Jose Felgueroso
Abogado | Attorney
Resumen de dos acuerdos recientes de la Comisión Federal de Comercio de Estados Unidos sobre políticas de privacidad
info@josefelgueroso.com
2021-05-18
En dos decisiones recientes, la Comisión Federal de Comercio de Estados Unidos llegó a acuerdos sobre las alegaciones que había presentado contra dos empresas por engañar a sus usuarios e incumplir sus propias políticas de privacidad. Flo Health desarrolló una aplicación para el seguimiento de ciclos menstruales y fertilidad, y la Comisión alegó que había engañado a sus usuarias al compartir información sobre salud con terceros después de haber prometido que no lo haría. Everalbum desarrolló una aplicación de almacenamiento de fotos, y la Comisión alegó que había engañado a sus usuarios acerca del uso de la tecnología de reconocimiento facial y la eliminación de los datos de los usuarios que desactivaron sus cuentas.
La autoridad de la Comisión en cuestiones de privacidad de datos
La Comisión es el principal organismo federal encargado de hacer cumplir las leyes de protección del consumidor. Según la Ley de la Comisión Federal de Comercio, puede investigar a empresas, emprender acciones contra ellas y ordenar medidas correctivas si incurren en prácticas desleales y engañosas. La Comisión también puede imponer sanciones civiles.
Un acto es desleal si puede causar un perjuicio sustancial a los consumidores que no pueden evitarlo razonablemente, y el acto no se ve compensado por beneficios para los consumidores o la competencia. Un acto engañoso implica una omisión, práctica o declaración sustancial que puede inducir a error a un consumidor razonable.
Desde los años 90, la Comisión ha emprendido cientos de acciones ejecutivas, creando precedentes sobre prácticas de privacidad y seguridad. Ha utilizado su autoridad para ordenar a las empresas que cumplan sus propias políticas de privacidad.
Flo Health
Hechos
Flo Health desarrolló una aplicación de seguimiento de la menstruación y la fertilidad que cuenta con más de 100 millones de usuarias, de las cuales más de 16 millones se encuentran en Estados Unidos y más de 19 millones en la Unión Europea. Las usuarias dieron a la aplicación Flo información detallada sobre sus menstruaciones y su salud ginecológica con la expectativa de que la aplicación predijera la ovulación y ayudara durante el embarazo. Aunque Flo Health afirmaba en sus políticas de privacidad que no compartiría información sobre salud con nadie, a partir de 2016 compartió la información sobre la salud de sus usuarias con terceros, incluidos Facebook y Google.
La Comisión acusó a Flo Health de hacer declaraciones falsas acerca de la divulgación de datos sobre salud y el cumplimiento de la empresa con el Escudo de la Privacidad UE-EE.UU.
Declaraciones falsas acerca de la divulgación de datos
La Comisión alegó que Flo Health comunicó a sus usuarias que no divulgaría a ningún tercero información relacionada con los ciclos menstruales, el embarazo, los síntomas o las notas en la aplicación. Además, la Comisión alegó que Flo Health indicó a sus usuarias que solo divulgaría los identificadores del dispositivo y datos similares a terceros específicos que ayudarían a Flo Health a gestionar la aplicación.
Muchas usuarias introdujeron información sobre su salud en la aplicación Flo porque creían que la empresa la trataría de acuerdo con sus políticas de privacidad.
La Comisión alegó que Flo Health divulgó a varias empresas de marketing y análisis archivos de las interacciones de las usuarias con la aplicación que revelaban información sobre sus ciclos menstruales, fertilidad y embarazos. La Comisión también alegó que la información que Flo Health proporcionó a los terceros que le ayudaban a gestionar la aplicación fue más allá de los identificadores de dispositivos: también divulgó archivos de la aplicación que contenían información sobre la salud de las usuarias. Por ejemplo, Flo Health proporcionó a estos terceros archivos de la app que contenían títulos descriptivos, como P_ACCEPT_PUSHES_PERIOD (P_ACEPTA_PRESIONA_PERIODO) y R_PREGNANCY_WEEK_CHOSEN (R_EMBARAZO_SEMANA_ELEGIDA).
Aunque las políticas de privacidad de Flo Health indicaban que restringiría el uso de los datos personales de las usuarias por parte de terceros, Flo Health no limitaba lo que estos terceros podían hacer con esa información. Como resultado, podían utilizarla para cualquier fin, incluida la publicidad y la investigación.
