El Instituto IMDEA Networks y la Universidad Carlos III de Madrid han realizado un estudio que abarca más de 82.000 apps preinstaladas en más de 1.700 dispositivos fabricados por 214 marcas
Revela la existencia de un complejo sistema de desarrolladores y acuerdos comerciales en el que las apps preinstaladas disponen de permisos privilegiados y sin posibilidad de que un usuario medio pueda desinstalarlas
Se han identificado más de 1.200 compañías en las apps preinstaladas y más de 11.000 librerías en las que una gran parte de ellas está relacionada con la publicidad y monitorización online con fines comerciales
La AEPD, que contribuye a la difusión del estudio por el impacto masivo de los resultados en la privacidad de los ciudadanos, presentará los resultados ante el Comité Europeo de Protección de Datos

(Madrid, 18 de marzo de 2019). El Instituto IMDEA Networks y la Universidad Carlos III de Madrid han publicado el artículo que presentarán en el 41th IEEE Symposium on Security and Privacy titulado An Analysis of Pre-installed Android Software , al que la Agencia Española de Protección de Datos (AEPD) contribuye con su difusión debido al impacto masivo que los resultados del mismo tienen en la privacidad y la protección de los datos personales de los ciudadanos.

 El estudio, que abarca más de 82.000 apps preinstaladas en más de 1.700 dispositivos Android fabricados por 214 marcas, tiene entre sus objetivos identificar los agentes presentes en el software preinstalado en Android y que utilizan el acceso privilegiado a recursos del sistema para la obtención de datos personales de usuarios; revelar los acuerdos comerciales entre vendedores de dispositivos Android y terceros, incluyendo organizaciones especializadas en la monitorización y rastreo de usuarios y en proporcionar publicidad en Internet; detectar y analizar vulnerabilidades y otras prácticas opacas y analizar la trasparencia en la información proporcionada al usuario.

 Del estudio se desprende, por un lado, que el modelo de permisos del sistema operativo Android y de sus apps permite que un gran número de actores puedan monitorizar y obtener información personal de los usuarios a nivel del sistema operativo y, por otro, que el usuario final desconoce la presencia de estos actores en sus terminales Android y las implicaciones que dichas prácticas tienen sobre su privacidad. Además, la presencia de este software con privilegios de sistema dificulta su eliminación sin ser un usuario experto.

En cuanto a los resultados, pueden destacarse los siguientes:

Aparte de los permisos estándar definidos en Android y bajo control del usuario, los investigadores han identificado más de 4.845 permisos propietarios o personalizados por los intervinientes en la fabricación de los terminales. Este tipo de permisos permite que apps publicadas en Google Play eludan el modelo de permisos de Android para acceder a datos del usuario sin requerir su consentimiento al instalar una nueva app.
En cuanto a las apps preinstaladas en los dispositivos, se han identificado más de 1.200 compañías, así como la presencia de más de 11.000 librerías de terceros (SDKs) incluidas en la mismas. Gran parte de las librerías están relacionadas con servicios de publicidad y monitorización online con fines comerciales.
Las apps preinstaladas se ejecutan con permisos privilegiados y sin posibilidad, en la mayoría de los casos, de ser desinstaladas del sistema.
Un análisis exhaustivo del comportamiento del 50% de las apps identificadas revela que una fracción importante de las mismas presenta comportamientos potencialmente maliciosos o no deseados, como muestras de malware, troyanos genéricos o software preinstalado que facilitaría prácticas fraudulentas.
En relación con la información ofrecida al iniciar un nuevo terminal, se pone de manifiesto un déficit de transparencia de las apps y del propio sistema operativo Android al mostrar al usuario una relación de permisos distinta de la real, limitando su capacidad de decisión para gestionar su información personal. 

Actuaciones de la AEPD

La AEPD va a presentar este estudio y sus conclusiones en los subgrupos de trabajo del Comité Europeo de Protección de Datos (CEPD), organismo de la Unión Europea del que forma parte la Agencia junto a otras autoridades europeas de protección de datos y el Supervisor Europeo. El CEPD tiene entre sus funciones promover la cooperación entre las autoridades de protección de datos. 

