Antes de dar tus datos a una app: los riesgos y cómo saber si es segura

Cómo saber si una app es segura, en 5 minutos

No necesitas saber programar. Necesitas mirar 5 cosas, a ser posible antes de instalarla.

1. La etiqueta de privacidadEn la página de la app, baja hasta la privacidad. En el App Store, lee primero «Datos usados para rastrearte»: si está vacío, mejor. En Google Play, la parte se llama «Seguridad de los datos».
2. Los permisos que pideUna linterna no necesita tus contactos. Si lo que pide no tiene que ver con lo que hace la app, di que no.
3. La política de privacidadBusca quién es el responsable, para qué usa los datos, a quién se los pasa y en qué países se quedan. La ley suiza obliga a decirlo.
4. Dónde se guardan los datos¿En tu dispositivo, en tu nube o en los servidores de la empresa? ¿Cifrados? ¿Y quién tiene la clave?
5. Después de instalarla, el informeEl iPhone muestra lo que la app ha usado en los últimos 7 días y con qué dominios se ha comunicado. En Android, el Panel de privacidad muestra cuándo ha usado la ubicación, la cámara y el micrófono. Compáralo con la etiqueta.

La etiqueta la rellena el propio desarrollador, en el App Store y en Google Play. Es un buen comienzo, pero no es una prueba. El informe del paso 5 es lo que muestra lo que la app hace de verdad.

Qué recogen las apps

Algunas de estas cosas hacen falta para que la app funcione. Otras no. La pregunta es siempre la misma: ¿la app necesita esto para hacer lo que le pido?

• La ubicaciónLa ubicación exacta dice dónde vives y dónde trabajas. Para el tiempo o para una tienda cerca de ti, basta con la aproximada.
• Los contactosSon datos de otras personas, que no han dado ninguna autorización.
• Las fotosY lo que llevan dentro: si la Cámara tiene acceso a la ubicación, cada foto guarda el lugar donde se hizo. Quien recibe la foto puede verlo.
• El identificador de publicidadUn número de tu móvil que permite juntar lo que haces en apps y webs distintas.
• Lo que escribes y dicesMensajes, notas, grabaciones, búsquedas. Si van a un servidor, alguien allí puede leerlos.
• La saludPara la ley suiza, son datos sensibles (art. 5). Cuando la ley pide tu consentimiento para ellos, tiene que ser expreso (art. 6).

Adónde van tus datos

En una app que lo guarda todo en el dispositivo, los datos se quedan contigo. En otras, hacen un camino más largo:

1. Tu móvilDonde nacen los datos
2. Los servidores de la appA veces en otro país
3. SociosPublicidad y estadísticas de uso
4. Corredores de datosEmpresas que compran y venden perfiles

Si los datos salen de Suiza, la política de privacidad tiene que decir a qué país y con qué garantías (art. 19). Solo pueden ir a un país que proteja los datos de forma adecuada, o con garantías propias (art. 16).

Los riesgos, en concreto

1. Estafas hechas a tu medidaCon tu nombre, tu banco o tu última compra, un mensaje falso parece verdadero.
2. Fugas de datosUn servidor mal protegido puede sufrir un ataque. Si la fuga supone un riesgo elevado para ti, la empresa tiene que avisar al EDÖB lo antes posible, y a ti también, cuando eso te protege (art. 24).
3. Perfiles que se quedanBorrar la app no borra lo que está en los servidores. La ley dice que los datos se borran cuando ya no hacen falta (art. 6), pero eres tú quien tiene que pedirlo para estar seguro.
4. Alguien que se hace pasar por tiCon suficientes datos, otra persona puede abrir cuentas o recuperar contraseñas en tu nombre.

Cifrado: la pregunta es quién tiene la clave

Cifrar (o encriptar) es desordenar los datos de forma que solo quien tiene la clave puede leerlos. «Cifrado» no siempre quiere decir lo mismo:

1. En tránsitoLos datos viajan desordenados por internet (el «https» y el candado del navegador). Llegan al servidor y el servidor los lee.
2. En reposoLos datos se quedan desordenados en el disco del servidor. Quien tiene la clave los lee; muchas veces es la propia empresa.
3. De extremo a extremoLa clave solo existe en tus dispositivos. La empresa guarda los datos, pero no puede leerlos.

Un ejemplo: iCloud. Con la protección estándar, los datos están cifrados, pero Apple guarda las claves de muchos de ellos. Con la Protección de datos avanzada activada, la mayor parte pasa a estar cifrada de extremo a extremo, y Apple deja de tener esas claves.

