Impresionante y angustiosa columna del gran Bruce Schneier en Wired, «Our data, ourselves«, de más que recomendable lectura para todo aquel que esté mínimamente preocupado por la evolución y el valor en caída libre de la privacidad de los datos en la sociedad moderna. La tesis de la columna es el hecho de que aquello que le ocurre a nuestros datos, nos ocurre a nosotros mismos. Traduzco de manera completamente libre algunos pasajes, pero si lees inglés, te recomiendo que no dejes de leer el original:
En la sociedad actual, generamos datos de manera constante: cada vez que operamos con dinero, que pasamos un peaje, que llamamos por teléfono, que enviamos un correo electrónico o un SMS, que navegamos en la web o leemos una noticia… Nuestros datos determinan si nos conceden un crédito o no lo hacen, si nos hacen un descuento, si entramos en un avión o nos quedamos fuera, si nos dejan atravesar una frontera. Si somos sospechosos de algo, resulta mucho más probable que investiguen nuestros datos a que pidan una orden para entrar en nuestra casa – y para curiosear muchos de nuestros datos, ni siquiera necesitan un permiso. Un delincuente que acceda a nuestros datos puede vender nuestras propiedades, operar en nuestro nombre, solicitar tarjetas de crédito… el robo de identidad es la prueba definitiva de que controlar nuestros datos significa controlar nuestra vida.
Nuestros datos son parte de nosotros. Son íntimos, personales, y tenemos derechos sobre ellos. Necesitamos imperiosamente leyes que protejan de manera amplia la privacidad de los datos. Que protejan toda nuestra información, no sólo la financiera o la relacionada con la salud. Debe limitar las posibilidades que otros tienen de comerciar con nuestra información, de comprarla o venderla sin nuestro conocimiento o consentimiento. Debe permitirnos ver los datos que otros tienen de nosotros, y corregir las inexactitudes que encontremos. Impedir que el gobierno acceda a nuestros datos sin una orden judicial. Forzar la eliminación de datos, y limitar la recolección de los mismos. E imponer algo más que sanciones testimoniales por la violación deliberada de estas leyes.
Hablamos de una intención a largo plazo. Nos va llevar años llegar ahí. Es más fácil no hacer nada y permitir que sean las leyes del mercado las que lo regulen. Pero mientras vemos las tarjetas del supermercado o las cláusulas de privacidad de las páginas web, tenemos que darnos cuenta de hasta qué punto nuestra privacidad está siendo violada y cuánta libertad de elección hemos tenido con respecto a ello. Las empresas, por supuesto, están encantadas de recolectar, comprar y vender nuestra información más íntima. Pero los efectos a largo plazo de algo así en nuestra sociedad son tóxicos: estamos entregando el control de nosotros mismos.
Genial artículo, gracias por el enlace Enrique.
Como bien comenta el artículo, nuestros datos somos nosotros y nosotros somos nuestros datos, hay que tener cuidado con que y a quién se los facilitamos. Pero lo peor es el uso que puede hacer cualquiera impunemente.
Afortunadamente Europa está a años luz de EEUU en todos los temas relacionados con la protección de datos de caracter personal.
El problema es que Internet no sabe de fronteras, así que estamos igualmente muy expuestos a todos estos riesgos derivados del almacenamiento, tráfico y mercadeo de datos de carácter personal.
Gracias por el enlace Enrique.
Curiosamente y en plena democracia hay más control que en el anterior régimen.
Me viene al pelo.
Andaba dudando desde hace tiempo en postear o no sobre el Registro de la Propiedad en España, que a mi parecer se ha cuasi-convertido en un Registro de Propietarios de acceso prácticamente público. Con un mínimo de instrucciones, accedes a muchísima información privada de otras personas. Escribí una introducción en el apartado «la protección de datos personales» del resumen de este Beers, Bricks & Blogs.
Leyendo tu blog, Enrique, se anima uno a publicarlo mañana mismo, pero siento que debo esperar a releer y contrastar el post tantas veces sea necesario hasta estar seguro que no sobrepasa ningún límite de la Ley. Y aunque no pretendo publicar instrucción alguna que no esté en el manual de usuario, estas cosas son delicadas, ya se sabe.
