Entrevista con Cynthia Solís. Socia fundadora de Lexinf IT Legal Advisory
“Facebook no vende los datos personales de cada usuario, lo que ocurre es que a través de analítica Facebook se entera de las cosas que le gustan o interesan a cada usuario, que suman millones, por lo cual a ese mismo usuario le llega publicidad sobre esos mismos productos.”
¿Cuáles fueron los términos y las políticas de WhatsApp que cambiaron?
Quienes nos dedicamos al tema de protección de datos personales hemos insistido constantemente en entender cómo se tratan nuestros datos. La buena noticia de los cambios en los términos y las políticas de WhatsApp es que más gente se empezó a interesar por las políticas de privacidad.
¿Qué fue lo que cambió? El ecosistema Facebook, es decir, la serie de empresas que fueron adquiridas por esta empresa: Instagram, WhatsApp, entre otras, siempre ha tenido como fin la monetización de la información. Aquí es muy importante hacer una acotación, Facebook no vende los datos personales de cada usuario, lo que ocurre es que a través de analítica Facebook se entera de las cosas que le gustan o interesan a cada usuario, que suman millones, por lo cual a ese mismo usuario le llega publicidad sobre esos mismos productos. A las empresas no les interesan los datos específicos de un usuario, lo importante para éstas es tener acceso a las millones de personas que están potencialmente interesadas en comprar sus productos. Una vez que compran, se convierten en sus clientes y ya tendrán sus datos directamente.
Uno de los mitos que se generaron a raíz de estas actualizaciones a la política de privacidad era que iban a vender los datos de los usuarios. En la actualización se habla de compartir cierta información de transacciones comerciales, pero esto está más enfocado hacia una de las líneas o verticales de negocios que tienen en el ecosistema: Facebook Business, misma que funciona como una plataforma de eCommerce. De esta manera, ya tienen el flujo de la transacción, no sólo se limitan a vender publicidad y a ofrecerle a las empresas una fan page, sino que las personas que estén interesadas en adquirir productos o servicios se van al WhatsApp, finalizan la transacción y ahí mismo pagan, a través de una nueva solución: Facebook Pay. Al momento del pago obviamente se necesita información financiera para realizar la liquidación de la compra-venta a través de la propia plataforma, es decir, es necesario intercambiar información, justamente como lo hacen otras plataformas similares, PayPal, Mercado Pago, etcétera.
Desde una óptica objetiva es exactamente lo mismo que ocurre con otros eCommerce. Por ejemplo, cuando compras en Mercado Libre, la operación pasa por Mercado Pago, que aunque es una empresa del mismo grupo, sigue siendo la Fintech de Mercado Libre, de alguna u otra manera la operación se comparte con otra empresa, y luego con otra que es la empresa de mensajería que te lleva el producto a tu casa. En realidad, es algo ingenuo creer que una sola empresa te brinda el servicio completo. Compartir datos personales es algo habitual incluso en el comercio tradicional, pero se debe hacer dentro del marco de la ley, en respeto de los derechos humanos y de la protección de datos personales.
Si la información que se comparte es similar a muchas otras plataformas, ¿por qué ha sido tan sonado este caso de Whats App?
El error fue que la redacción de las nuevas reglas de WhatsApp es ambigua y no se especifican los cambios, sólo advirtieron que tendrían acceso a la información en general y la compartirían con terceros. Es decir, no tendrán acceso a los mensajes, imágenes, archivos, etcétera, porque están cifrados de punta a punta, lo que significa que un tercero no puede conocer los mensajes entre emisor y receptor. Sin embargo, puedes autorizar el acceso a tus fotos porque hay ciertas funciones que te permiten hacerlo, para eso necesitas darle acceso a la información que está en tu teléfono, lo mismo pasa con el micrófono para enviar mensajes de voz o la geolocalización.
Desde la adquisición de WhatsApp por parte de Facebook se han realizado reformas legislativas y se han creado nuevas leyes a nivel internacional. Estas legislaciones, incluyendo la mexicana, exigen transparencia, es decir, se debe advertir al usuario lo que se está haciendo con sus datos. En cumplimiento con estas obligaciones de transparencia, Facebook está obligada a transparentar sus políticas al usuario. Las dio a conocer, pero de una manera inadecuada, con una redacción ambigua, lo que da pie a malas interpretaciones sobre los alcances y los límites. El error fue no establecer una correcta comunicación y dejar una redacción ambigua.
“El error fue que la redacción de las nuevas reglas de WhatsApp es ambigua y no se especifican los cambios, sólo advirtieron que tendrían acceso a la información en general y la compartirían con terceros.”
Lo que queda claro es que, a raíz de la pandemia, muchas PYMEs migraron su venta a medios electrónicos, específicamente a Facebook porque no tienen la solvencia económica para comercializar sus servicios a través de su propio eCommerce, por lo cual la red social aprovechó la oportunidad para cerrar el ciclo, creó su propio servicio de pagos para ofrecer al usuario una llave en mano. Ampliaron sus posibilidades dentro del entorno business para poder ejecutar esta estrategia.
¿Qué recomendaciones darías a los usuarios para que se sientan más seguros, migrar de aplicación o simplemente restringir el acceso a la información?
