En septiembre de 2019, China tuvo su propia versión de la tormenta de privacidad de FaceApp. Mediante técnicas de inteligencia artificial y aprendizaje automático, la aplicación Zao permitía a los usuarios intercambiar sus rostros por los de celebridades en películas o series de televisión. Se volvió viral como herramienta para crear deepfakes, pero pronto surgieron preocupaciones cuando la gente advirtió que el acuerdo de usuario de Zao otorgaba a la aplicación derechos globales para utilizar gratuitamente cualquier imagen o vídeo creado en la plataforma.
Tras una protesta pública por estas polémicas condiciones de privacidad de los usuarios y por las dudas sobre la seguridad de los datos, la empresa aclaró que la aplicación no almacenaría la información facial de ningún usuario. Bajo presión, la empresa también declaró que, una vez que un usuario desinstalara Zao o eliminara su cuenta, la aplicación eliminaría la información relacionada según lo exigido por la normativa y “garantizaría la seguridad de la información personal y de los datos de todas las formas posibles”.
Cuando Mark Zuckerberg testificó ante el Congreso a principios de 2018 sobre las prácticas de datos de Facebook, advirtió de que regular el uso de datos personales por parte de la plataforma haría que Estados Unidos quedara rezagado frente a las empresas chinas en lo que respecta a la innovación con uso intensivo de datos, como la IA. Su argumento reflejaba la idea convencional de que la industria de internet china dispone de una enorme cantidad de datos de usuarios acumulados para la investigación en IA gracias a la laxa regulación de la recopilación de datos en China.
Pero 2018-2019 podría considerarse el momento en que la opinión pública china despertó a la privacidad. Cuando Robin Li, fundador de Baidu, hizo el comentario de “intercambiar privacidad por comodidad” a principios de 2018, sus palabras provocaron un gran revuelo entre los usuarios de internet. Como si fuera cuestión de suerte, Baidu fue demandada ese mismo año por un grupo de protección de los derechos de los consumidores de la provincia de Jiangsu por recopilar datos de usuarios sin consentimiento (la demanda se retiró posteriormente, después de que la empresa eliminara la función de supervisar los contactos y actividades de los usuarios).
Recientemente, los usuarios chinos desafiaron a otro gigante de internet, Alibaba, en materia de privacidad de datos personales. Ant Financial, el brazo financiero de Alibaba, ha lanzado Zhima (Sesame) Credit, un servicio de calificación crediticia en línea que concede préstamos basándose en la actividad digital, los registros de transacciones y la presencia en redes sociales de los usuarios. Los usuarios descubrieron que habían sido incluidos en el sistema de calificación crediticia por defecto y sin consentimiento. Bajo presión, Alibaba se disculpó.
Cada vez más, los consumidores chinos defienden en voz alta su privacidad frente a los gigantes de internet. Mientras tanto, a finales de 2018, el Congreso Popular de China anunció que la ley china de protección de datos personales había sido incluida oficialmente en la agenda de la legislatura en curso. Junto con la ley de ciberseguridad de 2017 y las partes pertinentes de la ley de comercio electrónico de 2018, la ley china de protección de datos personales dará lugar a un marco integral de derechos y protección de los datos individuales.
Mientras se redacta la nueva ley, la Administración del Ciberespacio de China (CAC), el regulador administrativo de internet de mayor rango, publicó en junio de 2019 la Guía Reguladora de Protección de Datos. Esta establece normas específicas sobre lo que las empresas de internet deben y no deben hacer al recopilar y utilizar los datos de los clientes, fijando en la práctica las normas de protección de datos personales en China. Para el mercado, constituye una referencia sobre la futura orientación de la ley nacional.
La guía de la CAC, por ejemplo, se centra en particular en cómo los usuarios pueden ejercer un mayor control sobre sus datos en las aplicaciones móviles. Establece las siguientes situaciones como casos de recopilación ilegal o excesiva de información de usuarios por parte de las aplicaciones móviles:
Ausencia de normas de datos de usuario de acceso público;
Ausencia de una declaración explícita sobre la finalidad, el método o el alcance de la recopilación de información de usuarios;
Recopilación de información sin consentimiento;
Recopilación de información personal no relacionada con el servicio prestado;
Incumplimiento de la obligación de eliminar o corregir la información personal según lo exigido por la ley;
Vincular el servicio principal con funciones adicionales para obligar al usuario a facilitar datos personales para todos los servicios.
Paralelamente, la CAC, junto con el Ministerio de Seguridad Pública, el Ministerio de Industria y Tecnologías de la Información y la Administración Estatal de Regulación del Mercado, ha puesto en marcha una campaña nacional para inspeccionar las aplicaciones de teléfonos inteligentes con el fin de determinar si recopilan ilegal o excesivamente información de los usuarios. En julio de 2019, se ordenó a un grupo de aplicaciones de uso generalizado que corrigieran en consecuencia sus prácticas de recopilación de datos, y se comprobó que 10 aplicaciones, entre ellas las del Banco de China, no tenían normas de privacidad para los usuarios. Otras 40 aplicaciones, incluidas las de numerosas plataformas financieras en línea, fueron señaladas por “problemas graves” en su recopilación de datos.
Pese a los avances logrados con las normas de la CAC, siguen existiendo cuestiones importantes sobre cómo las autoridades auditarán a las empresas según las nuevas normas y cuál será su efecto en las operaciones empresariales. ¿Cómo encajarán estas normas en el proceso regulatorio emergente? Por un lado, el marco de China es en muchos aspectos similar al RGPD. Por ejemplo, la disposición del «derecho al olvido» de la ley china de comercio electrónico imita el derecho de acceso, rectificación y supresión de datos previsto en el RGPD; por otro, tiene características muy propias de China (el concepto de «soberanía de datos», por ejemplo), mientras que el RGPD no está explícitamente vinculado a objetivos más amplios de seguridad nacional y estabilidad social.
Como mayor mercado de usuarios de internet móvil y economía de datos, el marco de derechos de datos individuales de China tiene profundas implicaciones globales. Puede estimular a Estados Unidos, que todavía carece de una posición a nivel nacional sobre protección de datos, para acelerar las medidas legales pertinentes. También puede servir de referencia para grandes economías emergentes como India, Brasil y los países de la ASEAN cuando traten de regular las actividades en el ciberespacio y las tecnologías emergentes.
Es positivo ver más iniciativas en materia de protección de datos individuales. Estas podrían dar lugar a un diálogo global y a la formación de una práctica global sobre esta cuestión fundamental, evitando un panorama jurídico global potencialmente fragmentado. Contrariamente a la caracterización de Zuckerberg, China ya no es un contraargumento conveniente frente a las normas de privacidad.