En resumen, yo puedo conocer tantas cosas de tus propiedades e indirectamente de tí mismo, como tú de las mías y de mí mismo si tuvieras las instrucciones adecuadas. ¿Legal? Creo que es legal. Pero me parece una barbaridad.
Aunque la verdad es que para saber cosas en el caso concreto de Enrique Dans no hay que hacer muchos méritos, nada mas que leer tu blog, twitter, facebook, ….
Un saludo.
Fran Díaz.
Propietarios de Terrenos: el Blog
Lo que dice Fran es rigurosamente cierto, pero no es nada nuevo: el Registro de la Propiedad es público, lo que significa que cualquiera puede consultarlo. Esa es su mayor utilidad. Lo que pasa es que, hasta ahora, a la vez que lo consultabas, dejabas rastro de tu consulta, es decir, tenías que identificarte a la hora de pedir información y decir para qué la ibas a utilizar. Si existe una «puerta de atrás» por la que se pueda obtener información sin identificación del que la obtiene, entonces estamos ante un problema.
De todas formas, nuestra legislación está hecha precisamente con el fin de evitar los abusos que el post define, pero como dice #2, internet no tiene fronteras. Y además, añado yo, la normativa está hecha para los particulares y las entidades privadas. Si una entidad pública hace mal uso de los datos de sus administrados, no hay prevista sanción alguna. Así que el principal enemigo en nuestro ámbito es el propio estado, que es el que más sabe, con diferencia, de todos nosotros.
Sinceramente creo que exigir control sobre nuestros datos debería empezar por uno mismo. Y no «lamentarse» después… Damos nuestro móvil, dirección de mail a cualquiera. Tenemos tarjetas de fidelización de todas las cadenas. El aparatito ese de las autopistas. Tenemos un blog donde expresamos nuestras más intimas opiniones y pensamientos, y en muuuuchos casos fotos personales. Todo el mundo puede conocer nuestra trayectoria profesional y con quien nos relacionamos en cualquiera de las redes sociales. Y lo peor, publicamos lo que hacemos en cada momento en twiter…
Pedimos control de nuestros datos? Un poco de «sentidiño» por favor. Por ahora, a mi me llega con que me controle la agencia tributaria.
#5 «la normativa está hecha para los particulares y las entidades privadas. Si una entidad pública hace mal uso de los datos de sus administrados, no hay prevista sanción alguna.»
WTF?? LOPD Artículo 2.1: La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.
Artículo 46: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de los que sean responsables las Administraciones públicas, el Director de la Agencia Española de Protección de Datos dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.
2. El Director de la Agencia podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones públicas.
3. Se deberán comunicar a la Agencia las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.
4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.
No voy a reproducir aquí toda la legislación sobre régimen disciplinario de las Administraciones públicas, que la tienes disponible en Internet, pero una persona de la Administración que viole la LOPD puede perder su puesto de funcionario dependiendo de la gravedad de lo que haga. Evidentemente, lo que no va a hacerse es poner multas al Estado para que las recaude el propio Estado, más que nada para que luego no nos quejemos de burocracias absurdas.
Hola, Esteban, gracias por tu apreciación.
La diferencia estriba en que basas tus búsquedas en un DNI, no en una Referencia Catastral. Y eso es lo que no cuadra con el concepto «Registro de la Propiedad».
Observa el matiz: es un Registro de la Propiedad, no un Registro de Propietarios. Llévalo hasta donde quieras.
El asunto es que puedes acceder a datos de una persona en concreto, además de acceder a datos de una propiedad concreta.
Yo puedo investigar datos de cuantas Propiedades desee y tenga derecho, y en eso está perfecto que me aporten los datos de sus Propietarios ya que es información asociada a esa Propiedad. Perfecto, no es nada nuevo, no hace falta puerta de atrás.
Pero Esteban, sin puerta de atrás alguna, no creo que sea correcto poder investigar sobre una persona en concreto ni sobre el conjunto de sus propiedades, y al final, conocer datos protegidos sobre tí y tu vida. Sobre todo sin ser funcionario, notario, ni juez ni tener sentencia alguna a mi favor. Y ello teniendo en cuenta la altísima fiabilidad de esos datos respecto a otros registros.