Como cualquier otra plataforma WhatsApp no es 100% segura, todas son susceptibles de sufrir algún ataque externo o de otros riesgos. El problema de WhatsApp es que alcanzó millones de usuarios después de que no era tan popular, esta situación, desde un punto de vista comercial es positivo, pero nunca fue diseñado para tratar temas estrictamente confidenciales, no nació para que los usuarios puedan compartir información sensible como lo pueden ofrecer otras plataformas como Signal o Threema, aplicaciones más seguras incluso que Telegram.
WhatsApp no es segura para tratar asuntos profesionales. Si se está utilizando tampoco quiere decir que esa información esté en riesgo y además se puede hacer una migración paulatina. Si se tiene desconfianza del tratamiento de datos que hace el ecosistema Facebook, lo que se debe hacer es solicitar que se borre la cuenta de WhatsApp, desinstalar la aplicación, y hacer lo mismo con la cuenta de Facebook e Instagram, algo que es difícil porque ya estamos familiarizados con dicho ecosistema, mucho más complejo es hacerlo en tiempos de pandemia, cuando estas aplicaciones son los únicos medios que tenemos para enterarnos de manera segura sobre lo que ocurre a nuestro alrededor.
¿La información que se envía por WhatsApp se queda concentrada en un servidor, aunque los mensajes estén cifrados de punta a punta?
Almacenar la cantidad de información que se envía por WhatsApp resultaría demasiado costoso. Es correcto que la información se queda en la aplicación, pero de manera temporal, donde realmente permanece es en tu teléfono. Por eso mismo si quieres hacer un respaldo de tus conversaciones se tiene que hacer en tu nube. Algunos mensajes que no se entregan en WhatsApp se almacenan en el servidor, pero se eliminan cuando se entregan.
¿Qué recomendaciones le harías a los abogados que usan este tipo de mensajería para tener más seguridad sobre su información?
Hay que recordar que dentro de las obligaciones que tenemos contenidas en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares se encuentra generar un inventario de sistemas de tratamiento. Si estamos utilizando WhatsApp para compartir información con abogados del despacho se debe tener contemplado en el inventario porque ahí está viviendo esa información y hay que generar responsivas en los contratos que tenemos celebrados con nuestro equipo, determinando que WhatsApp es el canal de comunicación y establecer las cosas que se pueden hacer y las que no, así como los límites para el equipo sobre el tipo de información que se puede enviar. En el caso de que alguien viole estas reglas se puede hacer una denuncia legal y comprobar ante la autoridad la falta que se cometió.
Recomiendo a los abogados que migren de manera paulatina a otras soluciones más seguras, hay distintas opciones, pero creo que deben escoger la que más se adapte a las actividades del despacho y con la que se sientan más cómodos y seguros, WhatsApp puede ser un canal de comunicación más cotidiano. Las malas prácticas físicas también inciden en estos casos, por ejemplo, muchas veces preferimos tomar fotos de expedientes o documentos importantes y enviarlos por aplicaciones de mensajería que sacar una fotocopia, digitalizarla y subirla a nuestro archivo, o subir directamente esa foto al archivo. Lo importante es planear mejores prácticas y políticas para dar mayor seguridad y confidencialidad al compartir este tipo de información.
Mi postura siempre ha sido en pro de la protección de la información, sin embargo, la tendencia va hacia el lado contrario, es decir, cada día se comparte más información, no necesariamente con fines ilícitos. Por esto cada día se crean más lineamientos para las políticas de gobernanza de la información. Por ejemplo, el 25 de noviembre de 2020, la Unión Europea emitió un acta de gobernanza de la información donde se establece la manera en la que se debe transferir esta información y para qué se va a usar, como consecuencia de que tanto corporaciones como los gobiernos se han dado cuenta de la importancia del análisis de estos datos. Como ya dije anteriormente, no son importantes los datos particulares de los usuarios, sino el análisis de lo que comparten millones de usuarios, cómo esas poblaciones se van desplazando, sus tendencias y hábitos.
Se tiene que considerar este tema de manera global. La protección de datos personales es fundamental para una estrategia de ciberseguridad, mientras no seamos conscientes de los activos que tenemos, no se puede implementar una estrategia correcta de ciberseguridad. Se deben identificar los puntos débiles de una empresa o despacho, dónde se encuentra la información más sensible, de esta manera, en caso de un ataque cibernético, se puede identificar con mayor rapidez cuál fue la información vulnerada y remediarla.
¿Algunas consideraciones finales que quieras hacer?
Este tipo de situaciones sirven para que nos demos cuenta de lo importante que es cuidar nuestra información. Tenemos enfrente dos derechos independientes, el de la privacidad y el de la protección de datos personales, pero están íntimamente ligados. Entre más difusión de información y datos personales hagamos, nuestro ámbito privado se va acotando, aunque sea de facto. Recomiendo a los usuarios investigar para qué sirven cada una de las plataformas, utilizar la herramienta idónea para cada tipo de información que envíen, tener una plataforma específica para gestión de expedientes y otra para comunicación oficial.
“Recomiendo a los abogados que migren de manera paulatina a otras soluciones más seguras, deben escoger la que más se adapte a las actividades del despacho y con la que se sientan más cómodos y seguros.”
La recomendación más importante que hago es no compartir a través de ninguna aplicación de mensajes información extremadamente sensible o que pueda comprometer, es importante autolimitarnos. Independientemente de que las empresas están obligadas a dar seguridad a nuestra información es mejor no generarla porque ninguna herramienta es 100% segura, incluso en Google hay miles de conversaciones que han sido expuestas por los propios usuarios. Cuando se expone la información es imposible borrarla por completo.
Ve la entrevista completa
