Las leyes de privacidad son tan efectivas como las compañías que las implementan

La privacidad es un tema candente para los legisladores de todo el mundo.

Los candidatos presidenciales democráticos tienen leyes y regulaciones de privacidad en sus plataformas de campaña. Amy Klobuchar discutió un impuesto sobre las empresas que comparten datos de usuarios. Elizabeth Warren introdujo legislación que considera la idea de la cárcel de los CEO por fallas de privacidad. Antes de abandonar la carrera, John Delaney propuso que EE. UU. adoptara una ley similar a la Ley de Privacidad del Consumidor de California que otorga una mayor agencia a los consumidores cuando se trata de limitar a las empresas la recopilación de sus datos.

Los votantes exigen acción. Una encuesta reciente de Morning Consult encontró que el 79 por ciento de los votantes registrados dijo que el Congreso debería buscar un proyecto de ley para proteger mejor los datos en línea de los consumidores, mientras que el 65 por ciento calificó la privacidad de los datos como uno de los mayores problemas que enfrenta la sociedad.

La Unión Europea, 27 estados miembros con la pérdida del Reino Unido, promulgó el Reglamento General de Protección de Datos ( GDPR ), consagrando la idea de que las personas tienen control sobre los datos personales. California promulgó recientemente su propia ley de privacidad, la Ley de Privacidad del Consumidor de California (CCPA), que entra en vigencia el 1 de enero. La ley faculta a los consumidores de California para saber cuándo las compañías privadas recopilan, comparten o venden sus datos y para detener esa venta si es necesario. Se aplica a las empresas con ingresos brutos anuales de más de $ 25 millones o que poseen información sobre 50,000 o más consumidores.

Pero las leyes pueden tener consecuencias no deseadas. A veces, las mismas leyes destinadas a hacer cumplir la privacidad pueden hacer que las empresas la compartan. GDPR abre una forma de delincuentes para hacerse pasar por personas y obtener sus datos de empresas.

Un año después de que GDPR entró en vigencia, los investigadores en la UE mostraron cómo es fácil acceder a los datos personales de las empresas.

"Esto no es un problema con la ley en sí, sino con las compañías y organizaciones que la implementan", dijo a CoinDesk Mariano Di Martino, uno de los investigadores, estudiante de doctorado en la Universidad de Hasselt en Bélgica. entrevista. "Esto puede deberse a limitaciones presupuestarias o tal vez porque no entienden los riesgos de estos datos".

Un grupo utilizó información disponible públicamente, como nombres, correos electrónicos y números de teléfono, además de métodos más complicados para solicitar información sobre sus socios de investigación de 55 empresas bajo GDPR. Uno de estos métodos complejos para obtener los datos incluía reemplazar el nombre, la fecha de nacimiento y la foto en la imagen de una identificación para reflejar la persona cuya información querían los investigadores. De esas 55 compañías, 15 compañías entregaron información personal sensible a los investigadores. Cuatro empresas nunca respondieron a sus solicitudes de datos, en clara violación de GDPR.

La información que reunieron incluyó compañías financieras que dieron detalles como números de tarjetas de identificación, una lista de transacciones financieras con marca de tiempo, identificaciones de clientes, números de teléfono y lugar de nacimiento, y compañías de transporte y logística que también publicaron lugares visitados en el pasado como rutas que habían guardado.

Otro equipo de investigadores en la UE encontró problemas similares cuando uno solicitó información sobre su compañero de investigación y la esposa del compañero de investigación usando una cuenta de correo electrónico falsificada que era una variación en el Nombre de la esposa. Alrededor de una cuarta parte de las 150 empresas y organizaciones con las que se comunicaron entregaron información personal confidencial sin verificar la identidad del solicitante. La información que se le proporcionó incluía todo, desde su número de seguro social hasta sus calificaciones de secundaria y varias contraseñas de cuenta.

A medida que el CCPA entre en vigencia, es posible que podamos ver problemas similares. La investigación de GDPR ilustra que las leyes de privacidad solo pueden ser tan buenas como las compañías afectadas por ellas. Lo que da miedo. Estas filtraciones tienen implicaciones en el mundo real.

"Digamos que estaba tratando de acechar a alguien y quiero aprender más sobre ellos", dice Di Martino. “Podría enviar una solicitud de datos a una empresa que proporciona servicios de taxi o autobús e intentar obtener todas las rutas o ubicaciones de GPS donde ha estado esta persona. Y podría funcionar ”.