Lo que es público es la Propiedad y los propietarios de esa Propiedad.
O de otra forma y en resumen, los datos de un propietario no deben ser públicos por el mero hecho de ser propietario. Serán públicos cuando alguien consulte sobre alguna de sus propiedades. No al revés.
Un saludo!
Fran Díaz.
<a href=»http://ofimaticaavanzada.com/wordpress/»Propietarios de Terrenos: el Blog
Ante este problema tengo una posición particular y que yo sepa, poco difundida, que es no oponer ninguna barrera a la difusión de mis datos, sino todo lo contrario, en cambio utilizar eso canales de difusión para asociar a mi persona miles de datos falsos y absurdos.
Hay dos formas de guardar un secreto, Meterlo en una caja fuerte, o enterrarlo en un pajar. Siempre habrá quien sepa abrir la caja fuerte, pero ¿quien tiene paciencia para buscar en un pajar?
Como técnico informático, se perfectamente que lo peor que te puede pasar es que una base de datos, es que se contamine con datos erróneos, pues cualquier deducción obtenida de esa base de datos, viene con el estigma de la duda en el resultado.
Si todos pagáramos las compras de nuestra madre o amigos con nuestra tarjeta de crédito, (cobrándolos en metálico a ellos), si periódicamente cambiáramos de moví con nuestros hijos, si mantuvieramos abierto nuestro ADSL para que lo usen, no solo la familia, sino los vecinos y sistemáticamente introdujéramos algún dato erroneo en todos los sitios donde nos los piden, los recolectores de datos no podrían obtener fruto de su recolección.
Vaya, habéis escrito mientras redactaba mi respuesta; precisamente por #6 y por las leyes expuestas por #7 es por lo que prefiero constrastar el post muy bien contrastado antes de publicarlo. Y eso que no hablo ni de puertas de atrás ni de nada similar.
Gracias y un saludo.
Fran Díaz.
Propietarios de Terrenos: el Blog
@Gorki: esa es la idea del white noise, me gustó este artículo recientito sobre el tema, seguramente escriba algo sobre ello…
Hola, Gorki, Enrique.
Este pajar es una caja fuerte perfectamente organizada: tu DNI o tu nombre, y listo, ahí van tus datos.
Datos fiables. No white noise posible. ¿Cómo contaminas los datos que das a un Notario para que los inscriba en el Registro?
No es sólo un problema informático, también lo es legislativo.
Un saludo!
Fran Díaz.
Propietarios de Terrenos: el Blog
·# 12
Evidentemente a Hacienda y a la Policía es difícil engañarlos, no puedes dar un dato falso a un notario, no obstante algo se puede hacer, abrir las cuentas corrientes a m nombre todos los de la familia, empadronarse en los sitios de veraneo, crear SL y operar a través de ellas, etc..
Sin embargo mi objetivo son quienes recolectan datos por motivos de marketing. por ejemplo quien hace encuestas por teléfono, yo a esas encuestas las contesto pacientemente siempre de forma aleatoria, sea sobre jabones o sobre que pretendo hacer con mi ahorros.
Te adjunto una serie de ideas que escribí hace mucho sobre el tema
«Sería posible intercambiarse automáticamente en una web nuestras cookies por otras de los demás visitantes de la web .
Podemos hacer salvapantallas navegadores aleatorios.
Podemos contestar a nuestros amigos los spammer a sus direcciones de compra reiterados e-mails con textos aleatorios que incluyan palabras como bombas, cohetes, dinamita , asesinato, droga, etc. y encriptarlo con sistemas muy básico, para que Echelon tenga un trabajo extra, primero desencriptar y que después pasarlo a un funcionario humano, que lea el mensaje y le siga la pista hasta que entienda que es una payasada.
Podemos hacer programas que suministren a los Spywares información falsa, pero razonable, para el envío a sus bases. Igual con los Ad-wares, para que nos envíen anuncios que nada tenga que ver con lo que hacemos.
