókers o inter­me­di­a­rios de datos han exis­tido por años. Dichas compañías no han reci­bido tanta aten­ción como los Face­book, Google (o Tik Tok) del mundo, pero hay indi­cios de que esto podría estar cambi­ando. El 19 de abril testi­fi­qué al respecto en una audi­en­cia del Congreso de Esta­dos Unidos, que terminó siendo un fuerte debate bipar­ti­dista sobre un problema de priva­ci­dad poco explo­rado que afecta a cien­tos de millo­nes de esta­dou­ni­den­ses. Los brókers de datos en Esta­dos Unidos reco­pi­lan y venden clan­des­ti­na­mente infor­ma­ción perso­nal que va desde las condi­ci­o­nes de salud física y mental de las perso­nas, hasta sus ingre­sos e histo­rial credi­ti­cio, su afili­a­ción polí­tica y la ubica­ción de sus celu­la­res. Por ejem­plo, Axicom, con sede en Arkan­sas, publi­cita datos de 2,500 millo­nes de perso­nas en el mundo. Las compañías de segu­ros médi­cos, las insti­tu­ci­o­nes finan­ci­e­ras, los espe­ci­a­lis­tas en marke­ting, las fuer­zas de segu­ri­dad, los esta­fa­do­res, los agre­so­res y otros acto­res pueden comprar estos conjun­tos de datos pre empa­que­ta­dos para perfi­lar, rastrear y diri­girse a las perso­nas que estén en ellos.

Los brókers de datos adqui­e­ren infor­ma­ción sobre las perso­nas de tres formas prin­ci­pa­les. Muchos reco­pi­lan infor­ma­ción de indi­vi­duos direc­ta­mente, por ejem­plo, a través de la adqui­si­ción de empre­sas, apli­ca­ci­o­nes y sitios web que reco­pi­lan infor­ma­ción sobre las perso­nas, que después se intro­duce en las bases de datos de los brókers. A veces, estas empre­sas también pagan a los desar­ro­lla­do­res de apli­ca­ci­o­nes para que incluyan sus kits de desar­ro­llo de soft­ware, o SDK por sus siglas en inglés, en las apli­ca­ci­o­nes, lo que después le permite al bróker “sentarse” dentro de la apli­ca­ción y succi­o­nar los datos de los usua­rios. Cuando un usua­rio instala una apli­ca­ción, puede estar de acuerdo en que esta acceda a la ubica­ción de su telé­fono o a sus contac­tos, sin darse cuenta de que el SDK de un inter­me­di­a­rio de datos también está adqui­ri­endo esa infor­ma­ción.

El segundo método de reco­lec­ción es indi­recto. Los brókers rastrean los regis­tros públi­cos, incluyendo padro­nes elec­to­ra­les y de propi­e­dad, para obte­ner datos como la direc­ción y el número tele­fó­nico. Los sitios web de búsqueda de perso­nas son brókers de datos que escul­can estos regis­tros, extraen la infor­ma­ción y la publi­can en línea para su búsqueda y venta.

La reco­pi­la­ción indi­recta también incluye a agen­tes que pagan a los desar­ro­lla­do­res de apli­ca­ci­o­nes para vender los datos de sus propios usua­rios (sin moles­tarse en incluir SDK en sus apli­ca­ci­o­nes). Por ejem­plo, Life 360, que era promo­vida como una apli­ca­ción de segu­ri­dad para loca­li­zar en todo momento a tus fami­li­a­res, vendía datos de ubica­ción de sus usua­rios a brókers (y en 2020 hizo casi el 20% de sus ganan­cias de esa acti­vi­dad, según un reporte de the Markup).

La tercera forma en la que consi­guen datos es a través de la infe­ren­cia, es decir, utili­zando algo­rit­mos y otras técni­cas para prede­cir puntos de infor­ma­ción que técni­ca­mente no han reco­pi­lado, como regis­tros de compras y código postal para hacer predic­ci­o­nes sobre los ingre­sos de los hoga­res. La prác­tica de la infe­ren­cia signi­fica que la infor­ma­ción que los consu­mi­do­res proba­ble­mente nunca llega­ron a teclear en un formato, y que no tienen ni idea de que está siendo reco­pi­lada por inter­me­di­a­rios de datos, está a la venta en el mercado abierto.

