Datos y más datos, ¿pero dónde se guardan?

Vivimos en un océano de datos. De hecho, estamos atiborrados de datos.

Ya sean los que producimos (pasiva y activamente), los que compartimos (pasiva y activamente) o los que consumimos (pasiva y activamente también). Como muestra un botón, en 2013 se publica una noticia con una particularidad que ha llenado montones de Power Points desde entonces. La frase lapidaria era la siguiente: el 90% de los datos del mundo ha sido generado en los dos últimos años. Es decir, que el 90% de la información del planeta en 2013, se había generado entre 2011 y 2012…

Dudo que entre 2013 y hoy eso haya ido a menos. Por tanto sí, vivimos inundados por datos.

Y no va a ir a menos, ya que el mantra repetido sin cesar es que vivimos y nos encaminamos hacia la economía de los datos. Economía en la que nosotros somos pieza clave y que convierte a los datos en el nuevo petróleo. Ahora bien, ¿dónde se guarda mayor cantidad de ese petróleo? Si el valor económico de esa información es tal, por lógica quién más controle, mayor riqueza potencial tendrá. Eso es algo que ya exploramos hace casi 4 años mediante el Mapa de Términos y Condiciones, siendo el líder EE.UU.

Sin embargo, en aquel momento nos centramos en los grandes prestadores mundiales, sin hacer el vínculo a una región concreta. Ahora bien, con motivo del estudio del nuevo Reglamento General de Protección de Datos (la nueva norma en materia de privacidad a partir de mayo de 2018 en todos los países de la UE), pensé que podía ser interesante revisar esa pregunta pero desde la perspectiva de usuarios españoles.

El Mapa de Términos y Condiciones, según dónde alojan los grandes servicios sus datos

El punto de partida jurídico

El razonamiento es el siguiente: según el artículo 13.2 a) del Reglamento General de Protección de Datos (en adelante RGPD), las políticas de privacidad de 2018 y en adelante deberán indicar el plazo durante el cual se conservan los datos personales de un usuario. Es algo que raramente se señala hoy en día, no hay exigencia. Pero cuando se hace (un ejemplo podría ser Microsoft) se suele indicar en la política de retención de datos de la empresa. Esa política explica cómo la empresa conserva mis datos, por cuánto tiempo, en qué circunstancias y en qué lugar. De hecho, la misteriosa política de retención de datos de WhatsApp hizo que Canadá le abriera una investigación en 2013.

La cuestión radica en que indicar el plazo durante el cuál se conserva la información personal de un usuario, puede indirectamente también requerir la ubicación de los datos. Es decir, el plazo de tiempo es una cuestión que puede variar en función de si la información está por ejemplo online u offline. Lo que puede hacer que esté en un lugar u otro. Por tanto, indicar el tiempo, puede hacer necesario también indicar el lugar.

Además, si bien el artículo 13.2 RGPD únicamente requiere el plazo durante el que se conservan los datos, dice también que esa información debe indicarse para garantizar un tratamiento de datos leal y transparente. Y ese “principio de transparencia” del RGPD se menciona en múltiples ocasiones en los considerandos de la norma. De hecho, el Considerando 60 dice que “El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales.”

Así las cosas, no es una locura pensar que para indicar el plazo de conservación de los datos de la forma más transparente posible, sea también necesario indicar información complementaria como el lugar en el que se ubican los mismos.

A partir de este planteamiento, que en las políticas de privacidad futuras deba indicarse el plazo durante el que se conserva la información pero quizá también el lugar, me pareció interesante averiguar cuántas quizá ya indicaban la ubicación y cuáles serían esos lugares. En esta ocasión, centrando el análisis en las webs más visitadas desde España. Además, si estamos en la economía de dato, también el sector legal deberá empezar a producirlos (aunque por ahora no sea lo habitual).

Por tanto, generemos algunos datos legales.

