¿Tienes un teléfono de XiaoMi? Entonces habrás leído su política de privacidad donde aceptas los datos que les cedes. ¿No lo has hecho? Pues tranquilo, te mostramos qué datos has aceptado enviarles, aunque te avisamos de que puedes asustarte. Y, al final, valoraremos si XiaoMi cumple con el Reglamento de Protección de Datos.

Antes de comenzar: Te necesitamos para saber cómo nos engañan las compañías

Desde Ley Actual estamos estudiando los trucos que siguen las compañías contra los consumidores para que den su consentimiento en relación a su información. Este artículo se centra en XiaoMi, así como en su momento se hizo otro de los trucos que utiliza Vodafone.

Si quieres que publiquemos un artículo sobre otra compañía estudiando sus políticas de privacidad, trucos contra los consumidores y demás ponte en contacto con nosotros. Confeccionaremos un artículo una vez hayamos estudiado sus prácticas.

¿Cuándo he aceptado los términos y condiciones de XiaoMi?

Si tienes un móvil de XiaoMi es muy probable que hayas aceptado su política de privacidad. Cuando enciendes el teléfono te insta a aceptarla, pero si no lo haces en ese momento tendrás la obligación de hacerlo si quieres usar cualquiera de sus aplicaciones propias. Eso sí, te puedes haber librado si tu teléfono XiaoMi no utiliza el sistema MIUI, aunque actualmente casi todos los móviles de la compañía lo usan.

Sin ir más lejos, el propio navegador que viene preinstalado te obliga a aceptar dicha política de privacidad la primera vez que lo abres. Si no la aceptas no podrás utilizarlo. ¿Te suena esta captura de pantalla?

Lo mismo sucede con el escáner, la aplicación de seguridad, la aplicación cloud de xiaomi, etc. En todas estas apps preinstaladas por XiaoMi nos encontramos con la obligación de aceptar dicha política de privacidad cuando las iniciamos por primera vez. Aunque es posible que no sea suficiente para cumplir con el Reglamento General de Protección de Datos como veremos al final del artículo, lo cierto es que aparenta que poseen tu consentimiento para tratar tus datos.

¿Qué información personal estoy aceptando enviar a XiaoMi?

¿Estás preparado para saberlo? La política de Privacidad de XiaoMi, que en este momento puedes consultar en este enlace, es muy compleja, larga y complicada de entender. Es tan difícil de comprender que desde Ley Actual nos resulta imposible pensar que el usuario medio que opte por empezar su lectura termine comprendiendo lo que realmente está aceptando.

Ya no es que posea trucos como los que utiliza Vodafone, sino que directamente no hay quien la entienda.

Una vez hemos aceptado estaremos dando, en pocas palabras y como veremos, manga ancha a XiaoMi para utilizar prácticamente cualquier dato de nuestro teléfono móvil.

Recopilar, usar, divulgar, procesar y proteger, la jerga aparentemente amable de XiaoMi

Si te fijas, todo el texto está redactado utilizando esas cinco palabras. Y, en todos los casos, la primera y la última (recopilar y proteger) tienen connotaciones positivas. Parece que, de esta manera, no nos damos cuenta de que en medio de las cinco está la peor de todas: divulgar.

Sí, en todos los tratamientos que hagan de tus datos, estaremos aceptando que divulguen la información. ¿Con quién? En algunos casos queda claro, pero en otros se deja abierto. En pocas palabras: tienen la intención de poder enviar la información a quien consideren oportuno.

Combinación de información personal

Uno de los puntos más controvertidos es que el uso que se recopile por XiaoMi por parte de distintas apps puede ser combinado. Es decir, podrán utilizar la informacion “combinada con otra información acerca de ese individuo a la que Xiaomi tenga acceso” (extracto de la política).

Esta combinación de datos cruzados, considerada una de las acciones sensibles por parte de la Agencia Española de Protección de Datos, queda permitida. Podrán utilizar la información extraída con el uso del navegador en combinación con la información del GPS, por ejemplo, utilizado en otra aplicación. Un mero ejemplo que puede llevarnos a imaginar que, estas bases de datos combinadas, pueden perfilar nuestro comportamiento de manera completa.

