Los activistas que vencieron a Facebook demandan a Google por rastrear los móviles Android

Los móviles que funcionan con el sistema operativo Android de Google, que en el caso de la Unión Europea son en torno al 70%, contienen un rastreador de cuya existencia no se informa a los usuarios. Estos identificadores únicos, una especie de matrícula digital para cada dispositivo, permiten a Google y a todas las aplicaciones instaladas en el teléfono “rastrear al usuario y combinar información sobre su comportamiento en línea y en el móvil”. Eso es lo que dice la demanda interpuesta en Francia contra Google por Noyb, una ONG centrada en la protección de la privacidad presidida por el abogad...

Los móviles que funcionan con el sistema operativo Android de Google, que en el caso de la Unión Europea son en torno al 70%, contienen un rastreador de cuya existencia no se informa a los usuarios. Estos identificadores únicos, una especie de matrícula digital para cada dispositivo, permiten a Google y a todas las aplicaciones instaladas en el teléfono “rastrear al usuario y combinar información sobre su comportamiento en línea y en el móvil”. Eso es lo que dice la demanda interpuesta en Francia contra Google por Noyb, una ONG centrada en la protección de la privacidad presidida por el abogado y activista austriaco Max Schrems, conocido por haber puesto en jaque anteriormente a Facebook.

La clave, según el equipo de Schrems, es que la normativa europea obliga a pedir el consentimiento a los usuarios a los que se quiera rastrear. Eso no sucede con el Identificador Publicitario de Android (AAID, por sus siglas inglesas), sostienen desde Noyb, y por tanto choca frontalmente con la Directiva Europea sobre Privacidad Electrónica, también conocida como Ley de cookies. EL PAÍS ha solicitado a Google su versión de los hechos, pero la compañía ha preferido no pronunciarse al respecto.

El efecto del identificador AAID se puede comparar con las cookies de terceros, que también requieren de consentimiento explícito. “Es como si al levantarte por la mañana tuvieras unos polvos mágicos en las manos y pies y dejaras marcado todo lo que tocas. Y que luego, alguien con unas gafas especiales pudiera ver el rastro de esos polvos”, ilustra Stefano Rossetti, abogado especializado en privacidad de Noyb. La información que recopila el AAID se supone que es para el sistema de subasta de espacios publicitarios en tiempo real. “No lo dudamos, pero la cuestión es que también se puede usar con otros propósitos”, añade Rossetti.

El funcionamiento de AAID es el siguiente. Google Play Store genera automáticamente un identificador alfanumérico para cada dispositivo que se conecta a la tienda de aplicaciones. Ese identificador, que puede ser compartido con otras empresas, como proveedores de aplicaciones o anunciantes, recopila información sobre el comportamiento de los usuarios y sus preferencias de consumo, de manera que se le pueda ofrecer publicidad personalizada. El software de Google no solo crea ese identificador sin el conocimiento de los particulares, aseguran desde Noyb, sino que además niega a los usuarios de Android la opción de eliminarlo.

“El alcance de este caso es desconcertante”, apunta Rossetti. “Casi todos los usuarios de Android parecen estar afectados por esta tecnología”. En todo el mundo hay unos 2.500 millones de teléfonos móviles activos que usan el sistema operativo Android, según datos de Google. En torno a 300 de ellos están en la Unión Europea.

Noyb, organización cuyo nombre es el acrónimo de None of Your Business (No es asunto tuyo), decidió interponer la demanda en Francia porque “tiene un sistema legal garantista, que protege bien al usuario en el ámbito digital”, señala Rossetti, algo en lo que coinciden expertos jurídicos consultados. El abogado sostiene que su equipo está estudiando interponer también demandas similares contra Google en más países de la UE, aunque todavía no pueden decir en cuáles (están en proceso de análisis de los respectivos ordenamientos jurídicos para ver cuáles de ellos son más propicios).

El antecedente de Apple

Estas acciones legales se enmarcan en un proceso de mayor recorrido relacionado con rastreadores escondidos en el entorno móvil que tiene en marcha Noyb. “Estamos tratando de dejar claro que nuestros teléfonos no deberían integrar identificadores o rastreadores por defecto. No se trata de una preferencia individual, sino de una cuestión legal”, puntualiza Rossetti.

Noyb cargó el año pasado contra Apple en los juzgados de Alemania y España por el mismo asunto: los iPhones incorporan, según la organización sin ánimo de lucro, un Identificador para Anunciantes (IDFA) que permite a la compañía de la manzana monitorizar a los usuarios sin su consentimiento. Su funcionamiento es prácticamente idéntico que el de Google. ¿Cuál ha sido el resultado de la demanda? La compañía ha anunciado que la nueva versión de su sistema operativo para móviles, iOS 14.5, solicitará permiso por primera vez a los usuarios para usar los identificadores, según publica el Financial Times. “Apple todavía crea ese identificador, pero ahora pide el consentimiento de terceros para usarlo”. Es mejor que nada, opina el abogado, pero no responde a la pregunta principal: ¿por qué se creó este identificador y se instala por defecto en los iPhone?.

Desde el punto de vista de la asociación austriaca, las posibles faltas de Google o Apple no tienen que ver con el Reglamento General de Protección de Datos (RGPD) de la UE, sino con la Directiva Europea de Privacidad Digital de 2002, modificada en 2009 (la Ley de cookies). “Aunque el principio es bastante claro (los rastreadores tienen que ser autorizados por los usuarios), los Estados miembros han implementado estos principios de distintas formas en sus jurisdicciones. Por eso hemos intentando tratar estos casos como nacionales”, abunda el abogado.

Todo empezó con Facebook

Max Schrems y su organización ya fueron noticia el año pasado, cuando el Tribunal de Justicia de la Unión Europea (TJUE) puso en cuestión la seguridad del principal mecanismo de transmisión de datos entre la Unión Europea y Estados Unidos. La sentencia del TJUE, motivada por una demanda interpuesta por Schrems contra Facebook, no prohíbe que se compartan datos personales a ambos lados del océano, pero obliga a que las empresas firmen unas salvaguardas que incluyan el consentimiento informado de los afectados. Y eso, según denunció Schrems, eso no sucedía.

El austriaco lleva desde 2011 batallando con la mayor red social del mundo a propósito del uso que hace de los datos personales. Cuando tenía 23 años, Schrems solicitó a Facebook toda la información que tenía de él. Detectó varias violaciones de su privacidad, con lo que presentó 22 denuncias que llamaron la atención de la prensa. En 2013 se quejó también de que sus datos personales fueran transferidos desde la filial irlandesa de la compañía que preside Mark Zuckerberg a sus servidores norteamericanos para ser tratados, en tanto que en ese país las leyes de protección de la privacidad son distintas. La justicia europea le dio la razón, lo que le granjeó elogios de Edward Snowden, entre otros. Viviane Reding, la comisaria europea de Justicia que impulsó el desarrollo de la RGPD, el puntal de la normativa europea sobre privacidad, dijo sobre Schrems que él fue quien le hizo entender que “no podíamos seguir así”.

Puedes seguir a EL PAÍS TECNOLOGÍA en Facebook y Twitter.