Vamos con los números

Explicado el origen del pequeño estudio, ¿dónde guardan las webs más visitadas en España sus datos de acuerdo a sus actuales políticas de privacidad? Para hacer la selección usé Alexa, filtrando por país y seleccionando los 100 primeros sitios por tráfico (descarté algunas webs por estar más cerca del malware que de un prestador legítimo).

En relación al lugar en el que almacenan los datos:

La primera conclusión es que la mayoría no dice nada sobre el tema, de ahí que el Indeterminado gane con un 58%. La segunda conclusión es que EE.UU. sigue dominando entre los que dicen algo. Destacar que raramente se menciona a EE.UU. como único destino de la información, incorporando siempre la coletilla “y otros países”. El problema es que muy raramente se indican esos otros países. La tercera conclusión es que entre los indeterminados la mayoría son servicios nacionales, y ahí los que más abundan son los medios de comunicación. Finalmente, Canadá, China y el misterioso “Fuera del Espacio Económico Europeo (EEE)” completan la lista de otros destinos.

Por otro lado, aprovechando el análisis, me pareció interesante averiguar cuántos de los servicios analizados se habían incorporado ya a Privacy Shield. Es decir, el nuevo mecanismo legal para que los prestadores de servicios norteamericanos transfieran los datos que recojan de ciudadanos europeos hacia Estados Unidos. Antes eso se hacía mediante algo llamado Safe Harbor, pero el Tribunal de Justicia de la UE lo invalidó el año pasado. Entonces deprisa y corriendo tuvo que adoptarse este nuevo mecanismo, que entró en vigor en agosto de este año.

Servicios analizados ya adheridos a Privacy Shield

De los 100 servicios analizados, únicamente 46 se verían afectados por Privacy Shield. De ellos, el 61% todavía no se había adherido, el 39% restante sí. Entre los que sí ya hay algunos de los grandes, como Facebook, Google, Amazon, Microsoft o Snapchat.

Finalmente, a continuación pueden consultarse los diferentes servicios analizados, y los datos relativos a cada uno de ellos.

[table id=5 /]

En conclusión

Para el usuario en general es un misterio dónde se almacenan sus datos. Cuando el destino es EE.UU., lo cual representa el 36% de los servicios analizados, sí se indica la ubicación ya que se trata de una transferencia internacional de datos desde Europa a Estados Unidos y existe la obligación legal de indicarlo desde hace años. Pero en el resto de casos, está claro que ese dato raramente se menciona. Ciertamente la exigencia no ha existido hasta el momento. Pero si todo debe girar en torno a los datos, no estaría de más ser transparente sobre su ubicación. Más cuando ello puede ser importante respecto a la vulnerabilidad o la seguridad de la información. En cualquier caso, a la luz de lo que está por venir con el nuevo RGPD, indicar dónde se ubican los datos podría convertirse en un requerimiento legal para cualquier servicio. Y en ese caso, más del 60% de los servicios analizados tendrán que modificar sus políticas de privacidad.

Definitivamente el nuevo Reglamento General de Protección de Datos va a traer novedades interesantes en materia de términos y condiciones.

¡Feliz data set!
—–

Seguir a @jorge_morell

La entrada Dónde guardan tus datos las webs más visitadas en España se publicó primero en Términos y Condiciones.

¿Qué país almacena mayor cantidad del nuevo petróleo, es decir, datos personales?

“Dato eres y como dato te procesarán.”

Durante 2013, y en un minuto, sólo en Facebook se subían 243.000 fotografías, se veían en Youtube 100 horas de vídeo o se realizaban 3,5 millones de búsquedas en Google. ¡En un minuto! Hagamos una simple multiplicación y únicamente en 2013 ya podemos intuir que se ha generado una cantidad bárbara de información. Sumemos a eso las decenas de miles de servicios que se usan en el día a día, añadamos los miles de millones de personas que los emplean y rematemos el asunto con los millones de objetos que se conectan a Internet a nuestra cuenta… El resultado es que generamos constantemente datos, y en eso nos hemos convertido.

