Estimados lectores,

Como cualquier blog que se precie y como (casi) todo hijo de vecino, nosotros también nos largamos de vacaciones. Eso significa, entre otras cosas, que no habrá nada nuevo por estos lares hasta la primera semana de septiembre, cuando nos encontremos en plena depresión postvacacional, por lo que si nos siguen regularmente pueden ahorrarse la visita hasta entonces. El año pasado no cogimos vacaciones, pero este año toca; el sprint final de julio ha sido especialmente intenso (en realidad, para la mayoría de nosotros todavía no ha acabado), y septiembre promete mantener el mismo nivel. Más allá de que este blog sea colectivo y corporativo, lo admito: necesito unas vacaciones.

Puesto que sé que a todos ustedes les encanta seguir trabajando en vacaciones, y como Sandra Bullock en La Red, llevarse el portátil a la playa (hay pocas cosas menos sensatas, si uno se estima su portátil), les he traído un par de libros a raíz de una entrada en en el blog de Félix Haro. En estos momentos estoy leyendo uno de ellos y está resultando muy interesante; va en la línea de lo que ya hemos comentado alguna vez por aquí: ten cuidado con lo que dice Google de ti, o tú le dices, porque Google no olvida y no sabes quién puede llamar a su puerta dentro de unos años preguntando por ti.

Afortunadamente, no tendrán —si no quieren— que gastarse un euro, ya que está disponible en Internet gratis por la patilla, en la página personal de su autor Daniel J. Solove. El título es The future of reputation: gossip, rumor and privacy on the internet. Probablemente prefieran empezar por el anterior libro de este mismo autor, también disponible a través de su página web, The digital person. Technology and privacy in the information age, pero les dejo eso a su elección. Claro que ambos están en inglés, pero es inglés académico y eso no debería ser un problema.

Yo les recomendaría que se alejasen de cualquier dispositivo electrónico durante un tiempo, que es básicamente lo que tengo intención de hacer yo a partir de este viernes, pero allá ustedes. Al menos, para aquellos que no tienen vacaciones, espero que esos libros les ayuden a sobrevivir a este agosto.

Nada más. Como diría el bueno de Pedro Erquicia, les espero en septiembre, para contarles en profundidad las cosas que pasan a lectores como usted. Buenos días y felices vacaciones.

Me apunta José Selvi antes de colgar el cartel de “Cerrado por vacaciones” que dentro de un par de días tiene lugar la final del “Capture the Flag” de DEFCON, en la que participa el equipo español “Pandas with gambas” (su foto “de familia”), en la que que intentarán arrebatar el trofeo a los campeones de los dos últimos años, los veteranos 1@stPlace (su foto “de familia”, algo más seria).

Mucha suerte!

Gracias a Patricia por el enlace.

Hace algo más de un par de semanas les comenté la resolución de la AEPD contra la empresa Iniciativas Virtuales. Aunque pueden leer el texto completo de la entrada, al igual que la resolución [pdf], la idea era que esta empresa ofrecía a sus usuarios registrados la opción de mandar “recomendaciones” a amigos, conocidos, familiares, etc., recomendándoles el servicio. Como suele ser habitual, existía un sistema de puntos que fomentaba las recomendaciones.

Lo primero que diré es que me ha sorprendido, cuando a mí me parece un caso “meridianamente” claro, la defensa que algunas personas hacen de esta iniciativa, argumentándose en aspectos más bien etéreos como que en el correo electrónico no se indica que éste sea publicidad (¿es eso necesario?), o que la voluntad de emitir el correo no procede de la propia empresa sino de un particular (o eso parece ser). Y esa es básicamente toda la defensa que en mi opinión se puede hacer de la actividad denunciada. Sin embargo, creo que es obvio que asumir como válidas cualquiera de estas razones abre la puerta de la impunidad al spam. Como resulta evidente, yo sí estoy de acuerdo con la multa impuesta, por las siguientes razones, ordenadas de manera aleatoria:

1) Tal y como indicó Félix Haro en su entrada sobre la resolución, y como se indica en ésta, la empresa no tiene medio de contactar con el particular que al parecer envía el correo, y que sería en su caso el responsable último (o co-responsable, dado el beneficio económico del “recomendador” y el “recomendado”). Yo no voy a entrar en cuestiones de estrategia comercial (si personalizas los mensajes con los datos que tus usuarios han consentido en darte, es posible que sus amigos se sientan más dispuestos a aceptar sus “invitaciones”), sino en el hecho de que realmente, nadie parece saber quién es dicho usuario (calidad del dato, ¿anyone?). La empresa no lo sabe, el usuario que recibe el correo no lo sabe, y por tanto, es normal que la responsabilidad acaba recayendo sobre la empresa.

