El conocido youtuber español, Carles Tamayo, vuelve a poner el dedo en la llaga con su habitual estilo informal, humorístico e incisivo. En el último capítulo de la serie de reportajes lanzados recientemente en la televisión pública Se nos ha ido de las manos, analiza la compraventa de datos personales por parte de empresas.

El episodio “El activo eres tú” pone sobre la mesa una pregunta incómoda: ¿quién tiene nuestros datos y qué hace con ellos?, ¿qué estamos dispuestos a sacrificar bajo la promesa de obtener algo gratis? Al recibir llamadas de spam incesantes por parte de empresas que tenían demasiada información sobre él, Tamayo convierte su propia productora en una empresa de intermediación de datos (data broker) para ver desde dentro cómo se almacena y se comercia con los datos personales.

Así funciona el negocio de los intermediarios de datos y estos son los derechos que te garantiza el RGPD (Reglamento General de Protección de Datos).

  • Qué son los intermediarios de datos y cómo hacen negocio.
  • Cookies: qué son y para qué sirven.
  • RGPD: qué es y cómo te protege.
  • Cómo ejercer tus derechos según el RGPD frente a los data brokers.
  • Cómo limitar desde el principio los datos que pueden recopilar los data brokers.

Qué es un data broker y cómo hacen negocio

Un data broker es una empresa que recopila, analiza y vende información sobre personas y organizaciones. Lo que hace que esa información sea valiosa para los compradores es la posibilidad de combinarla y analizarla. Los hábitos, los intereses, los datos de ubicación y otras señales pueden cruzarse, y cada vez más con la ayuda de la inteligencia artificial (IA), hasta convertirse en información útil. Los intermediarios de datos venden esa materia prima que permite crear un perfil de prácticamente cualquier persona.

Por ejemplo, en el reportaje de Tamayo, uno de los data brokers le ofrece datos de personas que han tenido un bebé recientemente, ya que estos usuarios dejaron sus datos en el hospital con la promesa de un sorteo de productos para recién nacidos. 

Algunos datos que suelen recopilar los data brokers incluyen el correo electrónico, la dirección IP(ventana nueva), la ubicación aproximada, las compras online, las búsquedas en internet, los intereses seleccionados en una aplicación, y los dispositivos utilizados.

¿Alguna vez has recibido una llamada de una empresa de telefonía o de cualquier empresa y te has preguntado de dónde sacan tus datos? Es más fácil de lo que crees: las cookies, las aplicaciones móviles, los formularios online, por ejemplo, recopilan tu información y la ponen a disposición de los data brokers.

Cookies: qué son y para qué sirven

Seguro que te lo has encontrado en cada página web que visitas: unos pequeños pop-ups con notificaciones que debes aceptar para poder seguir navegando. Probablemente lees en diagonal, das a “aceptar cookies(ventana nueva)” y sigues, sin preguntarte qué son las cookies(ventana nueva) de verdad y qué uso de tus datos has autorizado. 

Las cookies son pequeños archivos que guarda un sitio web en tu navegador, con el objetivo de recordar información sobre tu visita. Las que interesan a los data brokers son las cookies publicitarias, diseñadas para crear perfiles de comportamiento y mostrar anuncios personalizados.

Sin embargo, hoy en día se puede rastrear a los usuarios con técnicas que van mucho más allá de las cookies. Por ejemplo, el método del fingerprinting del navegador crea una huella digital única a partir de las características de tu dispositivo, mientras que el rastreo entre sitios web permite seguir tu actividad a medida que visitas diferentes páginas. En móviles, los identificadores publicitarios cumplen una función similar al asociar tu comportamiento a un identificador persistente.

Rechazar las cookies mejora tu privacidad, pero no la garantiza por completo. A medida que el usuario se pregunta dónde van sus datos, quién los tiene y cómo los utiliza, es inevitable toparse con la cuestión de si es legal usar tus datos para comerciar con ellos.

RGPD: qué es, cómo te protege y por qué es importante

El Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés) es la normativa de la Unión Europea que regula cómo se recopilan, organizan y almacenan los datos de los ciudadanos por parte de organizaciones y empresas. En España, el cumplimiento de esta normativa está supervisado por la Agencia Española de Protección de Datos (AEPD), que también atiende reclamaciones cuando una empresa vulnera estos derechos.

El RGPD reconoce varios derechos fundamentales:

Derecho de acceso: permite saber qué datos personales posee una empresa y con qué finalidad los utiliza. Puedes solicitar una copia.

Derecho de rectificación: da la posibilidad de corregir información incorrecta o desactualizada. 

Derecho de supresión: conocido como “derecho al olvido”, permite solicitar que los datos sean eliminados cuando ya no exista una base legal para conservarlos.

Derecho de oposición: permite negarse a determinados tratamientos, como el uso de los datos con fines publicitarios. En el marketing directo, este derecho es absoluto: una vez muestras tu objeción, la compañía debe parar. 

Derecho a la portabilidad: permite recibir los datos personales en un formato estructurado para trasladarlos a otro proveedor de servicios. Este derecho aplica cuando la compañía procesa tus datos basándose en un consentimiento o contrato por un medio automatizado.

