Blog Landwell

Más opciones para el tratamiento de datos sin consentimiento

La sentencia dictada el jueves pasado por el Tribunal de Justicia de la UE declara inaplicables el artículo 6.2 de la LOPD y el artículo 10.2.b del Reglamento de la LOPD, en relación a la exigencia de que, para tratar o ceder datos personales sin el consentimiento del interesado, se cumpla el requisito adicional de que dichos datos figuren en fuentes accesibles al público.

Consecuencias inmediatas

Los efectos de esta sentencia en los tratamientos de datos personales que se realicen a partir de ahora son, a mi modo de ver, los siguientes:

- La relación restrictiva de fuentes accesibles al público pierde relevancia.

- Los datos personales podrán ser tratados sin consentimiento del interesado aunque no provengan de fuentes accesibles al público.

- Los únicos requisitos que deberán cumplirse serán: 1) el interés legítimo del responsable del fichero y 2) que no se vulneren los derechos y libertades fundamentales del interesado.

- Ello significa que cualquiera que sea el origen de los datos, incluido Internet, éstos podrán ser objeto de tratamiento y cesión, siempre que se cumplan los dos requisitos comentados y exista un equilibrio entre el interés legítimo y los derechos fundamentales del interesado. Las comunicaciones electrónicas comerciales seguirán precisando el consentimiento expreso del destinatario de las mismas, salvo en el caso de clientes.

- Vuelven a estar dentro de la ley muchos tratamientos que resultan inocuos para la intimidad del interesado y que hasta ahora estaban vedados a las empresas.

- Es recomendable seguir el protocolo que hasta ahora venía aplicándose para asegurar el cumplimiento del deber de información y la no vulneración del derecho a la intimidad, de manera que se pondere el equilibrio entre interés legítimo y derechos fundamentales.

- Se incluirá en este protocolo, entre otras medidas, el filtro de las listas Robinson, el filtro de las cancelaciones recibidas, la ponderación del justo equilibrio de intereses y la información sobre los derechos ARCO en las comunicaciones y en los plazos establecidos para ello.

El Tribunal declara el efecto directo del artículo 7.f en España, debido a una incorrecta trasposición de la misma, por lo que, en mi opinión, no es necesario esperar al pronunciamiento del Tribunal Supremo, que fue el que planteó las dos cuestiones prejudiciales. Por ello, no estoy de acuerdo con el contenido de la nota informativa de la AEPD y pienso que la sentencia puede abrir la posibilidad de que las empresas soliciten la devolución de las sanciones pagadas por determinadas infracciones relacionadas con la falta de consentimiento en las que había equilibrio entre interés legítimo y derechos fundamentales.

Sentencia del Tribunal de Justicia de la UE

Nota informativa de la AEPD

 

Medidas y contramedidas en la investigación de candidatos en Facebook

Versión completa del artículo publicado en Expansión el 11/10/11 (página 36) bajo el título: "Cómo se protegen los candidatos en Facebook"

¿Existe un juego de búsqueda y ocultación entre investigadores e investigados en los procesos de selección de personal que utilizan las redes sociales para obtener información adicional de los candidatos?

Sí, pero dada la escasa trayectoria de las redes sociales, es difícil saber quién está ganando la carrera, aunque sí pueden apreciarse los intereses en juego. Mientras la empresa que realiza la selección de personal desea tener la máxima información sobre sus candidatos, éstos quieren establecer una clara separación entre lo laboral y lo privado.

A pesar de que entre los usuarios de Facebook o Tuenti predomina el afán por contar aspectos de su vida privada, especialmente en el caso de los nativos digitales, persiste una percepción selectiva de la privacidad que excluye naturalmente a la empresa en la que trabajan o en la que quieren trabajar.

Facebook varía la configuración por defecto de la privacidad, y ello puede desorientar a los usuarios poco avezados en separar su vida laboral de su vida privada. Algunos usuarios incluso hablan de su empresa en su muro, y ello ha obligado a crear manuales corporativos orientados a encauzar la actividad de los trabajadores en las redes sociales.

Pero si hablamos de manuales, desde la realidad cotidiana hasta la leyenda urbana, podemos encontrar compendios de instrucciones para las dos partes implicadas en un proceso de selección.