Para hacer esto solo necesitamos crear los programas correspondientes y activarlos periódicamente. Si lo hacemos solo el uno por mil de la población, dejaremos sin efectividad todos los sistemas de espionaje. Se trata, de destruir lo que ya saben de nosotros..
Me gustarían dos cosas, recibir ideas para desarrollar y voluntarios para ponerlas en práctica. ¡¡Espero vuestra ayuda!!
Hay una peli, no me acuerdo el nombre, que una mujer roba identidad de otra mujer y vive cómo si fuera ésta última, en fín, muy buen blog a favoritos! Saludos.
Enrique, como sabes en España ya existe una ley que prohíbe la venta de datos personales, y que es de las más restrictivas a nivel europeo. No hay tal ley del mercado, porque existe una legislación vigente al respecto, a nivel europeo al menos. Hay conceptos como la calidad del datos, la obligatoriedad de borrado (o retirada del «circuito activo» cuando esto no sea posible, p.ej. historiales médicos), y las sanciones son algo más que testimoniales.
El problema es que Bruce Schneier vive en EEUU, donde eso sí es efectivamente una práctica habitual, y efectivamente allí sí necesitan leyes que protejan este tipo de datos. En los USA hay «mucho» control sobre otro tipo de información (SOX), pero no sobre los datos de carácter personal. Y puesto que sé cuánto te gusta, una de esas empresas que tiene ciertos problemas con el concepto de intimidad, borrado de datos, y leyes de protección de datos personales, es Google.
En otras palabras, que el artículo está muy bien, pero en nuestro caso, a pesar de las limitaciones «de facto» de la LOPD, carece de sentido que lo comentes. Porque aquí si que hay una ley y una cierta protección de estos datos.
De nuevo hola, Gorki.
Respecto al intercambio de cookies, la policía científica acaba de aplicar un método para buscar responsables de pérdidas de datos personales: buscarlos vía Emule, Azureus o Ares. Es sencillísimo y podrás encontrar casi de todo. También es aplicable a cookies. Ya tienes todas las que quieras.
Creo que ya todos sabéis que gracias a esa práctica han encontrado ni mas ni menos que la base de datos de una clínica en la que se practicaban interrupciones del embarazo, entre otras cosas. Multazo al canto para la clínica, claro.
Y m., de acuerdo con tu comentario. Humildemente, no creo que carezca de sentido el que Enrique haya publicado este post.
Un saludo!
Fran Díaz.
Propietarios de Terrenos: el Blog
Además del «ruido blanco» para los de marketing, podríamos emplear elementos tangibles (chips criptográficos, dispositivos biométricos…) para dificultar la suplantación de identidades.
Fran, simplemente apuntaba que al traducir un artículo de Bruce Schneier, ciudadano de un país que carece de cualquier tipo de legislación en relación con la protección de datos de carácter personal, se están extrapolando cuestiones que no son ciertas y alguien podría creer que en general, las cosas están como el artículo menciona. De hecho, varios de los puntos están más que atados a este lado del atlántico; que la justicia estadounidense no haga nada al respecto no significa que nadie lo haga.
No es cierto que no haya legislación al respecto, ni es cierto que no se eliminen datos ni se limite la recolección de datos. Tampoco es cierto que las empresas trafiquen con nuestros datos, ni es cierto que las multas sean testimoniales (150,000 euros para la clínica que comentas, lo que no me parece meramente testimonial).
Simplemente es un artículo en un contexto legislativo muy diferente al europeo, y como tal, no hay que creerse todo lo que dice.
#16
El problema m es que hablas de las leyes de España, pero Internet es extraterritorial, Una empresa que no piensa comerciar con datos, pero es descuidada como esa clínica que hablan, puede ser multada porque radica en España, pero quien piensa comerciar con datos, abre en paraísos digitales, que a veces coinciden con los fiscales y otras son simplemente países que no tiene legislación estricta sobre el tema como en USA.
Quien piense comerciar con datos, siempre encontrará la forma de hacerlo legalmente. Por tanto es mejor tratar que esos datos sean un una fracción apreciable pura basura. Empresas como Double Click de sucio historial y hoy en poder de Google siempre se reirán de leyes aplicables en un territorio.
