¿Cuáles de las siguientes afirmaciones diría que son ciertas sobre la privacidad de los (macro)datos?
«No tengo nada que ocultar».
Las políticas de privacidad se aplican a los datos, no a los usuarios.
Una sola política de privacidad basta para todos tus datos.
Los datos anonimizados mantienen en privado mi identidad personal.
La privacidad ha muerto.
La respuesta: ninguna es cierta. En serio.
Acerca del ecosistema de datos
Antes de aclarar las afirmaciones anteriores, echemos un breve vistazo al mundo de los datos a través de cuatro capas: usuarios, datos, aplicaciones y plataformas. Comprender estas capas será útil cuando hablemos de las políticas de privacidad en la siguiente sección.
Usuarios
Una buena práctica habitual es segmentar a los usuarios por audiencia o, más concretamente, según cómo vayan a utilizar los datos. Una vez identificadas estas categorías, se pueden establecer políticas de privacidad para cada una.
Estos son algunos ejemplos de categorías de usuarios: usuarios de informes estándar, usuarios de consultas ad hoc, socios/proveedores remotos, usuarios avanzados, directivos de empresas, estadísticos/científicos de datos, directivos y miembros del consejo de administración, y Recursos Humanos.
En sus propias empresas, querrán crear segmentos de usuarios que se ajusten a su estructura y cultura.
Datos
Veamos ahora la capa de datos. Clasificar los datos es un ejercicio muy útil porque obliga a iniciar la conversación sobre la existencia de distintos «tipos» de datos y sobre el hecho de que no hay una solución única para todos. Este ejercicio también facilita la asignación de responsabilidades sobre los datos. Algunos tipos de datos son: transaccionales, maestros, metadatos, controlados, de referencia, de informes, analíticos, abiertos, transversales, históricos, específicos de un departamento y específicos de un proceso.
Otra forma de clasificar los datos es distinguir entre datos de primera, segunda y tercera parte:
Datos de primera parte son los que una empresa recopila directamente de sus clientes, como los clics en el sitio web, los datos de CRM, las transacciones de pedidos, los datos sociales, los datos entre plataformas y los datos móviles. Es el mejor tipo de datos que se puede tener. La empresa tiene permiso para disponer de ellos.
Datos de segunda parte son los datos de primera parte de otra empresa. Por ejemplo, mediante una asociación o un acuerdo, dos empresas comparten datos de clientes para una campaña de promoción cruzada. O un sitio o una aplicación permite iniciar sesión con un perfil social, como Google o Facebook, en lugar de obligarte a crear otro nombre de usuario y contraseña para otro sitio más.
Datos de tercera parte son datos recopilados, agregados y anonimizados que suelen vender los intermediarios de datos. Están ampliamente disponibles, incluso para tus competidores. Los consumidores apenas tienen control sobre estos datos, o no tienen ninguno, y lo más probable es que no hayan dado su permiso explícito para que los uses.
Otra forma de clasificar los datos se basa en su seguridad. Es un método excelente para colaborar, especialmente en el gobierno, los servicios financieros y la atención sanitaria, sectores en los que los datos están sujetos a una regulación estricta y la legislación sobre privacidad es una realidad. En este método de clasificación, cada categoría de datos tiene su propio conjunto de políticas específicas, que determinan no solo quién puede utilizar los datos, sino también quién puede modificarlos y administrarlos.
No hay una forma correcta o incorrecta de clasificar los datos. Cada empresa es diferente. Pero, una vez definidas las categorías de datos, se pueden aplicar las políticas de privacidad.
Aplicaciones
A continuación están las aplicaciones: la interfaz principal del usuario con los datos. Puede tratarse de una aplicación de escritorio que te da acceso al sistema CRM de tu empresa, una aplicación web como Dropbox que te permite almacenar tus datos en la nube, o una aplicación móvil como Waze que te ayuda a evitar el atasco que tienes más adelante. También incluye las aplicaciones de inteligencia empresarial y analítica que utilizas para desarrollar y ejecutar informes y visualizaciones de datos.
Tanto si se trata de una aplicación empresarial como de una aplicación personal, las políticas de privacidad suelen establecerse en torno a quién puede acceder a qué datos.
Plataformas
La última capa es la plataforma. Es donde se almacenan y procesan los datos. Incluye los datos estructurados de tus sistemas operativos y almacenes de datos, el clúster de Hadoop instalado en el centro de datos de tu empresa y los datos de Twitter almacenados en la nube de Amazon.
Aunque el acceso de la mayoría de los usuarios a la plataforma puede controlarse mediante una aplicación, también querrás establecer políticas de privacidad en el nivel de la plataforma, por si alguien, con razón o sin ella, intenta eludir la aplicación y acceder directamente a los datos en la plataforma.
En conjunto, todo se reduce a lo siguiente: Los usuarios utilizan aplicaciones para crear o acceder a datos almacenados en una plataforma de datos. Es importante establecer políticas de privacidad en cada capa.
Aclaremos los hechos
Ahora estamos listos para abordar las cinco afirmaciones, o creencias sobre la privacidad de los datos, mencionadas antes:
Creencia n.º 1: «No tengo nada que ocultar».
