La empresa y las RRSS del candidato: Opinión 2/2017

Buenas noches/madrugadas, Lopder@s.

No me considero una persona excesivamente mística (un poco supersticiosa sí, en algunas cosas puntuales que otros llamarán manías), pero hoy debo confesaros que el tema del post me ha venido rodado, y todo ha empezado a raíz de una breve conversación que tuve esta tarde con una toguita muy maja del norte: @therearW. El caso es que tras hablar con ella un poco sobre la incidencia de las RRSS en el contexto laboral, al llegar a casa me he encontrado, en lo que hacía aquello que he bautizado como iurisfrikear (no tengo una definición "entendible"), con este documento: Opinion 2/2017 on data processing at work - wp249 . Como me pierde la curiosidad, no he podido evitar abrirlo y ponerme a leerlo, e, inevitablemente, mi conversación de esta tarde con Irati me ha venido a la mente al llegar a este punto: "Processing operations during the recruitment process". Pero es que hay más, resulta que el documento también tiene este otro punto: "Processing operations resulting from in-employment screening" que quiero dejar aquí sutilmente con la intención de hacer un segundo post sobre él. ;-)

Para esta entrada, como decía, me voy a centrar en el tratamiento de datos relacionados con las RRSS sobre los candidatos a un empleo. Esto que queda tan "formal" en el papel se resume en lo siguiente: Mandas tu CV a una empresa para optar a uno de los puestos que ofrece y, el empresario/equipo de selección, pone tu nombre en Google o accede al perfil que tú mism@ pones en el CV y... pues ya sabes: ve más información de la que quizás desearías. Y esa información quizás puede jugar en tu contra en función de muchas variables. 

Cuando pienso en esto, me vienen a la mente los eternos debates que tengo con una de mis mejores amigas, que es, digamos, una crack en esto de la selección de personal. No son pocas las veces que hemos charlado sobre la importancia de poner o no la foto en el CV o si es interesante/legítimo para la empresa conocer cosas del candidato que no están relacionadas directamente con el puesto que desea conseguir. Es un tema complicado en el que caben mil aristas o posturas. Si tengo que "mojarme", taxativamente diré que todo depende en la vida,y que honestamente, nunca me han gustado los argumentos que culpabilizan a la víctima (desde el "no haber firmado" hasta el "se lo buscó"). No olvidemos que el candidato muchas veces está en una posición de inferioridad,y más en un contexto económico y social como el que vivimos. Más adelante,con un ejemplo un poco "especial", lo explicaré más gráficamente. No obstante, hay que tener en cuenta muchas cosas: desde el puesto en sí hasta el cuidado que tenga el candidato a la hora de cuidar su reputación online o la "curiosidad" que tenga el seleccionador en el perfil que le interesa para su empresa (en el que también entra otra reputación: la corporativa, porque la contratación puede tener cierta incidencia - positiva o negativa- para ella). El tema es que es un tema un poco espinoso por las aristas que tiene: una especie de macedonia en el que el límite entre la vida personal y la profesional cada vez es más difuso, ya que acaban interactuando muy estrechamente gracias a la red de redes (y el popurrí entre derechos e intereses, legítimos o no, es de aúpa).

El documento pone de inicio el punto en el hecho de que el acceso o no a ellos depende de las configuraciones de privacidad que haya establecido el candidato sobre sus perfiles en RRSS. Esto es un poco simple en inicio (aunque realmente la cosa se complica si pensamos en lo fácil que es hacer un pantallazo de un perfil "cerrado" y hacerlo "público" a la fuerza, por ejemplo, pero no quiero emparanoiar a nadie; solo lo dejo por aquí y cada uno que, simplemente, reflexione 😉): si tus perfiles están "abiertos" a todo kiski, será más sencillo su consulta. Otra cosa es que nos planteemos la legitimidad o no de "auto-invitarse" a una casa que te has encontrado con la puerta abierta: de sentarte en su mullido sofá, ver qué libros o películas tiene o interesarte por su álbum familiar. Si haces todo eso, ya tendrás una idea muy "completa" sobre el propietario de la casa: desde sus intereses o gustos (¿la Historia, quizás?) hasta que le gusta ir de caza, en caso de que en el álbum familiar te encuentres una foto en la que el propietario aparezca, sonriente, posando con un rifle y un elefante muerto. El problema es que igual al que tiene que decantarse por ti no le gusta demasiado eso de la caza, y no creo que vayas a tener la oportunidad ni de decirle: un "lo siento mucho, no volverá a pasar", ya que probablemente no vas a enterarte de que estuvo allí. Al igual que el infiltrado en tu casa, el infiltrado en tus RRSS no parece que vaya a dejar huella: entrará, oteará y saldrá sin hacer ruido ni descolocar el jarrón chino que tienes en la estantería, pero se irá con una idea sobre ti que es posible que no tenga nada que ver con la imagen que tú le quisieras dar en la entrevista: en función de lo que vea y de cómo perciba eso que ve, serás descartado o invitado a entrevista. Cruza los dedos. 😒. En este caso, el documento indica también que el hecho de que los perfiles estén abiertos, no implica un acceso libre para ellos; lo de siempre: que esté en internet, no implica "gratis" ni "sin dueño" ni "regalo" ni "objeto perdido", recordando algo lógico: los datos que tratemos (y recuerden en este punto la amplitud del concepto "tratamiento") deben ser los exactos y necesarios para la finalidad concreta. Por ejemplo: ¿es relevante que, para un puesto meramente administrativo, el candidato haya estado en Italia? ¿lo es para un puesto de presentador de TV que el candidato es un friki de Harry Potter? Lo que decía: muchas aristas y matices.

