«Aplican términos y condiciones»… según donde se encuentre

En 2013, Cullen Hoback produjo y lanzó el documental «Terms and Conditions May Apply» (2013), en el cual procesa y reduce el contenido de los términos y condiciones y políticas de privacidad que normalmente aceptamos sin vacilar antes de que usemos, accedamos o instalemos plataformas o aplicaciones como Facebook, Google o Amazon. Durante el documental de 80 minutos, Hoback se pregunta si esas políticas tratan de proteger la privacidad o, por el contrario, quitarla. Esto se debe a que cuando simplemente hacemos clic en «Acepto», básicamente permitimos que esas empresas recopilen la información que suministramos sobre nosotros mismos (y que recopilan automáticamente las empresas) y la usan legalmente para mejorar sus esfuerzos de marketing digital a través de la aplicación de publicidad dirigida y para proporcionarla a terceros, incluidas las autoridades policiales.

Cinco años después, esas actividades, así como la creación de perfiles, automatización de decisiones y comercialización de datos que también se pueden encontrar en la gran mayoría de las políticas actuales de las empresas impulsadas por datos —e incluso en las políticas públicas— siguen dibujando un escenario preocupante para el derecho a la privacidad y las libertades con ella relacionadas de los internautas en cada país del mundo. Sin embargo, hoy el alcance real de los Términos y condiciones y las Políticas de privacidad antes mencionados no es igual para todos. En realidad, depende en qué parte del mundo se encuentre.

En la Unión Europea, el Reglamento General de Protección de Datos (GDPR) entró en vigencia recientemente. Habiendo sido formulado para equilibrar la protección de la privacidad con el desarrollo económico y la innovación, el GDPR es una actualización radical del reglamento para la era digital. A pesar de que no prohíbe ninguna de las actividades que las corporaciones actualmente realizan para extraer valor económico de los datos, sí regula y limita su alcance. En particular, incluye en ello los derechos de los nuevos titulares de datos, como el derecho a oponerse al procesamiento de datos personales para el marketing directo. Asimismo, establece el derecho a no estar sujeto a una decisión basada únicamente en el procesamiento automatizado de datos (sin intervención humana) que pueda afectar significativamente al titular de los datos. Además, dentro de las responsabilidades que se aplican a las empresas, el GDPR incluye la obligación de tomar, tanto en el momento de la determinación de los medios para procesar datos como en el momento del procesamiento en sí, las medidas técnicas y organizativas apropiadas que pueden garantizar la protección de datos. Del mismo modo, requiere que las empresas se aseguren de que, de manera predeterminada, solo se procesen los datos personales que son necesarios para cada propósito específico del procesamiento.

A diferencia de la Unión Europea, la mayoría de los estatutos de privacidad de América Latina están mal actualizados para la era digital. Con excepción de Chile, que ha establecido el derecho a optar por no participar del marketing directo, y Argentina y México, que han regulado la toma de decisiones automatizada, la mayoría de los países de la región no están capacitados para asumir las actividades establecidas en esa política de privacidad, y por lo tanto, no pueden limitarlas. Esto, debido a que sus Estatutos de Privacidad fueron formulados para regular el procesamiento de bases de datos estructuradas, y no para abordar los riesgos que conlleva Big Data y Data Analytics. Por lo tanto, ni siquiera mencionen prácticas problemáticas como la elaboración de perfiles, ni incluyen posibles salvaguardas como la seudonimización o el derecho a la desindexación. Y en realidad, esta vulnerabilidad a la era digital parece aún peor en el caso de países como Colombia, donde tenemos una Autoridad de Protección de Datos que carece de una perspectiva de derechos humanos, y tiene mucha menos capacidad técnica para responsabilizar a las empresas basadas en datos.

En la práctica, la falta de protección adecuada en América Latina se manifiesta en la posibilidad de que los bancos utilicen algoritmos de crédito para decidir si otorgan un préstamo o no, sin la intervención de alguien con autoridad y competencia para cambiar la decisión. Asimismo, refleja la posibilidad de que cualquier compañía con uso intensivo de datos tenga que perfilar a sus usuarios latinoamericanos centrados en características como etnicidad, género, religión o sexo. Otro ejemplo es la posibilidad de que cualquier aplicación en su teléfono inteligente tenga que recopilar datos, como fotos y contactos, que no sean necesarios para proporcionar un servicio específico, como una linterna, solo para luego venderlos los intermediarios de datos. Esto les da la libertad de hacer que la recopilación y el intercambio, y no la privacidad, sean los predeterminados.

En sus políticas de privacidad, compañías como Uber y Netflix reconocen que las prácticas descritas están sujetas a las leyes aplicables de los lugares donde operan. Por lo tanto, afirman que solo participarán en las prácticas definidas en sus términos y condiciones y políticas de privacidad si están permitidas en ese país o región en particular. De manera similar, Apple afirma que, a menos que la legislación nacional establezca algo diferente —como lo hace GDPR en realidad— considerará las direcciones de Protocolo de Internet (IP) e identificadores similares de su computadora como información impersonal, y por lo tanto, la protección de datos no será aplicable. Pero, ¿qué sucede cuando los estatutos nacionales de protección de datos no digan nada sobre esos asuntos? Básicamente, lo que procede es la aplicación del principio universal según el cual, en el caso de las entidades privadas, todo debe ser entendido como permisible hasta que la ley lo prohíba expresamente. Dado este principio, y al no existir ninguna disposición legal que prohíba ni regule las prácticas de explotación intensiva de datos, los países latinoamericanos parecen un paraíso para la explotación de datos y la gran innovación analítica, en detrimento del derecho a la privacidad de sus ciudadanos.

Afortunadamente, otras compañías, como Facebook, han decidido ofrecer a sus usuarios de todo el mundo los mismos controles de privacidad que exige la nueva normativa europea de protección de datos. Pero no parece ser suficiente confiar únicamente en la buena voluntad de las empresas. Según Statista, en octubre de 2017 Google tenía una participación de mercado de más del 90% del mercado de motores de búsqueda en México, Venezuela, Argentina, Brasil, Bolivia, Colombia, Chile y Perú. Del mismo modo, en 2018 se espera que el número de usuarios de Facebook en América Latina llegue a 271.1 millones. Asimismo, en 2018 se espera que 147.2 millones de latinoamericanos compren bienes y servicios en línea. Evidentemente, América Latina no ha sido excluida de la era digital. Por lo tanto, sus estatutos de privacidad tampoco deben ser excluidos del proceso de actualización ya avanzado en la Unión Europea por medio del GDPR. Incluso, sus países deberían comenzar a pensar en una armonización reguladora supranacional para la región, como la que ha dotado a Europa de un mayor poder de negociación sobre las empresas basadas en datos. Y esperemos que esto suceda pronto, antes de que el poder económico y el monopolio de mercado de estas compañías crezca más, y se vuelva casi imposible regularlos. De lo contrario, para los latinoamericanos, la expresión «Aplican términos y condiciones» significará mucho más que el título de un famoso documental.