Defensa de la Privacidad, intereses comerciales y reacción ciudadana - El gato contra el ratón (y viceversa) (I)

A la vista de lo dicho, no deja de ser sorprendente, a estas alturas, la inocencia de la Industria en algunos casos. ¿De verdad tienen esa concepción pasiva de los usuarios? ¿Creían que la gente iba a aceptar el juego, así, sin más? Veamos cómo comenzó el caso, qué sucedió después del generoso reparto de millones de :CueCats. David Sims nos lo cuenta:

One of Slashdot's readers' wrote a piece of software that lets Linux users tap into the abilities of the bar code scanner for their own purposes. Digital Convergence unwisely followed news of this with a cease-and-desist order asking Slashdot to stop distributing the code. By doing so, they attracted the attention of the hacker community, and may have thus invited the attack on their system that exposed as many as 140,000 user records.4

Digital:Convergence realizó un regalo y la gente trató de usarlo a su manera, no a la de la compañía. El primer paso fue liberarse del número de identificación. Los usuarios empezaron a emplear sus conocimientos para crear programas que impidieran ser identificados por la empresa. Por toda la Red aparecieron pronto páginas y mirrors ofreciendo las instrucciones para desactivar el dispositivo identificador.

La compañía arremetió contra los que divulgaban el antídoto digital. Como observa con acierto David Sims, esto puede entenderse casi como una provocación a la comunidad de usuarios, especialmente, la de los hackers, que vieron la ocasión de echar un nuevo pulso a la Industria.

El papel de los hackers, en este caso, ha sido demostrativo. Se trataba de dejar claro que las garantías sobre la privacidad que Digital:Convergence daba para recabar los datos de los usuarios del scanner, dejaban mucho que desear. La empresa pronto tuvo que dar malas noticias a los usuarios registrados:

"For the people that registered via our Web site... a hacker exploited a known error in the data script and was able to look into the data file," said Dave Mathews, vice president of new product development at Dallas-based DigitalConvergence. "From there, they could extrapolate the name, email address, age range, gender and Zip code of new members."

But Mathews said the hacker was not able to gather any information about where members went on the Web or about the ads they scanned with the :CueCats."5

No sería justo, ni sensato. reducir este caso a un problema de Hackers vs. Industria. Tiene implicaciones que van mucho más allá. A nuestro entender, se plantean las siguientes cuestiones:

a) los problemas derivados del derecho a la privacidad de los usuarios

b) la cuestión del derecho de los usuarios a modificar, alterar o desinstalar partes de programas

c) el derecho de los usuarios a dar otro uso a los dispositivos

d) el derecho de los usuarios a compartir información sobre algo que les afecta

e) el uso de los datos recogidos

Podemos revisarlos escuetamente para poder preciar su alcance.

a) La privacidad.

El origen del problema: el número de identificación. ¿Admitiría que alguien recogiera todos sus movimientos diarios y los registrara para ofrecerlos posteriormente a las empresas para que pudieran atinar su presión comercial y publicitaria sobre usted? ¿Se imagina que en cada tienda que entrara alguien se acercara a Ud. y le exigiera rellenar los datos de una encuesta? Probablemente diría que no en casi todos los casos. Desde el punto de vista de la empresas, el acto de compra es un acontecimiento informativo, suministra datos para el futuro. Hemos pasado del "estado policial” a la "empresa policial": de un estado que vigila todos nuestros pasos, a unas empresas que usan el mismo sistema: la observación y registro de los ciudadanos. El interés de la empresa es saber sobre Usted; el nuestro, simplemente, comprar o no. Excepto en los casos en que la compra o adquisición requiera algún mecanismo de publicidad, la compra es un acto del ámbito de lo privado y, como tal, requiere ser preservado o hecho público voluntariamente. El número identificador debería ser voluntario.

b) Modificación, alteración o desinstalación de partes de programas.

A la vista de lo anterior, es innegable que el usuario tiene el derecho a proteger su intimidad. Si para ello debe modificar el programa, no entendemos que esto sea delictivo en modo alguno. Desinstalando o tratando de hacerlo por otro medio, para evitar ser identificado y registrado en sus movimientos, el usuario se protege. Aquí hay un hecho, a nuestro entender, fundamental. El objetivo declarado por parte de Digital:Convergence no es registrar a los usuarios, sino que estos puedan ampliar las informaciones sobre productos. Modificar, en este sentido, el programa no obstaculiza este objetivo primario. Y diríamos que, al contrario, lo amplía. Si el usuario se siente libre de moverse por la red, irá a más sitios que si se siente "observado". Si la empresa se ve tan "afectada" por la modificación del número de registro es que su objetivo principal era otro: crear bases de datos con los usuarios para utilizaciones posteriores.

Aquí es importante resaltar un nuevo concepto: el de "ingeniería inversa". Supone el derecho de los usuarios de los dispositivos o programas a conocer, realmente qué están usando y cuál es su alcance. Weld Pond lo exponía así en ZDNET:

Reverse engineering.

It sounds backwards. It sounds devious. But it is about analysis: taking things apart, potentially breaking them to find out how they work: opening up the hood, seeing what parts are inside and how they are connected. And, although, it sounds somewhat less noble than "engineering." The world needs reverse engineers and needs them badly.

We especially need the ones who are will to share what they find publiely. for fee.

Companies don't like it when people take apart their products to see how they work. They would like it if their products were treated as black boxes. "No user serviceable parts inside," they say. Or: "Opening case will void the warranty." Many software shrink-wrap licenses even bind you contractually to not reverse engineer the software. Hex editors and disassemblers, which are common programmer tools, are not allowed.

What are they hiding in there?

Companies are hiding a lot of things: their mistakes, security vulnerabilities. privacy, violations and trade secrets. Usually, if someone finds out how a product works by reverse engineering, the product will be less valuable. Companies think they have everything to lose with reverse engineering. This may be true, but the rest of the world has much to gain.'6

El caso que Pond analizaba a continuación era, precisamente, el del :CueCat, seguido del de Real Jukebox, que también obtenía información de los usuarios a través de su programa de reproducción musical. Creemos que es importante lo apuntado en el último párrafo: el conflicto de intereses, la lucha entre ocultación y transparencia. La función de este tipo de análisis de programas y dispositivos no es hacerse con ningún tipo de secreto comercial: en esto se diferencia del espionaje industrial. Por el contrario, este análisis se pone a disposición de la comunidad de usuarios para evitar su manipulación por parte de las empresas. El mismo W. Pond señala: "People engaged in reverse engineering are a check on the ability of companies to invade our privacy without our knowledge. By going public with the information they uncover they are able to force companies to change what they are doing lest they face a consumer backlash".7