Estoy de acuerdo en que a nivel de Internet el tema es difuso, pero Schneier habla de mucho más que Internet (sólo hay que ver su alusión a las tarjetas de los supermercados o al acceso de los gobiernos a los DCP); él habla de privacidad, a todos los niveles.
Que algunas empresas comercian con datos, es cierto, pero de todas ellas, las que radican exclusivamente en Internet amparadas en «paraísos digitales» (bonito término) o países no comunitarios, son sólo una parte, y para mucha gente, una parte muy pequeña. La mayor parte de los datos de las personas se mueven («son tratados») por empresas españolas: supermercados, gestorías, empresas de telecomunicaciones, bancos, servicios médicos, mutuas, aseguradoras, etc.
De hecho, más allá de Google, Facebook, Yahoo y cuatro grandes corporaciones, no es habitual que las personas tengan contacto habitual con empresas no sujetas a legislación sobre protección de DCP. Y aún así, hasta Google tiene oficinas y al parecer tratamiento de datos en Irlanda, país sujeto a la Directiva 95/46/CE, si no me equivoco. Otra cosa es que Europa esté dispuesta (quiera, o pueda) a meter en cintura a Google.
Lo único que digo es que más allá de Internet, Schneier está pidiendo cosas (los derechos ARCO es una de las cosas que pide) que en Europa ya están solucionadas.
Bien no se si estarán solucionadas o no estas cosas con las leyes en España, pero si por ejemplo quieres hacer una campaña por correo a mujeres de médicos, entre 30 y 50 años, que vivan en ciudades de mas de 40.000 habitantes, hay empresas que pueden darte sus nombres y direcciones de correos
¿Como consiguieron los datos? ¿Es ilegal? Sinceramente no lo se.
No sé si se pueden hacer, y si dices que existen esas empresas, existirán, pero si mujer recibiese un correo de ese tipo, lo siguiente sería una consulta ARCO y posteriormente muy probablemente una denuncia ante la AEPD.
Los datos!!!
En realidad, los datos es lo que da valor a todo. Cuando venden una web, realmente estan vendiendo una BD – caso Neurona a Xing – Cuando un supermercado compra a otro, los activos incluyen las BD – quien les da derecho a vender mis datos? o incluirlos en la venta? o cederlos al nuevo comprador? Cuando un banco compra otro, realmente compran es la cartera (BD) – pero existe alguna ley que nos de derecho a decir… yo escogi este… porque me van a pasar al otro?
El tema es que queramos o no, debemos estar en la red o nos ingresaran a la fuerza. como? hacienda obligara a hacer registros por internet, a comprar por internet. que no tienes internet? pues no puedes acceder a «x» beneficios. Que en un supermercado tendras la obligacion de tener tarjeta de cliente para acceder a «X» beneficios. Las personas ceden mas facil sus datos de lo que todos creemos. Y como alguno decia, tenemos Twitter, blogs, web, email, navegamos, chateamos, etc. que mas rastro necesitan? que podemos engañarlos? posiblemente. pero cuantos pueden hacerlo? es igual al nivel de conciencia que tenemos todos del tema que se cuece en el post de Enrique. algunos ni siquiera lo intuyen, otros lo ignoran, otros son concientes pero no pueden hacer nada, y otros son concientes, saben como hacerlo, como bloquearlo y como saltarse todo.
La pelicula que no sabian el nombre «LA RED» y esta mas cerca de la realidad que nunca. Que pueden bloquearte. es mas sencillo. Tu rastro… desde que enciendes tu PC y el modem de salida a internet. IPs, logs, cookies. es loco.
Y las personas tienen unas ganas locas de estar en todas partes y registrados en cuanta web exista de red social. No sera por la soledad real en que estan?
Con razon mi mujer me dice que prefiere la sencillez y con ella mi vida vuelve al equilibrio para no correr el riesgo de volverme loco si sigo asi. :-)
saludos.
At. Oswaldo
De cualquier modo, Gorki, si tu le das tus datos a una empresa y la autorizas expresamente a que los ceda a determinadas empresas («tal empresa y tal otra») para el envío de publicidad a tu casa, no hay ningún problema en eso.
