El 17 de març de 2018 es va saber que Cambridge Analytica va obtenir dades de més de 50 milions d’usuaris de Facebook. Què se sap a 22 de març i què exigirà a les empreses el reglament europeu, aplicable des del 25 de maig.
El 17 de març de 2018, The Observer i The New York Times van publicar, amb el testimoni de Christopher Wylie, exempleat de la consultora, que l’empresa britànica d’anàlisi política Cambridge Analytica havia obtingut sense permís dades de més de 50 milions d’usuaris de Facebook. La vigília, Facebook havia anunciat que suspenia la consultora i la seva matriu, SCL (Strategic Communication Laboratories), així com Wylie i l’acadèmic Aleksandr Kogan.
Què se sap
Segons Facebook, Aleksandr Kogan, professor de psicologia de la Universitat de Cambridge, va crear una aplicació de test de personalitat que feia servir l’inici de sessió de Facebook i que van descarregar unes 270.000 persones. Aquests usuaris van donar permís per compartir les seves dades de perfil i, en part, les dels seus amics quan la seva configuració de privadesa ho permetia.
Kogan va passar després aquestes dades a SCL i a Cambridge Analytica, cosa que, segons Facebook, incomplia les seves normes. La xarxa social afirma que ho va saber el 2015, va retirar l’aplicació i va exigir certificats que les dades s’havien esborrat, i que fa pocs dies va rebre informes que no s’havien esborrat totes.
Facebook rebutja que es tracti d’una bretxa de seguretat: sosté que els usuaris es van registrar de manera voluntària i que no es van infiltrar els seus sistemes ni es van robar contrasenyes. El 21 de març, Mark Zuckerberg va trencar el seu silenci amb un missatge en què va reconèixer una ruptura de la confiança entre Facebook i els qui comparteixen les seves dades, es va disculpar i va anunciar mesures: auditar les aplicacions que van accedir a moltes dades abans del 2014, limitar el que poden obtenir els desenvolupadors i avisar els usuaris afectats.
La reacció
A la borsa, Facebook va tancar el dilluns 19 de març amb una caiguda del 6,8 % i va tornar a baixar el dimarts; CNBC va xifrar en gairebé 50.000 milions de dòlars el valor perdut des de dilluns. Bloomberg va informar el 20 de març que la Comissió Federal de Comerç dels EUA (FTC) examina si Facebook va incomplir l’acord del 2011 pel qual es va comprometre a obtenir el consentiment dels usuaris abans de canviar la seva configuració de privadesa; la FTC va dir que no podia confirmar si investiga i Facebook rebutja haver incomplert aquest acord. Diversos senadors, i també legisladors britànics i europeus, han reclamat la compareixença de Zuckerberg.
Al Regne Unit, la comissionada d’Informació, Elizabeth Denham, que dirigeix la Information Commissioner’s Office (ICO), el regulador de protecció de dades, va explicar que demanarà una ordre judicial per accedir a informació i sistemes de Cambridge Analytica, que no va respondre dins de termini al requeriment que li va fer el 7 de març. Va demanar també a Facebook que aturés la seva auditoria a les oficines de la consultora, perquè podia comprometre una investigació. La investigació cobreix l’obtenció i l’ús de dades de Facebook per SCL, Kogan i Cambridge Analytica.
Què canvia amb el reglament europeu
El Reglament General de Protecció de Dades (RGPD), el Reglament (UE) 2016/679, serà aplicable el 25 de maig de 2018. S’aplica també a les empreses no establertes a la Unió Europea que tractin dades de persones que hi resideixen per oferir-los béns o serveis o per controlar-ne el comportament. Quan el tractament es basa en el consentiment, el responsable ha de poder demostrar que es va donar.
Les violacions de seguretat s’han de notificar a l’autoritat de control sense dilació indeguda i, si és possible, en un màxim de 72 hores. I les multes per infringir els principis bàsics del tractament, incloses les condicions del consentiment, poden arribar als 20 milions d’euros o al 4 % de la facturació mundial anual, si aquesta xifra és més gran. Encara no s’aplica: el cas s’examina amb les normes vigents avui, que el reglament substituirà.
Si la seva empresa tracta dades de clients, empleats o proveïdors, convé començar per un inventari: quines dades recull, per a què i amb quina base legal. Quan la base és el consentiment, convé comprovar que es va demanar de manera específica, que es pot demostrar i que qui el va donar el pot retirar en qualsevol moment.
També convé revisar la cadena de tercers. En aquest cas, el problema no va ser només qui va recollir les dades, sinó a qui es van passar després. Cada empresa que lliura dades a una agència de màrqueting, a un proveïdor d’anàlisi o a una aplicació hauria de poder respondre quines dades lliura, amb quin contracte i què passa si el receptor les cedeix a uns altres. I ha d’haver-hi un procediment per detectar un incident i comunicar-lo en el termini de 72 hores.
Les dades dels clients són un actiu i també una responsabilitat: des del 25 de maig, la llei ho exigirà amb multes pel mig.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
