Corredores de datos explicados: cómo recopilan y venden tu información personal

La mayoría de nosotros hemos experimentado ese momento inquietante en el que nuestros dispositivos parecen saber demasiado, cuando una búsqueda casual lleva a días de anuncios relacionados persiguiéndonos por internet. Los anuncios dirigidos no solo son molestos; pueden ser activamente perjudiciales para la democracia, la salud mental y la privacidad personal. Se han utilizado para dirigirse por raza con desinformación electoral y para reclutar para iglesias mediante geofencing.

¿Qué son los corredores de datos?

Las grandes empresas tecnológicas merecen escrutinio por violaciones de privacidad, pero algunas empresas operan casi completamente fuera del foco, más allá de la mayoría de las regulaciones y por debajo de la conciencia de la mayoría de los usuarios de internet.

Estas empresas se conocen como corredores de datos.

En Europa, las leyes de privacidad ofrecen protecciones significativas. En EE.UU., el panorama regulatorio es mucho menos restrictivo, y los corredores de datos pueden acumular hasta 1.500 puntos de datos sobre el ciudadano estadounidense promedio.

Los corredores de datos (también llamados "proveedores de datos", "intermediarios de información" o "suministradores de datos") recopilan datos personales directamente o los compran a plataformas de redes sociales, compañías de tarjetas de crédito y cualquier sitio web que recolecte o comparta datos de usuarios. Es una industria de 200.000 millones de dólares con más de 4.000 empresas, y continúa creciendo rápidamente.

Estas empresas van desde agencias de informes crediticios como Equifax, Experian y TransUnion, hasta sitios de búsqueda de personas como PeekYou, Pipl e Instant Checkmate, hasta entidades menos conocidas como Acxiom, Cuebiq, CoreLogic, LiveRamp y Epsilon. Lo que todas comparten es la práctica de recopilar información personal y revenderla o compartirla con otras empresas.

Como describió un periodista de WIRED, los corredores de datos son "los intermediarios sin control del capitalismo de vigilancia" y una "amenaza para la democracia."

Mientras la mayoría de los corredores de datos comercian con listas relativamente inocuas como "entusiasta de la Fórmula 1" o "futuro padre", algunos supuestamente han vendido listas categorizadas como "víctima de violación", "alcohólico" y "persona con disfunción eréctil".

¿Cómo operan los corredores de datos?

En el ámbito digital, la mayoría de la recopilación de datos ocurre a través de cookies de terceros y scripts de rastreo. Empresas distintas al sitio web que estás visitando colocan cookies para monitorear tu comportamiento y vender esa información.

No todos los scripts de terceros son maliciosos, y no todas las cookies son perjudiciales. Muchos sitios web necesitan legítimamente cookies para la funcionalidad de inicio de sesión. La diferencia crítica es que los scripts de rastreo de los corredores de datos te siguen no solo dentro de un único sitio, sino de sitio en sitio a través de la mayor parte de internet.

Considera la escala: el New York Times tiene 10 rastreadores de anuncios y 17 cookies de terceros. El sitio de Adobe tiene 21 rastreadores de anuncios y 34 cookies de terceros. Incluso Surfshark, una VPN que se promociona como enfocada en la privacidad, tiene 9 rastreadores de anuncios y 3 cookies de terceros. Puedes probar cualquier sitio usando la herramienta Blacklight de The Markup.

Los corredores de datos recopilan puntos como direcciones IP (que revelan la ubicación física), información del dispositivo e intereses de navegación. Combinan esto con otros datos que tienen sobre ti, te agrupan con perfiles similares ("vegano, vive en Los Ángeles, ingresos $65k-90k, soltero") y venden esas listas a anunciantes.

Las listas especialmente invasivas -- personas con condiciones médicas específicas, preferencias sexuales, opiniones religiosas o afiliaciones políticas -- pueden venderse a prácticamente cualquiera. La información médica buscada en línea no está protegida por HIPAA. HIPAA solo cubre la información compartida con médicos. Buscar "aborto", "tratamientos contra el cáncer" o "terapeuta en Seattle" en línea genera datos que están completamente desprotegidos.