El documento pone el foco también en que el empleador debe: 

1) Borrar todo tipo de datos recopilados sobre un candidato que no le convenza o que le rechace la oferta de empleo.

Esto que parece un poco obvio, no se cumple en general, porque muchas empresas guardan y guardan y guardan "por si acaso" toneladas de CV´s en sus sistemas. Es como cuando tu madre te pone la chaqueta encima antes de que salgas de casa y te dice: "por si acaso luego refresca", y ves que hay un olorro de calor como el que estamos pasando estos días. Madres del mundo: no va a venir una Glaciación en lo que sale el niño a la calle; Empresas del mundo: si no os interesa, no les tengas ahí "por si acaso" hasta que venga la Glaciación.

2) Informar al candidato (sobre todo en la oferta de empleo), de los tratamientos de datos que va a realizar sobre su información personal (a los efectos de que éste pueda decidir libremente si presentar su candidatura o no teniendo en cuenta no sólo el puesto en sí, sino lo que va a hacer el empleado con sus datos y sobre qué datos lo va a hacer). Conozco un caso de un despacho de cracks que hace algo parecido; si alguno de los integrantes lee estepost, sabrá que me refiero a ellos (y espero que me salude, ya que tenemos alguna que otra interacción por twitter, por cierto). 😏

3) Por último, recuerda el documento que no hay base legal a la que el seleccionador o la empresa se pueda agarrar para que el candidato se vea obligado a "permitir" el acceso de cualquiera de ellos a sus perfiles personales. Es decir: que, legalmente, tienes todo el derecho del mundo a rechazar esa invitación a ser amigos. Otra cosa son las repercusiones que pueda tener, pero, legalmente, no hay a qué agarrarse para sentirte obligado a abrir la veda.

Para finalizar, quiero hacer un llamamiento a la cordura tanto de candidatos como de empresas; los primeros, en la elección sobre accesibilidad general de su perfil (trastead los botoncitos sobre las configuraciones de privacidad, que os creéis que son como los intermitentes del coche: INTOCABLES) e, incluso, sobre la decisión o no de tener perfiles con sus datos completos y exactos; y a las empresas: "abierto" no es una invitación y valoren, a poder ser, los CV´S, que para algo la gente se los trabaja. Recordemos que, a día de hoy (y más con el estado en general del trabajo en España), el candidato está en una posición de clara inferioridad debido al desconocimiento o a la necesidad pura de trabajar. Seamos un poco lógicos y no invasivos.

Y hasta aquí llega el post; espero que os haya parecido interesante.

Un saludo y muchas gracias por pasar por aquí!

El taparrabos no le queda bien a nadie:que no se ponga de moda la Ley de la Selva

Hola de nuevo, lopder@s.

Este post no va a ser jurídico: va a ser "reflexivo". Por casualidad me he encontrado con una noticia que me ha motivado para quitarme la bendita pereza del verano y ponerme delante del netbook a escribir.  La noticia la podéis ver aquí: http://tuoitrenews.vn/society/36591/tracking-devices-sold-used-openly-in-vietnam-despite-privacy-concerns .

Si te da pereza leer en inglés o, incluso, darle al traductor, te voy a contar de qué va: en Vietnam se están vendiendo a mansalva dispositivos de seguimiento que rastrean la ubicación de otras personas sin que éstas se enteren. Por lo que dice la propia noticia, el chismito tiene una buena demanda de esposas que lo utilizan para saber dónde andan sus mariditos. Unos reporteros hicieron un pedido de estos dispositivos y el pack no tardó en llegar: a los 3 días recibieron su paquete, lo pusieron en marcha y enseguida recibieron un link a un sitio chino que muestra la ubicación deseada. Sí: a un sitio chino. Por si fuera poco, el inventito este tan majo también funciona como grabadora; es decir: no sólo accedes a la ubicación del pobre espiado sin que se entere, es que encima puedes grabar y enterarte de lo que pasa a su alrededor.

Analicemos la situación:

1) Le ponemos una especie de chip a una persona sin su consentimiento (incluso con él o hasta con su aprobación, la cosa me parece más que cuestionable).

2) Nos enteramos de lo que pasa a su alrededor (que puede ser cualquier cosa: desde que nos enteremos de la fórmula de la Coca Cola hasta que conozcamos con pelos y señales la opinión de un ajeno sobre alguien).