Primero encontraremos las recomendaciones esenciales para que un departamento de RRHH pueda complementar los datos obtenidos con los currículums, las pruebas psicotécnicas, las entrevistas con los candidatos y las referencias, con información extraída de la red. En algunos sectores, un aspecto clave de la personalidad o la actividad de un usuario en Facebook puede ser útil para recomendar o no su contratación.

Para determinar si la captura de estos datos y su posterior tratamiento exige el consentimiento del candidato deberían analizarse las condiciones generales aceptadas por el usuario en el momento de abrir una cuenta en Facebook, el alcance del acto de publicar voluntariamente la información como prueba del consentimiento, la finalidad y los destinatarios de esa información, la configuración dada por el usuario a su cuenta en materia de privacidad y la consideración o no de Facebook como un  medio de comunicación social, entre otros factores.

Como mecanismo de defensa basado en la voluntad del candidato de dejar que lo investiguen, ya que quiere el puesto de trabajo, pero también en el deseo de limitar el alcance de dicha investigación, podemos encontrar recomendaciones para hacer que la parte visible de la cuenta del candidato en Facebook represente un perfil altamente confiable.

El juego de búsqueda y ocultación podría finalizar aquí, pero los investigadores expertos tal vez no se conformen con un muro impecable y consigan, con cualquier estrategia de ingeniería social, que el candidato los agregue a su círculo de amigos.

La contramedida del candidato a este acceso a la zona privada de su cuenta sería, si no desea enemistarse con el investigador expulsándolo de ella, haber aplicado desde el inicio una política de limpieza similar a la aplicada a la zona pública.

En caso de no conseguir que el candidato lo agregue, un investigador persistente podría lograr que lo hiciesen uno o varios amigos del candidato. Ello permitiría al investigador acceder a información compartida y explotar la utilidad del “dime con quién andas y te diré quién eres”.

Como en un fractal de Mandelbrot, este juego de búsqueda y ocultación podría seguir hasta el infinito, y llegar hasta las máximas cotas de la paranoia: “Por favor, no publiques esta foto en Facebook”, “Por favor, no cuentes esto en Facebook”, “Estoy buscando trabajo, cuidad lo que contáis de mi en Facebook, por favor.”

 

 

Checklist para revisar las cámaras corporativas de videovigilancia

La sanción de 60.000 euros impuesta por la AEPD a unos grandes almacenes, confirmada por la Audiencia Nacional, obliga a recordar las condiciones en las que las empresas pueden hacer uso de videocámaras para realizar funciones de vigilancia y seguridad.

Para comprobar si una cámara o un sistema de videovigilancia cumple los requisitos legales y los criterios jurisprudenciales establecidos para esta actividad, deben realizarse las siguientes comprobaciones:

1. IDONEIDAD: ¿Se consigue con la cámara el objetivo propuesto en materia de seguridad?
2. NECESIDAD: ¿Existe otra medida más moderada para conseguir el objetivo propuesto con la misma eficacia?
3. PROPORCIONALIDAD: ¿Existe un equilibrio entre el objetivo propuesto y los derechos de los afectados?
4. INFORMACIÓN 1: ¿Se ha colocado en la zona un distintivo informativo con el contenido exigido por la ley?
5. INFORMACIÓN 2: ¿Dispone la empresa de impresos informativos para los interesados que lo soliciten?
6. CONTROL: ¿Dispone la empresa de un plano en el que se indique la situación de cada una de las cámaras?
7. SITUACIÓN: ¿Está situada la cámara en la vía pública?
8. RANGO 1: ¿Es adecuado el rango de acción de la cámara? (Un rango de 360 grados puede ser excesivo)
9. RANGO 2: ¿La cámara obtiene imágenes de la vía pública?
10. RANGO 3: En caso afirmativo, ¿es ello imprescindible para la finalidad propuesta?
11. RANGO 4: En caso afirmativo, ¿resulta imposible evitarlo?
12. RANGO 5: En caso afirmativo, ¿qué porcentaje ocupa la vía pública en el encuadre?
13. ZOOM: ¿Dispone la cámara de zoom? (En algunos casos puede ser excesivo para la finalidad prevista)
14. FICHERO: ¿La empresa ha inscrito el fichero de videovigilancia en el Registro General de la AEPD?
15. TRATAMIENTO 1: ¿La empresa ha contratado a una empresa de seguridad para tratar o visualizar los datos?
16. TRATAMIENTO 2: En caso afirmativo, ¿ha firmado un contrato de encargado del tratamiento?
17. SEGURIDAD: ¿Se han aplicado medidas de seguridad en relación al fichero de videovigilancia?
18. SECRETO: ¿Están identificadas y han suscrito un pacto de confidencialidad las personas con acceso a los datos?
19. ACCESO: ¿Dispone la empresa de un procedimiento que facilite el derecho de acceso de los interesados?
20. CANCELACIÓN: ¿Los datos son cancelados en el plazo máximo de un mes después de su captación?
21. PRUEBA: ¿Dispone la empresa de las correspondientes evidencias de cumplimiento en materia de videovigilancia?

