La autoridad francesa de protección de datos, la CNIL, ha multado a la cadena FNAC con 7 millones de euros por rastrear a los usuarios de su aplicación sin un consentimiento válido. El regulador también ordenó a la empresa cambiar sus flujos de consentimiento en un plazo de un mes. La decisión de la CNIL sobre la multa a FNAC por el rastreo en la app es un recordatorio útil de que lo que ocurre dentro de una aplicación móvil está sujeto a las mismas normas de privacidad que lo que ocurre en un sitio web, y de que el "consentimiento" tiene que significar algo real.

Esta entrada repasa lo que se ha publicado, lo que exige la orden y lo que puedes hacer en tu propio teléfono. También analiza dónde encaja una VPN y dónde no.

Qué encontró la CNIL que FNAC hizo mal

Según la información de Cybernews, la CNIL concluyó que FNAC rastreaba a los usuarios de su aplicación sin obtener un consentimiento válido. Ese es el núcleo de la sanción: un rastreo que se produjo sin que el usuario hubiera aceptado debidamente.

La información disponible para nosotros no detalla cada aspecto técnico del rastreo, así que no vamos a especular sobre qué rastreadores o tipos de datos estaban implicados. Lo que nos dice la conclusión principal es el principio en juego. Según las normas europeas de privacidad, el rastreo que no es estrictamente necesario generalmente requiere una elección clara e informada de la persona rastreada. Si una aplicación empieza a recopilar o compartir datos antes de que se haga esa elección, o si la elección no es genuinamente libre, los reguladores pueden considerar el consentimiento inválido.

El importe de la multa, 7 millones de euros, también indica que los reguladores consideran el rastreo en aplicaciones un ámbito de cumplimiento serio y no una minucia técnica.

Qué debe cambiar FNAC en un mes

Más allá de la sanción económica, la CNIL dio a FNAC un mes para corregir sus flujos de consentimiento. En la práctica, un flujo de consentimiento es la secuencia de avisos y ajustes que una aplicación muestra cuando la abres por primera vez, y la forma en que registra y respeta tus respuestas.

Para una empresa en esta situación, un flujo de consentimiento lícito normalmente implica:

  • Preguntar antes de que empiece el rastreo no esencial, no después.
  • Presentar la elección con claridad, para que los usuarios entiendan a qué están aceptando.
  • Hacer que rechazar sea tan fácil como aceptar.
  • Respetar la decisión que toma el usuario, incluso cuando dice que no.

Estas son expectativas generales según las normas europeas de privacidad y no una cita literal de la orden exacta de la CNIL, así que tómalas como contexto. El plazo de un mes es el dato concreto de la información publicada, y muestra que los reguladores quieren una corrección rápida, no una solución prolongada.

Los reguladores franceses y las exposiciones de datos ya han sido noticia antes. Nuestra cobertura de una filtración de un proveedor de correo francés que expuso 40 millones de registros muestra otra cara del mismo problema: cómo los fallos en el manejo de datos, ya sea por rastreo o por mala seguridad, recaen sobre los usuarios corrientes.

Cómo limitar el rastreo en apps en iPhone y Android

Una resolución como esta presiona a las empresas, pero no tienes que esperar a que cumplan. Los controles integrados de tu teléfono son la forma más directa de limitar el rastreo en aplicaciones. Los nombres de los menús cambian entre versiones y fabricantes, así que busca la opción más parecida.

En iPhone:

  • Abre Ajustes, luego Privacidad y seguridad, luego Rastreo.
  • Desactiva "Permitir que las apps soliciten rastrearte" para bloquear el aviso por completo, o revisa qué apps ya has permitido.
  • Revisa los permisos de Localización y Fotos mientras estás ahí.

En Android:

  • Abre Ajustes y busca Privacidad, luego Anuncios (la redacción varía según el dispositivo).
  • Elimina o restablece tu identificador de publicidad, y desactiva la personalización de anuncios cuando se ofrezca.
  • Revisa el gestor de permisos para ubicación, contactos y otros accesos sensibles, y elimina cualquier cosa que una app no necesite.

Revisa también los avisos de consentimiento dentro de cada aplicación. Muchas ofrecen una pantalla de preferencias donde puedes rechazar el rastreo no esencial, y normalmente puedes cambiar tu elección más adelante.

Qué puede y qué no puede hacer una VPN contra el rastreo en apps

A las VPN se las describe a menudo como una solución universal contra el rastreo, lo cual no es exacto. Una VPN cifra tu conexión y oculta tu dirección IP a los sitios y servicios a los que te conectas. Eso puede limitar el rastreo que se basa en tu dirección IP o en la ubicación inferida a partir de ella, y protege tu tráfico en redes no confiables como el Wi-Fi público.

Lo que una VPN no puede hacer es impedir que una aplicación recopile datos una vez que has iniciado sesión o le has concedido permisos. Si una aplicación registra qué tocas, qué pantallas ves o vincula la actividad a tu cuenta o a los identificadores de tu dispositivo, eso ocurre dentro de la app. La VPN no lo ve y no puede bloquearlo. El tipo de rastreo en cuestión en los casos de consentimiento suele ser de este tipo, dentro de la app.

Así que una VPN es una capa limitada, no un sustituto de los ajustes de permisos y las decisiones informadas. La misma lógica se aplica a otras exposiciones de datos: nuestro informe sobre un bucket mal configurado en 302.ai que expuso 17,6 millones de archivos es un caso en el que ninguna VPN del lado del usuario habría podido cambiar el resultado.

Qué significa esto para ti

Si usas la aplicación de FNAC, es posible que veas cambios en sus avisos de consentimiento mientras la empresa trabaja para cumplir el plazo de un mes de la CNIL. Léelos en lugar de pulsar sin más, y elige las opciones que se ajusten a tus preferencias.

En términos más generales, la resolución muestra que los reguladores europeos sancionarán el consentimiento que no sea válido, y que tienes derechos sobre cómo te rastrean las aplicaciones. Esos derechos son más fáciles de ejercer cuando sabes dónde están los controles de tu teléfono.

Puntos clave

El caso de la multa de la CNIL a FNAC por el rastreo en la app es un ejemplo claro de cómo los reguladores exigen responsabilidades a un gran minorista por la forma en que su aplicación gestiona el consentimiento. Esto es lo que puedes hacer ahora:

  • Revisa los ajustes de rastreo y permisos de tu iPhone o dispositivo Android esta semana.
  • Rechaza el rastreo no esencial en los avisos de consentimiento de las apps, y revisa las elecciones que hiciste en el pasado.
  • Elimina las apps que ya no uses, ya que las apps sin usar aún pueden conservar permisos.
  • Trata una VPN como una capa limitada de protección, útil para la privacidad de la red pero no como solución para el rastreo dentro de las apps.

Para más contexto sobre cómo los incidentes de datos franceses afectan a la privacidad de los usuarios, lee nuestra cobertura de la filtración de un proveedor de correo francés y sigue de cerca cómo evolucionan los cambios en el consentimiento de FNAC.