Las solicitudes de privacidad están exponiendo lo mal que muchas empresas manejan los datos de los consumidores

Los derechos sobre los datos de los consumidores chocan con sistemas reales desordenados

Una prueba reciente de más de 100 solicitudes de acceso a datos de consumidores sugiere que un derecho garantizado sobre el papel puede seguir desmoronándose en la práctica. La cobertura destacó cómo respondieron de manera desigual las empresas cuando se les pidió proporcionar copias de información personal recopilada bajo la California Consumer Privacy Act, o CCPA. Algunas compañías entregaron grandes dosieres de datos de usuarios. Otras generaron confusión, introdujeron retrasos o parecieron tratar una solicitud de acceso como si fuera una petición para borrar registros por completo.

El resultado es una imagen de un régimen de privacidad que existe, pero que a menudo sigue siendo difícil de usar para la gente común. La CCPA otorga a las personas varios derechos importantes, entre ellos la posibilidad de optar por no vender sus datos, pedir su eliminación y solicitar una copia de la información que una empresa posee sobre ellas. En este caso, la cobertura se centró solo en el derecho de acceso, una demanda relativamente sencilla en principio: decirle a una persona qué datos se han recopilado sobre ella.

Lo que ocurrió en cambio fue, a menudo, fricción administrativa. El proceso exigía localizar los canales de envío aprobados, navegar formularios web, correos electrónicos y números de teléfono que figuraban en las políticas de privacidad, y completar repetidos pasos de verificación de identidad. Las empresas pueden disponer de tiempo para cumplir estas solicitudes, pero la cobertura encontró que el camino hacia el cumplimiento podía seguir siendo gravoso incluso antes de que terminara el periodo de espera.

Cuando las solicitudes de acceso se confunden con solicitudes de eliminación

Uno de los fallos más llamativos descritos en la cobertura no fue solo el retraso, sino la confusión de categorías. Según los informes, algunas empresas respondieron a solicitudes de acceso con mensajes sobre borrar información, pese a instrucciones explícitas de no hacerlo. Eso importa porque el acceso y la eliminación no son derechos intercambiables. Un consumidor que pregunta qué sabe una empresa sobre él está haciendo una solicitud legal y práctica distinta de la de pedir que se eliminen registros.

Si una empresa no puede distinguir de forma fiable entre esas dos solicitudes, surgen preguntas más amplias sobre cuán maduras son realmente sus operaciones de privacidad. Un sistema de cumplimiento que funcione debería poder identificar el tipo de solicitud, enrutarla correctamente y comunicarse con claridad con el consumidor. Cuando eso no sucede, la carga vuelve a la persona, que debe corregir a la empresa, vigilar el proceso y esperar que no se haya tomado ya ninguna medida no deseada.

La cobertura incluyó un ejemplo relacionado con Crunchbase, donde una solicitud de acceso enviada por correo electrónico supuestamente incluía una declaración directa de que no se pedía ninguna eliminación. Aun así, apareció confusión al inicio del proceso. Ese tipo de fallo apunta a una debilidad recurrente en la administración de la privacidad: las políticas pueden estar redactadas con precisión legal, mientras que la ejecución depende de flujos de trabajo fragmentados, soporte externalizado o herramientas de cumplimiento mal integradas.

Algunas empresas pueden proporcionar registros exhaustivos con rapidez

La cobertura también mostró que es posible contar con sistemas de respuesta sólidos. Una solicitud presentada a McDonald's produjo un informe de 515 páginas en cuestión de días, con interacciones de la aplicación detalladas de forma minuciosa. Esa respuesta ilustra dos realidades paralelas de la economía de datos moderna. Primero, muchas empresas recopilan y conservan mucha más información de comportamiento de la que la mayoría de los usuarios probablemente supone. Segundo, al menos algunas compañías han construido la infraestructura interna para recuperar y empaquetar esa información rápidamente cuando se requiere.

Esas dos realidades son importantes en conjunto. Una empresa que puede responder con detalle demuestra que el cumplimiento es operativamente viable. Pero la enorme escala del registro devuelto también subraya hasta qué punto los servicios digitales observan y almacenan la actividad del usuario. Por tanto, las solicitudes de acceso hacen algo más que poner a prueba el cumplimiento legal: exponen el volumen y la textura subyacentes de la recopilación de datos personales.

Para los consumidores, eso puede resultar esclarecedor. Ver el registro real puede revelar cuánta información ha reunido con el tiempo una aplicación móvil, una plataforma de fidelización o un servicio en línea. Para reguladores y defensores, estas divulgaciones pueden ayudar a separar las afirmaciones sobre protección de la privacidad de las capacidades y prácticas reales dentro de una empresa.

La ley de privacidad solo es tan eficaz como los procesos que la respaldan

Los defensores de los consumidores citados en la cobertura reaccionaron con dureza al mal manejo de algunas solicitudes. Su crítica se centró en un problema de política conocido: los marcos que dependen de que las empresas actúen con responsabilidad y buena fe pueden parecer sólidos sobre el papel y, sin embargo, producir resultados incoherentes en la práctica. Si la experiencia es lenta, confusa o propensa a errores, muchas personas simplemente se rendirán antes de ejercer el derecho.

Esa barrera práctica puede ser tan significativa como cualquier denegación formal. Los derechos que requieren persistencia, comprensión técnica y seguimiento repetido son menos accesibles que los derechos que pueden ejercerse mediante un proceso predecible y bien diseñado. La ley puede definir lo que debe ocurrir, pero el consumidor solo experimenta la interfaz, el sistema de soporte y el resultado.

También hay una cuestión de gobernanza bajo estas anécdotas. Si las empresas deben indicar los métodos de presentación en sus políticas de privacidad, pero luego se resisten a procesar solicitudes por esos mismos métodos, el problema ya no es solo una molestia. Se convierte en una cuestión de si la divulgación, las operaciones de cumplimiento y el comportamiento de cara al cliente están alineados.

• La cobertura se centró en las solicitudes de acceso, no en las de eliminación o de exclusión.
• Las empresas pueden tardar hasta 45 días en completar las solicitudes.
• Según los informes, algunas respuestas confundieron los derechos de acceso con los flujos de trabajo de eliminación.
• Al menos una empresa devolvió en pocos días un archivo de datos personales muy detallado.

La lección más amplia es que la aplicación de los derechos de datos depende ahora en gran medida de la competencia operativa. Los consumidores no interactúan directamente con los estatutos; interactúan con portales, correos electrónicos, centros de atención y sistemas de verificación. Si esos sistemas están mal diseñados, el derecho se vuelve frágil incluso cuando la ley es clara.

Para el debate sobre privacidad, esta es una señal significativa. La siguiente fase de la protección de datos de los consumidores puede depender menos de crear nuevas categorías de derechos que de hacer que los existentes sean utilizables, fiables y difíciles de gestionar mal. Los derechos de acceso se supone que deben hacer legible para el público la recopilación de datos. Cuando las empresas no pueden procesarlos con claridad, revelan no solo lagunas de cumplimiento, sino también el estado todavía inacabado de la rendición de cuentas digital.

Este artículo se basa en la cobertura de Ars Technica. Leer el artículo original.