 

Herramientas de monitorización, prueba del debido control e intimidad

La reforma del Código Penal y las obligaciones de control previo al delito que se establecen en el artículo 31 bis para evitar la responsabilidad penal de la empresa están obligando a replantear el alcance de la monitorización de los recursos TIC corporativos. 

A ello hay que añadir el modelo de seguridad Zero Trust propuesto por Forrester que consiste en tratar a los usuarios internos con confianza cero, es decir, como si fuesen usuarios externos. Este modelo se centra en la necesidad de monitorizar y analizar todo el tráfico de la red corporativa y la actividad de los usuarios mediante herramientas específicas para ello.

Además, la actual crisis económica ha enrarecido el clima laboral en las empresas, incrementando el riesgo de ataques desde el interior y de fuga de datos. Además de los casos de entrega de información confidencial a competidores, la alta valoración de la cartera de un comercial o un directivo fichado por otra empresa del sector puede provocar una explotación ilícita de datos de CRM de la empresa anterior.

El problema es que una medida preventiva, como la simple publicación de las normas de uso de los recursos TIC de la empresa, puede resultar insuficiente para acreditar el debido control. Hasta ahora se ha buscado un equilibrio entre disuasión, prevención, detección y prueba. Pero el nuevo escenario exige un mayor compromiso, ya que en muchos casos se llega tarde y es imposible obtener pruebas del delito. Por ejemplo, las empresas aplican un protocolo de seguridad informática en el momento del despido que no puede prevenir las fugas de información previas a una baja voluntaria.

Ello nos lleva a la aplicación de esquemas de forensic readiness que permitan capturar y almacenar de forma segura las pruebas electrónicas que puedan ser necesarias en el futuro para acreditar la comisión de un delito, así como la existencia de controles para evitarlo o, al menos, detectarlo.

Para cumplir esa función surgen herramientas de monitorización capaces de cumplir a la vez una función disuasoria, preventiva, detectiva y probatoria. Tras aplicar el protocolo exigido legalmente para su instalación, este software realiza varios controles de forma rutinaria. Uno de ellos consiste en capturar las pantallas de cada ordenador con la frecuencia que cada empresa estime necesaria. En frecuencias inferiores al minuto la información capturada ocupa 4GB al año por cada ordenador. Es decir, 4T al año para una empresa con 1.000 ordenadores.

Este sistema actúa como una auténtica caja negra, que va registrando toda la actividad de los usuarios sin necesidad de intervención humana. Aunque pueden configurarse diversos tipos de alertas, lo normal es que sólo se acuda a la información almacenada en el caso de que exista una sospecha razonable de la existencia de un delito. Se trataría de un acceso similar al que se produce con las cajas negras de los aviones en el caso de un accidente aéreo, aunque, en el caso de las pruebas informáticas, se aplicará un protocolo que garantice la proporcionalidad, idoneidad y necesidad del acceso a la información. También puede contratarse un servidor de almacenamiento controlado por un tercero para dotar al sistema de mayores garantías.