Información que recopila XiaoMi: toda la que subas a tu teléfono

Aceptar la política de privacidad de XiaoMi implica, como se puede ver en el apartado “Tipos de información recopilada”, que toda la información que se carga o utiliza a través de las aplicaciones de XiaoMi entra dentro de su tratamiento. Incluido (y este listado no me lo invento, está dentro de la propia política de privacidad de XiaoMi que puedes consultar a través del link que hemos puesto al principio del artículo):

• Nombre y apellidos
• Número de móvil
• Correo electrónico
• DNI, dirección postal, carné de conducir (¿para qué quieren el carné de conducir?) y pasaporte
• Cuenta de XiaoMi, incluido tu sexo, fecha de nacimiento, etc.
• Detalles de facturación y, en general, cualquier dato que se sincronice con la cuenta de XiaoMi
• Lista de contactos. Sí, estás autorizando a XiaoMi a que vean tus contactos y los recopilen
• Información financiera como la bancaria, tarjetas de crédito, etc.
• Información relacionada con nuestro comportamiento en las redes sociales
• Información de la tarjeta SIM, del teléfono móvil (como el IMEI), etc.
• Información de ubicación

Si tienes una empresa verás que hay varios puntos que entran en contradicción con que tu compañía cumpla el RGPD, por ejemplo la compartición de tu lista de contactos.

Se trata de una cantidad de datos alarmante y abierta que puede ser contraria al cumplimiento de la normativa en el caso de que seamos empresa, y peligrosa si somos una persona física.

¿Cómo puede XiaoMi utilizar mis datos personales?

La información que recopilan, la que hemos puesto en el punto anterior, puede ser utilizada prácticamente de cualquier manera. Viene recogido en su apartado de ‘Cómo puede ser usada la información personal’.

Se trata de un apartado muy largo, pero en pocas palabras pueden utilizarla para cualquier actividad relacionada con márketing (por ejemplo enviarte publicidad, o facilitar la información a terceras personas para proporcionarte publicidad).

Hay casos que llaman la atención, como en el párrafo de ‘permiso para usar el centro de seguridad’, donde la política de privacidad de XiaoMi establece que la información recopilada para mejorar la seguridad puede ser operada por proveedores de servicios terceros.

Lo mismo sucede con el servicio push, donde damos el consentimiento para el uso de nuestra información personal con el fin de enviarnos ‘servicios’ que ofrecen publicitar sus productos o productos de un tercero. Es decir, por otras empresas que no son XiaoMi.

Existe un apartado en la política de privacidad que establece que la información no podrá ser vendida a terceros, lo cual no significa que no la puedan utilizar para generar perfiles y vender publicidad. A todo ello, como comentamos en este artículo más adelante, debemos sumar que se pueden cambiar las políticas de privacidad prácticamente sin que nos demos cuenta, lo cual no nos asegura que esto permanezca en el tiempo.

Uso de nuestra información con fines de marketing directo

Por si lo anterior no te había parecido lo suficientemente alarmante, hay un párrafo entero dedicado a que damos nuestro consentimiento para utilizar parte de nuestra información personal con fines comerciales.

A pesar de que el RGPD y las recomendaciones de la AEPD establecen que este consentimiento debe estar individualizado para cada una de las finalidades, en XiaoMi no lo hacen de esta manera.

¿Cambios en la política de privacidad de XiaoMi? ¡También los has aceptado!

En la política de privacidad de XiaoMi verás que hay un párrafo donde aceptas que has “entendido y aceptado todas las disposiciones establecidas en la Política de Privacidad, incluido cualquier cambio que podamos realizar eventualmente”. En cierto punto del final de la política, establecen que nos notificarán los cambios por correo electrónico si es ‘sustancial’, dejando esta valoración a su propio criterio.

Es decir, que si la política de privacidad cambia y este cambio no es ‘sustancial’, según ellos habrás aceptado la nueva. ¡Y ni siquiera te han tenido que avisar! ¿Es esto aceptable conforme al nuevo RGPD? Obviamente no, ya que requerirían de un nuevo consentimiento. Pero ellos ahí lo dejan, por si acaso.

