¿Quién compra tus datos personales? Disney, GM, tu aseguradora y tu banco. Esto es lo que obtienen

This article is also available in English. Read it here.

Este reportaje se publica conjuntamente con Consumer Reports .

La empresa de intermediación de datos Acxiom, con sede en Arkansas, afirma tener información sobre miles de millones de personas en todo el mundo, incluyendo dónde viven y cómo podrían gastar su dinero. Asegura que incluso puede deducir sus inclinaciones políticas, su peso y su interés en procedimientos médicos.

Pero, ¿qué sabe exactamente la empresa?

Para Tracey Reed, trabajadora de una organización sin fines de lucro en Oregón, la empresa tenía suficiente información como para elaborar un expediente de 58 páginas que detallaba el supuesto historial de sus ingresos, empleo y educación, sin mencionar sus gastos, incluyendo desde sus compras en línea hasta sus donaciones caritativas. Aunque gran parte de la información era incorrecta, según ella, la empresa intentó registrar su lugar de residencia, con coordenadas de latitud y longitud. Además, enumeró docenas de empresas a las que había vendido datos o inferencias sobre ella.

“Me parece repugnante que se trate a las personas como fuentes de riqueza para explotar”, dijo. “Y eso es lo que son estos perfiles de datos: una guía para exprimir a esta persona y sacarle dinero”.

“Me parece bastante asqueroso.”

Tracey Reed, residente de Oregón que obtuvo su archivo de intermediario de datos

Reed obtuvo sus datos como parte de un proyecto del equipo de defensa del consumidor de Consumer Reports para alentar a los consumidores a solicitar su información personal a empresas como Acxiom y así evaluar la eficacia de las nuevas leyes estatales de privacidad. Al examinar los expedientes recibidos —más de 100 hasta la fecha—, la organización sin fines de lucro espera comprender mejor qué información pueden recopilar los intermediarios de datos y a quién se la venden. (Consumer Reports indicó que su división de membresía utiliza información obtenida de intermediarios de datos, incluyendo Acxiom, para comprender los intereses de los consumidores, como la probabilidad de que se conviertan en miembros de Consumer Reports, pero no utiliza dicha información para fijar los precios de sus productos ni la comparte con los intermediarios ) .

Consumer Reports compartió sus solicitudes de datos con CalMatters y The Markup. Acxiom destaca entre los diversos corredores que participaron en las solicitudes por su tamaño, su posición de liderazgo en el sector y porque proporcionó datos detallados a los consumidores.

Acxiom y sus vínculos con otras empresas han sido objeto de reportajes en la prensa durante años , pero los documentos obtenidos por Consumer Reports ofrecen nuevos detalles minuciosos sobre sus prácticas, incluidas las numerosas inferencias particulares que realiza, algunas de ellas notablemente específicas.

En los informes que analizaron CalMatters y The Markup, Acxiom utiliza los datos que ha recopilado para hacer predicciones en más de 3.000 categorías distintas sobre la vida financiera y el comportamiento de las personas, desde la edad y el sexo de sus hijos hasta su consumo estimado de alcohol, pasando por la probabilidad, en una escala del 1 al 100, de que estén interesados ​​en comprar un nuevo Tesla Cybertruck.

El proyecto fue posible gracias a nuevas leyes promulgadas en algunos estados en los últimos años que permiten a los consumidores ver qué información tienen los corredores sobre ellos.

En cada uno de los perfiles, Acxiom realizó “inferencias” detalladas —a veces hasta el punto de lo extraño— sobre los consumidores, intentando determinar la probabilidad de que estuvieran asociados con diversas características.

Algunas de estas inferencias serían claramente valiosas para los minoristas que buscan vender productos a clientes nuevos o recurrentes. El intermediario de datos estimó, para los consumidores, en una escala de cero a cien puntos, la probabilidad de que gastaran dinero en empresas como Nike, Buffalo Wild Wings o PlayStation, o la probabilidad de que poseyeran alguno de los muchos modelos de automóviles diferentes.