Estoy de acuerdo en que la gente no está demasiado preocupada por qué pasa con sus datos, y que la mayoría de denuncias (y multas) de la AEPG vienen generadas por «calentones» del usuario con el servicio y la empresa, más que por concienciamiento. Pero eso no quita que si tu denuncias a una empresa por mala gestión de tus DCP, hay una ley y una agencia que investiga el caso e impone sanción cuando lo considera pertinente.
Vaya vaya, hablando de robos de identidades online http://www.securitybydefault.com/2008/05/fnmt-insecure-by-default.html
Creo que ahí está la cuestión: ¿porqué la gente no se preocupa sobre su privacidad?¿porqué «donan» sus datos sin saber que detrás existe un suculento negocio?
Más reflexiones sobre el tema en:
http://destapaelcontrol.blogspot.com/
http://uncovering-ctrl.blogspot.com
Enrique: recomiendo conocer la propuesta del Prof. Viktor Mayer-Schoenberger, quien propone que la informacion tenga fecha de caducidad justamente por estos riesgos que mencionas.
A partir de un reportaje que le hice, Enrique Quagliano lanzo la campaña «Reinventando el olvido en internet», para ayudar a concientizar sobre el tema de la informacion personal en internet.
La propuesta de Viktor Mayer-Schoenberger se puede ver en www.vmsweb.net
Cordiales saludos.
Alejandro.
Muy bueno jeje!!!!!!!!!!!
Los Santos del Ruido.
La teoria del Ruido no solo te salva a ti, salva a otros.
Ejemplo:
Cuando se reciben emails de phishing (falsos emails de entidades financieras para obtener tus datos):
1) algunos incautos los proporcionan,
2) los no incautos borran el correo (se salvan ellos, pero no salvan a los incautos).
Los Santos del Ruido, por el imperativo ético de Kant, entramos en la pagina web y rellenamos todos los datos de forma razonable pero falsa.
Si muchos siguieramos este principio, los incautos se salvarian (los malos no tendrian tiempo de comprobarlo todo). Pero me temo que somos pocos, (el resto del mercado no es como nosotros).
El servicio de destrucción de documentos confidenciales, ya es gratuito en Madrid.
El reciclaje de papel, puede absorber el coste de este servicio, contribuyendo activamente a la protección de nuestro entorno.
Reciclajes Dolaf ofrece sus servicios de destrucción de documentación confidencial o con datos personales, de forma totalmente gratuita, para todo el material depositado en su planta de Madrid (C/Septiembre, 1). Esta destrucción de papel, se realiza en diminutas partículas normalizadas (DIN32757) de diámetro inferior a 30 mm. El proceso se lleva a cabo en presencia del interesado si así lo requiere, y finaliza con la emisión de un certificado por parte de la empresa, que incluye todos los datos relativos al servicio.
La correcta eliminación de los datos personales recogidos en cualquier soporte cuando se convierte en un residuo, es un aspecto crucial en el cumplimiento de la Ley Orgánica de Protección de Datos, y del reglamento que la desarrolla. No en vano, la mayor parte de las sanciones impuestas por la Agencia Española de Protección de Datos –AEPD-, tienen su origen en la aparición de documentos residuales con información de este tipo (historiales clínicos, Currículos, expedientes judiciales…) en lugares impropios y al alcance de cualquiera. Toda documentación que contiene datos personales, en algún momento deja de ser de utilidad para su productor, y se convierte en un residuo que hay que eliminar, pero que contiene intacta toda la información original, a no ser que se proceda a su debida destrucción.
La valorización del material –PAPEL- mediante su reciclaje, implica además un gesto altamente respetuoso con el medio ambiente, reduciendo significativamente el impacto ambiental derivado de la fabricación de papel. Así pues, por cada tonelada de papel que reciclamos, reducimos unos 2m3 la ocupación en vertederos, reducimos las emisiones de CO2 en 900 Kgs., evitamos la tala de unos 13 árboles adultos, ahorramos140 litros de petróleo y ahorramos 50m3 de agua (fuente ASPAPEL).