Cómo los Países Bajos están domando a las grandes tecnológicas

En 2021, los consultores de privacidad que trabajan para dos universidades holandesas emitieron un informe crítico sobre las aplicaciones educativas de Google, un conjunto de herramientas para el aula como Google Docs que utilizan más de 170 millones de estudiantes y educadores en todo el mundo.

Él auditoría advirtió que las herramientas de Google para las escuelas carecían de una serie de protecciones de privacidad, como límites estrechos sobre cómo la empresa podía usar los datos personales de los estudiantes y profesores, que exigía la legislación europea. Aunque la empresa se dirigió algunas de las preocupacionesSegún el informe, Google se negó a cumplir con las solicitudes holandesas para reducir una serie de “altos riesgos” citados en la auditoría.

Se necesitó una amenaza de la Autoridad de Protección de Datos Holandesa, el regulador de privacidad de la nación, para ayudar a romper el punto muerto: las escuelas holandesas pronto tendrían que dejar de usar las herramientas educativas de Google, la agencia gubernamental dijosi los productos seguían planteando esos riesgos.

Dos años más tarde, Google ha desarrollado nuevas medidas de privacidad y herramientas de transparencia para abordar las preocupaciones holandesas. El gigante tecnológico ahora planea implementar esos cambios para sus clientes de educación a finales de este año en los Países Bajos y en otras partes del mundo.

El gobierno holandés y las organizaciones educativas han tenido un éxito notable al obligar a las grandes empresas tecnológicas a realizar cambios importantes en la privacidad. Su enfoque de palo y zanahoria involucra a ejecutivos de alto nivel de Silicon Valley en meses de discusiones altamente técnicas y luego hace que valga la pena al negociar convenios colectivos que permiten a las empresas vender sus herramientas examinadas a diferentes ministerios gubernamentales y escuelas de la nación. Y los esfuerzos holandeses para impulsar el cambio podrían proporcionar un libro de jugadas para otras naciones pequeñas que luchan con las superpotencias tecnológicas.

Para algunas empresas tecnológicas estadounidenses, el visto bueno holandés se ha convertido ahora en un símbolo de estatus, una especie de sello de aprobación que pueden mostrar a los reguladores en otros lugares para demostrar que han superado uno de los procesos de cumplimiento de la protección de datos más estrictos de Europa.

Cómo los Países Bajos, un pequeño país con una población de alrededor de 17,8 millones de personas, llegaron a influir en los gigantes tecnológicos estadounidenses es una historia de David y Goliat que involucra una ley histórica, llamada Reglamento General de Protección de Datosque entró en vigor en 2018 por los estados miembros de la Unión Europea.

Esa ley de la UE requiere que las empresas y otras organizaciones minimicen su recopilación y uso de información personal. También requiere que las empresas, escuelas y otros realicen auditorías, denominadas Evaluaciones de impacto de la protección de datospara ciertas prácticas, como el procesamiento de información personal confidencial, que podrían presentar altos riesgos de privacidad.

Pero el gobierno central holandés y las instituciones educativas han ido mucho más allá al encargar evaluaciones técnicas y legales exhaustivas de plataformas de software complejas como oficina de microsoft y Espacio de trabajo de Google — y asegurar la participación de alto nivel de la empresa en el proceso.

“Tienen un enfoque centralizado que conduce a la capacidad de tener soluciones escalables”, dijo julie brill, el director de privacidad de Microsoft. “Holanda golpea por encima de su peso”.

El año pasado Zoom mayor anunciado cambios en sus prácticas y políticas de protección de datos después de meses de discusiones intensivas con SURF, una cooperativa en los Países Bajos que negocia contratos con proveedores de tecnología en nombre de universidades e instituciones de investigación holandesas.

Lynn Haaland, directora de privacidad de Zoom, dijo que las conversaciones ayudaron a la empresa de comunicaciones por video a comprender cómo mejorar sus productos para cumplir con los estándares europeos de protección de datos y “ser más transparentes con nuestros usuarios”.

Entre otras cosas, Zoom publicó un documento de 11 paginas que detalla cómo la empresa recopila y utiliza información personal sobre las personas que participan en reuniones y chats en su plataforma.

La experiencia técnica holandesa ha ayudado a los auditores de privacidad a obtener información inusualmente granular sobre cómo algunas de las compañías de software más grandes acumulan datos personales de cientos de millones de personas. También ha permitido a los expertos holandeses denunciar a las empresas por prácticas que parecen violar las normas europeas.

Algunas grandes empresas tecnológicas estadounidenses se resisten al principio, dijo sjoera nasasesor sénior de Privacy Company, una firma de consultoría en La Haya que realiza evaluaciones de riesgo de datos para el gobierno holandés y otras instituciones.

“Somos tan pequeños que, inicialmente, muchos proveedores de la nube nos miran, levantan una ceja y dicen: ‘¿Y qué? Eres Holanda. No importa’”, dijo la Sra. Nas, quien ayudó a liderar las negociaciones holandesas con Microsoft, Zoom y Google. Pero luego, dijo, las empresas comienzan a comprender que los equipos holandeses están negociando el cumplimiento de las normas de protección de datos de los Países Bajos que también se aplican en toda la Unión Europea.

“Entonces los proveedores de tecnología se dan cuenta de que no podrán brindar sus servicios a 450 millones de personas”, dijo Nas.