Otras inferencias llegaron incluso a estimar la probabilidad de que la persona respondiera a una oferta para consolidar un préstamo estudiantil, la probabilidad de que hiciera donaciones a organizaciones benéficas o el percentil de índice de masa corporal en el que se encontraría. También se evaluaron las probabilidades de que la persona sufriera inseguridad alimentaria, tuviera un médico de cabecera, se hiciera una mamografía, pudiera pagar los gastos médicos o mostrara interés en línea en el Ejército. (Para obtener más información sobre el contenido de los archivos de Acxiom, consulte nuestra explicación visual adjunta ).

Según los expertos en privacidad que entrevistamos, el hallazgo más revelador de los informes de Acxiom es la lista de empresas específicas que compraron datos de consumidores: más de 100 en total. Varias leyes estatales de privacidad relativamente nuevas, incluidas las de Minnesota y Oregón, exigen que las empresas revelen no solo el tipo de información de los consumidores que recopilan, sino también las otras empresas a las que finalmente se venden.

Entre las empresas incluidas en los archivos de Acxiom se encuentran varias de las aseguradoras, bancos y farmacéuticas más grandes del país, como GEICO, State Farm, Citi, JPMorgan Chase, US Bank y Janssen Pharmaceuticals. Grandes vendedores en línea también eran clientes frecuentes, como General Motors, Hilton, Kohl’s, MLB.com , Southwest Airlines, T-Mobile y The Walt Disney Corporation. Además, varias empresas más pequeñas, multadas y demandadas repetidamente por reguladores federales y estatales, incluidas varias empresas de marketing directo, figuraban en los archivos de Acxiom, como Affinion Benefits Group (ahora llamada CXLoyalty/Tenerity), Endurance Warranty Services y Mailers Haven.

De las más de 100 empresas que encontramos que utilizaban Acxiom, solo unas pocas grandes respondieron a las solicitudes de comentarios. Estas pocas respuestas defendieron en general el uso de los datos como una importante herramienta de marketing. CalMatters y The Markup publican aquí las respuestas restantes.

“Utilizamos los datos de los consumidores para mejorar la eficiencia y la eficacia de nuestras campañas de marketing”, declaró Luis Sahagun, portavoz de Farmers Insurance, “y estamos comprometidos con el uso responsable de cualquier información del consumidor que podamos obtener de terceros”.

Listas de marketing, ofertas de préstamos y puntuaciones de riesgo del paciente

Las empresas suelen utilizar datos personales, como los informes de Acxiom, para identificar potenciales nuevos clientes y conocer sus finanzas familiares y acontecimientos importantes de su vida, como el nacimiento de un hijo o el fallecimiento de su cónyuge. A su vez, los bancos, las aseguradoras y las farmacéuticas pueden agrupar, o segmentar, a sus clientes en grupos reducidos —por ejemplo, padres primerizos o viudos— y personalizar la publicidad o las ofertas para un grupo selecto de personas.

Un ejemplo de ello es HealthVerity, una startup con sede en Filadelfia, respaldada por capital de riesgo y que se promociona como el “mayor ecosistema de datos sanitarios” del país. Esta empresa figuraba como compradora en todos los informes de Acxiom que analizamos. Vende datos de pacientes anonimizados a empresas y agencias gubernamentales, incluidos los Centros para el Control y la Prevención de Enfermedades (CDC). En varios estudios de caso publicados en su sitio web, aseguradoras y compañías farmacéuticas compran los datos de pacientes de HealthVerity para encontrar participantes en investigaciones médicas, crear listas de marketing y vincular historiales médicos de pacientes de diferentes fuentes de datos.

Pero HealthVerity también comercializa un producto de suscripción de seguros que ayuda a generar puntuaciones de riesgo y predicciones para aseguradoras de salud, vida, discapacidad y compensación laboral. Además, como parte de su catálogo de productos , HealthVerity ofrece otro producto de marketing con más de 1000 atributos de proveedores que normalmente no están disponibles, como Acxiom, Epsilon, Adstra y otros. Con estas fuentes, se obtienen datos demográficos más detallados, incluyendo información sobre raza, comportamiento del consumidor, actividad en línea, perfiles socioeconómicos, estilo de vida y preferencias de medios digitales.

