Avui, 18 de novembre de 2019, tots els vostres moviments seran rastrejats

És així. Si teniu contracte de mòbil amb Movistar, Vodafone o Orange, tots els vostres moviments seran observats i ordenats per fer una estatística sobre mobilitat. Això passarà avui i durant vuit dies més. Els vostres i els de tots els usuaris d’aquestes companyies. El 18 de novembre és el primer dia d’una sèrie: el 18, 19, 20, 21 i 24 de novembre, 25 de desembre, 20 de juliol i 15 d’agost. És una operació de l’Institut d’Estatística espanyol (INE), pel qual obtindran les dades de localització de tots els usuaris d’aquestes operadores, que són les principals.

La bona notícia per a tots: que aquesta vegada ens n’hem assabentat. La bona notícia per a nosaltres, activistes de drets digitals: que vegeu que no som boigs. Compte: som absolutament favorables als usos estatístics, però no al fet que s’usi la gent com a conillet d’Índies sense que ho sàpiga, sense que sàpiga com i sense que hi hagi donat un consentiment realment informat.

Com que ha sortit a la llum, les autoritats al·leguen que les dades que tractarà l’INE hauran estat ‘anonimitzades’, per la qual cosa deixen de ser dades personals i, per tant, no els aplica la regulació de protecció de dades. És a dir: diuen que és legal, com si això fos una bona notícia.

Què vol dir ‘anonimitzades’? Les operadores saben a qui correspon cada moviment reportat perquè saben a quina antena o repetidor es connecta el nostre telèfon a cada moment per rebre cobertura (i, a més, per llei han de guardar aquestes dades un any perquè es puguin usar per a resoldre crims). En principi, en teoria i grosso modo, ‘anonimitzades’ vol dir que les operadores passen aquesta informació a l’INE eliminant qui ha fet el moviment objecte d’estudi. Per tant –diuen–, el ‘responsable del tractament de les dades personals’ no serà l’INE sinó l’operadora.

L’ús estatístic és un dels usos que la llei –Llei orgànica de Protecció de Dades i Reglament General de Protecció de Dades (RGPD), article 89, que permet el tractament amb finalitats d’arxivament en interès públic, finalitats de recerca científica o històrica o finalitats estatístiques– considera legítims gairebé per defecte en el tractament de dades personals. És a dir, que quan vam contractar el servei de telefonia gairebé amb tota seguretat ens van demanar el consentiment per a fer ús estatístic de les nostres dades i segurament la majoria el vam donar. El vam donar a l’operadora, no a l’INE.

D’una altra banda, l’INE es troba facultat per la llei (la 12/1989, de 9 de maig, de la Funció Estatística Pública) a sol·licitar ‘dades de totes les persones físiques i jurídiques, nacionals i estrangeres, residents a Espanya’.

Alguns analistes diuen que la llei (ai, la llei!: en aquest cas la 25/2007, de 18 d’octubre, de Conservació de Dades Relatives a les Comunicacions Electròniques i a les Xarxes Públiques de Comunicacions) indica que les dades de localització només podran ser cedides prèvia autorització judicial, per la qual cosa l’INE no en té l’autorització.

Nosaltres creiem que no és així, que això és legal i ben legal; i la qüestió no és si és legal o no, sinó que no hauria de ser-ho. O almenys no d’aquesta manera.

L’INE explica que el tractament es fa en interès públic, cosa que fins i tot ens creiem. No obstant això, els matisos importen, perquè ‘anonimitzat’ no és anònim.

Exposem dos exemples que han circulat per les xarxes aquests dies. L’agost del 2006 es va fer públic el registre de consultes del cercador AOL, que se suposaven anònimes, però eren fàcilment identificables. En un article de The New York Times una dona es va reconèixer clarament en aquest registre i se’n va sorprendre perquè, tal com va dir, no imaginava que algú mirés per sobre de la seva espatlla. Ella no va demandar ningú, però ho hauria pogut fer. La companyia va demanar disculpes. Ara, l’anonimat ja va quedar exposat.

Una cosa similar va passar amb Netflix, com recull Forbes, quan va facilitar dades suposadament anònimes que podien ser identificades. En aquest cas la víctima va presentar una demanda i va arribar a un acord privat amb la companyia.

