¿Qué datos y meta datos se recopilan? ¿Cuál es la base legal para esta recolección? ¿Con quién se comparten? ¿Con qué finalidades? ¿Y por qué no explicar todo esto de forma simple a las personas? Estas son preguntas que a menudo quedan sin una respuesta adecuada. Resulta que en otros casos, el uso indebido de los datos de la ciudadanía da como resultado una verdadera concentración del mercado. Pero, ¿qué está pasando en América Latina?

En una audiencia judicial en los Estados Unidos sobre el famoso caso del uso político de los datos personales, conocido como Cambridge Analytica, se confirmó la información divulgada por Motherboard a principios de año. Estos hechos demuestran y refuerzan lo que viene sucediendo en la dinámica de los últimos años: que la internet que fue pensada como libre, abierta e inclusiva cada vez más nos aprisiona en manos de pocas empresas, en un mundo extremadamente concentrado.

Regulaciones de todo el mundo intentan dar cuenta de todos estos problemas, ya sea mediante la creación de leyes más protectoras, como el Digital Service Act y el Digital Market Act en Europa, o aplicando multas más fuertes, como hemos visto últimamente con los gigantes tecnológicos. Esta semana, incluso, Google tuvo una multa de 4,12 millones de euros confirmada por el Tribunal de Justicia de la Unión Europea, debido a la imposición de restricciones ilegales a los fabricantes de dispositivos Android.

Lo mismo ocurre en América Latina. O al menos eso es lo que parece comenzar a suceder. A partir del análisis de un caso tratado por varias autoridades de diferentes países se revela un verdadero cambio de paradigma para lidiar con la competencia, protección de datos y de las personas consumidoras, según un estudio que Maria Paz Canales y yo publicamos en la revista GRUR International. El caso trata del cambio de las políticas de privacidad y de los términos de servicio en 2016 y 2021, y principalmente de la reacción de las autoridades y de la sociedad civil, con un enfoque especial en América Latina. Como se resaltó en un seminario reciente del Foro de la Sociedad Civil de la Red Iberoamericana de Protección de Datos, necesitamos comprender las implicaciones de “cuando los gigantes cambian las reglas”.

El valor de los datos y las promesas realizadas

Desde el anuncio de la compra de WhatsApp por parte de Facebook en febrero de 2014, la operación ha llamado la atención por el alto precio de la adquisición (alrededor de 19.000 millones de dólares) y por las promesas de Zuckerberg de “no cambiar los planes en torno a WhatsApp y la forma en que utiliza los datos de las personas usuarias”.

A pesar de las promesas, la realidad fue mostrándose totalmente diferente. La empresa fue multada por la Comisión Europea en 110 millones de euros por proporcionar información engañosa sobre un tema crucial en la revisión de la operación de compra por parte del regulador europeo. Simplemente no informó correctamente sobre la posibilidad técnica de identificar y combinar a las personas usuarias de las dos plataformas.

Pero la confirmación de que las promesas no se cumplirían se verificó en 2016, cuando se produjo uno de los mayores cambios en la política de privacidad y los términos de uso del servicio. El cambio permitió el intercambio de datos y metadatos de consumidores de WhatsApp con las demás empresas del grupo Facebook. A la persona usuaria, se le permitió una sola oportunidad de oponerse a este intercambio de sus datos, y aún así esta opción sólo podría hacerse en 30 días.

Varias fueron las decisiones de autoridades de protección del consumidor/a, competencia y datos, que entendieron este cambio como abusivo, especialmente en los países europeos. Así, la empresa llegó a un acuerdo para cambiar la política para el continente europeo, de modo que entraría en vigor solamente cuando el reglamento de protección de datos estuviera vigente, además de ser evaluado por las autoridades competentes. Es el caso de la Comisión de Protección de Datos (DPC) de Irlanda, que solo llegó a una conclusión parcial del caso en 2021, aplicando una multa de 255 millones de euros a la empresa debido a la falta de transparencia en el procesamiento de los datos. Solo después de la multa millonaria, a fines de 2021, la compañía realizó cambios más sustanciales en su política de privacidad, pero tales cambios solamente son válidos para Europa.