Declaraciones falsas acerca del cumplimiento de programas de privacidad
La Comisión alegó que las políticas de privacidad de Flo Health indicaban que participaba en el Escudo de la Privacidad UE-EE.UU. y el Escudo de la Privacidad EE.UU.-Suiza. De acuerdo con este marco, una empresa debe certificar ante el Departamento de Comercio de Estados Unidos que cumple con los requisitos de las normas de privacidad de datos de la Unión Europea. En particular, una empresa que participa en ese marco debe:
- informar en un lenguaje claro y visible a los interesados sobre las partes a las que revela información personal y los fines para los que lo hace;
- ofrecer a los interesados la oportunidad de elegir si su información personal se utiliza para un fin distinto de aquel para el que se recogió;
- obtener el consentimiento expreso y afirmativo de los interesados para la divulgación de información sensible, como la información médica o sobre salud;
- transferir datos personales a terceros sólo para fines limitados y específicos;
- garantizar que los terceros que reciban los datos personales ofrezcan al menos el mismo nivel de protección de privacidad; y
- no procesar la información personal de forma incompatible con los fines para los que fue recogida.
La Comisión alegó que Flo Health:
- no proporcionó a sus usuarias información clara y visible sobre los fines para los que divulgaba los datos sobre salud a terceros, ni información acerca de que éstos últimos podían utilizar los datos sobre salud para sus propios fines;
- no ofreció a las usuarias de su aplicación la posibilidad de decidir que su información sobre salud no fuera utilizada por terceros con fines publicitarios o de otro tipo;
- no obtuvo el consentimiento expreso y afirmativo para la divulgación de información sobre salud a terceros;
- no transfirió los datos de las usuarias para fines limitados y específicos, ya que los contratos entre Flo Health y los terceros permitían el uso de los datos para fines más amplios;
- no garantizó que los terceros proporcionaran al menos el mismo nivel de protección que el marco del Escudo de la Privacidad; y
- trató la información sobre salud de las usuarias de forma incompatible con los fines originales, porque los contratos entre Health Flo y esos terceros autorizaban a estos últimos a utilizar los datos con fines publicitarios y de otro tipo.
Medidas correctivas
El acuerdo entre Flo Health y la Comisión prohíbe a la empresa hacer declaraciones falsas o engañosas sobre (1) los fines para los que Flo Health o cualquier entidad a la que divulgue información recoge o utiliza esa información, (2) la capacidad de las usuarias para controlar la información sobre salud que proporcionan a la aplicación Flo, (3) el cumplimiento por parte de Flo Health de cualquier programa de privacidad o seguridad, y (4) la protección de Flo Health de la información personal de las usuarias.
Además, el acuerdo exige que Flo Health obtenga una revisión del cumplimiento por parte de una entidad externa y que mantenga determinados archivos. El acuerdo estará en vigor durante 20 años.
Everalbum
Hechos
Everalbum gestiona Ever, una aplicación para el almacenamiento y la organización de fotos disponible en formato móvil, web y de escritorio. Los usuarios pueden subir fotos y vídeos a los servidores de Ever.
En 2017, Everalbum lanzó una nueva función llamada "Amigos", que utiliza el reconocimiento facial para organizar las fotos basándose en las caras de las personas que aparecen en ellas. Inicialmente, esta función estaba activada por defecto.
La Comisión alegó que Everalbum utilizó imágenes que extrajo de las fotos de los usuarios para desarrollar su tecnología de reconocimiento facial. Además, la Comisión alegó que Everalbum no borraba el contenido de los usuarios que desactivaban sus cuentas, al contrario de lo que había comunicado a sus usuarios. En opinión de la Comisión, la empresa hizo declaraciones falsas acerca de sus prácticas, incurriendo así en una conducta desleal y engañosa.
