La mayoría de los relojes inteligentes, pulseras de fitness y anillos inteligentes populares aún carecen de protecciones básicas de privacidad a pesar de recopilar algunas de las informaciones personales más sensibles sobre sus usuarios, según un new analysis by the Electronic Frontier Foundation (EFF) . La organización de derechos digitales descubrió que solo unos pocos fabricantes de dispositivos portátiles son transparentes respecto a las solicitudes gubernamentales de datos de los usuarios, mientras que el cifrado de extremo a extremo sigue siendo casi inexistente en toda la industria.
La EFF revisó las prácticas de privacidad de diez grandes marcas de dispositivos portátiles: Apple, Google (incluyendo Fitbit), Amazfit, Coros, Garmin, Hume, Oura, Polar, Suunto y Whoop. Los investigadores examinaron las políticas públicas y contactaron directamente con cada empresa para verificar sus hallazgos. La revisión se centró en dos áreas: si las empresas publican informes de transparencia que detallan las solicitudes gubernamentales de datos de usuarios y si protegen la información sanitaria con cifrado de extremo a extremo.
Según el informe, solo Apple y Google publican actualmente informes de transparencia que muestran con qué frecuencia reciben solicitudes de datos de usuarios por parte de las fuerzas del orden o agencias gubernamentales. Apple, Google y Whoop también declaran públicamente que notifican a los usuarios sobre esas solicitudes siempre que la ley lo permita. Oura actualizó recientemente su política de privacidad, diciendo que está evaluando la publicación de informes de transparencia, mientras que Suunto dijo a la EFF que está considerando medidas similares. Los fabricantes restantes o bien no publican informes de transparencia o no tienen una política pública que explique cómo gestionan las solicitudes de datos gubernamentales.
La EFF sostiene que esta falta de transparencia es especialmente preocupante porque los dispositivos portátiles recopilan información detallada sobre sus propietarios, incluyendo frecuencia cardíaca, patrones de sueño, niveles de actividad e historial de ubicación. Esos datos ya se han utilizado en investigaciones penales, y las fuerzas del orden pueden obtener acceso mediante citaciones o órdenes de registro. La organización también señaló al proveedor de tecnología de vigilancia Penlink, que describe los rastreadores de actividad física como una “fuente pasada por alto” de información investigativa porque revelan patrones de movimiento y cambios fisiológicos.
Los investigadores también descubrieron que el cifrado de extremo a extremo está prácticamente ausente en el mercado de los dispositivos portátiles. El Apple Watch es el único dispositivo portátil de salud para consumidores ampliamente disponible que proporciona cifrado de extremo a extremo para los datos de salud almacenados en la app Salud de Apple. Sin embargo, esa protección ya no se aplica cuando los usuarios deciden compartir información con aplicaciones o servicios de terceros. Ninguna de las otras empresas revisadas ofrece cifrado de extremo a extremo comparable para los datos de salud almacenados en la nube, lo que significa que los propios proveedores pueden acceder a la información y divulgarla en respuesta a solicitudes legales del gobierno.
La EFF también criticó la dependencia de la industria en el almacenamiento en la nube. Aunque algunos dispositivos Garmin y Polar pueden funcionar sin sincronizarse constantemente con la nube, la organización señaló que muchos wearables aún requieren almacenamiento en línea para su funcionalidad completa. Apple fue el único fabricante identificado que ofrece a los usuarios la opción de conservar los datos de salud únicamente en su teléfono desactivando la sincronización con iCloud en la app Salud.
En lugar de pedir a la gente que deje de usar dispositivos portátiles, la EFF insta a los fabricantes a mejorar sus prácticas de privacidad. La organización afirma que las empresas deberían publicar informes de transparencia, notificar a los usuarios siempre que sea legalmente posible si sus datos son solicitados por las autoridades y ofrecer cifrado de extremo a extremo o opciones robustas de almacenamiento local solo para que los usuarios puedan decidir cuánta información quieren almacenar en la nube.