Si usas Android, Facebook puede tener tus datos aunque nunca hayas tenido una cuenta suya

Facebook ha sido uno de los grandes protagonistas en lo que a noticias negativas respecta a lo largo de todo el año. Y como siempre con los de Mark Zuckerberg, cuando parece que todo ha sido suficiente, puede llegar más. En una investigación presentada el pasado sábado 29 de diciembre por Privacy Internacional, se muestra como un número importante de aplicaciones de mucha relevancia, como Spotify, Shazam, Kayak, TripAdvisor o MyFitnessPal envían información a Facebook en el momento de abrir la aplicación. Algunas, lo hacen con información más sensible de uso.

En ese sentido, no existe relación entre el hecho de que el usuario tenga cuenta o no en Facebook y que la aplicación envíe datos con un identificador único, el ID de publicidad que proporcionan los servicios de Google Play. Con él se permite a los anunciantes crear un perfil de usuario con comportamiento obtenido a través de aplicaciones y webs.

Un comportamiento grave que viola el RGPD/GDPR si no pide permiso al usuario

Con todos los datos recabados por las aplicaciones, según la investigación, Facebook puede elaborar un perfil preciso de las actividades de la persona, de su comportamiento, hábitos e intereses, con información sensible sobre la salud de la persona o incluso su religión, gracias a aplicaciones deportivas, para medir la regla (con lo que podría saberse si una mujer busca quedarse embarazada) o a, por ejemplo, Qibla Connect, una aplicación para rezar en dirección hacia La Meca.

Tendría sentido que cierta información se compartiera con Facebook en el momento en que el usuario iniciara sesión con su cuenta en la plataforma, pero no simplemente por abrir una aplicación que ni siquiera tiene un logo de Facebook visible para ejecutar acción alguna. En el caso de Kayak, por ejemplo, que es muy usada para buscar vuelos y hoteles, los datos que se comparten tienen una precisión y profundidad enorme, como ciudad de origen, aeropuerto de salida, fecha de salida, ciudad de llegada, aeropuerto de llegada, número de pasajeros y de niños, tipo de pasaje, etc.

Facebook culpa a los desarrolladores de este comportamiento, pero en la investigación han hallado que por defecto el SDK con que Facebook provee a los desarrolladores envía información automáticamente. Desde la entrada en vigor del RGPD los desarrolladores se quejaron de este comportamiento sin que los usuarios estuvieran al tanto. Tras ello, a finales de junio, cuando cumplir con RGPD ya era obligatorio desde hacía 34 días, Facebook lanzó una función voluntaria (en el SDK 4.34.0) para que los desarrolladores retrasaran el envío de datos hasta que el usuario aceptara enviarlas.

Facebook, en comunicación con Privacy Internacional matiza, sin embargo, que los eventos registrados por el inicio del SDK al abrir la app no podían limitarse antes del lanzamiento de la nueva función en junio, por lo que teóricamente no sería culpa de los desarrolladores. Ahora, eso estaría solucionado, pero solo cuando el desarrollador lo implemente voluntariamente.

Facebook no ha hablado, como siempre, del uso que hace de los datos que sigue recibiendo. Mientras siga ocurriendo (y ocurre, según las fechas del estudio, con las últimas pruebas el 11 de diciembre), aunque pongan a disposición distintas herramientas que permitan evitar el comportamiento, están incurriendo en acciones que no cumplen con el RGPD, y por tanto, son ilegales.

Mucho se ha hablado de que Facebook adquirió Onavo para espiar a sus usuarios, pero con esta práctica ni siquiera hace falta recurrir a su herramienta de seguimiento para conocer cada vez que un usuario abre una aplicación o la usa.