Algu­nas veces la infe­ren­cia es simple, como ver qué apli­ca­ci­o­nes están insta­la­das en un dispo­si­tivo. Si alguien tiene una apli­ca­ción de noti­cias cris­ti­a­nas o una apli­ca­ción de rezo para musul­ma­nes en su celu­lar, es proba­ble que sea un claro indi­ca­dor sobre su reli­gión. Asimismo, la presen­cia de apli­ca­ci­o­nes de citas LGBTQ+ en un celu­lar es proba­ble­mente un claro indi­ca­dor de que dicha persona perte­nece a la comu­ni­dad LGBTQ+. Un bróker de datos puede comprar listas de usua­rios de la apli­ca­ción, o adqui­rir datos sobre las descar­gas de apli­ca­ci­o­nes en un celu­lar de otra manera, y usar ese único punto de datos para indi­car la reli­gión y la orien­ta­ción sexual de una persona, que luego puede vender.

Otras veces, la “infe­ren­cia” puede ser más compleja: parte del carác­ter inva­sivo de la reco­pi­la­ción datos de ubica­ción es que puede utili­zarse para seguir a las perso­nas cuando visi­tan centros médi­cos, aboga­dos de divor­cios, ofici­nas de pago de prés­ta­mos, bares gay, luga­res de culto, la escu­ela de sus hijos y mucho más. Los inter­me­di­a­rios con miles de datos sobre un solo indi­vi­duo también pueden cons­truir mode­los para obte­ner infor­ma­ción adici­o­nal a partir de esos datos.

El daño de esta reco­pi­la­ción, infe­ren­cia y venta de datos es evidente. Los brókers han reco­pi­lado regis­tros públi­cos por déca­das y han publi­cado las direc­ci­o­nes de los hoga­res de los esta­dou­ni­den­ses y otra infor­ma­ción para su búsqueda y venta en línea. Indi­vi­duos abusi­vos han comprado estos datos y los han usado para  acechar, acosar, inti­mi­dar, agre­dir e incluso asesi­nar a otras perso­nas, predo­mi­nan­te­mente a muje­res y miem­bros de la comu­ni­dad queer. Estas empre­sas también han vendido durante años datos a esta­fa­do­res crimi­na­les, que se enfo­ca­ron en grupos como los vete­ra­nos de la Segunda Guerra Mundial y les roba­ron millo­nes de dóla­res a anci­a­nos y perso­nas con Alzhei­mer.

Compañías de segu­ros médi­cos han comprado datos a brókers, incluyendo infor­ma­ción sobre raza, nivel educa­tivo, estado civil, patri­mo­nio neto, publi­ca­ci­o­nes en redes soci­a­les, pagos de factu­ras y más, para perfi­lar consu­mi­do­res y prede­cir los costos de proveer servi­cios de salud a esas perso­nas. Vender datos sobre quie­nes sufren depre­sión, ansi­e­dad, tras­torno bipo­lar, défi­cit de aten­ción, entre otras, amenaza con permi­tir una discri­mi­na­ción incre­í­ble­mente abusiva de perso­nas que ya se enfren­tan a la estig­ma­ti­za­ción y a barre­ras para acce­der a aten­ción de salud mental. Esta­fa­do­res han comprado infor­ma­ción finan­ci­era de los días de pago de soli­ci­tan­tes de prés­ta­mos, y al menos un inter­me­di­a­rio de datos los vendió ilegal­mente, para robar millo­nes de dóla­res a esas perso­nas. Las fuer­zas del orden y las agen­cias de segu­ri­dad han comprado datos de inter­me­di­a­rios sobre ciuda­da­nos esta­dou­ni­den­ses, incluyendo datos sobre los servi­cios públi­cos domés­ti­cos hasta ubica­ci­o­nes en tiempo real, sin ningún tipo de orden judi­cial, divul­ga­ción pública ni super­vi­sión estricta.

Aunque los brókers reco­pi­lan, infi­e­ren y venden datos sobre cien­tos de millo­nes de perso­nas en los Esta­dos Unidos, su acti­vi­dad carece en gran medida de regu­la­ción. Por ejem­plo, la Ley de Porta­bi­li­dad y Respon­sa­bi­li­dad de los Segu­ros Sani­ta­rios (Health Insu­rance Porta­bi­lity and Accoun­ta­bi­lity Act, HIPPA, en inglés), usual­mente cono­cida como la ley de priva­ci­dad sani­ta­ria de Esta­dos Unidos, solo se aplica a cier­tas “enti­da­des cubi­er­tas” (incluyendo prove­e­do­res de aten­ción sani­ta­ria y centros de inter­cam­bio de infor­ma­ción sani­ta­ria) y sus socios comer­ci­a­les. Si le dices a tu doctor que te duele la garganta, no puede escri­birlo y venderlo en la esquina de la calle; si tu hospi­tal crea una apli­ca­ción móvil para agen­dar citas, también puede estar cubi­erto por la HIPPA.