Dejando aparte las cuestiones legales que plantea esto (que no son pocas), vamos a pensar en las cuestiones éticas que se nos plantean: La primera palabra que se me viene a la cabeza es "confianza". Es una palabra que se está perdiendo, como los nombres clásicos tipo Agapito o Angustias. El problema no es que se pierda la palabra en sí, si no que se pierde el concepto. Y que se pierda el concepto es una tragedia; creo que cualquiera estará de acuerdo en esto conmigo. La confianza puede ser algo muy frágil y complicado de conseguir, casi como el último Horrocrux de Harry Potter. La confianza no se gana de un día para otro, hay que combinar paciencia, un poco de fe y mucho, mucho trabajo. La curiosidad humana es tan natural como el sol, pero nuestra condición humana hace que tengamos herramientas para ser racionales y controlar esa curiosidad. Esas herramientas son los valores. Los valores hacen que no le sises el juguete a tu compi en la guardería cuando empiezas a abrirte al mundo y a lo que significa compartir espacios, bienes y momentos. Los valores hacen que aparezca Pepito Grillo cuando tus instintos más básicos aparecen, y los sepas controlarlos. En definitiva: los valores hacen que abandonemos la Ley de la Selva. Cuando leo estas noticias, me siento como si estuviera en medio de la jungla, necesitando estar permanentemente alerta para no ser agredida. Antes las agresiones te venían de forma que las veías venir, ahora las agresiones son silenciosas: cualquiera puede atacar cosas tan importantes como nuestra libertad, nuestra intimidad y nuestra privacidad sin que nos enteremos. Hemos pasado de un poder incontrolado ostentado por lo que eran pseudo-Gobiernos, dictadores terribles o déspotas monarcas a que asumamos con naturalidad que empresas privadas sepan nuestros movimientos o lean nuestros emails. Ahora parece que damos un paso más: tu vecino, tu jefe, tu padre, tu novio o el panadero pueden instalarte unos ojos y unas orejas sin que te enteres. 

Por cierto, casualmente también, leo con especial interés la entrevista publicada hoy en un famoso periódico digital al Juez Calatayud. Es imposible no haber oído hablar de este gran Juez, y debo confesar que le profeso una gran admiración, y más tras haber acudido a escucharle en algunas de sus ponencias. Me gusta la gente que habla claro, que no se anda con florituras, y el Juez Calatayud está en esa lista de personas que no usan eufemismos. Por esto, me causa simpatía además de la admiración que os comentaba. Poniendo esto por delante, tengo que ser sincera conmigo misma y confesar que hay cosas con la entrevista en las que no estoy de acuerdo, o al menos no del todo. El titular de la entrevista es: "Hay que violar la intimidad de nuestros hijos" y, si te paras a leer la entrevista, efectivamente, es lo que pone. Yo no creo que sea un buen mensaje inicial, aunque entiendo que, dado el contexto de la entrevista (Juez que habla desde la perspectiva de los casos que ha visto, la mayoría durísimos), entiendo que hay que leer esta frase dentro de situaciones pseudo-extremas. Yo no creo que haya que violar la intimidad de nadie de inicio y por las buenas; tiendo a pensar que para llegar a eso hay que haber explorado otras vías, e, incluso, podría hasta auto-rebatirme esta frase. Tampoco creo que esto signifique que tengas que ponerte el disfraz de amigo de tu hijo y soltar el lastre de ser padre; de hecho, esto me constó algún conflicto familiar propio con mis padres cuando, siendo adolescente, les explicaba que yo no podría contarles todo lo que pasaba por mi mente precisamente por eso, porque eran mis padres. Pero es que tampoco les contaba todo a mis amigos; creo que prácticamente todos gestionábamos la información casi calcando el método de Google Plus y sus círculos: filtrando qué y a quién llegaba la info. Considero que este ejercicio de autofiltro me sirvió para tomar consciencia de la importancia de mi privacidad y también considero que el complicado ejercicio de trabajar la confianza evita problemas futuros (no sólo legales, claro). La confianza me la enseñaron como valor en mi casa, pero el trabajo para mantenerla es autónomo al principio (y sabemos lo complicado que es, en general, ser autónomo) y después es una tarea en equipo. Y esto no es un sistema a desarrollar en espiral: es en cascada, dado que no se puede ir hacia atrás y poner parches en diferido a las necesidades y problemas que van surgiendo (esto es un guiño a los técnicos). En definitiva: si hemos aprendido que los problemas no se arreglan a guantazos, podremos entender que tampoco se arreglan invadiendo fundo ajeno. Neguémonos a entrar de nuevo en la Selva, que a nadie le queda bien el taparrabos, con toda sinceridad. :-P 

Y hasta aquí llega el post de hoy; espero que os haya gustado. ¡Hasta la próxima!

La LOPD como paradigma de la transversalidad.

¡Hola de nuevo, querid@s lopder@s!

No son pocas las veces que me preguntan exactamente a lo que me dedico. Suelo responder, para que se me entienda más o menos, que a la LOPD, y generalmente el interlocutor suele reaccionar de dos formas:

1) Diciendo que la LOPD no la cumple ni Perry Mason, lo cual es una idea que me resulta, por una parte, frustrante y por otra, descorazonadora. Frustrante porque me hace pensar que mi trabajo no se toma en serio y descorazonadora porque pienso: "si crees eso y sigues regalando tus datos, es que es algo que no valoras". Y con esta segunda idea, vuelvo a la parte de la frustración y enlazo: No valoras tus datos = no vas a exigir a las empresas que se preocupen por este tema = me van a tomar por el pito del sereno= Frustración.

2) Afirmando con toda seguridad: "en mi trabajo/empresa no hay datos de nadie", tras lo cual mi respuesta suele ser: "¿no tenéis clientes?" y el ávido interlocutor suele responder: "sí, pero lo único que tengo es el nombre y el DNI, no tengo datos del banco, así que eso no cuenta". Mi cara suele ser una Oda a la Paciencia (la lucha por el nivel de seguridad de los datos bancarios empiezo a darla por perdida) , pero reconozco que, dependiendo de la situación en la que me encuentre y las ganas que tenga de hablar de trabajo, suelo optar o por empezar a decirle todos los datos los que sospecho que hay en su negocio o bien, vuelvo a eso de la frustración que os decía antes.