En este sentido, cabe recordar la sentencia del Tribunal Supremo de 27/09/07 a la que dediqué unslidecast. En ella se establece que la empresa, de acuerdo con las exigencias de buena fe, debe establecer previamente las reglas de uso de los recursos TIC corporativos (con aplicación de prohibiciones absolutas o parciales) e informar a los trabajadores de que va existir control y de los medios que se aplicarán papa comprobar la corrección del uso de dichos recursos por los trabajadores.

De esta manera, si los recursos TIC se utilizan para usos privados, en contra de estas prohibiciones y con conocimiento de los controles y medidas aplicables, no podrá entenderse que, al realizarse el control, se ha vulnerado una expectativa razonable de intimidad. Lo mismo cabe decir respecto al secreto de las comunicaciones.

De acuerdo con estos antecedentes, mi opinión se resume en las siguientes conclusiones:

1. Existen fundamentos legales para establecer controles destinados a disuadir, prevenir, detectar y crear pruebas en relación a los delitos que puedan cometerse utilizando los recursos TIC corporativos.
2. En la actualidad concurren diversos factores que aconsejan incrementar el nivel de control sobre los recursos TIC de las empresas.
3. Existen herramientas de monitorización que permiten capturar y almacenar la actividad de los usuarios, a modo de caja negra del sistema.
4. La aplicación de protocolos de investigación adecuados a la doctrina del Tribunal Supremo permiten aplicar los controles y obtener pruebas de eventuales delitos sin violar el derecho a la intimidad y el secreto de las comunicaciones.

 

Hacia la reputación 3.0

Poco a poco las empresas se van dando cuenta de la necesidad de gestionar su reputación en la red. El nivel de madurez es todavía muy bajo si tenemos en cuenta el potencial que existe en las actividades de búsqueda, análisis, gestión, participación, defensa...

Existen numerosas herramientas online y offline para automatizar o facilitar estas actividades, pero siempre es necesario la supervisión manual del experto, especialmente en la valoración de los matices que pueden hacer que un comentario sea etiquetado como positivo o negativo.

Los algoritmos más sencillos utilizados en la búsqueda y discriminación de comentarios que pueden tener un impacto reputacional negativo se basan en listas de palabras que normalmente se asocian a clientes insatisfechos o a trabajadores descontentos (por ejemplo), y a frases que se utilizan habitualmente con ánimo de reproche. Pero sigue produciéndose un alto nivel de falsos positivos, debido a la dificultad para relacionar la frase con el contexto, confirmar la pertenencia del autor a un grupo de interés prioritario o interpretar correctamente el matiz.

Progresivamente estos algoritmos se van perfeccionando y parece que SASI podría llegar a ser un ejemplo de ello. Se trata de un algoritmo basado en un experimento realizado sobre 66.000 comentarios de libros y otros productos ofrecidos en Amazon, por lo que su ámbito de actuación de limita principalmente al sector editorial.

Las personas que participaron en el experimento etiquetaron las frases que contenían cierto nivel de ironía verbal, como: "ideal para personas con problemas de insomnio", refiriéndose a un libro. Este algoritmo sigue dependiendo de un trabajo previo de selección y etiquetado de frases, pero es un primer paso para aplicar inteligencia en las búsquedas automatizadas.

Otra tecnología que puede ayudar a las búsquedas es el controvertido reconocimiento facial en las imágenes, que podría integrarse en una aplicación con algoritmos de análisis contextual y llevar la gestión de la reputación a cotas tan insospechadas como peligrosas. El debate sobre el uso de esta tecnología sigue en el seno de Google debido a su evidente impacto en materia de intimidad.

La FTC investiga el cloud computing como potencial amenaza para la seguridad

El boletín diario de seguridad de Inteco - Cert se hace eco de una noticia publicada en CSO (IDG) referida al inicio de una investigación sobre las potenciales amenazas que los servicios de cloud computing pueden representar para la privacidad y la seguridad de los datos de los consumidores.

La investigación es una iniciativa de la Federal Trade Commission (FTC) norteamericana y se extenderá al modo en que las empresas realizan la gestión de identidades en sus sistemas y aplicaciones. En este aspecto, el análisis se centrará en los medios que permitan a las empresas reforzar sus prácticas en materia de gestión de identidades.