El RGPD otorga a los ciudadanos derechos exigibles cuyo incumplimiento puede acarrear multas. Sin embargo, muchas personas no saben que pueden ejercer estos derechos de forma gratuita. Una empresa solo puede cobrar una tasa o negarse a atender una solicitud de un usuario cuando esa solicitud sea claramente infundada o excesiva.

Como muestra el reportaje de Tamayo, existe una gran diferencia entre las garantías que ofrece la ley y el conocimiento que tiene el ciudadano medio sobre cómo proteger su información personal. Esta falta de información dificulta que los usuarios aprovechen las herramientas legales disponibles para recuperar el control sobre sus datos.

Cómo ejercer tus derechos según el RGPD frente a los data brokers

Estos derechos que hemos mencionado solo son útiles si los ejerces. No necesitas un abogado ni un formulario especial para hacerlo: basta con enviar un correo electrónico al contacto de privacidad de la empresa.

Pregunta de dónde proceden tus datos. Si una empresa se pone en contacto contigo y nunca le has facilitado tus datos, pídele que te indique su procedencia. Gracias al derecho de acceso, está obligada a informarte, y esa respuesta suele llevarte directamente a un data broker.

Presenta una solicitud de acceso. Pregunta a la empresa o al intermediario de datos qué información tuya conserva, para qué los utiliza y con quién los ha compartido. Solicita también una copia. La solicitud es gratuita y la empresa debe responder en el plazo de un mes. Puede ampliar ese plazo hasta dos meses más si la solicitud es compleja, pero debe comunicártelo.

Oponte y solicita la supresión de tus datos. En el mismo correo electrónico puedes oponerte a que tus datos se utilicen con fines comerciales y pedir que se eliminen. La empresa también debe comunicar la supresión a quienes haya compartido tus datos, salvo que resulte imposible o exija un esfuerzo desproporcionado.

Inscríbete en la Lista Robinson. En España, las empresas que realizan campañas de publicidad directa deben consultar esta lista de exclusión publicitaria antes de ponerse en contacto contigo. La inscripción es gratuita.

Presenta una reclamación ante la AEPD. Si una empresa te ignora, rechaza tu solicitud sin un motivo válido o incumple el plazo establecido, puedes presentar una reclamación gratuita ante la Agencia Española de Protección de Datos (AEPD).

Limita desde el principio los datos que pueden recopilar los data brokers

Tus derechos recogidos en el RGPD te permiten actuar sobre la información que ya está circulando. Unos sencillos hábitos también pueden reducir la cantidad de datos nuevos que llegan a los intermediarios.

Revisa los permisos de tus aplicaciones y desactiva los accesos que no sean necesarios para su funcionamiento, especialmente los relacionados con tu ubicación, tus contactos o tus fotos.

Rechaza las cookies no esenciales. En las páginas web de la UE, rechazarlas debería ser tan fácil como aceptarlas. De este modo, bloquearás las cookies publicitarias que nutren los perfiles de comportamiento.

Navega sin iniciar sesión en páginas web y servicios cuando únicamente quieras consultar contenido. Cuando tienes la sesión iniciada en Google, YouTube, Amazon o una página de noticias, todo lo que buscas, ves, lees o compras queda vinculado a tu cuenta. Navegar sin iniciar sesión reduce la cantidad de información que las empresas pueden asociar contigo.

Utiliza un navegador que priorice la privacidad, como Firefox o Brave, que bloquean muchos rastreadores por defecto. También puedes explorar navegadores web europeos alternativos centrados en la privacidad.

Cámbiate a Proton Mail, nuestro servicio de correo electrónico privado y seguro, que no puede leer tus correos ni analiza tu bandeja de entrada con fines publicitarios, de seguimiento o vigilancia. También bloquea los píxeles de seguimiento, que los profesionales del marketing suelen utilizar para saber cuándo abres un mensaje, además de obtener otros indicadores.

Utiliza una VPN(ventana nueva) para ocultar tu dirección IP a las páginas web, las aplicaciones y las redes publicitarias, de modo que no puedan utilizarla para estimar tu ubicación o vincular tu actividad entre distintas páginas web. Proton VPN también incluye una función llamada NetShield, que bloquea anuncios y rastreadores antes de que se carguen. Además, cuenta con una política de no registros auditada de forma independiente(ventana nueva), por lo que no guarda un registro de tu actividad en Internet.

Utiliza un gestor de contraseñas cifrado para crear contraseñas seguras y únicas, para que una cuenta comprometida no ponga en riesgo las demás. Proton Pass también ofrece los alias de correo electrónico para ocultar tu dirección real, ideales para boletines informativos, sorteos y tiendas online. Si alguien empieza a recibir correo no deseado (spam), puedes identificar quién podría haber compartido o filtrado esa dirección y, a continuación, desactivar el alias.

Como demuestra el reportaje de Tamayo, los data brokers forman parte de un modelo de negocio basado en nuestros datos, pero el RGPD y las herramientas que protegen nuestra privacidad nos ofrecen mecanismos para recuperar el control. No se trata de desaparecer de internet, sino de decidir quién puede acceder a nuestra información y con qué finalidad.