Las declaraciones de privacidad de Acxiom establecen claramente que sus datos no pueden utilizarse para la suscripción de seguros según la Ley Federal de Informes de Crédito Justos (Fair Credit Reporting Act), pero los productos de HealthVerity podrían quedar fuera de esa definición legal, ya que se presenta como una empresa de “análisis de datos sanitarios”, no como una agencia de informes de crédito, según los expertos. HealthVerity no respondió a la solicitud de comentarios.

“Hay muchas lagunas en este entramado legal de privacidad”, dijo Ari Ezra Waldman, profesor de derecho en la Universidad de California, Irvine, que estudia la economía de los datos.

La legislación estadounidense sobre privacidad puede proteger los datos personales en ciertos contextos, por ejemplo, cuando se utilizan la puntuación FICO y las deudas actuales para una verificación de crédito. Sin embargo, para ciertos tipos de datos de salud, estas leyes pueden resultar insuficientes. Por ejemplo, si bien la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (HIPAA) protege la mayor parte de la información médica de los pacientes, las mediciones diarias de la frecuencia cardíaca, el número de pasos y el sueño de una persona, almacenadas por empresas tecnológicas como Apple o Garmin, no están sujetas a las mismas restricciones.

Otras compañías con historiales cuestionables en el manejo de datos de consumidores aparecen repetidamente en los archivos de Acxiom y Epsilon. OneMain Financial, una entidad de préstamos personales de alto riesgo, figura como compradora en varios informes; en marzo, OneMain fue demandada por 13 fiscales generales estatales por supuestamente incluir en sus préstamos un estimado de 826 dólares en comisiones e intereses ocultos por prestatario.

Centene Corporation, la mayor empresa de gestión de atención médica de Medicaid del mundo, ha sido demandada por California y otros estados por supuestamente inflar los costes de sus farmacias y, posteriormente, cobrar de más a los planes estatales de Medicaid.

Janssen Pharmaceuticals, la filial de Johnson & Johnson que figura en todos los informes de Acxiom que hemos revisado, ha pagado miles de millones de dólares en acuerdos extrajudiciales por supuestas violaciones de las leyes federales relativas a la comercialización de medicamentos para usos no autorizados y a los sobornos a médicos.

Cuando se utilizan datos personales para comercializar productos financieros costosos, las consecuencias para los consumidores vulnerables pueden ser desastrosas, como cuando los préstamos personales, hipotecarios o para automóviles se dirigen a personas con problemas financieros, a menudo con condiciones onerosas, afirmó Lena Cohen, tecnóloga de la organización sin fines de lucro Electronic Frontier Foundation, quien ha estudiado la industria de los intermediarios de datos.

«Los datos extremadamente personales que vemos en estos archivos no aparecen de la nada», dijo Cohen. «Existe una red de empresas y tecnologías que tienen que compartir estos datos para que un intermediario pueda recopilarlos. Y esto puede tener consecuencias muy negativas».

Los informes de datos personales también contienen docenas de ejemplos de información inexacta que los intermediarios de datos obtienen de los registros públicos. Esos errores “socavan el argumento de que necesitamos estos sistemas de vigilancia para que funcione la publicidad”, dijo Cohen.

“Este queso suizo de la legislación sobre privacidad tiene muchísimas lagunas.”

Ari Ezra Waldman, Facultad de Derecho de la Universidad de California, Irvine.

Muchos de los primeros participantes en la iniciativa de Consumer Reports se preocupan especialmente por proteger su privacidad, y Reed, la consumidora de Oregón, no es la excepción. Es tan consciente de sus datos personales que todavía usa un teléfono plegable. “Odio el marketing y la publicidad”, dijo. “Siempre uso un bloqueador de anuncios y trato de proteger mi privacidad”.

Eso no impidió que Acxiom intentara catalogar sus hábitos. Parte de la información era errónea y parte correcta. Por ejemplo, las direcciones que figuraban en sus registros parecían confundirla con las de sus padres. Pero la empresa acertó en cuanto a sus hábitos de gasto.

