Uno de los antivirus más populares del mundo está vendiendo los datos de sus usuarios. En una contradicción a lo que se espera de una compañía centrada en protección informática, Avast ha sido señalada de vender esta información a compañías como Google, Home Depot, Microsoft y Pepsi, entre otras empresas. El reporte fue entregado por una investigación de Motherboard y PCMag.

El modelo empleado por la compañía es el siguiente. Avast recopilaba información de sus antivirus. Luego se la entregaba a una subsidiaría llamada Jumpshot. Era allí dónde los datos de los usuarios eran vendidos a las compañías antes mencionados, según la investigación, por millones de dólares.

La investigación además indica que la información que Avast vendía era amplia y completa. De hecho, Jumpshot ofrecía ‘paquetes’ a las compañías que les permitían enfocarse en su necesidad ¿Querían saber qué estaban buscando los usuarios? Los datos recolectados incluían qué se estaba buscando, además de palabras y los resultados a los estaban ingresando. Productos similares ofrecían acceso a qué videos se veían en YouTube, Facebook o Instagram.

Te puede interesar: Las empresas tienen datos monetizables pero no saben usarlos

Una de las compras más preocupantes fue a través de un acuerdo con Omnicom, una compañía enfocada en marketing. Jumpshot le ofreció un paquete ‘All Clicks’ (traducido como ‘todos los clics’ en español), que contenía datos de cada clic de los usuarios de Avast, pero más importante, que incluía el ID de los dispositivos que fueron utilizados para ingresar a estos portales, así como la URL de los sitios visitados, edad y género del visitante (que era información inferida). Toda esta información era solicitada como parte de los contratos firmados.

De nuevo, la investigación afirma que esta información fue vendida o estaba siendo ofrecida a clientes potenciales, pasados y presentes como Expedia, Intuit, Keurig, Condé Nast, Sephora, Loreal Google, Home Depot, Microsoft y Pepsi. Por el momento, Microsoft ha sido una de las pocas compañías en comentar su relación con Jumpshot, afirmando que actualmente no tiene una relación con esta empresa.

La pregunta entonces es ¿Sabían los usuarios que estos datos estaban siendo recolectados? Sí. El servicio les pedía a los usuarios que aceptaran esta recolección. El problema está en que la investigación descubrió que muchos no conocían que sus datos estaban siendo vendidos a través de la subsidiaria.

Te puede interesar: datos de influencers y famosos de Instagram se filtraron en internet

No es la primera vez que Avast se ha visto en problema por recolectar y vender esta información. Meses atrás el servicio tuvo que retirar su extensión de Mozilla (así como otros productos de Avast) cuando se descubrió que estaban recolectando mucha más información de la que necesitaban. Un momento que le costó a la empresa el escrutinio público. “Descontinuamos por completo la práctica de usar cualquier dato de las extensiones del navegador para cualquier otro propósito que no sea el motor de seguridad central, incluido el intercambio con Jumpshot”, dijo la compañía en un comunicado, aunque parece ahora que esta declaración omitía el agujero legar de que todavía lo estaban haciendo a través de su subsidiaria Jumpshot.

Imágenes: Montaje ENTER.CO

Del 5 al 25 de octubre, la Superintendencia de Industria y Comercio (SIC) estará realizando diferentes jornadas de capacitación sobre el Registro Nacional de Bases de Datos en varias ciudades del país.

Estos espacios se presentan faltando menos de un mes para cumplirse la fecha límite que tienen las empresas para registrar sus bases de datos. A continuación te compartimos las horas y lugares en donde se llevarán a cabo:

SAN ANDRÉS

Fecha: 5 de octubre.

Lugar: Cámara de Comercio de San Andrés, Providencia y Santa Catalina (Av. Francisco Newball N° 4A – 20 Piso 2)

Hora: 2:00 – 4:00 p.m

CÚCUTA

Fecha: 11 de octubre.

Lugar: Cámara de Comercio de Cúcuta (Auditorio Piso 2 CC Cra 10 No 4-38 Torre B)

Hora: 9:00 – 11:00 a.m

ARAUCA

Fecha: 13 de octubre.