Una de las últimas veces en las que he tenido el gusto de hablar con un "ajeno" sobre LOPD me encontré con que le eché una chapa buena al pobre interlocutor planteándole un montón de situaciones sobre las que la protección de datos extiende sus ramas, y eso me hizo pensar en lo transversal que es esta materia. Este post va de eso: de la transversalidad de la protección de datos y de las situaciones en las que algo tan desconocido como esta temática tiene mucho que decir. Para ello, voy a tirar de los argumentos que he usado alguna vez, para darle un toque de humor tan característico en este blog y dar armas a mis compañer@s de profesión y de fatigas; para no extenderme mucho, me centro en los dos que más llaman la atención:

1) La LOPD y el Derecho Laboral.

Aquí de lo que suelo tirar es de las cámaras de videovigilancia, lo reconozco. Poco hay que explicar sobre esto porque cada vez hay más cámaras en las empresas y los titulares son casi diarios, amén de los posts estupendos que escriben muchos laboralistas, a los que felicito desde aquí con todo el cariño, porque por mi experiencia suelen ser de los compis más aplicados en darle alguna vuelta a la incidencia de la LOPD sobre su especialidad.

Otras de mis "armas" suelen ser los temas de geolocalización (GPS en coches de empresa, por ejemplo) o los de los equipos (reglas de uso de los equipos de trabajo, ya sean móviles, portátiles, tablets...).

2) La LOPD y la Tecnología (así, en genérico). 

Aquí voy con toda la artillería, ya que no sólo es LOPD, es que hay implicaciones LSSI, de normativa de comercio, de consumidores, propiedad intelectual...bla bla bla. Y, obviamente, en un mundo tan hiperconectado, a todo esto hay que sumarle la normativa internacional que también hay que tener en cuenta.

Aplicaciones móviles/Páginas web/RRSS/Drones/Wearables

Comentaba hace un rato por twitter la cara de perplejidad que suelen ponerme cuando comento, así a la ligera, aquello de la necesidad de hacer unos textitos legales para sacar una app a la luz. Siempre suelo rematar con: "ya, ya sé que ni los miras ni aunque los busques los encuentras en las apps que descargas, pero DEBEN ESTAR". Formularios y mails de contacto, fotos de trabajadores (vuelvo al anterior punto y a este post que escribí hace un tiempo contando la Historia de Paco), las malditas cookies (si a estas alturas no sabes lo que son, te invito a ver mi política, donde he procurado explicar el concepto muy claramente y con el toque #iurisfriking) y los desconocidos web beacons...

3) La LOPD y la macedonia de frutas.

Aquí ya suelo meter las cosas que se me ocurren sobre la marcha: desde el Cloud Computing (la Nube, hablando coloquialmente), hasta las cámaras que vemos en los coches de policía estadounidenses (siempre hay alguien que ha visto un vídeo rollo peli de acción de una persecución), el Whatsapp y las fotos que se envían (de menores, sexting...), la reputación digital (hoy especialmente en boca de todos por el "despido" de cierto youtuber de una gran empresa, por cierto), el derecho al olvido, las supuestas grabaciones cuando llamas para dar de baja un servicio en una teleco, las facturas y los tickets de pago del banco cuando compras cualquier cosa, la información que puede sacarse de tu abono transportes y que puede ser muy valiosa a efectos comerciales y estadísticos con el big data (por dónde vas al trabajo, qué líneas de bus son más usadas y en qué horas...), todo lo que tus dispositivos pueden contar de ti sin que lo sepas (aquí tienes un post en el que te cuento lo chivato que puede ser tu móvil). A colación de esto, imagínate que en vez de dar info a un comerciante, estás en una manifestación o celebración de un torneo de lo que sea, la cosa se pone fea y las autoridades se enteran (por ciencia infusa, claro) de tu presencia en medio del meollo o que te intervienen tus mails a la ligera...

Como veis, la transversalidad es un rasgo clarísimo de la protección de datos, así que hacedme el favor de usar estas armas para que todo el mundo entienda que esta rama es importante y necesaria. Me haréis feliz y evitaréis situaciones de frustración mías (y de much@s compis) como las que os comentaba al principio.

Y hasta aquí llega el post de hoy, amig@s: feliz verano, id por la sombra y...

¡A rebatir argumentos!

Ni Mamá, ni Papá: Di "Hola Mundo"

¡Hola de nuevo!

El post de esta semana sigue la senda que he tomado desde hace algún tiempo: la Privacidad de los menores. Parece que cada vez estamos más concienciados de su importancia, de las indeseables consecuencias que puede tener una gestión "imprudente" de la misma, y nos damos cuenta poco a poco de que este tipo de actuaciones las podemos hacer cualquiera de nosotros, la mayoría de veces, de forma involuntaria, eso sí. Es hora ya de que entendamos que realmente no es una cuestión sólo de papis y mamis; la infancia debe ser objeto prioritario de protección para tíos, primos, profesores, el kioskero, el florista o para el vecino del quinto; al menos en mi opinión. Aunque no soy especialmente niñera, tengo claro que la infancia debe tener Pole Position en las prioridades de toda Sociedad. Y sobre esta base, lanzo una reflexión al aire: 

Europa... ¿qué narices haces dejando que seres humanos agonicen en tus fronteras? Es imposible permanecer impasible viendo las imágenes de l@s que se juegan su vida para huir de la maldad, del infierno de las armas y de la crueldad, y que, al llegar a la Europa de los sueños, se encuentran con un muro infranqueable de incomprensión. Esta no es la Europa que nos vendieron; nunca nos dijeron que las fronteras iban a caer para el dinero y los datos personales, pero no para las personas. Tampoco imaginé una Europa tan egoísta, tan clasista y tan desmemoriada. 

