WeTransfer es un servicio online para enviar archivos y documentos, que debido a su gran tamaño no es posible remitirlos por correo electrónico. Este servicio dispone de una modalidad gratuita. ¿Cómo obtienen estas empresa beneficios si prestan servicios de forma gratuita? Pues como todas, con tus datos. Entonces, si comercializan mis datos, ¿Es legal usar WeTransfer teniendo en cuenta el RGPD?¿Cómo podría enviar correos electrónicos adjuntando documentos con datos personales sensibles cumpliendo la legalidad?
Política de Privacidad WeTransfer
En primer lugar, aclarar que normativa de Privacidad (RGPD-LOPDGDD) solo no es aplicable en el ámbito personal. Es decir, con tu información podrías hacer lo que te apetezca. Sin embargo, no con la de un tercero.
Dicho esto, revisando la política de privacidad de WeTransfer observamos lo siguiente:
- Sólo está en disponible en inglés.
- No determina claramente los datos de la entidad que esta detrás del servicio. Eso si, nos facilita una dirección de email para realizar nuestras consultas al DPO de la empresa.
- En el apartado sobre los Tratamientos de Datos Personales que se realizan, en el punto 4, nos indican que recogen el contenido y los metadatos que se obtienen a partir de los archivos que subimos a su plataforma. Es decir, se analiza y escanea los archivos para extraer información personal que se incluyen en ellos. Por lo tanto, si subimos un documento en Word, Excel, PDF, etc, los datos contenidos en el serán accedidos por un tercero para ser tratados, analizados, etc.
- La finalidad declarada, entre otras, de los tratamientos seria el marketing, anuncios y comunicación, creando un perfilado de nuestros usos, gustos, preferencias, etc.
- La base legítima para realizar los tratamientos del punto 4 sería el interés legítimo (IL). El IL impide al interesado/a, a priori, oponerse a dicho tratamiento.
- Los datos pueden almacenarse en servidores que se ubiquen fuera de la Unión Europea (UE) cumpliendo niveles de seguridad similares a los ofrecidos en los países de la EU y firmando Clausulas Contractuales tipo aprobadas por el CEPD (EDPB).
- Desde aquí puedes descargar la Política de Privacidad de WeTransfer (versión 14.07.2021) en PDF.
¿Es legal usar WeTransfer? Nuestra valoración
Una vez hemos analizado la política de privacidad, sin entrar en otros detalles derivados de la correcta aplicación del RGPD, cuando enviemos información personal a través de esta plataforma, podemos determinar que:
- Estamos realizando una comunicación de datos personales a un tercero sin contrato de encargado de tratamiento.
- Al ser un servicio gratuito, como contraprestación, WeTransfer va acceder a la información que remitamos, ya sean datos «sin importancia» o información sensible.
- A priori, no vamos a poder impedir el tratamiento de los metadatos y escaneo de documentos.
- La empresa va a compartir esos datos con terceras empresas.
- WeTransfer puede almacenar en países fuera de la UE que pueden no poseer las garantías mínimas que son exigidas dentro de la UE, aunque tomarán medidas especificas para garantizar nuestros derechos.
- No hemos informado a los interesados/as de estos tratamientos ulteriores que van a ser realizados.
Por lo tanto, no es aconsejable utilizar este tipo de servicios cuando adjuntemos archivos que pueden contener información personal de terceros, en especial cuando contengan datos especialmente protegidos o sensibles, ya que serán accedidos y tratados por terceras partes, sin poder impedir dichos tratamientos.
¿Cómo puedo utilizar el WeTransfer de forma «legal»?
Una de las medidas más importantes que se mencionan en el RGPD para mitigar el riesgo es el cifrado de datos. Al aplicar esta técnica, añadimos una capa de seguridad extra a nuestros archivos. En caso de caer en manos de terceros, sustracción o pérdida, los datos incluidos no podrán ser accedidos al hacerlos ilegibles si no se disponen de las claves de cifrado o aplicación necesaria.
Para aplicar un cifrado de datos existen diversas herramientas. Personalmente, recomiendo el uso de HAT.SH. Se trata de una aplicación web de código abierto y gratuita, la cual nos permite cifrar nuestros archivos mediante diferentes técnicas.
No es necesario instalar nada en nuestro equipo, solo acceder al sitio web hat.sh.Los archivos no se envían a ningún servidor, ni son recopilados ni tratados por terceros. El cifrado se realiza desde nuestro navegador sin salir al exterior.
Uso de hat.sh
La utilización de esta web app es sencilla e intuitiva. El procedimiento sería el siguiente
- Arrastrar el archivo/s o localizarlo en nuestro dispositivo y pulsar siguiente,
- Introducir una contraseña robusta. Debemos anotarla para comunicarla al receptor de los archivos. También, es posible optar por el intercambio de claves públicas. Si no disponemos de ellas, desde la propia web se pueden generar.
- Una vez hayamos pulsado siguiente, se podrá descargar el archivo ya cifrado con extensión *.enc
- El archivo descargado ya se puede enviar por cualquier plataforma con unas garantías mínimas de seguridad, respetando la privacidad de la información contenida.
Cuando el receptor reciba los archivos, solo tendrá que acceder a la web de hat.sh y realizar el proceso inverso, pinchando en la opción DESCIFRADO para obtener los archivos originales.
Recomendamos, elegir contraseñas fuertes siempre, de no menos de 12 dígitos que incluyan: números, símbolos, mayúsculas y minúsculas. Desde esta web puedes generar contraseñas seguras LASTPASS. Muy importante, la clave de cifrado NUNCA debe ser remitida por el mismo medio por el cual han sido enviados los archivos cifrados.
Conclusión
Hemos de recordar que cuando un servicio es gratuito, nos están diciendo que el producto eres tu, tus datos, hábitos, etc.
Enviar documentos a través de plataformas que ofrecen un servicio gratuito puede ser constitutivo de una infracción del RGPD. Estos servicios gratuitos acceden a los documentos para «escanear» y obtener todos los datos posibles para la creación de perfiles publicitarios y revender dichos datos. La situación aun podría ser peor. En caso de una brecha de seguridad de estos servicios, los datos enviados podrían ser expuestos en la red sin ningún tipo de control. Esta situación podría exponernos a fuertes sanciones económicas por no aplicar las medidas de seguridad mínimas.
Lo anteriormente comentado es extensible a servicios de mensajería «gratuita» tipo Gmail, Hotmail, Whatsapp, Telegram, etc. ya que también escanean el contenido de nuestros email y archivos adjuntos.
Para evitar estos peligros, hemos de aplicar medidas de cifrado de datos, para impedir, en la medida de lo posible, el acceso a los datos personales, ya sea en servicios de envío de archivos grandes, tipo WeTransfer o similar, o bien en casos de brechas de seguridad o «hackeos».
Si desea que diseñemos unos procedimientos de seguridad para los tratamientos de datos de su empresa o PYME, puede ponerse en contacto con nosotros. Estaremos encantados hacer que su empresa cumpla la normativa de privacidad de forma eficiente y fácil.
Imagen de Freepik 
Imagen de Freepik