Una filtración de datos en China deja al descubierto IPI

Aunque las violaciones de datos en las que interviene el software de reconocimiento facial son relativamente raras en muchas partes del mundo, debido en gran parte al uso limitado de este tipo de tecnologías en todo el mundo, China es un país único en el sentido de que su gobierno ha implantado la tecnología de reconocimiento facial a un nivel y a una escala sin precedentes. Por ejemplo, según estimaciones conservadoras, la República de China ha instalado actualmente más de 600 millones de cámaras de reconocimiento facial en todo el país, mientras que otros han calculado que esta cifra es potencialmente mayor. Hasta este punto, el uso de la tecnología de reconocimiento facial en China abarca una amplia gama de aplicaciones, que incluyen desde sistemas de vigilancia a gran escala administrados por las fuerzas policiales del país hasta cámaras individuales presentes en pequeñas poblaciones rurales.

Sin embargo, esta prevalencia de la tecnología de reconocimiento facial también significa que existen bases de datos que contienen millones de imágenes de los rostros de los ciudadanos chinos, así como las matrículas correspondientes a la multitud de automóviles que conducen estos ciudadanos. Dicho todo esto, el 30 de agosto de 2022 se anunció que “una empresa tecnológica llamada Xinai Electronics con sede en Hangzhou, en la costa este de China” había sufrido una brecha de seguridad que dio lugar a que la información de identificación personal de millones de ciudadanos chinos fuera revelada al público en general de forma no autorizada. Y ello a pesar de que Xinai Electronics ha afirmado que los diversos datos personales estaban protegidos a través de los servidores seguros de la empresa.

Preocupación por la seguridad de los datos

Por el contrario, existen pruebas fehacientes de que Xinai Electronics no protegía los datos personales de los clientes a los que prestaba servicios a diario. Más concretamente, el investigador de seguridad Anurag Sen descubrió que pudo acceder a la base de datos expuesta de la empresa a través de un servidor alojado en Alibaba en China. Según Sen, “la base de datos contenía una cantidad alarmante de información que crecía rápidamente día a día e incluía cientos de millones de registros y direcciones web completas de archivos de imagen alojados en varios dominios propiedad de Xinai. Pero ni la base de datos ni los archivos de imágenes alojados estaban protegidos por contraseñas y cualquiera que supiera dónde buscar podía acceder a ellos desde el navegador web.”

En cuanto al contenido de estos datos, los informes afirman que la información personal revelada incluía enlaces a imágenes de alta resolución de rostros individuales, matrículas captadas por cámaras Xinai dentro de aparcamientos y números de identificación de residentes, además de otras formas habituales de datos personales como nombres y apellidos, edad y sexo. Es más, también se ha informado de que esta información estuvo a disposición del público en general durante varios meses, ya que Xinai Electronics no había informado a los consumidores chinos de la filtración antes de la exposición del incidente a las principales plataformas de medios de comunicación del mundo en agosto de 2022.

Ley china de protección de datos personales

Además de esto, China promulgó recientemente la Ley de Protección de la Información Personal (PIPL) en noviembre de 2021, la primera ley integral de protección de datos aprobada en el país hasta la fecha. Como una de las muchas leyes de privacidad de datos influenciadas por el Reglamento General de Protección de Datos (RGPD) de la UE en los últimos años, la PIPL sirve para proteger los datos personales y la privacidad de los ciudadanos chinos. No obstante, muchos de los organismos policiales y gubernamentales que conforman la infraestructura de vigilancia nacional están exentos de muchas de las disposiciones de la ley. En este sentido, aunque aún está por ver si Xinai Electronics será finalmente acusada de violar las disposiciones de la PIPL, muchas de las otras organizaciones de China que también mantienen importantes bases de datos con información personal podrían haber quedado totalmente excluidas del castigo.

Para ilustrar aún más este punto, una violación de la enorme base de datos de la Policía Municipal de Shanghai en junio de este año también puso en peligro la información personal de millones de ciudadanos chinos. Sin embargo, debido al evidente papel que desempeña la Policía Municipal de Shanghái en la gobernanza de la ciudad en general, las consecuencias a las que se ha enfrentado la organización como resultado de la filtración han sido mínimas en el mejor de los casos, a pesar de que la filtración ha sido descrita como potencialmente la mayor y de mayor alcance que se haya producido en la historia, ya que se ha sugerido que la filtración afectó a más de mil millones de personas en todo el mundo.

Gracias a los enormes avances que se han producido en tecnologías como la inteligencia artificial en los últimos quince años, el público en general dispone actualmente de una serie de productos y servicios que antes se consideraban impracticables o inviables. Sin embargo, estas nuevas tecnologías también tienen el potencial de vulnerar los derechos de privacidad de los ciudadanos de todo el mundo, como pone claramente de manifiesto la serie de importantes violaciones de datos que se han producido en China. Por este motivo, las empresas y organizaciones de todo el mundo tendrán que empezar a tomar medidas adicionales para proteger los datos de los clientes a los que prestan sus servicios, para no enfrentarse a consecuencias de larga duración.