Una nueva investigación de Privacy International (PI) demuestra que apenas hay límites para qué tipos de datos se recogen para personalizar anuncios en internet. La organización ha analizado 136 webs populares de salud mental de Francia, Alemania y Reino Unido y en la mayoría aparece docenas de cookies de terceros que rastrean el comportamiento online de los usuarios. Los sitios han sido seleccionados por su popularidad en Google al hacer búsquedas de palabras relacionadas con depresión y por ser los más populares en la categoría de salud mental según Similar Web.

Esos perfiles se subastan a anunciantes interesados en, por ejemplo, mujeres entre 25 y 40 años, que han visitado webs de comida vegana y están buscando un restaurante. La oferta más alta logra aparecer en el anuncio.

Todo esto ocurre en décimas de segundo. Los anuncios suelen tardar una fracción de segundo más que el resto de la página en cargar. El motivo es esta maravilla tecnológica. El problema es que es una maravilla tecnológica de las más oscuras y malentendidas de internet. Y, a la vez, es el gran andamiaje que sostiene los ingresos de gigantes como Google o Facebook.

La oscuridad procede de un ecosistema donde nunca está claro qué información de los usuarios está disponible ni cuál se utiliza para poner precisamente ese anuncio allí. El eterno debate dudoso sobre si las compañías escuchan nuestras conversaciones o leen nuestros mensajes puede tener una solución más sencilla: toda la información que hemos ido dando permite concluir que pronto querremos algo que no sabíamos que íbamos a querer. O quizá sí que lo saben porque hemos escrito una palabra clave en un mensaje de texto. Nadie de momento puede confirmarlo.

El resultado es «preocupante», dice Frederike Kaltheuner, directora de Explotación de Datos en PI. «Hay subastas de anuncios en páginas de salud mental, negligencia a la hora de advertir del rastreo a los usuarios y la gente no sabe nada», añade.

PI explica el caso de Criteo, una empresa que perfila a usuarios y que desde la organización ya han señalado en otras investigaciones. «Las webs que usan cookies de terceros para marketing permiten rastrear a usuarios por la web con un identificador único», dice el informe. Ese identificador único no se detiene porque alguien entre, por ejemplo, en «Netdoktor.de», que comparte con Criteo la URL de la página del test de depresión que el usuario visita. Criteo añade esa información al perfil de ese usuario, a quien los anunciantes pueden ahora ofrecerle anuncios específicos. Esos anuncios pueden ser para necesidades relacionadas con la salud mental o pueden usar su estado para alcanzarle en momentos de debilidad.

Un proceso similar ocurre con la página francesa Doctissimo.fr, que envía palabras clave como «depresión» o «deprimido», la URL de la página que incluye palabras similares o información general de la página sobre «tests psicológicos». Toda esa información va a una página en la nube de Google que procesa la petición. Esta función permite mostrar anuncios a los perfiles que van a este tipo de páginas.

Las empresas implicadas pueden defenderse diciendo que no identifican a nadie por su presunta enfermedad, sino porque han mostrado interés en «salud mental». Pueden ser familiares, estudiantes o simplemente curiosos. Pero es una aproximación valiosa si se tiene en cuenta que la sensación de tristeza es un buen indicador de que un individuo está más abierto a determinadas ofertas comerciales, que pueden llegar por más vías que un anuncio en una web: email, alerta en el móvil, oferta dentro de una app.

Además de los problemas éticos que conlleva este proceso, en Europa el Reglamento General de Protección de Datos (RGP) impone obligaciones más severas entre quienes tratan con este tipo de datos. Las sombras del sistema impiden por ahora aplicar con firmeza esta legislación.

Las páginas escondidas de Google

La enorme complejidad y opacidad de este sector aumentó si cabe hace unos días cuando Brave, un navegador focalizado en la privacidad, anunció que tenía nuevas evidencias de que Google «permite a muchas terceras empresas vincular sus identificadores» para perfilar a los usuarios en páginas ocultas. El sistema, siempre según Brave, está hecho para burlar a escondidas las exigencias de la legislación europea: «El análisis ha revelado un mecanismo, las ‘push pages’, con las que Google invita a múltiples empresas a compartir los identificadores del perfil de una persona cuando cargan una página web».

Google niega que comparta su información sensible con terceros. El caso se encuentra bajo investigación por violación del RGPD en la Comisión de Protección de Datos de Irlanda, país donde Google tiene su sede europea.

Según Brave, Google «comparte datos personales de visitas con más de 2.000 empresas, miles de millones de veces al día». El resultado es un sistema clave para el modelo actual de internet pero basado en unos fundamentos dudosos: «La subasta de anuncios en internet en su formato actual es tóxica. La velocidad y la escala con la que se comparten los datos impide cumplir con el principio de seguridad que establece la legislación europea», dice Ravi Naik, abogado de Brave en esta causa.

Los usuarios entienden que el modelo de internet gratuita necesita de los anuncios. Una encuesta online del gobierno británico a 2,342 personas el pasado mes de febrero da como resultado que un 63% ve aceptable que una web gratuita muestre anuncios. Pero cuando se les explica cómo se obtienen los datos que permiten personalizar esos anuncios, la cifra baja hasta el 36%. Y eso sin entrar en detalles como que las consultas de páginas sobre salud mental también forman parte de esos perfilados.

Fuente:https://elpais.com/tecnologia/2019/09/06/actualidad/1567773542_094736.html