Huella digital del dispositivo, informe de la AEPD

Christian H. Miller / @ChMiller*

Es evidente que nos produce rechazo todo tipo de avance tecnológico chino que tenga por objeto el mejorar la identificación de sus ciudadanos. La huella digital, el rostro y hasta la manera de caminar; el país asiático incluso implementó un sistema de créditos sociales al mejor estilo “Black Mirror”, mientras el mundo observa con cierto estupor.

Sin embargo, y pese a quien le pese, Occidente pareciera seguir sus pasos. ¿O no es eso lo que hace Apple con sus sistemas de reconocimiento TouchID (de huella digital) y FaceID (de rostro)? De hecho, ¿no es justamente lo que pretende el W3C (World Wide Web Consortium) con la implementación del protocolo “WebAuthn” en Internet, el cual permitirá el uso de datos biométricos en lugar de las convencionales contraseñas alfanuméricas? El por qué resulta siempre la individualización del hombre de a pie, y su perfilado en Internet, sea cual sea el fin último.

En los últimos días, la Agencia Española de Protección de Datos (AEPD) ha hecho público un interesante informe en el cual analiza el estado actual de los sistemas de perfilado en Internet y su explotación mediante artefactos móviles. El documento, denominado “Fingerprinting o huella digital del dispositivo”’, incluso vincula a esta técnica de reconocimiento con el rastreo de los usuarios a través de sus dispositivos.

Acertadamente, la AEPD inicia su estudio manifestando que “el modelo… de los servicios web se basa en prestar un servicio de forma totalmente gratuita, a cambio de la monetización de los datos recopilados de los usuarios…”, y luego sostiene que “sin embargo, nos encontramos ante un mercado muy dinámico en el que los navegadores y antivirus proveen de herramientas para permitir a los usuarios gestionar la exposición de su información personal, lo que implica una dificultad para perfilar con alta precisión a los potenciales clientes”.

Sin embargo, advierte que de todas maneras “los diversos agentes… no cesan de investigar nuevas formas… para recopilar y explotar datos… se están utilizando otras técnicas de seguimiento más avanzadas y que han superado a las cookies, basadas en la recopilación de información específica del navegador web y/o dispositivo… se conoce como… `fingerprinting´, en español `huella digital del dispositivo´ o `huella del dispositivo´…”.

Luego de analizar más de 14.000 páginas web españolas, la AEPD detectó una sistemática recopilación de información sobre determinados dispositivos en forma remota con el fin de hacer un seguimiento de la actividad del usuario y, por ende, perfilarlo. Es justamente este conjunto de datos extraídos que permiten individualizar al aparato -y a su dueño-, lo que se denomina “huella digital del dispositivo”. Los chinos habrán aprendido a clasificarnos según cómo caminamos, pero por estos lares ya detectan cómo usamos el mouse y cuánto nos detenemos en cada sitio de la pantalla sin instalar ni una sola cookie en el dispositivo. Algunos ya hablan de “cookieless monsters”, ya que el usuario no puede evitarlo de ninguna manera.

El estudio luego contiene estadísticas sorprendentes que no hacen a los fines de esta publicación pero que se recomiendan consultar, especialmente para conocer los alcances de la huella digital. Sí destacaremos aquí que, a su cierre, el documento incluye muy atinadamente “medidas al alcance del usuario” para proteger su privacidad y evitar el uso de la huella digital con fines de perfilado.

La AEPD recomienda la implementación de la opción “Do Not Track” en los navegadores, así como la instalación de bloqueadores de publicidad y seguimiento. Incluso aconseja la alternancia en el uso de navegadores (evita que la información se consolide en un solo sitio) y hasta la ejecución de máquinas virtuales y/o VPN (redes de anonimización), para usuarios más avanzados.

Por último, hace “recomendaciones a la industria”, a entidades que quieran explotar la huella digital, y resalta la importancia del consentimiento del usuario para el tratamiento de datos personales. A su vez, recomienda contar con un Delegado de Protección de Datos y advierte sobre las posibles consecuencias legales.

Con todo, el informe de la Agencia Española de Protección de Datos Personales se presenta como un llamado de atención tanto para usuarios como para empresas, no solo españoles, en cuanto al camino que se está tomando en Internet algo alejado del control individual de los datos personales.

*Abogado. Especialista en Derecho de la Alta Tecnología, hizo cursos de posgrado en Cibercrimen y evidencia digital y en Protección de datos personales, privacidad y compliance.

Las opiniones expresadas en este artículo son exclusiva responsabilidad de su autor y no reflejan necesariamente las opiniones de Ciberseguridad LATAM.