Las aplicaciones móviles también pueden filtrar datos a terceros y corredores sin el conocimiento de los usuarios, incluyendo aplicaciones de linterna gratuitas que transmiten silenciosamente datos de ubicación.

Zonas grises legales

Las empresas de corredores de datos operan en zonas grises legales. En países con leyes de privacidad estrictas, sus prácticas pueden ser técnicamente ilegales pero persisten de todos modos. La mayoría de los corredores de datos entierran el consentimiento para compartir datos profundamente en los términos de servicio y la letra pequeña.

A pesar de comercializar sus prácticas como perfectamente legales, los corredores de datos enfrentan regularmente consecuencias legales. En 2021, Epsilon fue demandada por el Departamento de Justicia por 150 millones de dólares por facilitar esquemas de fraude a personas mayores durante casi una década.

SafeGraph, un corredor de datos de ubicación con nombre irónico, solo recientemente dejó de permitir compras de datos que mostraban cuántas personas visitaron las sedes de Planned Parenthood. También han vendido datos completamente desagregados al gobierno estadounidense.

Life360, utilizada por más de 35 millones de personas como aplicación de seguridad familiar, fue expuesta por generar ingresos significativos vendiendo datos de ubicación precisos -- incluidos datos sobre niños -- a docenas de corredores de datos.

Las afirmaciones de desidentificación suenan vacías. Un estudio encontró que el 99,98% de los estadounidenses podrían ser reidentificados usando cualquier conjunto de datos de al menos 15 atributos demográficos. Cuantos más datos se recopilan, más fácil es individualizar a las personas.

Por qué debería importarte

Incluso si sientes que no tienes nada que ocultar, no todos tienen el privilegio de la indiferencia. Las víctimas de acoso, las supervivientes de violencia doméstica y muchas otras personas tienen razones urgentes para evitar que sus datos sean comprados y vendidos. Sin embargo, en muchas jurisdicciones no existen leyes federales que requieran a los corredores de datos eliminar datos bajo solicitud.

Este ecosistema de datos también da a los gobiernos un vacío legal para eludir los requisitos de orden judicial. En lugar de obtener una orden judicial para datos de vigilancia, las agencias pueden simplemente comprarlos a corredores de datos -- de forma completamente legal y sin el conocimiento del sujeto.

Cómo protegerte

Varios pasos pueden reducir tu exposición: usa navegadores enfocados en la privacidad como Brave o Firefox, emplea VPNs, rechaza los consentimientos de cookies cuando sea posible y ajusta la configuración del dispositivo móvil que permite a las aplicaciones rastrear la actividad.

Pero la carga no debería recaer únicamente sobre los individuos. La privacidad digital debería estar protegida por defecto a través de legislación y aplicación de la ley. En la UE, el RGPD exige bases legales para el procesamiento de datos, aunque la aplicación sigue siendo imperfecta. Incluso los banners de consentimiento del RGPD a menudo usan patrones oscuros que hacen deliberadamente difícil rechazar.

Los propietarios de sitios web pueden tomar medidas inmediatas eliminando scripts de rastreo de terceros que envían datos a corredores y cambiando a herramientas de analítica centradas en la privacidad que solo recopilan datos anonimizados y agregados.

Según el Pew Research Center, aproximadamente seis de cada diez estadounidenses creen que es imposible vivir la vida diaria sin que empresas y gobiernos recopilen datos.

La economía del internet moderno funciona con este modelo de corretaje de datos. Por eso tantos sitios web populares y redes sociales son gratuitos: generan miles de millones con los datos de los usuarios. Cuantas más personas entiendan cómo funciona este sistema, más presión se podrá ejercer para una mejor regulación federal y la protección de los derechos de privacidad digital.