Pero esa ley no cubre muchas apli­ca­ci­o­nes, sitios web, brókers de datos, empre­sas de redes soci­a­les, star­tups de tecno­lo­gía publi­ci­ta­ria y otros acto­res que no tienen rela­ci­o­nes comer­ci­a­les con enti­da­des cubi­er­tas. Por lo tanto, es comple­ta­mente legal que una apli­ca­ción de salud mental no cubi­erta por la HIPPA reco­pile datos sobre jóve­nes de 14 a 17 años con depre­sión y luego venda esa infor­ma­ción, con nombres inclui­dos, a todo tipo de terce­ros. Algu­nos prove­e­do­res de medi­ca­men­tos podrían incluso vender legal­mente la infor­ma­ción sobre tus rece­tas, siem­pre y cuando no lo hagan de manera “engañosa”, en cuyo caso no hay forma de que sepas lo que en reali­dad ocurre con tus datos. 

Los daños y ries­gos afec­tan a todos, pero en mayor medida a las pobla­ci­o­nes vulne­ra­bles, incluyendo las comu­ni­da­des no blan­cas, los pobres, los anci­a­nos, las perso­nas con Alzhei­mer y demen­cia, sobre­vi­vi­en­tes de violen­cia de género, muje­res emba­ra­za­das, niños, perso­nas con proble­mas de salud mental, vete­ra­nos afec­ta­dos por el trauma y las perso­nas que tienen difi­cul­ta­des para llegar a fin de mes.

Durante el 117° Congreso de los Esta­dos Unidos (2021–2023), la Ley de Protec­ción de la Priva­ci­dad de los Datos de Esta­dos Unidos reci­bió un gran apoyo bipar­ti­dista y, según muchas opini­o­nes, fue lo más cerca que el poder legis­la­tivo esta­dou­ni­dense había estado de apro­bar una ley inte­gral de priva­ci­dad. Se está deba­ti­endo una nueva versión. Además de incluir contro­les sobre la trans­ac­ción de datos en una ley inte­gral de priva­ci­dad, Esta­dos Unidos nece­sita prohi­bi­ci­o­nes espe­cí­fi­cas y tota­les sobre la venta de datos sani­ta­rios y de loca­li­za­ción, que son incre­í­ble­mente priva­dos para los indi­vi­duos, fácil­mente vincu­la­bles a perso­nas concre­tas y muy suscep­ti­bles para abusar de ellos. Esto debe­ría ir acom­pañado de una legis­la­ción que impida a los brókers de datos utili­zar la “infe­ren­cia” para evadir esos contro­les, al hacer distin­ci­o­nes semán­ti­cas sin sentido para cumplir con la ley, pero obte­ni­endo de todos modos datos de salud o de loca­li­za­ción.

La oscura reco­pi­la­ción, infe­ren­cia y venta de datos sobre los esta­dou­ni­den­ses se ha prolon­gado durante dema­si­ado tiempo. Aunque exis­ten algu­nos servi­cios de elimi­na­ción de infor­ma­ción perso­nal que los consu­mi­do­res pueden utili­zar para borrar su infor­ma­ción de los sitios web de búsqueda, de forma tempo­ral y parcial en el mejor de los casos, estos servi­cios no pueden ayudar a las perso­nas a elimi­nar su infor­ma­ción de las bases de datos priva­das de los brókers de datos (excepto, en unos pocos casos, en Cali­for­nia y otros esta­dos con leyes de priva­ci­dad). Sin embargo, la verda­dera cues­tión es bastante simple: la carga de luchar contra una indus­tria de vigi­lan­cia opaca y multi­mi­llo­na­ria no debe recaer en los indi­vi­duos. El Congreso de Esta­dos Unidos debe actuar, o el daño a los esta­dou­ni­den­ses solo persis­tirá. ~

 

Este artí­culo es publi­cado gracias a una cola­bo­ra­ción de Letras Libres con Future Tense, un proyecto de Slate, New America, y Arizona State Univer­sity.

Por Justin Sher­man

Ilus­tra­ción: Isadora Ander­son / dreams­tu­dio