San Francisco, junio de 2021. Tim Cook sentado en un taburete, vestido de riguroso negro. Solo hay tres cosas que destaquen en el plano. Sus manos, su cara, y una palabra: “Privacy” (“Privacidad”) junto una ligera variante del tradicional logo de Apple. El mensaje es ya una constante en la empresa, pero algunos no acaban de creérselo. Y quizás no lo hagan por buenas razones.

Qué dice Apple. No solo es lo que dijo Cook entonces (o antes, o después), sino lo que plantea su propia política de privacidad para dispositivos iOS. En ella podemos leer en el primer párrafo que “La información recopilada no te identifica”. ¿Seguro?

🚨 New Findings:
🧵 1/6
Apple’s analytics data include an ID called “dsId”. We were able to verify that “dsId” is the “Directory Services Identifier”, an ID that uniquely identifies an iCloud account. Meaning, Apple’s analytics can personally identify you 👇 pic.twitter.com/3DSUFwX3nV

— Mysk 🇨🇦🇩🇪 (@mysk_co) November 21, 2022

DSID. Este es el acrónimo de Directory Services Identifier, un código permanente e inmutable según investigadores de la empresa de software Mysk. Estos investigadores han realizado una serie de pruebas que parecen revelar que el DSID, que está directamente ligado a tu nombre, se envía a Apple en el mismo paquete que otra información estadística.

“Es como saber tu nombre”. Tommy Mysk, experto en ciberseguridad, y su socio, Talal Haj Bakry, explicaban que el DSID “es como saber tu nombre. Está ligado a tu identidad uno a uno. Todas estas estadísticas detalladas se van a asociar a ti. Y eso es un problema, porque no hay forma de desactivarlas”.

Los problemas crecen. Estos datos se unen a los que justamente esta empresa publicaba a principios de mes. En Mysk descubrieron que Apple recolecta información estadística del uso del dispositivo incluso cuando se desactiva la opción llamada “Compartir Datos del iPhone”. El descubrimiento generó una demanda judicial contra Apple por engañar a sus usuarios al respecto.

Apple no dice ni pío. Ni en aquel primer descubrimiento ni en este ha habido declaraciones de Apple, que tampoco se ha pronunciado respecto a la demanda judicial. Como indican en Gizmodo, la empresa podría argumentar que ese código no es información personal, pero según el RGPD cualquier información que identifica “directa o indirectamente” a una persona es un dato personal.

Qué datos se transfieren. En esa información se incluye en ocasiones todo lo que hemos hecho en tiempo real —qué pulsamos, que app usamos para buscar, qué anuncios vimos, cuándo nos logamos en una determinada aplicación—. Un vídeo publicado por Mysk muestra el trasiego de datos por ejemplo en la App Store.

Cómo se descubrió el problema. En Mysk usaron un iPhone con jailbreak con el que pudieron descifrar el tráfico y ver exactamente qué se estaba enviando a los servidores de Apple. Luego replicaron el experimento en un iPhone sin jailbreak, y aunque no pudieron descifrar esos datos todos los indicios indicaban que ese tráfico era exactamente el mismo.

Una aclaración vendría bien. Apple podría desasociar los datos de ese DSID en algún momento del proceso, lo que teóricametne resolvería el problema, pero no es posible saberlo con certeza y la compañía no ha dado detalles sobre ese sistema. Sí sabemos que tanto ella como otras Big Tech hacen uso del concepto de privacidad diferencial que precisamente enmascara los datos recolectados para proteger esa privacidad del usuario.

Y mientras, anuncios. Estas prácticas generan suspicacias crecientes, sobre todo tras los últimos pasos de Apple a la hora de incluir algo más de publicidad en algunas de sus aplicaciones y servicios. La medida ha sido muy criticada y la empresa ha tenido que dar marcha atrás, pero parece decidida a aprovechar gradualmente el jugoso pastel publicitario, aunque sea a su manera. Todo esto nos hace recordar aquello que dijo Tim Cook en 2018: “algunas compañías dicen que necesitan todos tus datos para hacer mejores servicios; no les creas”.