Los informes de Acxiom también incluyen lo que los críticos consideran ejemplos ingeniosos del uso de lenguaje codificado por parte de la empresa para describir información racial, étnica y de salud que, de otro modo, estaría protegida contra su divulgación y uso por leyes federales y estatales. Un informe califica el “nivel de asimilación” de un consumidor como “3 o más generaciones en EE. UU.”. Otros evalúan la “conciencia sobre la salud”, la “probabilidad de ser fumador” y el “comportamiento en entornos sociales”.

«En realidad, no sabemos qué implican estos términos tan vagos», dijo Waldman. Es probable que la puntuación de asimilación «refleje aspectos como la raza, la etnia, el estatus migratorio, cosas por las que normalmente no discriminamos». Pero los términos vagos que utilizan los intermediarios de datos «sirven para ocultar la verdadera naturaleza de lo que está sucediendo, para suavizarlo y legitimarlo».

Sherry Hamilton, portavoz de Acxiom, declaró en un comunicado enviado por correo electrónico que la empresa trabaja para garantizar que “todos los datos se obtengan de forma ética, se utilicen de manera responsable y se protejan de forma segura”. Añadió que la empresa colabora con “proveedores de datos” acreditados por Acxiom para asegurar que los usuarios reciban “la notificación y la posibilidad de elegir” sobre cómo se recopilan sus datos.

Según explicó, los informes recopilados por Consumer Reports y consultados por CalMatters y The Markup se proporcionaron para ofrecer una transparencia sin filtros, mientras que a los clientes con los que trabaja la empresa se les ofrece un conjunto de datos más refinado y preciso.

Añadió que las categorías relacionadas con la salud en los datos no indican que una persona padezca una enfermedad, sino solo que “podría estar interesada en información sobre una afección, tratamiento o producto”, y que el nivel de asimilación es “una puntuación a nivel familiar y no indica la raza, etnia o estatus migratorio de un individuo”. Según la ley, explicó, las empresas que compran datos de Acxiom no pueden utilizarlos para determinar la elegibilidad ni el precio del crédito y los seguros.

“Acxiom está fundamentalmente comprometida con las prácticas éticas en materia de datos”, dijo Hamilton.

Una industria multimillonaria

Acxiom remonta sus orígenes a la década de 1960, cuando era una empresa estadounidense de análisis de datos llamada Demographics Inc. Según el New York Times , en sus inicios, la compañía utilizaba directorios telefónicos para ayudar al Partido Demócrata a encontrar las direcciones de los votantes y enviarles material de campaña. Desde entonces, la empresa se ha convertido en un gigante de la recopilación de datos.

El enorme volumen de datos de Acxiom se traduce en enormes ingresos. Según su último informe trimestral, la empresa matriz de Acxiom, Interpublic, obtuvo 2.500 millones de dólares en un solo trimestre de este año.

Pero Acxiom es solo una parte de una industria aún más extensa que recopila datos de los consumidores con poca supervisión, y de la que poca gente siquiera tiene conocimiento.

La venta de información personal se ha vuelto tan común que muchas empresas califican legalmente como intermediarias de datos, aunque no sean conocidas como tales y se centren en otras actividades. Forman parte de un sector valorado en cientos de miles de millones de dólares y con perspectivas de crecimiento. Las intermediarias de datos también se han convertido en importantes actores políticos , invirtiendo grandes sumas de dinero en actividades de lobby para influir en la legislación.

Para crear sus bases de datos, los intermediarios de datos suelen recurrir a tres tipos de datos, según Justin Sherman, investigador residente del Electronic Privacy Information Center, quien anteriormente dirigió un programa de investigación sobre intermediarios de datos en la Universidad de Duke. Estos tipos de datos son los obtenidos de forma directa, indirecta y mediante inferencia.

Las empresas pueden obtener datos directamente, por ejemplo, recopilándolos a través de una aplicación que ofrecen a sus clientes, o comprando una empresa más pequeña e integrando esos datos en sus sistemas. Algunas de estas empresas también pueden revender esos datos a intermediarios para sus bases de datos.

La información pública, como los registros de propiedad, los certificados de matrimonio y los documentos judiciales, son algunos de los medios que los intermediarios de datos pueden utilizar para recopilar información indirectamente. La propia Acxiom ha reconocido haber obtenido datos a través de estos medios.

