El 17 de marzo de 2018 se supo que Cambridge Analytica obtuvo datos de más de 50 millones de usuarios de Facebook. Qué se sabe a 22 de marzo y qué exigirá a las empresas el reglamento europeo, aplicable desde el 25 de mayo.
El 17 de marzo de 2018, The Observer y The New York Times publicaron, con el testimonio de Christopher Wylie, exempleado de la consultora, que la empresa británica de análisis político Cambridge Analytica había obtenido sin permiso datos de más de 50 millones de usuarios de Facebook. La víspera, Facebook había anunciado que suspendía a la consultora y a su matriz, SCL (Strategic Communication Laboratories), así como a Wylie y al académico Aleksandr Kogan.
Qué se sabe
Según Facebook, Aleksandr Kogan, profesor de psicología de la Universidad de Cambridge, creó una aplicación de test de personalidad que usaba el inicio de sesión de Facebook y que descargaron unas 270.000 personas. Esos usuarios dieron permiso para compartir sus datos de perfil y, en parte, los de sus amigos cuando su configuración de privacidad lo permitía. Kogan pasó después esos datos a SCL y a Cambridge Analytica, lo que, según Facebook, incumplía sus normas. La red social afirma que lo supo en 2015, retiró la aplicación y exigió certificados de que los datos se habían borrado, y que hace pocos días recibió informes de que no se habían borrado todos.
Facebook rechaza que se trate de una brecha de seguridad: sostiene que los usuarios se registraron de forma voluntaria y que no se infiltraron sus sistemas ni se robaron contraseñas. El 21 de marzo, Mark Zuckerberg rompió su silencio con un mensaje en el que reconoció una ruptura de la confianza entre Facebook y quienes comparten sus datos, se disculpó y anunció medidas: auditar las aplicaciones que accedieron a muchos datos antes de 2014, limitar lo que pueden obtener los desarrolladores y avisar a los usuarios afectados.
La reacción
En bolsa, Facebook cerró el lunes 19 de marzo con una caída del 6,8 % y volvió a bajar el martes; CNBC cifró en casi 50.000 millones de dólares el valor perdido desde el lunes. Bloomberg informó el 20 de marzo de que la Comisión Federal de Comercio de EE. UU. (FTC) examina si Facebook incumplió el acuerdo de 2011 por el que se comprometió a obtener el consentimiento de los usuarios antes de cambiar su configuración de privacidad; la FTC dijo que no podía confirmar si investiga y Facebook rechaza haber incumplido ese acuerdo. Varios senadores, y también legisladores británicos y europeos, han reclamado la comparecencia de Zuckerberg.
En el Reino Unido, la comisionada de Información, Elizabeth Denham, que dirige la Information Commissioner’s Office (ICO), el regulador de protección de datos, explicó que pedirá una orden judicial para acceder a información y sistemas de Cambridge Analytica, que no respondió en plazo al requerimiento que le hizo el 7 de marzo. Pidió además a Facebook que detuviera su auditoría en las oficinas de la consultora, porque podía comprometer una investigación. La investigación cubre la obtención y el uso de datos de Facebook por SCL, Kogan y Cambridge Analytica.
Qué cambia con el reglamento europeo
El Reglamento General de Protección de Datos (RGPD), el Reglamento (UE) 2016/679, será aplicable el 25 de mayo de 2018. Se aplica también a las empresas no establecidas en la Unión Europea que traten datos de personas que residen en ella para ofrecerles bienes o servicios o para controlar su comportamiento. Cuando el tratamiento se basa en el consentimiento, el responsable debe poder demostrar que se dio.
Las violaciones de seguridad deben notificarse a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas. Y las multas por infringir los principios básicos del tratamiento, incluidas las condiciones del consentimiento, pueden llegar a 20 millones de euros o al 4 % de la facturación mundial anual, si esta cifra es mayor. Todavía no se aplica: el caso se examina con las normas vigentes hoy, que el reglamento sustituirá.
Si su empresa trata datos de clientes, empleados o proveedores, conviene empezar por un inventario: qué datos recoge, para qué y con qué base legal. Cuando la base es el consentimiento, conviene comprobar que se pidió de forma específica, que se puede demostrar y que quien lo dio puede retirarlo en cualquier momento.
También conviene revisar la cadena de terceros. En este caso, el problema no fue solo quién recogió los datos, sino a quién se pasaron después. Cada empresa que entrega datos a una agencia de marketing, a un proveedor de análisis o a una aplicación debería poder responder qué datos entrega, con qué contrato y qué ocurre si el receptor los cede a otros. Y debe haber un procedimiento para detectar un incidente y comunicarlo en el plazo de 72 horas.
Los datos de los clientes son un activo y también una responsabilidad: desde el 25 de mayo, la ley lo exigirá con multas de por medio.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