¿Tenemos el control de la información que cedemos a XiaoMi?

En su política de privacidad aseguran que sí. De hecho, en la misma establecen que “en última instancia, usted tiene el control de toda la información personal que le proporciona a Xiaomi”. ¿Es cierto esto?

Lo cierto es que una vez hemos dado el consentimiento para el tratamiento de nuestra información personal, y mientras no lo retiremos conforme al artículo 17, 18 o 21 del RGPD, no podremos evitar. Es decir, mientras no hagamos uso de nuestros derechos de supresión, limitación u oposición se utilizarán los datos conforme a la política de privacidad de XiaoMi. Y, conforme está redactada, poco control tendremos sobre cómo los utilizan.

Envío de nuestra información a países fuera de la UE

La política de privacidad establece que XiaoMi puede enviar la información a terceros países, sin establecer exactamente a cuáles. Por tanto, la información personal podrá viajar sin que sepamos dónde se trata o aloja.

Esto también puede ser un problema si utilizamos nuestro teléfono como empresa, ya que nos resultará muy difícil (o, incluso, imposible) cumplir el RGPD por nuestra parte. Será imposible, si hacemos uso de este teléfono, cumplir de forma gratuita el RGPD por parte de nuestra empresa

XiaoMi está certificada en la empresa TRUSTe

La empresa XiaoMi, cuando te propone que aceptes su política de privacidad, te quiere dejar tranquilo diciendo que están certificados por TRUSTe. ¿Y quién es TRUSTe además de un aparente sello de calidad?

Investigando un poco vemos que es una empresa que certifica que sus clientes siguen unas políticas de privacidad adecuadas. ¿El problema? En realidad tenemos varios:

1. Que las políticas de privacidad ‘adecuadas’ son opacas y establecidas por esa misma empresa. ¿Son distintas en función de cada cliente? ¿Supervisan a XiaoMi de manera exhaustiva? Quién sabe. De hecho, es imposible saberlo.
2. Que la empresa que lleva TRUSTe es americana (más concretamente estadounidense), es decir, por sí misma no se encuentra regulada por el Reglamento General de Protección de Datos europeo.
3. Que no se encuentra, obviamente, reconocida como un sector o empresa con garantías adecuadas.

Entonces, ¿nos podemos fiar en TRUSTe como auditora de XiaoMi? Cada uno que haga lo que considere, pero cualquier profesional de la protección de datos te dirá que no.

¿Está XiaoMi incumpliendo el Reglamento General de Protección de Datos?

Desde nuestro punto de vista el cumplimiento del RGPD por parte de XiaoMi puede quedar en entredicho, ya que nos genera dudas en varios aspectos. Eso sin contar la alarma que puede suponer para un ciudadano saber cómo se tratan los datos personales, sobre todo teniendo en cuenta la dificultad para leer una política de privacidad como esta.

Entre estas dudas podemos destacar:

• Falta de transparencia. La política de privacidad de XiaoMi es difícil de leer y de entender por un usuario medio. Además, no posee una información por capas como recomienda la AEPD, sino que nos remite a un documento muy extenso para leerlo por completo. Además, el vocabulario es complicado y difícil de entender.
• Consentimiento informado y diferenciado. El RGPD establece que el consentimiento deberá ser informado, para lo que tendrá que ser transmitido con claridad. En este caso se trata de un consentimiento ‘obligado’ para utilizar una serie de apps que no se pueden desinstalar del teléfono (es decir, que son ‘básicas’). Además, el consentimiento no se puede dar en función de cada finalidad, sino que se aceptan en conjunto. Esto no es acorde a lo establecido en el RGPD y en las guías del a AEPD.
• Envío de información a terceros países sin comunicar a cuáles. El RGPD establece que, en ciertas situaciones y para ciertos países (como, por ejemplo, China), es necesario solicitar el consentimiento. Si no sabemos los países no podemos consentir su transferencia internacional.
• Envío a terceros (cesión de datos) sin decir a cuáles. De la misma manera que en el caso anterior, el RGPD establece que deben informarnos sobre cuáles son, concretamente, los destinatarios de los datos personales.