La seguridad de los datos y la gestión de identidades son puntos clave a tener en cuenta en el momento de externalizar funciones relacionadas con el tratamiento de datos personales y al redactar las cláusulas de un contrato de cloud computing.

¿Cómo se cierra un sitio web de descargas directas?

Al análisis crítico que esta semana ha tenido la "Comisión-anti-sitios-web-de-descargas" prevista en el Anteproyecto de Ley de Economía Sostenible, debe sumarse un argumento meramente práctico: la escasa utilidad de dicha comisión para conseguir el cierre de una página de descargas.

Debemos tener en cuenta la progresiva migración que se está produciendo desde los tradicionales sistemas de intercambio de ficheros P2P como BitTorrent y eMule hacia los grandes servidores de alojamiento de ficheros como Rapidshare, Megaupload, Uploading, Depositfiles, Easy-share, Filebox, Freakshare, Gigasize, Hotfile y un largo etcétera.

La gran ventaja de estos servidores es que permiten la descarga directa. Con una cuenta premium se puede descargar una película ripeada en calidad DVDRip, BDRip o BRRip en menos de 15 minutos.

La dinámica actual de un proveedor de películas, series, música, software, ebooks, y cualquier otra obra protegida copiada sin autorización y ofrecida mediante descarga directa es parecida a la siguiente:

1. Se crea o se obtiene de otra fuente la copia no autorizada.
2. Se contrata una cuenta premium en Rapidshare, Megaupload o cualquier otro de los cientos de servicios de alojamiento de ficheros con descarga directa
3. Al abrir esa cuenta, el único dato real y traceable es, generalmente, el medio de pago utilizado.
4. Se sube el fichero a dicho servidor.
5. Se crea un blog en un proveedor extranjero de alojamiento gratuito de blogs.
6. Se publica un post con un enlace al fichero que previamente se ha subido al servidor de descarga directa. El enlace también puede apuntar a un fichero subido por un tercero.
7. El post debe cumplir los estándares requeridos por los usuarios más exigentes, es decir, debe incluir un resumen del argumento, la carátula o portada de la obra, el formato del fichero, el nivel de calidad, lo que pesa el fichero, etc. En el caso de películas, el idioma, los subtítulos y algunas capturas de pantalla para que se vea la calidad de la imagen, entre otros muchos datos que convierten el post en un servicio excelente para el usuario cansado de encontrar fakes, formatos no deseados, versiones con mala calidad y problemas con los códecs.
8. También se acostumbran a utilizar sistemas de ocultación. 
9. Por ejemplo, el nombre del fichero no contiene el nombre de la obra. No lo necesita porque el post describe claramente su contenido.
10. Además, el fichero va con una clave que se suministra en el post. De esta manera es más dificil identificar su contenido desde el servidor de descargas.
11. Y entre el post y el servidor de descargas se interpone otro servidor que redirecciona al usuario hasta el servidor de descargas. De esta manera se impide conocer los blogs que contienen enlaces apuntando a ese fichero desde el servidor de descargas.
12. También se puede utilizar un archivo .dlc cifrado para ocultar el enlace, pero al final el ordenador del usuario tiene que pedir la URL del servidor donde reside la obra a descargar. Se puede llegar a conocer la URL oculta del archivo DLC mediante un sniffer que monitorice el proceso de descarga, o mediante un programa que permita descifrar el archivo DLC, como por ejemplo DLC Decrypter.

Conociendo esta operativa, es evidente que la Comisión prevista en el Anteproyecto de Ley de Economía Sostenible sólo podría gestionar, con la debida tutela judicial, cierres de repositorios de enlaces ubicados en España. También podría requerir judicialmente a los ISP españoles para que restringieran el tráfico IP a sitios extranjeros a nivel de DNS, servidor neutro o mediante cualquier filtro de paquetes IP. Sin embargo, ese camino exige un esfuerzo importante, y tras el cierre o bloqueo de un sitio de enlaces, su autor puede crear otro idéntico en menos de 24 horas.

Un referencia interesante es la lucha contra el phishing. Las entidades financieras están consiguiendo la colaboración de ISPs nacionales y extranjeros y ello permite el cierre o bloqueo de un sitio web en cuestión de minutos. En ese caso es fácil comprobar la ilegalidad del sitio web, ya que usurpa la personalidad y la imagen corporativa de la entidad financiera con el único fin de estafar a sus clientes.