De la misma forma que la responsabilidad de que tu coche vaya a 200 km/h un viernes por la noche recae sobre tí si no eres capaz de identificar al conductor. Más allá de leyes y regulaciones concretas, y esto es una opinión completamente personal, me parece una cuestión de sentido común y evitar el “mangoneo”, la picaresca y la impunidad al cometer ciertos delitos.

2) Las infraestructuras y desarrollos los pone la empresa a disposición del usuario “recomendador” con el único propósito de mandar correos comerciales, cuyo texto está ya predefinido: “¡Hola!, este es un mensaje de tu amigo Internauta 123, que está disfrutando de las ventajas de …Y…, y te manda este mensaje” (de la resolución: “lo único que han de hacer [los usuarios] es reenviar el propio correo comercial de Iniciativas Virtuales utilizando incluso la misma IP de la entidad”). No creo que Gmail o Yahoo, aún pudiendo ser utilizadas para el envío de spam, pudieran ser comparadas con este sistema de propósito único, y no encuentro muchas otras razones que la comercial.

3) El correo que recibe el “amigo” contiene un botón que enlaza con la página de la empresa; sí eso no es un reclamo comercial, no sé lo que es.

4) El correo que recibe el “amigo” incluye la posibilidad de no seguir recibiendo publicidad, lo que a) deja bien claro que se trata de una comunicación de publicidad, y b) hace sospechar que el e-mail de dicha persona está siendo tratado, y que incluso es posible que sea receptor de futuras comunicaciones comerciales. No se me ocurre ninguna otra razón por la que alguien podría ofrecer dicha publicidad.

Imagino que hay más, pero a bote pronto se me ocurren esas. Pensando bien, es muy posible que la empresa no fuese la responsable directa del envío comercial, pero por supuesto es la promotora, responsable indirecta y parte interesada en el proceso, de eso no tengo ninguna duda. Y pensando mal, la empresa está intentando aprovechar una laguna legal (de las que la AEPD tiene unas cuantas, sobre todo en aspectos interpretativos) para sacar un rédito económico y comercial. En ambos casos, hay una razón suficiente para calificar la comunicación como comercial y por tanto, ser susceptible de sanción.

Estirando un poco este caso, ¿qué pasa entonces con los sistemas de recomendación de, por ejemplo, los periódicos digitales y/o blogs (con publicidad en forma de banners o Adwords)? Sin ir más lejos, ElPaís.com permite enviar una noticia cualquiera a un amigo, sin más que proporcionar la dirección de correo electrónico del destinatario, y sin que exista ningún tipo de control sobre éste o la identidad del remitente; afortunadamente no hay signos de que exista algún tipo de tratamiento o almacenamiento de las direcciones proporcionadas. No obstante, también en este caso las infraestructuras son proporcionadas por el periódico digital, y me llama la atención que el correo no incluye la noticia, sino un enlace a la página de ElPaís.com, lo que apunta a una motivación más comercial que informativa (ya que en la página existe visualización de banners o registro de tráfico, por ejemplo). Y sí, aunque dicha motivación sea más difusa que en el caso de Iniciativas Virtuales, existe. ¿Qué opinan ustedes?

Me informa un compañero de que el pasado miércoles se publicó, tras muchas esperas, el que viene a ser el estándar ISO de Gestión de Riesgos de Seguridad de la Información. Esto es, la ISO/IEC 27005:2008, Information technology – Security techniques – Information security risk management. Algo que quizá traiga algo de estandarización a un área con tanta metodología dispar, y quizá no, pero que sin duda será un punto a tener en cuenta.

En cualquier caso, como saben las normas ISO son de pago, por lo que si quieren echarle un vistazo, van a tener que soltar algo de dinero. El texto de la norma pueden comprarlo en la página oficial ISO correspondiente.

(Por cierto, tengo pendiente mi opinión personal sobre la entrada del otro día (la resolución de la AEPD sobre los sistemas de “Envía esto a un amigo”, que les traeré en breve. No piensen que se me ha olvidado.)