Una firma contratada por el Consejo de Transporte Público (CTP) para desarrollar una aplicación móvil para taxis permite ceder datos personales de choferes y sus pasajeros a otras empresas, con fines comerciales.
Así lo por lo menos se establece en la política de privacidad de Bätse, aplicación que obligatoriamente deben usar los taxistas y llegarán a usar los clientes.
“Batsë podrá utilizar tus datos personales para ofrecerte promociones de otros servicios y productos de otras compañías del Grupo Comercial de Batsë, que se relacionan con los servicios que hubieses contratado o manifestado interés, siendo tal finalidad no indispensable para el cumplimiento de la relación jurídica contigo, misma que podrás objetar dentro de un plazo de 5 días siguientes a la fecha en que tus datos personales hayan sido tratados por Batsë.
“Los terceros receptores de tus datos personales, están obligados por virtud del contrato correspondiente, a mantener la confidencialidad de los datos personales suministrados por Batsë y a observar el presente Aviso”, señala el documento.
Entre los datos personales que manejarían están el domicilio, cuentas bancarias y tarjetas de crédito.
Ante consultas de La Nación, el director del CTP, Manuel Vega, manifestó que se trató de un “desafortunado error”, el cual, garantizó, será corregido a la brevedad posible.
No obstante, dijo, por el momento no se pude cambiar “en tanto no se coordinen algunos detalles con entidades involucradas”.
Vega prometió que en una futura versión, el proveedor de la aplicación solo será un administrador de los datos.
“Es algo que vamos a refrescar. Los datos son sagrados y ninguno ha sido expuesto. Esta política que está ahí puesta, será cambiada, la empresa no puede disponer de los datos y cómo se manejan. Los datos son únicamente del Consejo. Tiene que corregirse, esto no es adecuado porque no transmite la información correcta”, señaló Vega.
El CTP adquirió recientemente la aplicación Batsë así como los derechos de uso para la generación de información estadística y técnica de la cual dependerá la renovación de concesiones y de permisos de taxis.
Según el Consejo, todo taxista está obligado a usarla y, con ellos, todos sus clientes, cuando esté lista en unas semanas. No obstante, ya los usuarios (taxistas y clientes) pueden descargarla.
El CTP afirma que todos servicio de taxi se gestionará desde Batsë para verificar el cobro correcto de tarifas y la calidad del servicio.
El desarrollador del programa es Trustnet Information Security S.A., una empresa radicada en Palmares (Alajuela), que se presenta como responsable de la base de datos de la aplicación, según declara textualmente la política de privacidad del servicio.
El documento se retiró temporalmente de la página oficial de la aplicación este viernes por la mañana luego de consultas por correo electrónico a la empresa. El texto se reincorporó al cabo de unos minutos, confirmó La Nación que conserva una copia del escrito original.
Según el texto en línea, a pasajeros y taxistas que instalen la aplicación en sus teléfonos, se les piden datos como números de teléfono, dirección del domicilio y cédula de identidad.
En el caso de los clientes, se les solicita información de cuentas bancarias, tarjetas de crédito y/o débito incluido el titular de la cuenta, número de cuenta y cuenta cliente, banco de origen, número de la tarjeta; fecha de vencimiento de la tarjeta, tipo de tarjeta y código de seguridad.
A los conductores, se les solicita “datos personales sensibles” como tipo de sangre, alergias, capacidad visual y fotografía en licencia de conducir de Taxistas; entre otras.
El documento aclara que toda la información y uso persigue dar cumplimiento a las obligaciones originadas y derivadas de la relación comercial y jurídica por el servicio de transporte en taxi.
Sin embargo, Trustnet Information Security S.A. también declara que podrá transferir información suministrada para promociones de otros servicios y productos de otras compañías del supuesto Grupo Comercial de Batsë.
El documento brinda a taxistas y clientes posibilidad de “acceder, rectificar y cancelar tus datos personales, así como a oponerse al tratamiento de los mismos o a revocar e; consentimiento respecto del tratamiento para fines comerciales.
No obstante, agrega la política de privacidad, la empresa podrá responder en un plazo máximo de 20 días desde la recepción de la solicitud “si resulta procedente”. De ser así, esta será efectiva dentro de los 15 días siguientes a la fecha en se comunique la respuesta. Por lo tanto, una persona podría esperar hasta 35 días antes de ver cumplida su petición.
Propiedad
De acuerdo con la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales y su Reglamento (N° 8968) ser el “responsable” de la base de datos quiere decir que los datos de todos los taxistas y pasajeros serán propiedad del proveedor del servicio y no del CTP, que es la autoridad pública que por ley tiene la competencia de regular un servicio público.
Mauricio París, abogado especialista en protección de datos y privacidad, del Consorcio Internacional Ecija, explicó que los datos de los usuarios constituyen un activo muy valioso para fines comerciales.
“En virtud del principio de transparencia administrativa y de legalidad, toda la población debería saber en qué términos y con qué base legal el CTP aceptó que la propiedad sobre estos datos pase a ser de una empresa privada en particular, cuando la empresa anuncia que los usará con una finalidad eminentemente comercial y los piensa transferir a otras empresas para tales fines”, comentó París.
Según el abogado, el CTP ya está pagando al proveedor por el servicio de la aplicación como para que, además, también este reciba los datos de los ciudadanos y los conductores.
Para el especialista, si no se negoció en el contrato que los datos iban a ser de la empresa, podría estarse configurando un uso extralimitado de sus potestades como desarrollador de la herramienta, dejándose estos datos en propiedad con la posibilidad de lucrar con ellos.
“Cuando se contrata un proveedor de un servicio, lo normal es que este tenga únicamente la condición de encargado del tratamiento de datos, es decir, limitarse a hacer con los datos lo que el cliente, en este caso el CTP, le permita hacer con ellos, que no debería ser otra cosa más que administrar la plataforma, no usarlos en su beneficio”, agregó París.