Los Estados deben tener y utilizar leyes de privacidad de datos para sacar a la luz las violaciones de la privacidad y exigir responsabilidades a las empresas. Por eso nos alegramos de que la Fiscalía General de Texas haya presentado su primera demanda en virtud de la Ley de Privacidad y Seguridad de Datos de Texas (TDPSA) para responsabilizar a Allstate Corporation por compartir la ubicación del conductor y otros datos de conducción sin informar a los clientes.

En su denuncia, la oficina del fiscal general alega que Allstate y varias de sus filiales (algunas de las cuales responden al nombre de "Arity") "conspiraron para recopilar y vender en secreto 'billones de kilómetros' de datos sobre el 'comportamiento al volante' de los consumidores a partir de dispositivos móviles, dispositivos instalados en el coche y vehículos". (Las empresas demandadas también están acusadas de violar la ley de Texas sobre intermediación de datos y su ley de seguros que prohíbe las prácticas desleales y engañosas).

En cuanto a la privacidad, la denuncia dice que las empresas demandadas crearon un kit de desarrollo de software (SDK), que es básicamente un conjunto de herramientas que los desarrolladores pueden crear para integrar funciones en una aplicación. En este caso, el Fiscal General de Texas afirma que Allstate y Arity diseñaron específicamente este kit de herramientas para rastrear datos de localización. A continuación, supuestamente pagaron a terceros, como la aplicación Life360, para que lo integraran en sus aplicaciones. La denuncia también alega que Allstate y Arity optaron por promover su SDK a aplicaciones de terceros que ya requerían el uso de datos de localización, específicamente para que la gente no fuera alertada de la recopilación adicional.

Eso es una jugarreta. Los datos que se pueden extraer de los coches suelen ser muy delicados, como hemos ido diciendo en repetidas ocasiones. Todo el mundo debería saber cuándo se recopila esa información y adónde va.

Más reguladores estatales deberían seguir su ejemplo y utilizar las leyes de privacidad que tienen en vigor.

La oficina del Fiscal General de Texas estima que 45 millones de estadounidenses, incluidos los de Texas, descargaron esta aplicación sin saberlo y, sin previo aviso ni consentimiento, esta recopiló su información, incluida la de ubicación. Esto viola la ley de privacidad de Texas, que entró en vigor en julio de 2024 y exige a las empresas que proporcionen un aviso razonablemente accesible a una política de privacidad, un aviso visible de que están vendiendo o procesando datos confidenciales para la publicidad dirigida y que obtengan el consentimiento del consumidor para procesar datos confidenciales.

Es un listón bajo, y las empresas mencionadas en esta denuncia al parecer aún no lo han superado. Como señaló el bufete de abogados Husch Blackwell en su informe del caso, todo lo que Arity tenía que hacer, por ejemplo, para cumplir con una de las obligaciones de notificación en virtud de la TDPSA era poner una línea en su sitio web que dijera: «AVISO: Podemos vender tus datos personales sensibles».

De hecho, la ley de privacidad de Texas ni siquiera cumple con los requisitos mínimos por los que consideramos que una ley de privacidad es sólida. Por ejemplo, el fiscal general de Texas es el único que puede presentar una demanda en virtud de la ley de privacidad de su estado. Pero abogamos por disposiciones que garanticen que todos, no solo los fiscales generales de los estados, puedan presentar demandas para asegurarse de que todas las empresas respeten nuestra privacidad.

La ley de privacidad de Texas también contempla un "derecho de subsanación", es decir, un periodo de 30 días en el que una empresa puede "arreglar" una violación de la privacidad y eludir una acción coercitiva de Texas. La EFF se opone a los derechos de subsanación porque, en esencia, conceden a las empresas una tarjeta de "salida de la cárcel" cuando son sorprendidas violando la ley de privacidad. En este caso, se notificó a Arity y se le dio la oportunidad de demostrar que había subsanado la violación. Pero no lo hizo.

Según la denuncia, al parecer Arity no tomó ni siquiera las medidas básicas que le habrían librado de esta acción coercitiva. Puede que otras empresas que violan nuestra privacidad sean más hábiles a la hora de librarse de los problemas, pero también deben ser descubiertas y perseguidas. Por eso abogamos por una legislación sólida en materia de privacidad que proteja aún más a los consumidores.

Diecinueve estados cuentan ya con alguna versión de la ley de privacidad de datos. La aplicación ha sido un poco más lenta. California ha emprendido unas pocas acciones de aplicación desde que su ley de privacidad entró en vigor en 2020; Texas y New Hampshire son dos estados que han creado unidades dedicadas a la privacidad de datos en sus Fiscalías Generales, lo que indica están dotándose de personal para hacer cumplir sus leyes. Más reguladores estatales deberían seguir su ejemplo y aplicar las leyes de privacidad que tienen en vigor. Y más legisladores estatales deberían promulgar y reforzar sus leyes para asegurarse de que las empresas respetan realmente nuestra privacidad.