Tras este alegato pro-personas que no he podido evitar (ni he querido, no voy a mentir a estas alturas) , voy a intentar retomar el post. Me ha llamado la atención esta noticia:  UC Baby shuts down ultrasound video service due to lack of security y he pensado que sería un tema interesante para escribir sobre él. Voy a resumir un poco la situación para que os hagáis una idea, pero lo voy a hacer a la manera #iurisfriking para hacerlo un poco ameno ;-). 

"Jacinta y Agripino (el de la infografía de la doble vida que podéis ver aquí), van a tener un bebé. Están tan contentos que deciden ir a una clínica que les ofrece hacer un vídeo en 3D de su pequeñín dentro de la tripa de Jacinta. El servicio incluye un vídeo molón para verle la carita antes de que nazca y la posibilidad de compartir las primeras imágenes del bebé en movimiento con amigos y familiares. Ambos creen que es una gran idea "presentar" al peque antes de que nazca y están tan entusiasmados que deciden hacerlo. A los pocos días de la cita en la clínica, les avisan de que el vídeo está listo y pueden acceder a él introduciendo en la web de la empresa un ID que les han proporcionado más un correo electrónico y una contraseña. 

El problema llega cuando a los pocos días se enteran de que no son los únicos que pueden conocer a su bebé ya que el vídeo está a la vista del mundo entero por una incidencia de seguridad en la web de la clínica y, para más inri, resulta que, además del vídeo, se pueden ver también otros datos, como el nombre de la familia, ciudad o pueblo y la hora y el día que se realizó el vídeo. Por lo que parece, la clínica no tomó las precauciones debidas para proteger sus servidores y lleva funcionando desde el año 2005, sin que se hayan preocupado por mantener y actualizar las medidas de seguridad casi desde entonces". 

Toda una "negligencia", ¿no creéis?

Pues esto es lo que sucede cuando nos quedamos obsoletos en temas de privacidad y seguridad; cuando nos aferramos al Windows 95 y nos despreocupamos por estar al día en estos temas. Es como llevar un bikini en pleno invierno. Porque la obsolescencia no afecta sólo a las máquinas, también nos afecta a nosotros: es como algún que otro cabestro que a estas alturas de la peli se empeña en no llevar puesto el cinturón de seguridad en el coche. Oiga, que no es sólo ya por su propia seguridad, es que si tampoco le pone el cinturón al niño está poniendo en riesgo otra vida más por su indefendible cabezonería. 

Os planteo unas cuestiones sobre la noticia: 

1) ¿La imprudencia ha sido sólo de la clínica, de los padres o de ambas partes?

2) ¿Qué peligros y consecuencias pueden derivarse de este tipo de sucesos? ¿Qué implicaciones veis tanto para el pequeñín como para los propios padres?

3) Acorde a la Normativa Española... ¿las imágenes del pequeñín se podrían proteger con la LOPD en la mano?

A ver qué es lo que pensáis; me interesan mucho vuestros puntos de vista. Podéis compartir vuestras respuestas en mi perfil de twitter . 

Y hasta aquí llega el post de hoy; muchas gracias por pasar por este rinconcito de la Red y que tengáis un estupendo fin de semana.

 

PDT: Por cierto, Feliz San Patricio a todos los irlandeses de corazón como yo. #IrishFriki 
;-)

¡I love Ireland!

Crear una app o tener un hijo, esa es la cuestión.

¡Hola de nuevo!

Este post es un post de preguntas, no de respuestas. Si has entrado aquí pensando que te voy a dar respuestas contundentes, has entrado en el sitio equivocado, no quiero engañarte, pero te invito a seguir leyendo porque igual descubres que las preguntas que vas a encontrar son necesarias para saber si te conviene meterte en el berenjenal de hacer una app o si no estás preparado para ello. El post pretendo que sea una pequeña ayuda para las empresas o autónomos que deseen crear una app móvil para su negocio. Voy a intentar comprimir en esta entrada algunos datos interesantes y cuestiones a plantearte si te has propuesto o estás pensando en poner en marcha una app que le dé vidilla a tu idea de negocio, ya que me parece un tema que tiene su importancia, tanto económicamente como en términos de privacidad. El por qué del título del post lo verás al final de la entrada, no seas impaciente. ;-)

La idea de hacer una entrada con este tema ha surgido porque de vez en cuando me gusta echar un ojo a las apps más descargadas y la verdad es de mis "investigaciones amateurs" he sacado esta conclusión: "En general nos importa tres narices lo que una app haga con nuestros datos, pero cada vez hay más excepciones". 

Me diréis: "pero Iuris... ¿cómo haces una afirmación así?" Y yo os respondo con toda la amabilidad que me caracteriza: "Entrad a la App Store, iros a las apps gratis más descargadas y respondedme a tres cuestiones: 1) ¿Cuántas tienen una política de privacidad? 2) ¿Cuántas explican claramente en esa política de privacidad los datos que recopilan y el uso que hacen de ellos? y 3) ¿Cuántos os paráis a leer esa política de privacidad y valoráis objetivamente si merece la pena descargarla?". No hay más preguntas, Señoría.

