El Inteco y la AEPD advierten que las etiquetas RFID pueden desvelar gustos y aficiones de los compradores
Antonio Martín/DICYT "¿Cómo se sentiría usted si, por ejemplo, un día se diera cuenta de que su ropa interior permite revelar su paradero?", preguntó Debra Bowen en el Senado de California (Estados Unidos) 2003, en un debate sobre la regulación de la tecnología RFID. En los últimos años, elementos con este sistema de almacenamiento de datos se han ido extendiendo en la vida cotidiana y en España se espera que se expanda en los próximos años. Como respondiendo a la pregunta de la senadora, el Instituto Nacional de Tecnologías de la Comunicación (Inteco, con sede en León) y la Agencia Española de Protección de Datos (AEPD) han publicado una guía en la que advierten de "la existencia de importantes riesgos para la privacidad y riesgos de seguridad" de esta tecnología, presente especialmente en etiquetas. Las pegatinas RFID pueden desvelar gustos y aficiones de los consumidores.
Ambas instituciones hacen hincapié en que, "si bien esta tecnología ofrece grandes oportunidades y facilidades ya que se puede aplicar a multitud de campos [...] a su vez puede plantear serios riesgos". Entre ellos: "informar de la localización, identidad e historial de un individuo", una especie de Gran Hermano de la novela de George Orwell 1984. Los riesgos atienden tanto a la privacidad de los individuos como a la seguridad del etiquetado.
En referencia a la privacidad, las instituciones advierten que el principal ataque está orientado al intento de lectura de información personal y privada almacenada en el dispositivo RFID (siglas de Radio Frequency Identification, en español identificación por radiofrecuencia). Por ejemplo, las prendas que porten estas etiquetas pueden ofrecer información con los que se pueden elaborar un perfil de sus consumidores. Las amenazas más relevantes llegan por accesos no permitidos a las etiquetas, que pueden contener datos de todo tipo; rastrear a las personas y sus gustos; y el uso de los datos para el análisis de comportamientos, a tarvés de una técnica denominada minería de datos, esto es, controlando las preferencia de los clientes.
En cuanto a los riesgos de seguridad, el Inteco y la AEPD advierten que estos pueden llegar por ataques o averías que afecten al servicio de identificación por radiofrecuencia. Estos riesgos están situados en las antípodas del control de la privacidad, ya que se dirigen a evitar la comunicación entre la etiqueta y el lector. Estos riesgos también pueden relacionarse con el aislamiento de las pegatinas, la información de información falsa que parece válida, la inhabilitación de lectores, la destrucción de las etiquetas o la clonación de las tarjetas. Estos riesgos están más dirigidos a los negocios que emplean estos sistemas como protección, como por ejemplo tiendas que incluyen en su ropa etiquetado RFID para evitar hurtos.
La guía, publicada ante la proliferación de estos sistemas en elementos de la vida cotidiana de los ciudadanos, analiza además el funcionamiento de esta tecnología, los tipos de dispositivos existenes y sugiere buenas prácticas para evitar abusos. La publicación está disponible en línea en los portales de las dos instituciones.
Implantación en España
Los autores reflejan que cada vez se utiliza en más elementos y objetos el sistema de radiofrencuencia, que consiste en una microemisora de radio (llamada tag o etiqueta), lo suficientemente pequeña para tener forma de pegatina. Está presente en prendas de ropa y calzado, tarjetas de transporte, pasaportes, pago automático de peajes, controles de acceso a eventos en entradas y para el seguimiento de medicamentos.
La implantación en España viene de la mano de las grandes empresas. El 20% (una de cada cinco) emplean RFID. El nivel de adopción se reduce conforme baja el número de empleados en las empresas: 8'9% de uso en compañías de entre 50 y 249 trabajadores; 3'1% en pymes y 0'8% en microempresas. Por secores, son el del transporte y almacenamiento quienes más las emplean. El uso más común es el control de la cadena de suministro y la identificación de personas y accesos.
Buenas prácticas
Para evitar abusos en su empleo, la guía recomienda la inutilización o desactivación de cada etiqueta cada vez que se haya cumplido la función para la que fue diseñada; informar del uso de RFID, no almacenar información personal con estos dispositivos, cifrar y autentificar las etiquetas para evitar su uso fraudulento. El informe se suma a un llamamiento realizado al Parlamento Europeo para que establezca un marco jurídico europeo que garantice la privacidad de los ciudadanos en este ámbito y que los consumidores tengan derecho a "interrumpir en cualquier momento la conexión de los chips".