Aquests dos exemples palesen que hi ha anonimització i anonimització i que, com sempre, el diable és en els detalls. Com a societat civil adulta estem tips de ser tractats com a criatures i ja n’hi ha prou que ens diguin ‘tranquils, ho fem bé i pel vostre bé’. La geolocalització és un dels elements amb què més fàcilment es pot revertir l’anonimització.

Si no ho creieu, vegeu això: un activista alemany va demanar les dades que la seva operadora havia aplegat. Per a mostrar-ho va crear una aplicació amb què podrem veure, fent zoom, tot allò que va fer durant dos dies. D’una manera sorprenent i morbosament precisa. No us ho deixeu perdre: https://www.zeit.de/datenschutz/malte-spitz-vorratsdaten.

Com indica Ricardo Baeza, Yates, Latanya Sweeney & Pierangela Samarati van demostrar en el llunyà 1998 que era possible d’identificar bastant bé el 80% de les persones usant informació pública (nom, gènere, edat, adreça).

La manera d’evitar la identificació de les persones en aquest context és l’agregació. Com més agregades són les dades, més difícil és revertir el procés. Ens diuen que l’estudi vol saber, per exemple, quan som a casa a certes hores del dia. Per a saber que som a casa, han de saber que això és casa nostra.

Si és cert que aquesta informació no arriba a l’INE, vol dir que ho ha de fer l’operadora. Què farà llavors l’INE, que, per cert, pagarà 500.000 euros per aquesta informació? En poques paraules, per quin motiu les nostres institucions consideren que poden exercir una vigilància en massa i capil·lar sense haver d’explicar detalladament com pensen fer-ho; amb quin grau d’agregació?; per part de qui?

No hauria de ser necessari que calgués que l’Agència Espanyola de Protecció de Dades intervingués per a sol·licitar informació sobre els protocols establerts entre l’INE i les operadores per a utilitzar aquestes dades, sinó que el conjunt de la població hauria de poder saber aquests detalls de manera directa i prèvia. Per exemple, hauríem de poder saber quines dades en concret rebrà l’INE, i també convindria de saber si el pagament que farà l’INE va destinat només a cobrir les despeses causades a les operadores per a la recollida de les dades (com preveu l’article 12.3 de la llei 12/1989, de 9 de maig, de la Funció Estatística Pública) o bé si les operadores obtenen cap benefici de participar en aquest estudi.

Diuen que és legal i, com he comentat abans, ho és. Com sabem prou bé, no tot allò que és legal és just. Com a societat civil activa, hem de demanar l’audibilitat del procés i els seus objectius, de manera prèvia i detallada.

Mentre no ens responguin a totes aquestes preguntes, heus aquí algunes coses que podem fer –a part de deixar el telèfon a casa aquests dies–, aplegades pel periodista José Carlos Castillo (algunes operadores consenten a desactivar el subministrament de dades anonimitzades):

«Amb Vodafone s’accedeix a l’aplicació ‘La meva Vodafone’ i a continuació podem seleccionar ‘No accepto que Vodafone cedeixi dades anonimitzades…’ mitjançant ‘El meu compte’ > ‘Permisos i preferències’ > ‘Permisos’. De la mateixa manera, la filial de baix cost de la companyia (Lowi) ho permet dins l’aplicació ‘La meva Lowi’, on seguirem la ruta ‘Configuració’ > ‘Notificacions’ > ‘Permisos i preferències’.

En el cas d’Orange el procediment ja no és tan fàcil. S’ha de formalitzar la sol·licitud mitjançant correu electrònic (orangeproteccion.datos@orange.com) o postal (a Orange España, Paseo Club Deportivo 1, Parque Empresarial la Finca, Edificio 8, 28223 Pozuelo de Alarcón, Madrid).

Amb Movistar [naturalment], no hi ha cap opció per a desistir de la cessió de dades. A Twitter la companyia al·lega: ‘Les dades que formen part d’aquest projecte són anonimitzades i per tant no seria aplicable la normativa de protecció de dades. No és necessari el consentiment de l’usuari per a això.’»

Tot legal. Pim pam.