M¨¢s de la mitad de las aplicaciones infantiles env¨ªa datos a terceros

Miles de aplicaciones infantiles pueden estar violando la privacidad de menores, seg¨²n un estudio liderado por investigadores del International Computer Science Institute (ICSI) de la Universidad de Berkeley. Tras analizar 5.855 aplicaciones Android dirigidas a ni?os, los investigadores encontraron que el 57% vulnera claramente su privacidad, al menos seg¨²n la ley federal que protege a los menores en Estados Unidos, la Children¡¯s Online Privacy Protection Act (COPPA).

De acuerdo con el estudio, un 4,8% de las apps comparte la localizaci¨®n o informaci¨®n de contacto sin consentimiento parental, el 40% env¨ªa datos personales sin aplicar medidas de seguridad razonables, el 18,8% manda identificadores de usuarios a terceros para mostrar anuncios dirigidos (algo espec¨ªficamente prohibido contra ni?os en Estados Unidos) y el 39% incumple sus obligaciones contractuales para proteger la privacidad infantil.

Esto sucede en el contexto de varias denuncias a empresas como YouTube o Disney, que se enfrentan a demandas colectivas por vulnerar la privacidad de menores.

YouTube ha dicho que su servicio no est¨¢ dirigido a ni?os y que para ellos tienen otra aplicaci¨®n espec¨ªfica, YT Kids, con filtros. Responsabilidad de los padres o no, lo cierto es que adem¨¢s de recoger y enviar datos, YouTube mostraba anuncios dirigidos a los ni?os. Mientras tanto, la app de YT Kids recib¨ªa una ola de quejas de padres preocupados por v¨ªdeos extra?os creados por algoritmos. Algunos productores hab¨ªan encontrado una forma de explotar el uso del clickbait infantil, y v¨ªdeos con personajes infantiles en situaciones inapropiadas recib¨ªan millones de visitas por parte de menores sin supervisi¨®n. YouTube borr¨® millones de v¨ªdeos y ha anunciado que implementar¨¢ moderaci¨®n totalmente humana para YT Kids.

El 39% de estas apps incumple sus obligaciones contractuales para proteger la privacidad infantil

La demanda a Disney se?ala a 42 aplicaciones para ni?os que recog¨ªan datos de menores tambi¨¦n con el objetivo de crear perfiles para anuncios dirigidos. El tipo de datos que le acusan de recoger puede ser usado para detectar la actividad de un ni?o a trav¨¦s de diferentes apps, plataformas y dispositivos, produciendo una cronolog¨ªa completa, lo que seg¨²n la demandante, Amanda Rushing, es vendido a terceros que comercializan anuncios. La demanda incluye a compa?¨ªas tecnol¨®gicas como Upsight, Unity y Kochava.

La situaci¨®n espa?ola

En Espa?a, actualmente los ni?os se encuentran amparados por la Ley Org¨¢nica de Protecci¨®n de Datos, y a partir del 25 de mayo lo estar¨¢n por el nuevo Reglamento General de Protecci¨®n de Datos (RGPD). En el caso de apps recogiendo informaci¨®n de menores y envi¨¢ndolas a terceros, Paloma Llaneza, abogada, dice que hay que estudiar si se ha solicitado el permiso expreso de los padres, pero que no cree "que se haya explicado en esos t¨¦rminos y condiciones exactamente qu¨¦ se har¨¢ con esos datos, a qu¨¦ terceras partes se venden y c¨®mo ser¨¢n usados¡±.

Narseo Vallina, investigador del IMDEA Networks de Madrid y uno de los autores del estudio, explica que las aplicaciones no pueden legalmente crear perfiles de menores sin consentimiento parental, pero a¨²n as¨ª env¨ªan datos sensibles a terceras compa?¨ªas, en ocasiones muy opacas. Ah¨ª reside el problema, ya que el usuario no puede saber para qu¨¦ fines se usan esos datos.

Y, adem¨¢s, "la mayor¨ªa de las aplicaciones utiliza servicios de terceros para publicidad porque es m¨¢s barato integrar servicios ya desarrollados por otras compa?¨ªas que implementar unos propios, pero en ese caso el desarrollador es responsable de verificar el uso de los datos personales por esos terceros y de informar al usuario¡±, explica Vallina. No todas estas infracciones son intencionales, advierte. ¡°Lo m¨¢s probable es que est¨¦n causadas por descuidos al incluir software de terceros [SDKs] en las aplicaciones¡±.

Google cre¨® el programa Designed for Families con el objetivo de ayudar a desarrolladores a hacer aplicaciones seguras para ni?os. Estos esfuerzos no parecen haber sido suficientes, ya que todas las apps del estudio citado estaban dentro de este programa. ¡°Google puede incentivar buenas pr¨¢cticas, pero no puede forzar un cumplimiento¡±, explica Vallina. Consultado por EL PA?S, Google afirma que sus reglas para protecci¨®n de menores son iguales en todo el mundo, y que no hay diferencias con Espa?a.

Esas oscuras terceras partes

Los servicios de terceros son parte integral del ecosistema m¨®vil actual. Son empresas que desarrollan servicios para aplicaciones y que pueden ofrecerlos a un coste inferior. Hablamos de servicios como anal¨ªtica, integraci¨®n con redes sociales, monetizaci¨®n a trav¨¦s de anuncios y una gran variedad m¨¢s. El problema para la privacidad es que estas empresas suelen ser invisibles para los usuarios, como advierte otro estudio de varias universidades estadounidenses en el que tambi¨¦n colabora el instituto IMDEA Networks.