Algo parecido se está haciendo con los servidores de descargas directas. Algunos titulares de derechos han renunciado a ir contra los repositorios de enlaces y se limitan a comunicar a Rapidshare, Megaupload, o cualquier otro servidor que aloje el fichero, la existencia de una eventual infracción. El administrador del servidor lo comprueba y tras confirmarlo, borra el fichero. Está habilitado para ello por las CGC (Condiciones Generales de Contratación) que el cliente firma al contratar la cuenta premium para alojar ficheros en ese servidor. Además, el prestador de ese servicio debe borrar el fichero para enervar su responsabilidad como host.

Veamos un ejemplo simplificado relativo a la película 2012:

1. El investigador introduce +2012 +dvdrip +español -latino +rapidshare en Google.
2. Analiza los resultados de la búsqueda y localiza un post con un enlace a la película 2012, en calidad DVDrip y en español no latino que se encuentra alojada en Rapidshare.
3. Anota la clave del fichero.
4. Hace clic en el enlace y ve como pasa por otro servidor que lo redirecciona a Rapidshare.
5. Descarga el fichero, lo abre y comprueba que es la película.
6. Evidentemente, ni el creador del enlace ni Rapidshare tienen licencia para distribuir ni comunicar públicamente la película.
7. El investigador comunica a Rapidshare el nombre, la ubicación y la clave del fichero.
8. Rapidshare lo comprueba y aplicando las CGC aceptadas por el cliente, borra el fichero.

Como es natural, alguien abrirá otra cuenta y subirá de nuevo la película con otro nombre al cabo de un rato. Por eso el investigador tiene que prestar un servicio de vigilancia y notificación permanente, que escapa a la operativa de cualquier comisión ministerial. Pensemos que un buen investigador puede realizar más de 100 notificaciones a ISPs en un día. La clave de su éxito está en utilizar una metodología constante y basada en la aceptación de las CGC por el que ha subido el fichero al servidor.

La siguiente fase son los servidores de descarga directa situados en países donde el prestador del servicio puede escapar a su responsabilidad como host y permitirse el lujo de no tener CGC ni disclaimers. Pero esa es otra historia y la dejo para otro post, más extenso si cabe, que éste.

Las conclusiones a las que puede llegarse tras el análisis de los sistemas de investigación y eventual borrado de un contenido que infringe los derechos de autor, son las siguientes:

1. El contenido ilícito puede ser borrado por el ISP (p.e. Rapidshare) de acuerdo con las CGC aceptadas por el cliente.
2. La eliminación del fichero puede ser solicitada por el titular de los derechos.
3. La comprobación de la infracción puede ser realizada de forma fácil por el ISP.
4. La respuesta del ISP acostumbra a ser rápida y efectiva.
5. Para dicha eliminación no es necesaria la tutela judicial, ya que el ISP cuenta con el consentimiento del cliente.
6. Este sistema es más efectivo que el cierre del sitio web que contiene los enlaces a los ficheros.
7. Un sitio web con enlaces puede contener información adicional que no infrinja la ley.
8. El cierre de un sitio web de enlaces debería contar con la debida tutela judicial.
9. La actividad de investigación y envío de solicitudes de eliminación de ficheros corresponde al titular de los derechos.
10. La asignación de esta función a una comisión ministerial es una medida ineficiente y desproporcionada.

Necesidad de consentimiento para el uso de cookies

Recuerdo que a mediados de los noventa hablábamos mucho de las cookies. Incluso escribí una reseña en mi web personal que todavía se conserva con el diseño de aquella época. Se llegó a criticar tanto su posible uso perverso que algunas páginas que no las utilizaban resaltaban esta circunstancia en sus páginas principales. Inmediatamente, los navegadores incluyeron la posibilidad de bloquearlas.

Después de tantos años ya casi no me acordaba de ellas. Sin embargo, han estado presentes en el debate relativo a una nueva regulación europea y se ha decidido que el nuevo texto exigirá el consentimiento informado de los usuarios. 