Reconocimiento facial
Un artículo publicado en el sitio web de Everalbum en 2018 indicaba que la tecnología de reconocimiento facial de la empresa analizaba las fotos y los vídeos de los usuarios para crear una serie de números que denominaba "integraciones faciales". La Comisión alegó que Everalbum combinó imágenes faciales que extrajo de las fotos de sus usuarios con conjuntos de datos disponibles públicamente para crear nuevos conjuntos de datos para desarrollar su tecnología de reconocimiento facial. La Comisión también alegó que Everalbum utilizaba esta tecnología tanto en su aplicación como para desarrollar servicios de reconocimiento facial. Estos servicios eran ofrecidos por la división empresarial de la compañía, que la utilizaba para fines como la seguridad, el control de acceso y la facilitación de pagos.
A partir de mayo de 2018, Everalbum desactivó por defecto la función Amigos para los usuarios de jurisdicciones con legislación estricta de privacidad de datos: Texas, Illinois, Washington y la Unión Europea. Los usuarios en estas jurisdicciones recibían un mensaje emergente en el que se les preguntaba si querían que la aplicación utilizara el reconocimiento facial.
En cambio, la configuración para los usuarios de otras jurisdicciones era diferente. La Comisión alegó que hasta 2019, Ever habilitaba el reconocimiento facial por defecto para los usuarios en la mayoría de las ubicaciones geográficas, y los usuarios no podían desactivarlo. Esto contradecía un artículo de ayuda de Ever que indicaba que la función Amigos no estaría activa a menos que los usuarios la habilitaran.
Eliminación de datos
Los usuarios de Everalbum que trataron de desactivar sus cuentas recibieron un mensaje emergente que indicaba que esto resultaría en la eliminación de su contenido, y la política de privacidad de la empresa incluía declaraciones similares. La Comisión alegó que, hasta octubre de 2019, Everalbum de hecho no eliminó los vídeos y las fotos de los usuarios que habían desactivado sus cuentas, sino que los conservó indefinidamente.
Como resultado, la Comisión alegó que las declaraciones de la empresa sobre la eliminación de contenidos eran falsas o engañosas.
Medidas correctivas
Como parte del acuerdo, la Comisión ordenó lo siguiente:
- Everalbum no debe hacer declaraciones falsas sobre (1) su recopilación, uso o eliminación de los datos personales, contenidos e integraciones faciales de sus usuarios; (2) la capacidad de sus usuarios para controlar esas acciones; (3) la medida en que Everalbum permite el acceso a los datos personales de sus usuarios; (4) el alcance, el propósito y la duración de su retención de los datos personales de los usuarios después de la desactivación; o (5) la protección por parte de la empresa de la privacidad o seguridad de la información personal de los usuarios;
- la empresa debe revelar de forma clara y visible y obtener el consentimiento afirmativo y expreso de los usuarios antes de utilizar la información biométrica de los usuarios para su uso o el desarrollo de la tecnología de reconocimiento facial;
- la empresa debe eliminar (1) las fotos o vídeos de los usuarios que hayan solicitado la desactivación de sus cuentas, (2) los datos de reconocimiento facial que haya creado sin el consentimiento expreso y afirmativo de los usuarios, y (3) los modelos o algoritmos que haya desarrollado utilizando imágenes de las fotos de los usuarios; y
- la empresa debe mantener archivos y proporcionar información a la Comisión para la vigilancia del cumplimiento.
La orden estará en vigor durante 20 años.
Comentarios finales
El caso de Flo Health destaca por la naturaleza íntima de los datos personales implicados. "Perturbada", "indignada" y "horrorizada" fueron algunos de los términos que las usuarias de la app incluyeron en sus quejas a la empresa tras conocer la divulgación no autorizada de datos sobre sus menstruaciones y embarazos. Otro aspecto interesante es que el Tribunal de Justicia de la Unión Europea anuló el año pasado la decisión de la Comisión Europea en la que se basaba el acuerdo Escudo de la Privacidad UE-EE.UU., pero la Comisión Federal de Comercio sigue considerando sus obligaciones vinculantes para sus participantes.
El caso Everalbum es significativo por dos razones. Primero, durante un tiempo la empresa supuestamente utilizó diferentes configuraciones para usuarios en diferentes jurisdicciones, dependiendo de lo estricta que fuera su legislación de privacidad de datos. Segundo, una de las medidas que la Comisión ordenó fue la eliminación de los datos de reconocimiento facial y los algoritmos desarrollados a partir de las fotos de los usuarios. En el pasado, la Comisión no ordenó la supresión de algoritmos en casos que implicaban datos obtenidos ilegalmente, como en los casos de Google y Facebook.