NRK expuso a los vendedores de ubicación de teléfonos solicitando sus propios datos y luego comprándolos

En 2020, los datos de ubicación de teléfonos se estaban convirtiendo silenciosamente en una mercancía próxima al ámbito gubernamental: los corredores de datos vendían registros de movimiento 'anonimizados', agencias estadounidenses como Aduanas y Protección Fronteriza e ICE compraban acceso, y las aplicaciones en las que los usuarios confiaban nunca nombraban a los compradores. El daño era real pero difuso: fácil de describir, imposible de señalar. Martin Gundersen, periodista de la emisora pública noruega NRK, sospechaba que su propio teléfono alimentaba ese mercado y decidió demostrarlo de principio a fin.

Realizó el experimento desde febrero de 2020: un teléfono adicional cargado con aplicaciones y llevado a todas partes, mientras el equipo de NRK documentaba por separado más de 8.300 teléfonos rastreados en hospitales y refugios para mujeres. Luego convirtió el derecho de acceso del interesado del RGPD en un instrumento de investigación, presentando solicitudes contra cada empresa que tocaba el rastro, empezando por Venntel, el corredor de datos de Virginia que vende datos de ubicación a agencias federales estadounidenses. Venntel respondió con 75.406 registros de ubicación y confirmó que los datos se habían compartido con fines que incluían la aplicación de la ley federal y la seguridad nacional.

Cada respuesta nombraba a la siguiente empresa, por lo que las solicitudes se multiplicaron: la matriz de Venntel, Gravy Analytics, luego los intermediarios Predicio y Complementics, luego Sygic —el desarrollador eslovaco de aplicaciones de navegación— y el creador de la aplicación Funny Weather. El análisis técnico de NRK encontró un identificador que Complementics usaba para los datos de Sygic dentro de los registros de Venntel, y tres especialistas noruegos en privacidad calificaron la cadena como una aparente violación del RGPD.

Para mostrar cuánto valía lo 'anonimizado', el equipo de NRK ya había comprado acceso a un conjunto de datos de ubicación comercial por 35.000 coronas noruegas (unos 4.000 dólares) y había extraído a Karl Bjarne Bernhardsen, de 31 años, de Stavanger. Cuando lo llamaron, pudieron recitar dónde había estado durante 2019: el zoológico, una entrevista de trabajo, días en el hospital como padre primerizo. El proveedor de datos había calificado esos mismos datos como anonimizados; NRK acababa de demostrar que la etiqueta no significaba nada.

Obligar a cada corredor de datos a responder solicitudes del RGPD y luego comprar el producto: las respuestas trazan la cadena y la muestra prueba que no es anónima

Las solicitudes de acceso del interesado del RGPD operan con la propia maquinaria legal de los vendedores: un corredor debe responder qué posee y con quién lo compartió, por lo que no se necesita una citación judicial ni un denunciante para iniciar la cadena.

Las respuestas se convierten en un rastro documental: el archivo de Venntel nombraba a Gravy Analytics, que nombraba a Predicio y Complementics, que conducían de vuelta a Sygic y Funny Weather, un camino que ninguna política de privacidad revelaba.

Comprar el producto como un cliente común es la prueba más contundente: por 35.000 coronas noruegas, NRK identificó a una persona con nombre y apellido en datos que el vendedor llamaba anonimizados, y una sola llamada telefónica desmoronó la defensa.

El daño concreto hizo que la historia calara: leerle a Bernhardsen sus propios movimientos —el zoológico, la entrevista de trabajo, el hospital— convirtió una abstracción de vigilancia en una noticia que el lector podía sentir.

Para exponer un mercado cuyo daño es invisible, interrogar a cada proveedor mediante sus obligaciones de divulgación y comprar el producto uno mismo: cada respuesta nombra al siguiente vendedor, y la muestra prueba el daño.

El relato en inglés en NRKbeta (3 de diciembre de 2020) obtuvo 493 puntos y 169 comentarios en Hacker News, y el periodista respondió a los lectores, atribuyendo el mérito a la plantilla de solicitud de acceso de Michael Veale. Alimentó un debate estadounidense en expansión: un comentarista citó al senador Ron Wyden diciendo que Venntel había 'bloqueado al Congreso durante meses' respecto a sus fuentes, mientras que CBP confirmó un acceso limitado a datos comerciales. El representante de Sygic calificó el vínculo como 'no claro' y como una violación si se probaba. Los abogados noruegos dudaban que un procesamiento penal prosperara porque Venntel no tiene oficinas europeas; la documentación en sí, no una multa, era el resultado entregable.