 La Agencia incluye en el eje 2 de su Plan estratégico (Innovación y protección de datos) el establecimiento de canales de colaboración con grupos de investigación, la industria y los desarrolladores con el objetivo de fomentar la confianza en la economía digital en línea con lo previsto en el Reglamento General de Protección de Datos (RGPD). El estudio publicado hoy contribuye a facilitar que fabricantes, desarrolladores y distribuidores de productos y servicios apliquen los principios de Privacidad por Defecto y desde el Diseño establecidos en el RGPD con el objeto de salvaguardar los derechos y libertades de las personas. La difusión del estudio realizado por IMDEA Network y la Universidad Carlos III forma parte de esas acciones, sin perjuicio de las posibles acciones que pudieran derivarse de los poderes y el marco de coherencia que establece el RGPD.

El documento, dirigido fundamentalmente a desarrolladores de apps y responsables de tratamiento de datos personales, pone de manifiesto el complejo entorno de este ecosistema y la potencial pérdida de control
La finalidad es que los responsables dispongan de las herramientas y utilicen las metodologías adecuadas para determinar que la política de privacidad que ofrecen al usuario cumple con la normativa de protección de datos

 

(Madrid, 7 de marzo de 2019). La Agencia Española de Protección de Datos (AEPD), ha publicado el estudio técnico Análisis de los flujos de información en Android. Herramientas para el cumplimiento de la responsabilidad proactiva, realizado en colaboración con la Universidad Politécnica de Madrid. El estudio, dirigido fundamentalmente a desarrolladores de apps y responsables de tratamiento de datos personales, pone de manifiesto el elevado riesgo de fugas de información personal que se presenta en el entorno de las aplicaciones móviles, y ofrece una guía para que las organizaciones puedan auditar sus apps, analizando los flujos de información personal en dispositivos Android.

 La finalidad es que los responsables del tratamiento de datos dispongan de las herramientas y utilicen las metodologías adecuadas para determinar que la política de privacidad que se le está ofreciendo al usuario cumple con las garantías que exige el RGPD y la Ley Orgánica de Protección de Datos (3/2018).

El estudio destaca que el responsable del tratamiento de los datos de una app no siempre es el desarrollador directo y exclusivo de esta, ya que puede basarse en librerías de terceros, subcontrataciones o acuerdos y/o en la ejecución en el entorno de un tercero, teniendo como consecuencia “una potencial pérdida de control” y “un aumento de la complejidad para abordar los requisitos de cumplimiento en materia de protección de datos”. Por otro lado, los desarrolladores de aplicaciones, los responsables que subcontratan dichos desarrollos y los distribuidores o repositorios de apps tienen la obligación de aplicar los principios de responsabilidad proactiva recogidos en el Reglamento General de Protección de Datos (RGPD), como la privacidad por defecto y la privacidad desde el diseño.

Para poder cumplir con estás obligaciones, el estudio detalla las técnicas existentes para analizar los flujos de información personal en aplicaciones móviles que se ejecutan en dispositivos con Android. En primer lugar, presenta el entorno de ejecución de estas aplicaciones, sus componentes fundamentales, los diferentes actores involucrados en el tratamiento de los datos y una breve descripción del ciclo de vida de los datos. Posteriormente, describe las principales técnicas y herramientas para análisis de flujos de información personal.

(Madrid, 4 de marzo de 2019). La Agencia Española de Protección de Datos (AEPD) ha publicado unas orientaciones para promover la protección de los datos personales de los ciudadanos cuando las Administraciones Públicas realizan publicaciones de actos administrativos. El documento se publica en coordinación con la Autoridad Catalana de Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía.

La Ley Orgánica 3/2018 de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales incluye en el apartado 1º de su Disposición Adicional 7ª cómo debe identificarse a los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos. Previamente, esta identificación incluía el nombre, apellidos y número íntegro del DNI o documento análogo; sin embargo, para minimizar el impacto en la privacidad de los ciudadanos se debe publicar el nombre, apellidos y cuatro cifras aleatorias del documento oficial de identidad.

Las Autoridades de protección de datos han recibido múltiples consultas sobre la interpretación del primer párrafo de esa Disposición, por lo que publican estas orientaciones con el fin de facilitar un criterio práctico que permita conciliar la publicación de actos administrativos con la protección de datos.

El criterio, provisional hasta que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la Disposición, pretende evitar que la adopción de otras fórmulas pueda dar lugar a la publicación de cifras numéricas de los documentos identificativos de las personas en posiciones distintas, posibilitando la recomposición íntegra de dichos documentos. Para ello, se ha seleccionado aleatoriamente un grupo de cuatro cifras numéricas, que deberían ser las mismas en todas las publicaciones.

Las orientaciones completas pueden consultarse aquí.