Lugar: Cámara de Comercio de Arauca (Cra 25 No. 18A – 49 Auditorio Carlos Isael Gaona)

Hora: 8:00 – 9:00 a.m

NEIVA

Fecha: 20 de octubre.

Lugar: Cámara de Comercio de Neiva (Carrera 5 No. 10 – 38 piso 3)

Hora: 8:30 – 10:30 a.m

CASANARE

Fecha: 21 de octubre.

Lugar: Cámara de Comercio de Casanare (Diagonal 16 N° 14-08)

Hora: 10 a.m – 12:00 m.

PASTO

Fecha: 24 de octubre.

Lugar: Cámara de Comercio de Pasto (Calle 18 N° 28-84)

Hora: 10:00 a.m – 12.00 m.

MANIZALES

Fecha: 25 de octubre.

Lugar: Cámara de Comercio de Manizales (Carrera 23 N° 26-60)

Hora: 9:00 – 11:00 a.m

Así mismo, este jueves 13 de octubre –a partir de las 9:00 a.m.– la SIC estará resolviendo inquietudes sobre el proceso de registro a través de un chat en línea. Es la segunda vez que se desarrolla esta actividad, ya que el 12 de julio, voceros de esta entidad conversaron con más de 32 usuarios conectados desde Bogotá, Cali, Medellín, Ibagué, Barranquilla, Envigado, Santa Marta y Villavicencio.

Imagen: Pixabay.

El 8 de noviembre se vence el plazo para que las empresas registren sus bases de datos en el Registro Nacional de Bases de Datos (RNDB) de la Superintendencia de Industria y Comercio.

Dicha obligación responde a una ley (la ley 1581 de 2012) cuyo objetivo es darle cumplimiento al derecho constitucional que tienen todas las personas de conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, además de los demás derechos, libertades y garantías constitucionales consignadas en el artículo 15 de la Constitución Política, y el derecho a la información consagrado en el artículo 20 de la misma.

Para que evites sanciones por no registrar las bases de datos de tu empresa a tiempo, o irregularidades al momento de realizar el registro, la Superintendencia de Industria y Comercio recomienda leer el Manual de Usuario del Registro Nacional de Bases de Datos, en donde se describe paso a paso el proceso que debes seguir para cumplir con este tarea.

Pero, debido a que el registro implica organizar las bases de datos de la empresa con anterioridad, manejar contraseñas y administrar usuarios, algunos especialistas en seguridad de la información como John Edison Martínez, -gerente de desarrollo de negocio de Password- recomiendan tener en cuenta los siguientes aspectos antes de realizar el registro:

1. Identifica las bases de datos en donde tu organización registra los datos de personas naturales, tales como nombre, cédula, correo electrónico, números de teléfono o celular, género, fecha de nacimiento, entre otros.

2. Antes de proceder con el registro, asegúrate de que en tu empresa se garantice el uso correcto y responsable de esta información. Para ello, es necesario tener claro cómo se obtuvieron esos datos, en qué momento se van a utilizar, cuáles son las políticas de protección de datos de tu compañía y qué estrategias se llevan a cabo para socializar dicha política con los empleados de tu empresa que tienen que manejar o gestionar estos datos.

3. Define un procedimiento para obtener la autorización de las personas, antes de recibir sus datos. Este procedimiento debe incluir una explicación clara para el usuario acerca de cómo serán utilizados sus datos en tu empresa.

4. Infórmate sobre los riesgos a los que podrían estar expuestos los datos personales en tu organización, y establece las medidas tecnológicas o físicas que pueden proteger la información ante dichos riesgos.

5. Diseña un manual interno de procedimientos y políticas, para cumplir con la ley de protección de datos, y delega a una persona que le pueda hacer seguimiento al tema.

6. Finalmente, registra las bases de datos personales en la página indicada por la Superintendencia de Industria y Comercio  en el tiempo establecido.

Imagen: Pexels.

Por: German Realpe*

En los últimos días, muchas personas se han dado cuenta como en periódicos de amplia circulación nacional, correos electrónicos y en redes sociales, se informa a las personas sobre la aplicación de la Ley 1581 de 2012 y el Decreto 1377 de 2013, o ley de datos personales. Los avisos publicados por empresas en diferentes sectores le informan a sus clientes, empleados y proveedores, que tienen sus datos personales y que si no está interesado en que se usen, administren o gestionen en cualquier momento puede hacer uso del derecho fundamental de habeas data.