A pesar de que seguramente la respuesta a las 3 preguntas no sea de mi agrado de momento, sé que cada vez hay más empresas que se preocupan por hacer las cosas bien y mostrar honestidad en sus proyectos, y en parte esto se debe a una creciente conciencia de la importancia de la privacidad de los usuarios, que la hay, y espero que siga por ese camino, por lo que espero que este post me reconcilie con el mundo y pueda ser útil a aquellos que quieran hacer las cosas medianamente bien. Voy a dar unas pinceladas muy muy básicas sobre cosas a plantearse a la hora de hacer una app; por favor, no quiero que nadie se piense que con esto "ya está todo hecho": cada app es un mundo y es necesario asesorarse por profesionales SIEMPRE. 

Al igual que para ser padres o madres nos planteamos una serie de cuestiones (¿tengo los medios para mantener a un churumbel? ¿estoy preparado para asumir las responsabilidades que conlleva? ¿qué tipo de educación le voy a dar? y un sinfín de etc),  para ser "padres de una app" también hay cuestiones que pararse a pensar seriamente, y eso es lo que voy a intentar haceros ver en este post.

Voy a usar como referencia este documento del ICO Inglés (Information Commissioner's Office), que es de 2013, por cierto.  Para los que no sepan lo que es, lo voy a resumir claramente en una frase: es el primo inglés de nuestra AEPD. Siempre recomiendo tener esta web a mano, ya que publican mucho material de interés en términos de privacidad y protección de datos. 

Vayamos al meollo..

¿Quién quiero que descargue y use esa app y qué datos quiero obtener de mi público objetivo? 

No es asunto baladí, ya que el desarrollo de la aplicación y las medidas a tomar variarán en función de mi público objetivo. No es lo mismo crear un juego para niños que una app para gestionar el ciclo menstrual de una mujer y tampoco es lo mismo crear una app para mi tienda que crear apps para comercializarlas y/o dar soporte posterior, lo que implica que mi posición en relación con la app pueda variar (¿seré Responsable o seré Encargado de Tratamiento?). Por ejemplo, a la hora de invitar a publicitarse en nuestra app (como comentaba ayer por twitter al hilo de una conversación con mi querida Laura) no es buena idea que en el juego para niños que estamos creando salte publicidad sobre un lubricante sexual. Al igual que se ha creado un horario infantil en la TV, en el mundo TIC deberíamos ponernos de acuerdo para tomar algunas medidas al respecto, ¿no creéis? 

En relación a los datos que quiero recabar con mi app (habrá que plantearse también si estos van a entrar en la categoría de "datos personales" o no), voy a poner otro ejemplo claro: Si mi app quiere mostrar publicidad de las ofertas para comprar fresas que hay cerca del usuario de mi aplicación, es muy posible que los datos de localización del dispositivo sean "mi pequeño tesoro", pero si lo que va a hacer mi app es mostrar frases de motivación para que el usuario empiece el día con buen humor, no creo que la localización sea muy necesaria. Empecemos planteándonos estas cuestiones porque de ellas dependerá y mucho el desarrollo y mantenimiento de nuestra aplicación. Una frase que me ha gustado mucho de la guía del ICO es la siguiente: "If you are unsure about whether the data you're dealing with is personal, it will likely be simpler to treat it as personal data from the start" lo que viene siendo un "ponte en lo peor, Manolo, y da por hecho que tratas datos personales desde el minuto 0". 

¿Cómo voy a gestionar los datos que obtengo de la app?

Puestos a crear, por ejemplo, una app para mi tienda y asumir el rol de Responsable, aquí el mundo es muy amplio: desde dónde los voy a ubicar físicamente y qué medidas voy a tomar para mantenerlos seguros (cuidado con las transferencias internacionales) hasta ¿voy a externalizar el mantenimiento de mi app? o ¿a quién le voy a ceder los datos que origine y trate mi app? pasando por ¿cómo gestiono los consentimientos de los usuarios? ¿cómo les informo de todo lo que exige la normativa, incluidos los Derechos ARCO?. 

Por ejemplo, en relación a este último asunto, es muy importante adaptar el lenguaje a mi público objetivo y tener un sitio accesible en el que expliquemos todo lo que vamos a hacer con los datos. Y esto debes hacerlo antes de darle bombo y platillo a tu app. Lo más sencillo y habitual es habilitar un trocito de tu web para ello (y por favor, sé cuidadoso con cumplir la normativa también en tu web: avisos legales, cookies, cláusulas...)  y poner enlace directo desde el sitio de descarga de tu app. Y no lo dejes para la posteridad: si haces cambios en la app acuérdate de avisarlo al usuario, y no sólo en la web, en la propia app es importante tener algún mecanismo que avise al usuario de los cambios producidos. Y en relación al consentimiento ten clara una cosa: "es revocable" y no siempre la descarga de una app implica que el usuario acepte cualquier cosa: adapta tu app para gestionar los tipos de consentimiento que requieras, no te bases en el demodé "ACEPTO TODO". Ofrecer un lugar en tu app para que el usuario gestione la configuración de la misma de forma sencilla y darle opciones para que tome decisiones es un buen método, no puede ser cuestión de un "acepto todo o nada". Haz de tu gestión de la privacidad tu seña de identidad, el usuario cada vez da más importancia a estos temas, tal y como decía antes. y es un elemento diferenciador que puede hacer que un usuario "te compre" o se vaya a la competencia.