Ello significa que cuando esta norma se apruebe y se trasponga a nuestra legislación, al entrar en una página web que utilice cookies el usuario deberá ser informado de ello y deberá dar su consentimiento. Parece ser que se podrá entender que el usuario da su consentimiento si tiene configurado su navegador para permitir la entrada de cookies. 

Pero ¿qué pasa con los que no son nativos digitales? ¿Y con los que lo son?, porque yo nunca he hablado de cookies con un nativo digital.

A mi personalmente me parece una medida exagerada, ya que no he podido encontrar ni una sanción en la AEPD por uso de cookies. Pero también es posible que ello sea debido al sigilo con el que actúan estos pequeños ficheros o trocitos de información.

En cualquier caso, se trata de un nuevo requisito legal que se suma a la larga lista de obligaciones que tiene que cumplir un sitio web. 

Realidad aumentada

Mis primeras experiencias de realidad aumentada como consumidor me hacen pensar en la amplia variedad de usos que puede tener la sobreimpresión de datos informáticos en una visión dinámica de la realidad. 

En el iPhone, por ejemplo, ya hay varias aplicaciones que permiten ver la calle en la que estás, a través de la cámara del dispositivo, con unas pequeñas ventanas que flotan encima de la imagen que estás viendo. 

De esta manera, conforme vas dirigiendo el objetivo hacia la derecha o la izquierda, aparecen sobre la vista de la calle las fotos de los monumentos, museos, bares, restaurantes, etc. que se encuentran en la dirección hacia la que apuntas, con indicación de la distancia hasta ellos y con la información que aparece en Wikipedia sobre esos lugares.

El catálogo de Ikea en el iPhone también de permite colocar el mueble o el sofá seleccionado en la vista de la habitación a la que enfocas, pudiendo cambiar el tamaño del objeto, y sobreimprimirlo en la foto final para poder comprobar cómo queda en el conjunto de la decoración.

Supongo que también pueden aparecer en la pantalla las fotos de tus contactos, la distancia y la dirección en la que se encuentran, sobreimpresas sobre la vista de la calle en la que estás. Si además el contacto tiene un campo para expresar el nivel de afinidad o las ganas que tienes de ver a esa persona, la ventana que enmarca su foto podría ser de color verde, amarillo o rojo, promoviendo el encuentro o señalando una ruta alternativa para evitarlo. Todo ello con el previo consentimiento del afectado para geolocalizarlo, claro.

Como pegas, las cuestiones relativas a la intimidad, el ridículo que haces cuando tienes que dibujar un ocho en el aire con el dispositivo para que recupere el sincronismo, y la incompatibilidad de estas aplicaciones con las numerosas calles en obras de nuestras ciudades.

Genética, intimidad y solvencia financiera

Todo empezó cuando algunas clínicas empezaron a ofrecer a los futuros padres la posibilidad de seleccionar el sexo de sus hijos. Después se incluyó el color de los ojos y del cabello, la estatura y los rasgos faciales. Finalmente, los padres podían escoger el nivel de inteligencia, ciertos aspectos del carácter e incluso excluir los defectos físicos o psíquicos que pudiesen suponer un obstáculo para conseguir una vida orientada al éxito personal, social y profesional. Ello generó dos grupos de ciudadanos: los seleccionados genéticamente y los engendrados de forma natural. Sólo los primeros podían acceder a los trabajos de mayor responsabilidad. Los otros eran declarados no válidos. Este es el argumento de la película Gattaca, en la que, según la enciclopedia Wikipedia, se presenta la distopía de un mundo transhumanista. Es otras palabras, se describe el extremo más perverso de una sociedad ficticia en la que se hace un uso intensivo de la ciencia y las nuevas tecnologías para mejorar las capacidades mentales y físicas del ser humano.

En la película, los marcadores genéticos de cada persona son conocidos por el Estado y por las empresas, de manera que éstas pueden seleccionar a sus trabajadores y clientes de acuerdo con el perfil requerido y con un margen de error muy reducido. Se describe una sociedad en la que el origen genético es prácticamente público y la intimidad queda relegada a un segundo término, frente a la ventaja social y económica de disponer de los trabajadores más capacitados y de los clientes más solventes.

