El regulador de privacidad de California multó a una empresa de intermediación de datos de Texas con 45.000 dólares y le prohibió vender información personal de los californianos tras haber vendido datos de pacientes con Alzheimer. La empresa texana Rickenbacher Data LLC, que opera bajo el nombre de Datamasters, compró y revendió los nombres, direcciones, números de teléfono y direcciones de correo electrónico de personas que padecían graves problemas de salud, según el regulador de privacidad de California. Privacy Agencia de Protección Civil (CPPA).
La orden final de la CPPA contra Datamasters indica que la empresa mantenía una base de datos con 435.245 direcciones postales de pacientes con Alzheimer. Pero la cosa no terminó ahí. También se comercializaron los registros de 2.317.141 personas ciegas o con discapacidad visual, y de 133.142 personas con adicciones. Además, vendió los registros de 857.449 personas con problemas de incontinencia urinaria.
Los datos relacionados con la salud no eran la única categoría con la que Datamasters comerciaba. La empresa también vendía información vinculada a la etnia, incluidas las llamadas "listas hispanas" que contenían más de 20 millones de nombres, así como "listas de personas mayores" basadas en la edad e indicadores de vulnerabilidad financiera. Por ejemplo, vendía registros de personas con hipotecas de alto interés.
Y si los compradores quisieran datos sobre otras características y acciones probables de los clientes, como quién era más propenso a ser liberal o derechista, también podría proporcionárselos, gracias a 3370 "modelos predictivos del consumidor" que abarcan preferencias automovilísticas, actividad financiera, uso de los medios de comunicación, afiliación política y actividad en organizaciones sin fines de lucro.
Datamasters ofrece la compra directa de registros de su base de datos nacional de consumidores, que según afirma abarca 114 millones de hogares y 231 millones de personas. Los clientes también pueden adquirir actualizaciones mediante suscripción.
Los reguladores de California iniciaron una investigación contra Datamasters tras descubrir que la empresa no se había registrado como intermediario de datos en el estado, tal como lo exige la Ley de Eliminación de Datos de California. Dicha ley exige que los intermediarios de datos se registren desde el 31 de enero de 2025.
Inicialmente, la empresa negó operar en California o tener datos de residentes californianos. Sin embargo, esa afirmación se desmoronó cuando los reguladores encontraron en el sitio web una hoja de cálculo de Excel con los registros de 204.218 estudiantes de California.
Datamasters afirmó inicialmente que no había filtrado su base de datos nacional para eliminar los datos de los californianos. Tras consultar con un abogado, cambió su versión, asegurando que sí había filtrado los datos de los californianos. Sin embargo, esto no convenció a la CPPA.
El regulador reconoció que Datamasters intentó cumplir con las leyes de privacidad de California, pero que
“carecía de políticas y procedimientos escritos suficientes para garantizar el cumplimiento de la Ley Delete.”
La multa impuesta a Datamasters también tiene en cuenta que no se había registrado en el registro estatal de intermediarios de datos. Los intermediarios de datos que no se registran son responsables de multas de 200 dólares diarios, y no eliminar los datos de los consumidores conlleva una multa de 200 dólares diarios por consumidor.
A partir del 1 de enero de 2028, los intermediarios de datos registrados en California también deberán someterse a auditorías de cumplimiento independientes realizadas por terceros cada tres años.
Por qué vender datos de clientes extremadamente sensibles es tan peligroso
“La historia nos enseña que ciertos tipos de listas pueden ser peligrosas”,
Michael Macko, jefe de cumplimiento normativo de la CPPA, señaló:
Las investigaciones han demostrado que los pacientes de Alzheimer son especialmente vulnerables a la explotación financiera. Si cree que los estafadores no buscan este tipo de listas, piénselo de nuevo; se ha descubierto que delincuentes han accedido a datos de al menos tres intermediarios de datos en el pasado. Si bien no hay indicios de que Datamasters vendiera datos a estafadores a sabiendas, parece que es fácil comprar listas de intermediarios de datos.
Tampoco hace falta ser un experto para comprender por qué muchos de estos registros (que, recordemos, la empresa posee sobre personas de todo el país) podrían ser especialmente delicados en el actual clima político estadounidense.
Aquí también existe un problema de privacidad más amplio. Si bien muchos estadounidenses podrían suponer que la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) protege sus datos de salud, esta solo se aplica a los proveedores de atención médica. Sorprendentemente, los intermediarios de datos quedan fuera de su ámbito de aplicación.
¿Qué puedes hacer para protegerte?
Lo primero que debes hacer es consultar la ley de protección de datos de tu estado. California implementó este año el sistema DROP (Data Request and Opt-out Platform) en virtud de la Ley de Eliminación de Datos. Se trata de un sistema que permite a los residentes de California solicitar a todos los intermediarios de datos registrados que eliminen la información que poseen sobre ellos.
Si no vives en un estado que se tome en serio la protección de datos confidenciales, tus opciones son más limitadas. Podrías mudarte, tal vez a Europa, donde la protección de la privacidad es considerablemente mayor.
Es posible que tu nombre, dirección y número de teléfono ya estén a la venta.
Los intermediarios de datos recopilan y venden tus datos personales a cualquiera que esté dispuesto a pagar. Malwarebytes Personal Data Remover Los encuentra y elimina tu información, y luego se mantiene vigilante para que siga así.