¿Has dicho u oído esto: «No tengo nada que ocultar»? ¿O qué tal esto: «Si no he hecho nada malo, no tengo nada de qué preocuparme»?
Si eso es lo que crees, no estás entendiendo el punto. Afirmaciones como esta solo desvían la atención del verdadero debate sobre la privacidad en línea. Piensa en esto: cada día alguien nuevo se conecta a internet. Quizá sea un joven que acaba de tener su primer iPhone, o alguien de una región donde por primera vez se está consiguiendo un acceso asequible. No conocen las reglas. Puede que no te importe que te rastreen abiertamente, pero no los pongas en una situación peligrosa haciéndoles creer que internet es seguro. Porque no lo es.
Por tanto, una afirmación más precisa sería: Todos tenemos algo que ocultar. Solo depende de quién. Sé responsable de tus propios datos y ayuda a los demás a ser responsables de los suyos.
Creencia n.º 2: Las políticas de privacidad se aplican a los datos, no a los usuarios.
Algunas empresas todavía operan bajo la creencia de que, si los datos están bien categorizados y se les aplican políticas, no importa quién los utilice porque la privacidad ya está garantizada. Esta suposición es errónea, porque los usuarios pueden y encontrarán la forma de acceder a los datos que necesitan.
Por tanto, una afirmación más precisa sería: Como se explicó en la sección anterior, las políticas de privacidad se aplican a todas las capas del ecosistema de datos —a los datos, los usuarios, las aplicaciones y las plataformas—, no solo a los datos.
Creencia n.º 3: Una sola política de privacidad basta para todos tus datos.
Un buen ejemplo del enfoque de una sola política de privacidad es la política de privacidad del sitio web de una empresa. Ya sabes cuál: la política que aceptamos rápidamente —y no leímos— cuando creamos nuestra cuenta en el sitio. Es cierto que esta política dirigida a los consumidores es muy importante y sigue evolucionando a medida que avanzamos por el camino de la privacidad de los macrodatos. Pero, como hemos estado comentando, no es la única que debería tener tu empresa.
Por tanto, una afirmación más precisa sería: Necesitas varias políticas de privacidad para tus categorías de datos, por no hablar de las políticas para tus usuarios, aplicaciones y plataformas. Pero me repito.
Creencia n.º 4: Los datos anonimizados mantienen en privado mi identidad personal.
Esta es una de mis favoritas. Probablemente conozcas el concepto de desidentificar o anonimizar datos. En términos sencillos, significa eliminar de un conjunto de datos cualquier información que pueda identificar personalmente a una persona concreta; por ejemplo, el nombre de la persona, un número de tarjeta de crédito, un número de la Seguridad Social, una dirección particular, etc. Las empresas que venden datos de consumidores, como los intermediarios de datos, suelen vender únicamente datos anonimizados y, a menudo, agregados. Entonces, ¿cuál es el problema?
El problema es este: con las tecnologías actuales de macrodatos, cada vez es más fácil volver a identificar a personas a partir de estos datos anonimizados. Se siguen desarrollando técnicas de programación para recomponer estas piezas anonimizadas a partir de uno o más conjuntos de datos. Así que, si una empresa dice que anonimiza tus datos antes de compartirlos con terceros, ten en cuenta que tu identidad aún podría quedar al descubierto mediante técnicas avanzadas de reidentificación.
Por tanto, una afirmación más precisa sería: Es posible volver a identificar a personas a partir de datos anonimizados. [Hablaré más sobre este tema en mi próxima publicación.]
Creencia n.º 5: La privacidad ha muerto.
La declaración de que «la privacidad ha muerto» no es nueva. He aquí algunos ejemplos de directores ejecutivos:
Hace unos 15 años, Scott McNealy, de Sun Microsystems, dijo: «De todos modos, no tienes nada de privacidad. Supéralo».
Diez años después, Eric Schmidt, de Google, dijo: «Si tienes algo que no quieres que nadie sepa, quizá no deberías hacerlo».
En 2010, Mark Zuckerberg, de Facebook, cambió radicalmente de postura al sostener que la privacidad ya no era una norma social.
Esto ocurrió hace más de 5 años. Son hombres brillantes, pero se equivocan. La privacidad no ha muerto y no deberíamos resignarnos.
Por tanto, una afirmación más precisa sería: La privacidad no ha muerto. Todavía. La atención a los problemas de privacidad de los macrodatos está aumentando rápidamente y, a medida que más personas empiecen a comprender lo que está en juego, las cosas cambiarán y ya están empezando a cambiar.
En resumen
En este mundo de macrodatos en el que vivimos, nos vemos obligados a abordar los problemas de privacidad, queramos o no, como consumidores, ciudadanos y empleados de los sectores privado y público. Aclaremos los hechos sobre la privacidad de los macrodatos y ayudemos a los demás a hacer lo mismo.
Este artículo se publica en colaboración con The Smart Data Collective. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para mantenerse al día sobre la Agenda suscríbase a nuestro boletín semanal.
Autor: Tamara Dull es directora de Tecnologías Emergentes del equipo de Mejores Prácticas de SAS, una organización de liderazgo intelectual del SAS Institute.
Imagen: Una lupa sostenida delante de la pantalla de una computadora. REUTERS/Pawel Kopczynski.