Sherman señala que las inferencias son las maneras en que un dato puede llevar a un intermediario a determinar algo más sobre una persona. Estas inferencias pueden ser especialmente invasivas. Si una persona usa una aplicación de noticias cristianas, la empresa podría inferir su religión, o una aplicación de citas para homosexuales podría llevarla a inferir la orientación sexual de una persona. Si bien las empresas no pueden recopilar datos sobre menores legalmente, sí pueden inferir qué hogares podrían tener un niño pequeño.

Si un intermediario de datos tiene los datos de geolocalización de una persona, podría verla visitar una base militar, una escuela o un especialista médico.

“A partir de eso puedo obtener todo tipo de información sobre otras características: finanzas, salud, datos demográficos, religión”, dijo Sherman.

Los datos que obtiene un intermediario pueden ser precisos o no, y en ambos casos pueden causar problemas a la persona analizada. Si son precisos, los datos pueden ofrecer a las empresas una visión inquietantemente detallada de la vida de alguien.

Pero si la información no es precisa, la persona también podría enfrentar consecuencias negativas. Por ejemplo, datos erróneos sobre sus hábitos de conducción podrían resultar en un aumento injustificado de las primas de seguro.

Y la mayoría de los consumidores tienen pocas opciones para impedir que las empresas recopilen sus datos.

Los intermediarios de datos y la ley

Ante la ausencia de una ley federal integral de privacidad, algunos estados han tomado medidas por su cuenta.

Cuatro estados —California, Oregón, Vermont y Texas— han aprobado leyes de transparencia que obligan a las empresas a registrarse como intermediarios de datos si cumplen ciertos requisitos. Algunas leyes, como la de California, exigen que los intermediarios de datos proporcionen a los consumidores una forma de acceder a su información y eliminarla. Este año, California lanzó un nuevo sitio web que permite a los residentes solicitar a cientos de intermediarios que dejen de rastrearlos y vender su información; CalMatters y The Markup ofrecen una guía sobre cómo presentar dicha solicitud.

Los legisladores están cada vez más preocupados de que la información personal recopilada por los intermediarios y otros agentes fomente la discriminación en los precios; al menos 30 estados este año, incluyendo California , han considerado proyectos de ley que regulan la forma en que las empresas ofrecen múltiples precios para el mismo producto.

Sin embargo, el cumplimiento de la normativa es desigual: un informe publicado este año por Privacy Rights Clearinghouse y la Electronic Frontier Foundation reveló que cientos de empresas figuraban en la base de datos de un estado, pero no en la de otros, a pesar de tener requisitos de registro similares.

No está claro cuántas empresas que califican como intermediarios de datos según estas leyes no se registran en ninguna base de datos. “El sector de los intermediarios de datos está muy poco regulado”, afirmó Sherman.

Según señala, las prácticas de estas empresas plantean serias dudas sobre los límites del derecho a la privacidad y las libertades civiles.

Poco impide que los intermediarios acumulen perfiles mediante métodos cada vez más invasivos y luego compartan esos datos con quien consideren oportuno. Mientras tanto, se sabe que las agencias gubernamentales también compran datos a estos intermediarios. Según informes, con este método, agencias como la Agencia de Seguridad Nacional (NSA) han podido eludir la obtención de una orden judicial para acceder a información sobre una persona.

En respuesta a las críticas, las empresas de intermediación de datos argumentan que sus prácticas son legales y que obtienen el consentimiento para transferir y vender los datos de los consumidores. Por ejemplo, si te registras en el programa de fidelización de una tienda, la letra pequeña podría incluir una cláusula que autorice a la empresa a compartir tus datos con terceros. Sin embargo, como señala Sherman, pocas personas han oído hablar de estas empresas o recuerdan haber dado su consentimiento para que se vendieran sus datos.

«La idea de que un intermediario de datos obtenga el consentimiento para vender los datos de una persona a sus clientes contradice años de investigación académica revisada por pares, encuestas, reportajes periodísticos y experiencias personales», afirmó Sherman. «En realidad, la gente no da su consentimiento para esto, por lo que esa idea es descabellada».

Derek Kravitz, de Consumer Reports, contribuyó con la información y la edición de este artículo.