6 ajustes del iPhone que te protegen

1. Leer la etiqueta antes de instalarEn el App Store, la privacidad se divide en «Datos usados para rastrearte», «Datos vinculados contigo» y «Datos no vinculados contigo».
2. Revisar los permisosAjustes > Privacidad y seguridad. Para cada tipo de dato (fotos, contactos, micrófono…), ves qué apps tienen acceso y quitas lo que no hace falta.
3. Rechazar el rastreoCuando una app pregunta, toca «Pedir a la app que no rastree». Para todas a la vez: Ajustes > Privacidad y seguridad > Rastreo y desactiva «Permitir que las apps soliciten rastrearte».
4. Dar solo la ubicación aproximadaAjustes > Privacidad y seguridad > Localización > la app, y desactiva «Ubicación exacta». En la Cámara, elige «Nunca» si no quieres el lugar en las fotos.
5. Activar el informeAjustes > Privacidad y seguridad > Informe de privacidad de las apps > Activar el informe de privacidad. Muestra los últimos 7 días. El informe se guarda cifrado y solo en tu iPhone.
6. Proteger iCloudAjustes > tu nombre > iCloud > Protección de datos avanzada. Antes, Apple te pide un contacto de recuperación o una clave de recuperación: guárdala bien, porque Apple no puede ayudarte a recuperar los datos.

6 ajustes de Android que te protegen

Los nombres de abajo son los del Android de Google, en español. En móviles de otras marcas (Samsung, Xiaomi…), el camino puede cambiar: si no lo encuentras, escribe el nombre en la búsqueda de Ajustes.

1. Leer la «Seguridad de los datos» antes de instalarEn la página de la app en Google Play, baja hasta «Seguridad de los datos». Dice qué datos recoge la app, si los comparte con otras empresas, si van cifrados y si puedes pedir que los borren. Como en el App Store, quien la rellena es el desarrollador.
2. Revisar los permisosAjustes > Seguridad y privacidad > Gestor de permisos (en algunas versiones, dentro de «Controles de privacidad»). Para cada tipo de dato ves qué apps tienen acceso, y eliges «No permitir» en lo que no hace falta. Y en Ajustes > Aplicaciones > cada app, deja activado «Pausar actividad de la aplicación si no se usa»: una app olvidada durante unos meses pierde los permisos ella sola.
3. Eliminar el ID de publicidadAjustes > Privacidad > Anuncios (en algunos móviles, dentro de «Seguridad y privacidad»), y toca «Eliminar ID de publicidad». Las apps que intenten leerlo pasan a recibir solo ceros.
4. Dar solo la ubicación aproximadaAjustes > Aplicaciones > la app > Permisos > Ubicación, y desactiva «Usar ubic. precisa». La app sabe la zona, no la calle. En la app de la cámara, desactiva la ubicación en sus ajustes si no quieres el lugar en las fotos.
5. Ver el Panel de privacidadAjustes > Seguridad y privacidad > Panel de privacidad. Muestra qué apps han usado la ubicación, la cámara y el micrófono, y a qué hora. En las versiones recientes, el menú ⋮ tiene «Mostrar los últimos 7 días».
6. Proteger la copia de seguridadUsa un PIN, un patrón o una contraseña para desbloquear el móvil, y no solo deslizar el dedo. La copia de seguridad de Google usa ese código para cifrar parte de los datos de extremo a extremo. Las fotos de Google Fotos y los MMS no quedan protegidos por él.

Lo que te da la ley suiza

La nueva Ley federal de protección de datos (LPD, en alemán DSG) está en vigor desde el 1 de septiembre de 2023. También se aplica a empresas de fuera, cuando el tratamiento de los datos tiene efectos en Suiza (art. 3).

• Saber qué hacen con los datosQuién es el responsable, para qué, a quién se los pasan y a qué países (art. 19).
• Pedir tus datosGratis y, por regla general, en 30 días: los datos, para qué sirven, cuánto tiempo se guardan, de dónde vienen y a quién se han dado (art. 25).
• Llevártelos contigoEn un formato electrónico común, cuando la app los trata de forma automática con tu consentimiento o por contrato (art. 28).
• Corregir y pedir que se borrenLos datos erróneos se corrigen. Y puedes oponerte a que los traten: si la empresa no cumple, un tribunal puede prohibir el tratamiento, prohibir que los pase a otros u ordenar que se borren (art. 30 y art. 32).
• Datos protegidosLa empresa tiene que proteger los datos según el riesgo (art. 8). Quien incumple a propósito las reglas mínimas de protección se arriesga a una multa de hasta CHF 250 000 (art. 61).
• Que te avisen de una fugaCuando hace falta para que te protejas (art. 24).

Preguntas frecuentes