La privacidad y protección de datos sigue siendo el lejano oeste

Consumer Reports, en colaboración con la Universidad Wesleyan, llevó a cabo una investigación sobre cómo las empresas responden a las solicitudes de exclusión enviadas a través de mecanismos universales. Estos mecanismos permiten a los consumidores restringir medidas de segmentación avanzada que potencian la recopilación y reutilización de sus datos para publicidad. La investigación, al menos en su superficie, reveló que las empresas parecen estar ignorando esas solicitudes. Aunque hay limitaciones en los resultados, el estudio muestra brechas significativas en la protección de la privacidad de los datos y un desajuste entre lo que las empresas dicen y lo que realmente hacen.

El estudio analizó 40 comercios minoristas online y encontró que aproximadamente el 30 % de ellos no respetaban las solicitudes de exclusión conforme a leyes estatales específicas, y continuaban mostrando anuncios personalizados en otros sitios web, a pesar de dichas solicitudes. La implicación más amplia es que los datos personales de los consumidores siguen siendo compartidos y/o vendidos sin su consentimiento o conocimiento, incluso después de que hayan optado por no participar.

Hallazgos similares se observaron en un estudio reciente de la Oficina de Comunicaciones Electrónicas de Islandia, que reveló que la mayoría de los banners de consentimiento de cookies eran puramente decorativos.

Y estos son solo dos ejemplos de lo que claramente es un problema más amplio y complejo.

En el centro de la mayoría de las leyes de protección de datos está el principio de consentimiento informado: garantizar que los consumidores comprendan exactamente a qué están consintiendo cuando comparten sus datos. Desafortunadamente, las empresas rara vez explican claramente qué son las cookies o qué implica aceptar su uso. ¿Qué significa realmente aceptar compartir sus datos? Aunque todo indica que los consumidores valoran cada vez más su privacidad, sigue existiendo una cierta indiferencia, probablemente derivada de no comprender las implicaciones más profundas del intercambio de datos. Este desajuste no se hace evidente hasta que ocurre un evento como la quiebra reciente de la empresa de pruebas genéticas 23andMe. Entonces, con razón, los consumidores se preguntan: ¿qué ocurre con mis datos sensibles si la empresa desaparece? ¿Qué tipo de protección tengo yo y mis datos?

En la mayoría de los casos, los datos personales recopilados y almacenados por 23andMe estarán sujetos a las mismas leyes de protección de datos, como el RGPD, como cualquier otro dato personal. Sin embargo, en EE. UU. la situación es más compleja: no existe una legislación única a nivel federal, y las leyes varían de un estado a otro. Además, la ley HIPAA (Ley de Portabilidad y Responsabilidad del Seguro de Salud), no se aplica a 23andMe, ya que no está clasificada como una organización sanitaria.

El consejo general que se está dando a los consumidores es que eliminen sus cuentas de 23andMe y retiren su consentimiento, solicitando también la eliminación de sus datos personales e incluso de los datos desidentificados.

La situación de 23andMe, sumada a los casos mencionados sobre el incumplimiento de solicitudes de privacidad por parte de empresas, pinta un panorama de caos normativo, donde los individuos pueden verse perjudicados por una gestión deficiente de sus datos y su privacidad.

Primero, tanto expertos jurídicos como empresas coinciden en que EE. UU. necesita un enfoque armonizado en cuanto a protección de datos y privacidad del consumidor. Otras regiones ya han adoptado marcos regulatorios que, pese a los desafíos, han sido eficaces. Y más allá de establecer leyes, estas deben contar con mecanismos efectivos de cumplimiento. Las normas sin sanciones claras son inútiles.

En segundo lugar, todas las empresas pueden adoptar buenas prácticas de gestión de datos, privacidad y consentimiento, incluso sin estar legalmente obligadas en su jurisdicción. Si una empresa opera en mercados con leyes robustas de protección de datos, puede alinear sus prácticas para cumplir globalmente y estar preparada si surgen nuevas regulaciones locales.