Estas terceras partes reciben un flujo constante de datos tanto a trav¨¦s del navegador como de las apps y tienen la capacidad de hacer un seguimiento de los usuarios sin su conocimiento, incluso a trav¨¦s de m¨²ltiples dispositivos. ¡°Con todo eso, tienen la capacidad de cruzar informaci¨®n y obtener un identificador ¨²nico, un perfil digital que nos describe¡±, explica Vallina.

Las nuevas generaciones ya nacen con una huella digital provocada por los datos que se van recolectando y por los datos que de ellos suben padres y familiares, muchas veces en el desconocimiento o en la negligencia. Esas generaciones no tienen una adolescencia libre de registros, y nadie est¨¢ pensando en ellos

A esto se le llama huella digital, al rastro que se deja en internet, y actualmente es pr¨¢cticamente imposible controlarlo, con tantas aplicaciones que usamos a diario y la falta de transparencia en la gesti¨®n de permisos. Esto ya es directamente imposible para un menor.

Llaneza se manifiesta preocupada por este hecho: ¡°Las nuevas generaciones ya nacen con una huella digital provocada por los datos que se van recolectando por el uso que ellos hacen de las aplicaciones y por los datos que de ellos suben padres y familiares, muchas veces en el desconocimiento o en la negligencia. Esas generaciones no tienen una adolescencia libre de registros, en ese momento en el que uno comete errores y tiene derecho a equivocarse, y nadie est¨¢ pensando en ellos¡±.

?Para qu¨¦ puede interesar construir una huella digital, un perfil del comportamiento de un ni?o? ¡°Es que es perverso¡±, contesta Vallina, ¡°generalmente es para mostrarle anuncios al menor, pero puede haber otros usos m¨¢s oscuros de esos datos que desconocemos¡±.

El clic de los ni?os

?lvaro Varona, experto en aplicaciones infantiles, hace un a?o destap¨® que hay aplicaciones dirigidas a menores para simular o ¡°jugar¡± con operaciones de cirug¨ªa pl¨¢stica como liposucciones, tabiques nasales o implantes. ¡°Detr¨¢s de eso hay empresas deshonestas intentando recopilar comportamiento de los ni?os¡±, dice. Conoce a muchos productores buenos que cuidan estos aspectos. ¡°Lo que est¨¢ pasando es que hay much¨ªsima gente que proviene de otros entornos que no tienen que ver con la infancia haciendo productos para ni?os. Ah¨ª est¨¢n los problemas¡±, agrega.

Norman Su¨¢rez es CEO de Cuicui Studios, una empresa espa?ola peque?a que tiene tres apps infantiles. Piden datos como g¨¦nero, fecha de nacimiento y nacionalidad a los ni?os para darles informaci¨®n estad¨ªstica de sus avances en el juego, y seg¨²n Su¨¢rez, todos los datos son anonimizados.

Una de sus apps, Cuibrain, env¨ªa datos a dos terceros, Firebase y Unity, una empresa que proporciona interfaces para videojuegos, y adem¨¢s tienen un servicio de anal¨ªtica. Unity ¡°ha dado pasos positivos para cumplir con la ley COPPA¡±, seg¨²n Vallina. ¡°Si sabe que tu aplicaci¨®n es de menores, autom¨¢ticamente cambia los settings y deja de coger informaci¨®n sensible¡±. Cuando se le prgunta a Su¨¢rez si tienen manera de verificar qu¨¦ se est¨¢ haciendo con los datos que env¨ªan a terceros, responde que no. Esto da una idea de opacidad de estos servicios externos. Algunas apps de Cuicui Studios tienen publicidad y compras in-app pero est¨¢n en proceso de quitar ese modelo y basarse en una tarifa plana, por motivos de rentabilidad y tambi¨¦n por ¡°lo que se viene¡± en materia de privacidad con la RGPD. ¡°Creemos que se va a empezar a meter mucha tijera¡±, dice Su¨¢rez.

Las apps m¨¢s populares entre los ni?os son las de v¨ªdeo, entre ellas, la de Clan RTVE y YT Kids, seg¨²n Varona, especialista en apps infantiles. Clan RTVE es una app veterana creada por RTVE, tiene 600.000 visitantes ¨²nicos al mes sin publicidad. Yago Fandi?o, director de contenidos infantiles de TVE, dice que la privacidad es uno de sus retos: ¡°Probablemente la debilidad que tenga la aplicaci¨®n es la participaci¨®n por parte de los ni?os, que otras aplicaciones facilitan m¨¢s. Nosotros lo hemos frenado para garantizar al m¨¢ximo la seguridad de los ni?os y que no se registren datos personales¡±. Y as¨ª es, porque la app no pide registro para utilizarla. Pero env¨ªa datos a dos terceros, Pushwoosh, un servicio para enviar alertas -que ya no utilizan, seg¨²n Fandi?o-; y Crashlytics, un servicio de Google para control de errores. La aplicaci¨®n no informa de esto. Probablemente mucho cambie cuando llegue la RGPD en unas semanas, para la que Fandi?o dice que se est¨¢n preparando.

Seg¨²n Vallina, ser¨¢ muy interesante ver qu¨¦ pasa con el nuevo reglamento europeo en relaci¨®n con los trackers de datos. ¡°El problema de ra¨ªz es que se ha portado un modelo de negocio dise?ado para adultos a las aplicaciones de menores. Quiz¨¢s deber¨ªan buscar otro modelo m¨¢s respetuoso con los ni?os¡±.