Hace unos días, a través del post "La cara lo dice todo" del blog de Enrique Dans, accedí a un artículo de The Economist titulado "About face", en el que se comentaban los resultados de un experimento realizado en Estados Unidos sobre la confianza que ofrecía el solicitante de un crédito a través de su foto. El estudio de basaba en comparar las evaluaciones crediticias de dos grupos. El primero había sido contratado ad hoc, y sólo basaba la decisión de conceder un préstamo de 100 dólares en el análisis del rostro del solicitante y, por consiguiente, en el riesgo de impago que sus rasgos faciales transmitía. El otro grupo estaba formado por los integrantes de una plataforma P2P en la que unos particulares solicitan préstamos y otros los conceden. Los resultados de laboratorio del primer grupo coincidieron bastante con las estadísticas de concesión de créditos del segundo, en el que las personas que parecían menos fiables acababan pagando un diferencial superior.

El artículo de Economist nos hace recordar otros precedentes relacionados con el análisis de los rasgos faciales:

1. La antropología criminal de Cesare Lombroso, en la que se relacionaban los indicadores antropomórficos con la propensión al delito. Sus teorías se aplicarían tangencialmente en el estudio comentado para intuir la propensión a la morosidad.

2. La selección natural que se produce al escoger a la pareja, en la que parece ser que no interviene sólo la belleza, sino también la confianza que ofrece la expresión y las facciones del rostro. De ello se podría extraer la conclusión de que en la selección de la pareja intervienen estímulos parecidos a los que en el estudio comentado se empleaban para intuir la solvencia financiera de una persona y concederle o denegarle un crédito. Desgraciadamente, Internet ofrece en la actualidad sistemas menos románticos para conocer la estabilidad financiera que una persona puede ofrecer. En el blog de Enrique Dans un comentarista se refiere a esta selección natural basada en criterios de estabilidad económica para justificar la asociación entre belleza y riqueza, y entre pobreza y fealdad. 

3. Las técnicas de reconocimiento facial utilizadas para identificar terroristas a través de las cámaras situadas en aeropuertos y lugares públicos. La misma tecnología puede ser utilizada como medida de seguridad y de control de acceso a lugares restringidos, para evitar el fraude en casinos, para buscar en un banco de datos de sospechosos a partir de un retrato robot, etc.

4. Con una finalidad más lúdica, las cámaras fotográficas actuales saben reconocer una cara e incluso una sonrisa. Los programas de gestión de fotografías pueden memorizar los rasgos faciales de una persona concreta y realizar búsquedas en miles de fotos para determinar en cuáles de ellas aparece la persona seleccionada. Lo mismo podrá hacerse con cierta fiabilidad en los buscadores de imágenes en Internet. Con un buen algoritmo de reconocimiento facial, los resultados de esas búsquedas podrían llegar a ser valorados como indicio para solicitar una posterior prueba de paternidad biológica. Puede ser una leyenda urbana, pero cuentan el caso de un señor que quiso clasificar todas las fotos en las que salía su hijo con un programa que tenía esta función y en los resultados aparecía también un amigo de la familia que tenía una gran similitud con su hijo.

Como siempre, la tecnología puede permitir usos aceptables y usos perversos en función de la finalidad de cada usuario. Volviendo a Gattaca, el esfuerzo realizado por el protagonista para ocultar su condición de "no válido" y acceder a un puesto de trabajo superior, recuerda los trucos utilizados por los candidatos en los procesos de selección de personal. Y no me refiero sólo al CV. Por ejemplo, frente a la medida de los departamentos de RRHH consistente en investiga la página del candidato en Facebook, surgen en la propia red las contramedidas en forma de manuales que enseñan cómo preparar tu página de Facebook para que merezca la aprobación de un departamento de RRHH.

También hay manuales que enseñan cómo hay que preparar la solicitud de un crédito y reunir todos los requisitos para asegurar que te lo concedan. Si las técnicas de análisis facial llegasen a un punto de fiabilidad suficiente para que las entidades financieras las utilizasen como un indicador del riesgo de morosidad de sus clientes, dentro de unos años los cirujanos plásticos podrían incluirse en el círculo de responsables de una nueva crisis subprime.