¿Y en el resto del mundo? Las diferentes lentes del/a consumidor/a, la competencia y la protección de datos

En 2021, se anunció un nuevo cambio en las políticas de privacidad de WhatsApp, que consolidó y aumentó el volumen de datos recopilados por la empresa. Pero esta vez sin dar la posibilidad de no aceptar el cambio. Súbitamente, hubo mucha queja por parte de la sociedad civil organizada y de autoridades de todo el mundo. India y América Latina encabezaron una rebelión global en contra de las nuevas condiciones de la aplicación, según lo informado por la prensa en ese momento. La autoridad de competencia de la India ha tomado una decisión preliminar al suspender el cambio de política, por entender que esa era una conducta exploratoria y excluyente. En América Latina, las autoridades finalmente tomaron algunas decisiones importantes al respecto de esta política.

En Argentina, por ejemplo, la autoridad de competencia argentina tomó la decisión preliminar, confirmada posteriormente, que consideró el abuso exploratorio, la exclusión y la posición dominante del grupo Facebook en ese país, en vista de factores como la recopilación excesiva de datos, la ausencia de opciones reales a las personas para limitar esta recopilación y la subordinación de la prestación del servicio a la aceptación de la actualización. La decisión también resalta que no hay gratuidad del servicio, pues el activo esencial es la información y datos de las personas usuarias del servicio, que se transforman en ganancias monetarias por la publicidad en otras plataformas. Ya La Dirección General de Defensa y Protección al Consumidor multó a la empresa con un valor 5 millones de pesos argentinos, subrayando que las cláusulas y los cambios eran abusivos.

En Brasil, llamativamente, el caso fue uno de los primeros en ser analizados por la recién instituida Agencia Nacional de Protección de Datos (ANPD). La ANPD en conjunto con el Ministerio Público Federal, la Secretaría del Consumidor y el Consejo Administrativo de Defensa Económica (CADE), cariñosamente llamados los “cuatro fantásticos”, recomendaron fuertemente a las empresas para que aplacen la entrada en vigor de la nueva política de privacidad. Solo después de meses, la ANPD terminó el análisis de la política de privacidad de la compañía basándose en la Ley General de Protección de Datosa LGPD, entendiendo que la compañía cumplió con las recomendaciones hechas por las áreas técnicas de la agencia. Sin embargo, en esa misma decisión, la ANPD abrió nuevos procedimientos, ahora para investigar otras cuestiones que aún no habían sido evaluadas: la posibilidad de procesamiento de datos de infancias y adolescencias, además del punto nodal del caso, que es la posibilidad de compartir los datos de los/as usuarios/as entre las empresas del grupo económico.

En Chile se ha abierto una investigación, aún no concluida, por la autoridad de competencia, ya que hasta el momento el país no cuenta con un organismo específico dedicado a la protección de datos.

Más allá de los Cuatro Fantásticos: colaboración interinstitucional e internacional

En Brasil, la cooperación interinstitucional entre los “cuatro fantásticos” fue un factor importante debido incluso a la reciente instauración de la ANPD. El intercambio también sirvió para consolidar una actuación más integrada entre las diferentes autoridades y posibilitar un análisis más completo y global de los temas tratados en el caso. Otra cuestión que llama la atención es que el caso continúa, o sea, todavía tendremos novedades en nuevos procesos que fueron abiertos.

Ya en Argentina, además de las decisiones ya citadas anteriormente, llama la atención la apertura de las autoridades hacia la sociedad civil y para la discusión internacional con otras autoridades sobre el caso, conforme lo visto en el encuentro virtual promovido por la Conferencia de las Naciones Unidas sobre Comercio y Desarrollo (UNCTAD), Public Citizen y Third World Network, que contó con la participación de varias autoridades de América Latina, Asia-Pacífico, Europa y África.

La sociedad civil organizada fue extremadamente activa en el caso. Entidades como la Coalición Derechos en la Red, Idec, Data Privacy Brasil, CGI, Fundación Via Libre, Tedic, Derechos Digitales y Al Sur, actuando en el ámbito nacional y regional, apenas para citar algunas organizaciones en el contexto latinoamericano. Tales organizaciones tuvieron una actuación importante en el debate, siendo proactivas en el diálogo con autoridades y con la empresa.

La lucha de David y Goliat continúa: la importancia de las organizaciones de la sociedad civil

No hay duda de la importancia de los datos para las empresas. Pero la transparencia y el respeto de los derechos de las personas siguen siendo puntos que merecen nuestra atención. Los procedimientos administrativos y judiciales relacionados con el caso de WhatsApp continúan en las jurisdicciones mencionadas aquí. Es por eso que debemos pensar las estrategias para que posibilite a David hacer que los gigantes cumplan las leyes y respeten los derechos humanos.