Este derecho consiste en conocer, actualizar y rectificar las informaciones que se hayan recogido sobre las personas en bancos de datos y en archivos de entidades públicas y privadas. (Artículo 15, Constitución Nacional)

Se debe resaltar, para los que no conocen el tema, que en Octubre de 2012 se expidió la ley de datos personales (Ley 1581 de 2012), la cual da una serie de obligaciones a todo tipo de empresas públicas y privadas, entre ellas:

• Contar con políticas de protección de datos.
• Tener mecanismos para actualizar, eliminar y consultar los datos personales.
• Contar con la autorización del titular de manera expresa e informada, ya sea de forma física o electrónica.
• Proteger los datos personales de niños, niñas y adolescentes.
• Utilizar mecanismos de seguridad para el manejo de datos personales y sensibles.

 La Ley 1581 daba un plazo, de 6 meses para adecuar las obligaciones legales, el cual se venció en abril.

Como la Ley 1581 de 2012 ordenaba reglamentar algunos puntos en el manejo de datos personales, se expidió, el 27 de junio, el Decreto 1377 de 2013, el cual reglamenta parcialmente la ley de datos personales, y resalta que:

• Se debe contar con avisos de privacidad, que es una comunicación verbal o escrita que informa sobre la existencia de las políticas de protección de datos.
• Las empresas deben tener prueba de la autorización del titular para el manejo de datos personales.
• La autorización también se puede obtener por mecanismos técnicos que faciliten al titular su manifestación automatizada.
• Los encargados de tratamiento de datos deben implementar mecanismos gratuitos, y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
• Otras obligaciones y derechos que se pueden ver en el decreto 1377.

Una de las preguntas que muchos se hacen, es: ¿qué pasa con los datos que se recogieron antes de la expedición de la ley y el decreto?

El artículo 10 da una solución que para muchos es acertada pero que genera muchas dudas. El decreto menciona que si se genera una carga desproporcionada para recoger la autorización, se podrá implementar mecanismos alternos para los efectos dispuestos en el numeral 1, tales como diarios de amplia circulación nacional, diarios locales o revistas, página de Internet del responsable, carteles informativos, entre otros, e informar al respecto a la Superintendencia de Industria y Comercio, dentro de los cinco días siguientes a su implementación.

El problema que se ha generado

Los últimos días los distintos diarios de circulación nacional se han llenado de avisos para dar cumplimiento al decreto. Por ejemplo, El Tiempo registro más de 10 de avisos en un solo día. En primer lugar se debe decir que se está confundiendo el aviso de privacidad con las políticas o la autorización. Algunas empresas lo están enviando por correo electrónico más de 4 veces al día, por lo que se convierte en spam.

Se debe resaltar que el mecanismo de aviso de prensa solo se debe usar cuando exista una carga desproporcionada. Existen otras formas para comunicar a los usuarios la política de manera eficiente.

Otras empresas están generando cargas absurdas para los usuarios. Ese el caso de operadores de telefonía, que dicen que los usuarios tienen que acercarse a sus oficinas o  centros de servicios. Uno de los avisos en circulación decía que esto también facultaba a entregar datos a terceros, desconociendo por completo el principio de finalidad que menciona la ley.

Que un usuario no llame, no escriba o se de baja a un correo electrónico, no significa que este dando su consentimiento o autorización para el manejo de datos. Otras empresas publican el aviso y no tienen políticas o mecanismos de protección de datos personales.

La protección de datos no se hace de la noche a la mañana, la ley impone una obligación de control constante. En cualquier momento, el usuario puede exigir que su información sea eliminada –o actualizada- de la base de datos.

La protección de datos no debe verse solo por estos días que está de moda el decreto. Colombia se encuentra en una nueva era de protección de datos, que debe analizarse, asumirse, asesorarse  y cumplirse con la debida calma.

______

* Consultor en Derecho Informático, Seguridad de la Información, Protección de Datos y Cloud Computing. Columnista revista impresa ENTER. CEO de Cloud Seguro.