Para terminar el post os voy a dar unos datos para que entendáis la importancia económica del mundo de las apps:

- Se calcula que más de 1 millón y medio de puestos de trabajo en Europa están  relacionados con el desarrollo de aplicaciones.

- Los usuarios de smartphones pasamos más de un 89% del tiempo que usamos el móvil trasteando con apps.

En este link te dejo información sobre estos datos para que te hagas una idea del pastizal que mueve el mundo de las apps.

Consejos finales: 

Si le has dado muchas vueltas y te has planteado todo lo anterior y, a pesar de todo, te has decidido a hacerte papi de una app, me quedan dos cosas por decirte:

- Conoce tu app: analiza y verifica su funcionamiento, los permisos, la información que das al usuario, su funcionalidad, su mantenimiento y su usabilidad, las implicaciones legales que conlleva y todos los asuntos colaterales. Crear una app es casi como tener un hijo: es muy bonito pero asumes responsabilidades y obligaciones y eres responsable de llevarle por el buen camino. Y si va por mal camino, te tocará "pagar la gracia".

- Confía en profesionales, no tires del "yo controlo" que ya sabemos cómo acaba. 

Y hasta aquí llega el post de hoy, espero que lo encuentres interesante y gracias por pasarte por este rinconcito de la red de redes.

¡Hasta la próxima!

Conociendo la Política de Privacidad de Instagram

¡Hola de nuevo, querid@s Lopder@s!

Quiero empezar el post dando las gracias a dos auténticos cracks con los que tuve el placer de pasar un ratito espectacular hace algunos días charlando sobre Privacidad, gestión de despachos y otras cositas muuuy interesantes: Sara Molina y Rubén Vázquez. Si te apetece escuchar el podcast que grabamos, no tienes más que entrar aquí  ;-). 

Y ahora vamos con el post de esta semana..

Hace unos días colgué la siguiente frikinfografía en mi Twitter: 

La idea era la que persigo siempre con mis infografías: concienciar sobre #privacidad dando una explicación clara y rápida para despertar conciencias dormidas sobre la cama tan cómoda que son las RRSS. Retomo hoy de nuevo este concepto de "Metadato" porque está presente en las Condiciones de la Red Social que he elegido comentar en este post: Instagram . Confieso que la elección no ha sido casual; para decantarme por ella han pesado 3 cosas:

• No la uso (así que creo que puedo darle un cierto toque de objetividad y acercarme a ella desde la inocencia y la curiosidad de alguien no fascinado por la misma).
• Por lo que tengo entendido, es muy usada por menores, lo que ya tiene su interés, especialmente si eres un TIC-Papá o una TIC-Mami ;-)
• Es de Facebook. Y este punto es muy interesante dado que hay una preocupación general por el tema de Whatsapp y su compra por Facebook. Quizás ver qué pasó con Instagram (comprada por Facebook en 2012) nos puede dar pistas sobre por dónde irán los derroteros de Whatsapp. ;-)

Aquí tienes el link de la Política de privacidad de la que parto para este post. Te hago una precisión: esta Política de Privacidad se refiere a la información recopilada después del 19 de enero de 2013; si llevas más tiempo de usuario de Instagram, aquí tienes las reglas sobre la info que hayas compartido con ellos antes de esa fecha. 

Ahora sí: ¡Que empiece la fiesta!

1) ¿Quién puede usar Instagram?

Esta parte viene en la parte final de la web, pero yo he querido ponerla al inicio del post porque creo que es muy importante y será de utilidad especialmente si eres un TIC Papá o una TIC Mami.

Según lo que dice la propia Red Social: Instagram no recopila ni solicita conscientemente ninguna información de usuarios que no hayan cumplido aún los 14 años de edad, ni permite a sabiendas que dichas personas se registren en el Servicio". 

Bien, quiero hacer una puntualización inicial sobre esto: Por lo que veo en la web de Instagram, la única forma de hacerte usuario es descargarte ANTES la app, por lo que no me queda claro si se hace algún tipo de "control de edad". No he querido descargar la app para comprobarlo, por lo que si algún visitante me puede verificar cómo es el proceso de registro, se lo agradeceré.

Además, la Red Social es muy clara: "El Servicio y su contenido no están destinados a menores de 14 años. Si descubrimos que hemos recibido información de un niño menor de 14 años sin autorización paterna, borraremos esa información lo más rápido posible" . 

2) ¿Qué información recopila la red social? 

Voy a dividirlo en categorías para hacer un sencillo resumen: Lo que supones, lo que puedes suponer y lo que dudo que supongas.

• Lo que supones: 

Nombre de usuario, contraseña, email, foto de perfil, número de teléfono, comentarios que hagas en la Red Social y los emails que te intercambies con Instagram (por ejemplo, cuando les preguntas algo sobre el funcionamiento).

• Lo que puedes suponer: 

Si usas la función de "Buscar Amigos", no hay que ser un lince para suponer que van a necesitar saber quiénes son "tus amigos" y que para ello tendrán que usar algunas herramientas, como por ejemplo: tu agenda de contactos del móvil. Nuestras amigas las cookies y otras tecnologías similares (pixeles, señales web y almacenamiento local) también están presentes. 

