El enfoque de ‘privacidad por diseño’ para aplicaciones móviles: por qué no es suficiente

Las aplicaciones móviles instaladas en nuestros teléfonos inteligentes son una de las mayores amenazas para nuestro privacidad digital. Son capaces de recopilar grandes cantidades de datos personales, a menudo muy sensibles.

El modelo de consentimiento en el que se basan las leyes de privacidad no funciona. Los usuarios de la aplicación siguen preocupados por la privacidad, como encuesta muestra, pero todavía no son muy buenos protegiéndolo. Es posible que carezcan de los conocimientos técnicos o del tiempo para revisar los términos de privacidad, o pueden carecer de la fuerza de voluntad para resistir el atractivo de las aplicaciones de moda y las ofertas personalizadas dentro de la aplicación.

Como resultado, las leyes de privacidad se han vuelto más detalladas, imponiendo requisitos adicionales sobre notificación, minimización de datos y derechos de usuario. Las sanciones se han vuelto más duras. Y las leyes suelen tener un alcance global, como las Regla de protección de la privacidad en línea de los niños de EE. UU. y la UE Reglamento general de protección de datos. Por ejemplo, un desarrollador sudafricano de una aplicación descargada por niños en los EE. UU. Y la UE debe cumplir con ambos y con Ley de protección de la información personal de Sudáfrica. Esta complejidad puede crear una carga de cumplimiento significativa.

Pero el verdadero problema, según un reporte de la Agencia de la UE para la Ciberseguridad, es que los abogados y los desarrolladores de aplicaciones no hablan el mismo idioma. Un desarrollador de aplicaciones puede no tener idea de cómo traducir principios legales abstractos en pasos de ingeniería concretos.

Como resultado, los reguladores han considerado el concepto de «privacidad por diseño» como una forma de salvar esta brecha. El concepto fue acuñado a fines de la década de 1990 por Ann Cavoukian cuando era la Comisionada de Información y Privacidad de Ontario, Canadá. La privacidad por diseño va más allá de las políticas de privacidad y la configuración de permisos en la aplicación. Requiere que los desarrolladores piensen en la privacidad desde el primer momento del proceso de diseño.

Cavoukian estableció siete principios fundamentales para un enfoque de privacidad por diseño. Pero es el segundo principio, «la privacidad como configuración predeterminada», lo que realmente establece el estándar para una aplicación amigable con la privacidad.

«Incorpore el máximo grado de privacidad en la configuración predeterminada para cualquier sistema o práctica comercial. Al hacerlo, mantendrá la privacidad del usuario intacta, incluso si decide no hacer nada».

Esto hace que el desarrollador de la aplicación tenga la responsabilidad de pensar en la privacidad del usuario desde el principio y diseñar la aplicación de tal manera que la privacidad esté protegida automáticamente, sin dejar de ofrecer una experiencia de aplicación completamente funcional.

Pero mi investigación mostró que las decisiones de diseño tomadas por los desarrolladores de aplicaciones están limitadas por las tecnologías existentes y las reglas de la plataforma diseñadas por otros. Estos incluyen el hardware y el sistema operativo del dispositivo, el kit de desarrollo de software, las bibliotecas de anuncios y las políticas de revisión de la tienda de aplicaciones.

La respuesta es privacidad por (re) diseño, donde todos los jugadores de rol del ecosistema se toman en serio la privacidad y rediseñan las plataformas y tecnologías existentes. Pero hacer cumplir ese enfoque requerirá una regulación legal más estricta del intercambio de datos de terceros.

Cambio de mentalidad

La aplicación de un enfoque de privacidad por diseño requiere un cambio de mentalidad por parte de los desarrolladores. Deben ser proactivos, en lugar de responder después del hecho a una violación de datos que podría haberse evitado. Los días de recopilar la mayor cantidad de datos personales posible con la esperanza de que pudieran resultar valiosos más adelante se han ido. Los desarrolladores deben alinear la recopilación de datos con un propósito específico para el que se necesitan los datos y comunicarlo a los usuarios de la aplicación. También deben anonimizar o eliminar los datos lo antes posible.

La privacidad debe convertirse en un componente clave de la metodología de diseño, la selección de herramientas técnicas y las declaraciones de valor organizacional.

