Superindustria se une a “barrido global de privacidad” en aplicaciones móviles

• La Superindustria se unió este año a 26 autoridades nacionales de protección de datos en el Barrido Global de Privacidad, organizado por la Red Global de Vigilancia de la Privacidad (Global Privacy Enforcement Network, o GPEN por su sigla en inglés).
   
• En Colombia, la Superintendencia de Industria y Comercio (SIC) examinó veintidós (22) aplicaciones móviles locales gratuitas de empresas privadas.
   
• En total fueron examinados 1.211 programas, incluyendo aplicaciones para dispositivos Apple y Android, gratuitas, de pago, gubernamentales y comerciales.

Bogotá, D.C., 15 de Septiembre de 2014. La Superintendencia de Industria y Comercio (SIC), aceptada hace un año como miembro de la Red Global de Vigilancia de la Privacidad (Global Privacy Enforcement Network, o GPEN por su sigla en inglés) y como autoridad de protección de datos personales, se unió al Barrido Global de Privacidad, organizado por segundo año consecutivo con el fin de evaluar la información solicitada por diferentes aplicaciones móviles.

Según pudieron comprobar los participantes del barrido para la protección de la información privada a medida que los programas móviles continúan ganando una extraordinaria popularidad, muchos de ellos están pidiendo ganar acceso a grandes cantidades de información personal, sin explicar adecuadamente el uso que darán a esa información. Los resultados del rastreo efectuado en Internet permiten hacerse una idea bastante precisa sobre los tipos de permisos que algunas de las aplicaciones móviles más populares del mundo están buscando obtener y sobre el grado en que las empresas de estas informan a los consumidores sobre las prácticas que aplican en materia de protección de los datos personales.

En total fueron examinados mil doscientos once (1.211) programas, incluyendo aplicaciones para dispositivos Apple y Android, gratuitas, de pago, gubernamentales y comerciales. Dentro del grupo verificado se incluyeron desde aplicaciones para juegos, salud, ejercicio físico hasta para leer noticias y efectuar transacciones bancarias. En particular, la Superintendencia de Industria y Comercio (SIC) examinó veintidós (22) aplicaciones móviles locales gratuitas de empresas de naturaleza privada.

En su examen, la SIC y las demás autoridades examinaron entre otros aspectos, los tipos de permisos que las aplicaciones buscaban obtener; si los permisos solicitados excedían lo que se podía anticipar teniendo en cuenta la función de la aplicación en cuestión; y, de manera muy importante, la manera en que las aplicaciones explicaban a los consumidores las razones por las cuales deseaban obtener su información personal y qué uso planeaban dar a esa información.

En el barrido organizado por GPEN, efectuado del 12 al 18 de  mayo de 2014, participaron 26 autoridades responsables de aplicar las leyes de protección de datos personales provenientes de todo el mundo, 7 más que las 19 entidades del extranjero que habían participado en el barrido inaugural el año anterior. Ese aumento de participantes muestra que las autoridades encargadas de proteger los datos personales están más comprometidas que nunca con trabajar conjuntamente en la promoción de la protección de los datos personales.

Los resultados del barrido

• El 75% de todas las aplicaciones examinadas solicitaron uno o más permisos. Los más comunes fueron: ubicación del usuario, identificación del dispositivo, acceso a otras cuentas, acceso a la cámara fotográfica y acceso a la lista de contactos. La proporción de aplicaciones que solicitan permisos y la potencial vulnerabilidad vinculada con la información solicitada pone de manifiesto la necesidad de que las aplicaciones sean más transparentes.
   
• Con cerca del 59% de las aplicaciones, los participantes del barrido tuvieron enormes dificultades en encontrar, antes de la instalación, algún comunicado de la empresa en cuestión que explicara su política en materia de protección de datos personales. Antes de proceder a la instalación, muchas empresas ofrecían escasa información sobre sus motivos para recopilar o utilizar datos personales, o bien proporcionaban enlaces a páginas web que contenían políticas sobre protección de datos personales que no correspondían exactamente a la aplicación en cuestión. En otros casos, los enlaces llevaban a páginas de medios de comunicación que no funcionaban o que pedían que el usuario iniciara una sesión. En algunos casos fue difícil determinar quién era el desarrollador de la aplicación o el controlador de los datos.
   
• En el caso de casi un tercio (31%) de las aplicaciones, los participantes en el barrido expresaron inquietud sobre la índole de los permisos que eran solicitados. En efecto, estimaron que las aplicaciones solicitaban acceso a información que iba más allá de sus funciones, al menos en términos de la manera en que los participantes del barrido comprendían la aplicación en cuestión y su política sobre protección de datos personales conexa.
   
• Cerca de 43% de las aplicaciones no habían adaptado, para lectura en pantalla pequeña, sus comunicados relativos a la protección de datos personales. Los participantes en el barrido manifestaron haber encontrado políticas excesivamente extensas y redactadas en letras mayúsculas pequeñas, que obligaban a desplazar el texto en pantalla o a hacer clic en varias páginas. Entre las mejores prácticas observadas estuvieron: la utilización de ventanas emergentes; el suministro de información a varios niveles; y la notificación oportuna para informar a los usuarios sobre potenciales recopilaciones o usos de la información cuando estaban a punto de ser llevados a cabo.
   
• Sólo un reducido número (15%) de las aplicaciones examinadas suministró una explicación clara sobre la manera en que los datos personales iban a ser recopilados, utilizados y divulgados. Las aplicaciones más respetuosas de la necesidad de proteger los datos personales ofrecían explicaciones fáciles de comprender sobre los datos que la aplicación recopilaba y no recopilaba, al igual que el uso que se haría de los datos con cada permiso otorgado.

Es importante destacar que las aplicaciones de gran popularidad en el mercado se encontraban entre las aplicaciones que recibieron los puntajes más altos, demostrando con ello que cuando los consumidores reciben una explicación adecuada, la recopilación de información no repercute de manera negativa sobre el número de descargas.

Análisis de los resultados

El propósito del barrido era examinar las aplicaciones en relación con un conjunto de indicadores comunes para identificar las tendencias que podrán orientar la educación y divulgación en el futuro. No obstante y sin perjuicio de ello, cada una de las autoridades nacionales de protección de datos personales que participaron podrá decidir si continúa con un seguimiento más profundo que lleve a realizar una evaluación o investigación detallada, ponerse en contacto con el responsable del tratamiento de los datos con fines informativos y educativos, y/o adelantar acciones de supervisión. La Superintendencia de Industria y Comercio (SIC) continuará haciendo seguimiento a las aplicaciones evaluadas con el fin de garantizar el respeto al derecho de protección de datos de los usuarios.

Acerca de la Red Global de Vigilancia de la Privacidad (GPEN)

La Red Global de Vigilancia de la Privacidad (Global Privacy Enforcement Network, o GPEN por su sigla en inglés) fue creada en 2010 por recomendación de la Organización para la Cooperación y el Desarrollo Económico (OCDE). Su objetivo es facilitar la cooperación transfronteriza entre las autoridades responsables de la protección de la privacidad en un mercado mundial donde las actividades del comercio y de los consumidores dependen del flujo ininterrumpido de información personal entre las fronteras. Sus integrantes buscan unir fuerzas para fortalecer las salvaguardas que protegen los datos personales en dicho contexto mundial. Esta red informal está integrada por 51 autoridades encargadas de aplicar la legislación sobre privacidad en 39 jurisdicciones repartidas por todo el planeta.