El esfuerzo holandés comenzó a cobrar fuerza en 2018, después de que el Ministerio de Justicia y Seguridad del país encargara una auditoría de una versión empresarial de Microsoft Office. El informe dijo que Microsoft recopiló sistemáticamente hasta 25,000 tipos de actividad de los usuarios, como cambios de ortografía y detalles de rendimiento del software de programas como PowerPoint, Word y Outlook sin proporcionar documentación ni dar a los administradores la opción de limitar esa recopilación de datos. En una entrada de blog en ese momento, la Sra. Nas, cuya empresa realizó la auditoría, describió los resultados como “alarmantes”.

El software de consumo generalmente recopila una gran cantidad de datos de uso y rendimiento de los dispositivos de los usuarios y los servicios en la nube, datos de diagnóstico que las empresas tecnológicas de EE. UU. suelen emplear libremente para fines comerciales, como el desarrollo de nuevos servicios. Pero según la ley de la UE, los datos de diagnóstico vinculados a un usuario identificable se consideran información personal, al igual que los correos electrónicos que envía una persona o las fotos que publica.

Eso significa que las empresas deben limitar el uso de datos personales de diagnóstico y proporcionar a las personas copias de los mismos cuando lo soliciten. La auditoría holandesa encontró que Microsoft no lo había hecho.

Microsoft acordó abordar esos problemas. En 2019, la empresa presentó una nueva política de privacidad y transparencia para los clientes de la nube en todo el mundo que incluía “cambios solicitados por el Ministerio de Justicia holandés”, escribió Brill. en una entrada de blog de la empresa. Microsoft también lanzó un herramienta de visor de datos para permitir que los clientes vean los “datos de diagnóstico sin procesar” que Office envió a la empresa.

La Sra. Brill dijo que las discusiones con los holandeses ayudaron a Microsoft a adoptar los puntos de vista europeos sobre la protección de datos, un cambio en la cultura empresarial que, según ella, fue más significativo que los cambios de software.

“Comienza con la cultura y luego nos aseguramos de que el pivote cultural aparezca en nuestros productos y nuestro software y, lo que es más importante, en la forma en que describimos lo que hacemos a nuestros clientes”, dijo la Sra. Brill.

La pandemia aceleró el efecto holandés en las empresas tecnológicas estadounidenses.

En 2021, la auditoría holandesa de las herramientas de Google para escuelas, ahora conocidas como Google Workspace for Education, informó que los productos carecían de ciertos controles de privacidad, transparencia y límites contractuales en torno al uso de datos personales. Las herramientas educativas incluían aplicaciones como Gmail y Google Classroom, un centro de aprendizaje en línea.

Google finalmente accedió a las solicitudes holandesas para reducir significativamente la forma en que la empresa podría usar los datos personales recopilados por sus herramientas educativas, algo que los reguladores estadounidenses no habían logrado.

Entre otras cosas, Google acordó limitar la forma en que usaba los datos de diagnóstico de sus aplicaciones educativas principales a solo tres propósitos fijos, por debajo de más de una docena de propósitos. Los tres usos incluían la prestación de servicios a los clientes y el manejo de problemas como amenazas a la seguridad.

Google también acordó no utilizar los datos de diagnóstico para fines como estudios de mercado, creación de perfiles de usuarios o análisis de datos. Y acordó desarrollar una herramienta para que los clientes de educación vean sus datos de diagnóstico.

“Tuvimos que explicarle a Google que las juntas escolares tienen el deber de diligencia y deben tener el control de los datos personales de los estudiantes”, dijo Job Vos, oficial de protección de datos de SIVON, una cooperativa holandesa que negocia contratos con proveedores de tecnología. en nombre de las escuelas holandesas, que participaron en las conversaciones de un año con Google. “No se puede utilizar con fines comerciales”.

En una entrevista reciente, Phil Venables, director de seguridad de la información de Google Cloud, dijo que Google trabajaba regularmente con los reguladores de todo el mundo y no veía las discusiones con los holandeses, o los cambios resultantes en las prácticas de datos de Google, como particularmente notables. Agregó que la compañía dio la bienvenida a la sofisticación técnica de los esfuerzos holandeses.

“Nos ha complacido trabajar con los holandeses porque han sido exigentes con esto”, dijo Venables, “y hemos respondido a eso”.

Google acordó ofrecer nuevos controles de privacidad y herramientas de transparencia para fines de 2022. La Sra. Nas y el Sr. Vos dijeron que ahora estaban probando las soluciones propuestas por Google, un proceso que podría llevar meses.

Los esfuerzos holandeses podrían proporcionar mejoras de privacidad para las escuelas en los Estados Unidos y en otros lugares, muchas de las cuales carecen de la experiencia técnica interna para investigar de forma independiente cómo las plataformas complejas como Google recopilan y utilizan los datos de los estudiantes.

Pero los expertos holandeses en privacidad ven su proceso de auditoría y negociación como parte de un esfuerzo mucho mayor de los países que intentan afirmar su soberanía digital frente a las superpotencias tecnológicas estadounidenses.

“Básicamente estamos capturados por los gigantes tecnológicos”, dijo Nas. “Estamos empezando a darnos cuenta de que la única forma de lidiar con esto es negociar nuestro camino hacia el cumplimiento de los estándares europeos”.