Estos son cambios importantes, respaldados en las pautas para desarrolladores de aplicaciones móviles publicadas por el Sistema global para comunicaciones móviles y por reguladores en el nosotros, la Reino Unido, Australia y Canadá, entre otros. En la UE, «la protección de datos por diseño y por defecto» ahora una obligación legal del Reglamento General de Protección de Datos.

Pero, como muestra mi investigación, esto podría no ser suficiente sin el rediseño del ecosistema de aplicaciones para abordar el intercambio de datos, una visión respaldada por otras investigaciones. De acuerdo a un estudio la mayoría de las aplicaciones transmiten datos directamente a terceros, como Google, Facebook e intercambios de anuncios, a través de rastreadores integrados en el código de la aplicación. Pero descubrí que las leyes de privacidad no abordan de manera integral o consistente este intercambio de terceros.

El término «tercero» no está definido en la Ley de Protección de la Información Personal, pero incluiría redes publicitarias, sitios para compartir contenido y plataformas de redes sociales. Por lo tanto, los terceros se distinguen de los procesadores posteriores que pueden realizar un procesamiento de datos específico en su nombre en virtud de un contrato.

Es difícil hacer cumplir la responsabilidad legal contra estos terceros, que a menudo se encuentran fuera del país donde se desarrolló la aplicación. Sus términos y condiciones generalmente colocan la responsabilidad total del cumplimiento de la privacidad por parte de la aplicación en el desarrollador de la aplicación. Esto puede dejar a los usuarios de la aplicación desprotegidos. Pero también podría exponer al desarrollador de la aplicación a una responsabilidad legal imprevista.

La responsabilidad del desarrollador de la aplicación surge porque, según la Ley de protección de la información personal y el Reglamento general de protección de datos, si usted desempeñó un papel en la determinación de «el propósito o los medios» del procesamiento de datos, usted es una parte responsable «conjunta» (controlador de datos) para el datos tratados por el tercero.

El Tribunal de Justicia de las Comunidades Europeas ha responsabilizado en dos ocasiones a las pequeñas empresas como «controladores conjuntos» de la recopilación de datos de Facebook, a través de un página de fans y un como botón. Aunque los juicios enfatizan que el control conjunto no es necesariamente «igual responsabilidad», esto debería ser una preocupación para los desarrolladores de aplicaciones.

Por ejemplo, los desarrolladores de aplicaciones que utilizan el kit de desarrollo de software de Facebook comparten datos personales con Facebook. Los registros de eventos como «aplicación instalada», «SDK inicializado» y «aplicación desactivada» brindan información detallada sobre el comportamiento y los datos demográficos de un usuario de la aplicación. En 2018 Privacy International informó que la configuración para retrasar la transmisión de eventos registrados hasta después de que el usuario haya dado su consentimiento fue agregada por Facebook solo 35 días después de la entrada en vigencia del Reglamento General de Protección de Datos, y solo si el desarrollador lo habilita para la versión 4.34 o superior del SDK. Este cambio parece haber seguido a los repetidos informes de errores presentados en la plataforma del desarrollador.

Para llevar

La conclusión aquí para los desarrolladores que siguen un enfoque de privacidad por diseño es «confiar pero verificar«:

• Verifique los términos del contrato y el código de terceros con cuidado;
• Monitorear las plataformas de desarrollo para actualizaciones de seguridad y privacidad;
• Trabaje únicamente con organizaciones que ofrezcan garantías de privacidad adecuadas;
• Notifique a sus usuarios sobre transferencias de datos a terceros y proporcione controles de privacidad fáciles de usar.
• Mantenga registros para poder responder con prontitud si un usuario de la aplicación solicita detalles de los datos personales que posee y los destinatarios (o categorías de destinatarios) de esos datos.

Enjuiciar a los desarrolladores de aplicaciones que infringen las leyes de datos es importante, pero no suficiente. En última instancia, las partes que diseñan las tecnologías y plataformas en las que se crean y comercializan las aplicaciones móviles deben integrarse en el marco de responsabilidad legal para cerrar el ciclo de privacidad.

---

---

Este artículo se vuelve a publicar desde La conversación bajo una licencia Creative Commons. Leer el artículo original.