Sundar Pichai
DIRECTOR EJECUTIVO DE GOOGLE
Google recogió datos personales a través de redes de wifi abiertas sin conocimiento de los afectados entre el 2008 y el 2010. Por eso la Agencia Española de Protección de Datos (AEPD) le ha multado con 300.000 euros.
La Agencia Española de Protección de Datos (AEPD) ha multado a Google con 300.000 euros, tras haber constatado que, entre mayo del 2008 y mayo del 2010, la compañía recogió y almacenó datos personales a través de redes wifi abiertas, sin que los afectados tuviesen conocimiento de ello. La información fue obtenida mediante los vehículos que Google usa para la captación de imágenes para Street View.
Así lo explicó ayer en un comunicado la AEPD, tras constatar que la compañía captó y guardó información relativa a correos electrónicos, códigos de usuario y contraseñas que permiten el acceso a las cuentas, así como direcciones IP, a través de redes wifi abiertas, y utilizando los coches pensados para Street View (su servicio de panorámicas a nivel de calle). Google también recopiló direcciones MAC de los routers y de los dispositivos conectados a los mismos, además de nombres de redes inalámbricas configurados con los datos de su responsable, ha dicho la AEDP. De todos modos, la Agencia ha asegurado que “no se ha constatado” que Google tratase datos especialmente protegidos a través de estos sistemas.
Por su parte Google ha asegurado que pagará la multa de 300.000 euros, y ha dicho que en la compañía estadounidense trabajan “concienzudamente para cumplir con las políticas relacionadas con la privacidad. En este caso, y remontándonos al año 2010, ya dijimos públicamente que nos equivocamos e, inmediatamente, informamos del error a la AEPD y solucionamos el problema que afectaba a nuestros sistemas”, ha dicho la compañía a Europa Press.
Según la autoridad de protección de datos española, la infracción cometida por Google constituye “una infracción grave” de la ley orgánica de Protección de Datos (LOPD). Para el cálculo de la sanción económica impuesta, la AEPD ha tenido en cuenta –entre otros factores–, el carácter “continuado” de la infracción, el “volumen masivo” de datos personales recogidos, la vinculación de la actividad de Google con la realización de tratamientos de datos de carácter personal, el volumen de negocio o actividad de la compañía considerando su modelo económico, que la infracción es el resultado del sistema de recogida y tratamientos de datos diseñado por Google, y el “perjuicio” que dicho sistema causa a la privacidad de las personas afectadas, ya que los datos fueron obtenidos sin que estas “tuviesen conocimiento de que dicha recogida de datos se estaba llevando a cabo y sin su consentimiento”.
En este sentido, la AEPD ha recordado que la LOPD establece que el tratamiento de los datos de carácter personal requiere el consentimiento inequívoco del afectado, “salvo determinadas excepciones no aplicables en este caso concreto”.
Para la AEPD no ha servido de atenuante “que los titulares de redes wifi no aseguren el cifrado de estas redes en perjuicio de la seguridad de sus datos”, pues considera que este hecho “no autoriza en modo alguno la recogida de la información llevada a cabo ni ningún uso posterior de la misma”.
Según Jaume Abella, coordinador del master en Ciberseguridad de La Salle-URL, las wifi abiertas “son más inseguras porque no suelen estar cifradas, por una cuestión de simplicidad y de configuración. La mayoría de las personas van con el wifi activado por la calle, y se conectan de forma automática a las redes abiertas”. La contrapartida negativa, dice Abella, es que “cualquier persona con los mínimos conocimientos puede espiar el tráfico de estas redes”.
La AEPD inició de oficio la investigación de estos hechos en mayo del 2010. No obstante, la existencia de un procedimiento judicial penal abierto obligó a la Agencia a suspender la tramitación. Una vez tuvo conocimiento del sobreseimiento y archivo de las diligencias previas, la AEPD reanudó el procedimiento, resolviéndolo tras el correspondiente plazo de presentación de alegaciones.
La Agencia Española de Protección de Datos sanciona una infracción que se dio durante dos años