Si no sabes lo que son las cookies, te dejo un par de links para que las conozcas de forma amena y sencilla: Esta entrevista que me hizo @marinabrocca y la propia política de cookies de este blog) y sobre las otras tecnologías, te dejo este post que hice sobre los web beacons con links muy útiles)

• Lo que dudo que supongas:

Páginas web que visites desde tu dispositivo y complementos; eso sí, te avisan de que "Recopilan y usan esta información de análisis con información de análisis de otros usuarios, por lo que no puede utilizarse razonablemente para identificar a cualquier usuario individual en particular". Además, que sepas que recopilan también, cuando accedes a la Red Social, todo esto: Tu IP, el tipo de explorador que usas, las páginas de referencia y salida, el número de clicks y tu actividad con los enlaces del servicio, las webs que visitas e información similar partiendo de los emails que envíes a los usuarios de la Red con los que interactúes.

Aparte, en relación al dispositivo que uses para acceder a la Red Social, que sepas que accederán a tu identificador de dispositivo y obtendrán información de él. Cuando dicen "identificador del dispositivo", engloban varias cosas: desde datos sobre el hardware (marca, modelo de tu dispositivo- tablet, pc, smartphone..) hasta datos relacionados con el sistema operativo que use el dispositivo, por ejemplo. 

En relación a los Metadatos de los que hablaba antes, en las Condiciones nos avisan de que los usan, pero ojo: "Los usuarios pueden añadir o hacer que se añadan metadatos a su Contenido de usuario, incluyendo un hashtag (por ejemplo, para marcar palabras clave al publicar una foto), geoetiqueta (marcar la ubicación en una foto), comentarios u otros datos. Esto permite que tu Contenido de usuario sea más interactivo y más fácil de buscar para otros usuarios. Al añadir una geoetiqueta a la fotografía o etiquetar la foto utilizando las API de terceros, la latitud y longitud del lugar en el que te encuentres se almacenarán con la foto y será posible buscarla (por ejemplo, mediante una función de ubicación o de mapa) si publicas la foto conforme a tu configuración de privacidad". 

El Bierzo

Es decir: Contando ya con que la foto que subas tendrá una serie de Metadatos, tienes que saber que si le añades un HT, le colocas la geoetiqueta o si la comentas tú o terceros, abres la puerta para que la foto pueda encontrarse más fácilmente. Para que lo veas más claro: Si cuelgas una foto del precioso Valle del Silencio y le pones la etiqueta #ElBierzo (barriendo para casa), si alguien hace una búsqueda sobre El Bierzo, es hiperprobable que tu foto aparezca en dicha búsqueda, y más si no "trasteas" tus configuraciones de privacidad. Obviamente, si usas algún filtro de alguna app (no tiene por qué ser un filtro de Instagram), estás añadiendo Metadatos también, tenlo en cuenta. ;-)

3) ¿Para qué usan toda esta información?

Para no extenderme mucho, voy a resumir en: para facilitarte la vida (es decir, para que accedas a la Red sin tener que meter tu contraseña y usuario todo el tiempo) y para ofrecerte publi "personalizada" (en función de la información que han obtenido, a la que aludo en el punto anterior; por ejemplo, si accedes desde tu Iphone, es muy posible que algunos anuncios que veas sean sobre complementos para Iphone), dejando aparte la mera gestión del servicio, claro.

4) ¿Con quién comparten tu información?

Me voy a quedar en "el gordo": "Podemos compartir el Contenido de usuario y tu información (incluidos, sin limitación, información procedente de cookies, archivos de registro, identificadores de dispositivo, datos de ubicación y datos de uso) con empresas que formen parte legalmente del mismo grupo de empresas al que pertenece Instagram, o que vayan a formar parte de dicho grupo ("Filiales")", lo que se traduce, como seguro que supones, que van a compartir todo esto con Facebook; pero ten claro que no sólo con Facebook, si pasado mañana Facebook vende Instagram a Industrias Paco S.A. o Facebook compra otra Red Social, que sepas que todo esto también irá a ellas. 

En relación a lo que publiques en la Red Social, ten claro que te avisan de que "adquiere un carácter público y se controla mediante la configuración de privacidad que establezcas". Mi consejo es el de siempre: piensa bien lo que publicas antes de hacerlo y "trastea" en las configuraciones de privacidad. Sin miedo. ;-) 

Y ojo con esto: si te arrepientes de alguna de tus publicaciones, que sepas que "se pueden seguir visualizando copias que se hayan almacenado en caché y en páginas archivadas del Servicio, o dicha información pueden haberla copiado o guardado otros Usuarios o terceros que utilicen la API de Instagram". Insisto: piensa antes de publicar. 

5) ¿Dónde va esta información?

La respuesta es bien amplia:

A USA y a cualquier otro país donde Instagram, sus filiales o Proveedores de Servicios tengan instalaciones. Así de claro. Pero es que además te avisan de que si eres europeo tienes que saber que es muy posible que tu información acabe en un país con niveles de protección diferentes a los que hay en la UE. Tenlo en cuenta. 

6) ¿Qué pasa si decides cerrar tu cuenta?

Pues que todo lo que hayas "creado" en ella se mantendrá en sus archivos "durante un plazo razonable en términos comerciales, con fines de copia de seguridad, archivo y/o auditoría". Y que este "mantenimiento de tu información con plazo indefinido" lo puede hacer no sólo Instagram, sino también sus Filiales o sus Proveedores de servicios.

Y hasta aquí llega el post de hoy; espero que te haya resultado interesante y muchas gracias por pasar este ratito por este rincón de la web.

Un saludo!