Normal por tanto que en la nueva economía el llamado nuevo petróleo, nuevo oro o el carburante que hace que buena parte de los negocios de nuevo cuño funcionen, sean los datos que generamos en cantidades ingentes. Información que multitud de servicios gratuitos recogen como contraprestación por esa espléndida red social, fenomenal buscador o eficiente organizador de tareas que nos ofrecen a coste cero. Sí, somos hace tiempo el producto.

De todos esos datos, los más jugosos son los de carácter personal. Este nuevo petróleo facilita nuestra identificación, lo que abre la puerta a que el otro protagonista de esta historia, la publicidad, pueda llegarnos en cantidad torrencial pero precisión quasi milimétrica a nuestras múltiples bandejas de entrada. A mayor cantidad de datos, mejor perfil de usuario, y por tanto más fácil teledirigir publicidad que pueda interesar y no sea rechazada. El paraíso de los anunciantes.

La cuestión es, si somos datos y estos son fundamentales para hacer funcionar y crear montones de nuevos negocios, no estaría de más saber dónde se ubican, alojan, tratan y procesan. ¿Suena razonable, no? Es decir, ¿quién tiene potencialmente mayor poder económico basado en ese nuevo petróleo? ¿Europa vuelve a dejar pasar el tren? ¿Son de fiar los que almacenan los datos? ¿Existirá una OPEP del nuevo petróleo?

Con esa idea en parte nació hace poco más de un año lo que llamé el Mapa de Términos y Condiciones, que se aprovechaba de la información geográfica que muchas de las políticas de privacidad ofrecían, y ubicaba así dónde en teoría alojaban y trataban los datos personales los diferentes servicios. El crecimiento del mapa fue bastante irregular y no tan bueno como hubiera deseado. Además, hace algunas semanas perdí los casi 11 meses de trabajo que llevaba a las espaldas (cosas de mi ineptitud xD). Pero eso fue muy positivo, reestructuré ideas, finalidades y tecnologías, y de ahí que nazca hoy la versión 2.0 del Mapa de Términos y Condiciones.

La idea básica es la misma, sobre un mapa ubicar los servicios según dónde dicen alojar y tratar los datos personales que recogen, señalando mediante colores si esa indicación es expresa o hay que sobreentenderla. Pero ahora hay más. Mucha de la información de cada ficha de servicio es fácilmente tratable y es posible traducirla en gráficos que facilitan de forma agregada información estadística que hasta ahora creo no era muy conocida. Por ejemplo, ¿cuál es el porcentaje de servicios adheridos a Safe Harbor? ¿Cuántos de los que deberían estar en Safe Harbor no lo están? ¿Qué jurisdicciones se imponen más a los usuarios? ¿Es el arbitraje una opción valorada? Y así otras muchas cuestiones.

El mapa está medio reconstruido respecto a la información que perdí y está mucho más automatizado que antes, de forma que cuando se añade un ítem en el plano, las gráficas son automáticamente actualizadas según la información de la ficha. Por tanto el crecimiento de la base de datos debería ser mucho más regular, rápido y con una inversión en tiempo más razonable.

Además, ahora comparto la tabla sobre la que está todo construido. No para su edición, pero sí para su consulta y filtrado sin límites. De forma que sería posible extraer más información de la ya proporcionada. Por ejemplo, de los países que alojan el nuevo petróleo en EE.UU., ¿cuántos están adheridos a Safe Harbor? Quien desee ir al detalle ahora debería poder hacerlo.

En conclusión:

• Nuevo Mapa de Términos y Condiciones, incluye las diferentes gráficas
• Tabla con toda la información, en modo lectura, para consulta detallada

A ver si así, ni que sea un poco, podemos empezar a controlar dónde se aloja el carburante de esta nueva economía, es decir, nuestros datos personales.
—–

Seguir a @jorge_morell

La entrada Si los datos personales son el nuevo petróleo, ¿dónde se alojan? se publicó primero en Términos y Condiciones.