Whitebridge AI, con sede en Lituania, vende "informes de reputación" sobre cualquier persona con presencia en Internet. Estos informes recopilan grandes cantidades de información personal sobre personas desprevenidas, que luego se vende a cualquiera que esté dispuesto a pagar por ella. Algunos datos no son reales, sino generados por IA, e incluyen temas de conversación sugeridos, una lista de supuestos rasgos de personalidad y una comprobación de antecedentes para ver si has compartido contenidos para adultos, políticos o religiosos. A pesar del derecho legal de libre acceso a tus propios datos, Whitebridge.ai sólo vende "informes" a los afectados. Parece que el modelo de negocio se basa en gran medida en asustar a los usuarios que quieren revisar sus propios datos, previamente recopilados de forma ilegal. noyb ha presentado ahora una denuncia ante la DPA lituana.
Informes de reputación en línea basados en IA. En su sitio web, Whitebridge AI anuncia sus servicios como una herramienta de IA que "encontrará todo sobre ti en Internet"y sugiere que puedes "buscarte a ti mismo, a tu pareja o a tus posibles clientes". Los informes sobre personas incluyen datos de redes sociales, menciones en noticias, fotos, "perfiles ocultos" y "prensa negativa". La herramienta también realiza una especie de "comprobación de antecedentes" para determinar si hay disponible en Internet algún contenido para adultos, relacionado con delitos, tóxico, político o religioso sobre personas. Los resultados son en su mayoría de baja calidad y parecen ser textos de inteligencia artificial generados aleatoriamente a partir de datos en línea obtenidos ilegalmente. Whitebridge propone incluso vigilar la presencia en línea de una persona. Por último, el informe también incluye las llamadas "directrices de interacción" con lo que se debe y no se debe hacer en posibles conversaciones, una lista de rasgos de personalidad, preferencias y una serie de fotos tomadas de las redes sociales y otras fuentes en línea.
¿Dirigida a los propios afectados? Sorprendentemente, la publicidad online de Whitebridge parece dirigirse principalmente a los propios afectados, incluyendo eslóganes como "esto da un poco de miedo" y "comprueba tus propios datos". La idea de la IA de Whitebridge parece ser generar datos personales de miedo sobre las personas, causándoles ansiedad, y luego cobrar dinero por acceder a ellos. Sin embargo, el artículo 15 del GDPR otorga a las personas el derecho a obtener una copia gratuita de sus datos.
Lisa Steinfeld, abogada de protección de datos de noyb: "Whitebridge AI tiene un modelo de negocio muy turbio cuyo objetivo es asustar a la gente para que pague por sus propios datos, recopilados ilegalmente. Según la legislación de la UE, las personas tienen derecho a acceder a sus propios datos de forma gratuita."
¿"Libertad de empresa" como argumento para violar el GDPR? En su aviso de privacidad, Whitebridge simplemente afirma que su procesamiento de datos personales es legal y en línea con su "libertad para dirigir un negocio". Con ello, Whitebridge hace caso omiso de que cualquier negocio debe ejercerse respetando la ley, incluido el GDPR. Pero eso no es todo: Whitebridge AI ni siquiera tiene una base legal para procesar todos estos datos personales en primer lugar. En su lugar, la empresa afirma que solo procesa datos de "fuentes públicamente disponibles". En realidad, la mayoría de estos datos proceden de páginas de redes sociales que no están indexadas ni se encuentran en los motores de búsqueda. Esto ya ha quedado claro en la jurisprudencia del TJUE, que confirmó en el asunto C-252/21 que introducir información en una aplicación de red social no constituye hacerla "manifiestamente pública", que es el umbral establecido en el artículo 9 del RGPD.
Lisa Steinfeld, abogada especializada en protección de datos de noyb: "La mera referencia a la supuesta 'libertad de empresa' de una compañía obviamente no le permite ignorar la ley. Mientras tanto, Whitebridge recopila toda la información personal que puede encontrar en las redes sociales y ni siquiera se molesta en considerar si tiene una base legal válida para el procesamiento."
Supuestos "desnudos sexuales" o "contenido político peligroso". Para averiguar si ellos también estaban afectados, los denunciantes buscaron sus nombres en el sitio web de Whitebridge. Pronto se dieron cuenta de que cualquiera podía comprar un informe con sus datos sin que ellos fueran informados. Por ello, ambos denunciantes presentaron una solicitud de acceso en virtud del artículo 15 del RGPD, pero no recibieron ninguna información. Poco después noyb compró los informes sobre los denunciantes. Contenían falsas advertencias de "desnudez sexual" y "contenido político peligroso"que se consideran datos sensibles especialmente protegidos en virtud del artículo 9 del RGPD. Poco después, los denunciantes solicitaron una rectificación con arreglo al artículo 16 del RGPD. En lugar de cumplir, Whitebridge AI alegó que los denunciantes necesitan una "firma electrónica cualificada" para ejercer sus derechos en virtud de la legislación de la UE, porque "las modernas tecnologías de IA facilitan cada vez más la generación de documentos falsos muy convincentes". La legislación de la UE no exige que nadie disponga de tal firma electrónica.
Aitana Pallas, también de noyb: "La cantidad de datos personales que procesa Whitebridge AI es francamente espeluznante, como la propia Whitebridge afirma en los anuncios del servicio. Esto se agrava aún más por el hecho de que Whitebridge AI ignora por completo a los interesados cuando intentan ejercer sus derechos."
Denuncia presentada en Lituania. noyb ha presentado una denuncia ante la autoridad de protección de datos de Lituania. En definitiva, Whitebridge AI ha infringido varias disposiciones del GDPR, incluidos los artículos 5, 9, 12 y 16 del GDPR. Solicitamos a Whitebridge AI que atienda las solicitudes de acceso de los denunciantes y rectifique los datos falsos que figuran en los informes sobre ellos. También solicitamos a la empresa que cumpla con sus obligaciones de información, que detenga todo tratamiento ilegal y que notifique a los denunciantes el resultado de un proceso de rectificación. Por último, pero no por ello menos importante, sugerimos que la autoridad imponga una multa para evitar infracciones similares en el futuro.
