Por qué lo que pasó con Cambridge Analytica y Facebook no fue un 'robo de datos'

El sábado pasado, una investigación realizada por The New York Times, The Guardian y su publicación hermana The Observer reveló que la firma de análisis de datos que ayudó en la campaña presidencial de Donald Trump había recabado los datos de Facebook de más de 50 millones de personas en un esfuerzo para perfilar a los usuarios y eventualmente hacer anuncios políticos dirigidos especialmente a ellos.

En 2014, un investigador recolectó los datos a través de una aplicación que pedía a los usuarios realizar una prueba de personalidad con fines de investigación académica. Alrededor de 270,000 personas aceptaron que sus datos fueran recopilados a través de la prueba, la cual su creador, Aleksandr Kogan, definió como "una aplicación de Facebook muy estándar". Pero gracias a los términos de servicio de Facebook y a su interfaz de programación de aplicaciones en ese momento, la aplicación también fue capaz de recopilar los datos de los amigos de esas personas. Esto le dio al investigador, que luego entregó los datos a Cambridge Analytica, la información bruta de más de 50 millones de personas, según los informes, que en gran parte se basó en la cuenta de un excientífico de datos de Cambridge Analytica.

The Observer llamó a esto uno de los "robos de datos más grandes de la historia". El Times solo se refirió al incidente como un "robo" en una ocasión, usando el término "filtración" en el resto del artículo. En Motherboard creemos que el uso de la expresión "robo de datos" en este caso es incorrecto y puede ser confuso para los lectores.

A medida que la noticia se difundió y se le hizo eco en línea, varios sitios web y otras publicaciones lo llamaron también un robo de datos. Muchos expertos en seguridad e investigadores, y el mismo Facebook, consideran que referirse a lo que sucedió aquí con esa expresión es un error.

Relacionados: Uber sufrió filtración de datos que afectó a 57 millones de clientes

"Es incorrecto llamar a esto un 'robo' bajo cualquier definición razonable del término", escribió el jefe de seguridad de Facebook, Alex Stamos, en un tweet que ya fue eliminado.

El vicepresidente y asesor general adjunto de Facebook, Paul Grewal, escribió que la "afirmación de que se trata de un robo de datos es completamente falsa", porque el investigador que hizo la aplicación obtuvo los datos de "usuarios que eligieron registrarse en su aplicación, y todos los involucrados dieron su consentimiento".

Decir que "todos los involucrados" dieron su consentimiento parece engañoso, dado que solo alrededor de 270,000 de las 50 millones de personas cuyos datos fueron recopilados se inscribieron a la aplicación. Los demás probablemente no tenían idea de que esta aplicación existía. Y dado que Facebook cambia su configuración de privacidad con mucha frecuencia, tampoco sabemos si las personas que aceptaron usar la aplicación entendieron completamente qué tipo de datos estaban entregando. Y en ese momento nadie sabía que los datos serían entregados después a una firma de análisis de datos contratada por la campaña de Trump.

Si bien entendemos por qué algunos describen la recopilación de datos que Kogan entregó a Cambridge Analytica como un robo, según la información que se tiene hasta ahora, creemos que describir este incidente como un robo podría, al menos por el momento, resultar engañoso para nuestros lectores.

Hemos estado cubriendo regularmente el robo de datos durante años. Nadie hackeó los servidores de Facebook aprovechándose de alguna falla, como pasó cuando robaron los datos personales de más de 140 millones de personas de Equifax. Nadie engañó a los usuarios de Facebook para que revelaran sus contraseñas y luego robó sus datos, como lo hicieron los hackers rusos cuando entraron en las cuentas de correo electrónico de John Podesta y otros a través de correos electrónicos de phishing.

Relacionados: Google acaba de convertir a Gmail en el correo más seguro del planeta

En 2014, cuando Kogan recopiló los datos de 50 millones de personas, él siguió las reglas. En ese momento, Facebook permitía que las aplicaciones de terceros recopilaran no solo los datos de las personas que dieran su consentimiento, sino también los datos de sus amigos. Después la compañía quitó esta función.

Facebook dice que se le dio un mal uso a los datos porque Kogan le dijo a Facebook que los usaría solo para hacer investigación académica. Pero esa podría ser la única característica anómala en este caso.

Facebook obviamente no quiere que el público piense que sufrió una violación masiva de seguridad, como le pasó a Yahoo en 2013 y 2014. Nosotros estamos de acuerdo con ellos no porque queramos minimizar la importancia de lo sucedido con Cambridge Analytica, sino porque la historia real es mucho más preocupante: Esta recopilación de datos fue algo normal. En otras palabras, se trató de una característica de Facebook, no de una falla. Y aunque el proceso que Kogan explotó ya no está permitido, Facebook aún recopila, y luego vende, enormes cantidades de datos acerca de sus usuarios.

Como dijo Zeynep Tufekci, autor de Twitter And Tear Gas, la vehemente defensa que hace Facebook sobre el hecho de que esto no fue un robo de datos es en realidad una afirmación condenatoria de lo que está mal en Facebook, y en la industria publicitaria de Silicon Valley en general.

"Si tu negocio está construyendo una maquinaria de vigilancia masiva, los datos eventualmente serán utilizados y mal utilizados", escribió en Twitter Tufekci, un profesor de la Universidad de Carolina del Norte que estudia el impacto social de la tecnología. "No hay un consentimiento informado porque no es posible informar o dar un consentimiento razonable".

El equipo de seguridad de Facebook, concluyó Tufekci, no puede mitigar el modelo comercial de la empresa, que se basa en la recopilación de la mayor cantidad posible de nuestros datos y los de nuestros amigos.

Podemos condenar el mal uso de estos datos y las prácticas de recopilación de datos de Facebook, sin llamar a esto un robo de datos, un término que puede confundir a los lectores y distraerlos de lo que consideramos es el verdadero problema aquí: los gigantes de Silicon Valley han construido máquinas masivas de recopilación de datos sin que básicamente haya nada ni nadie que regule el uso que le dan a esos datos.