— Michel Protti, director de privacidad de productos
El trabajo que hacemos en materia de privacidad cuenta con el respaldo de nuestras estructuras de gobernanza interna, que incorporan las normas de uso de los datos y privacidad en todas las operaciones de la empresa.
Conforme integramos aún más la privacidad en todas las áreas de la empresa, hemos incorporado equipos de privacidad en los grupos de productos, que refuerzan el conocimiento de las consideraciones de privacidad ofreciendo su experiencia a cada uno de ellos. Estos equipos serán los principales responsables de la privacidad en nuestros productos.
Bajo el mando del director de privacidad de productos, Michel Protti, el equipo de prácticas de datos y privacidad consta de múltiples equipos, tanto técnicos como prácticos, centrados en definir y mantener estrategias de privacidad y en garantizar que el resto de la empresa se ajuste a ellas.
Este equipo es el elemento central de las medidas de nuestra empresa para mantener un programa de privacidad integral. Su misión de implementar prácticas responsables en Meta orienta esta labor garantizando que las personas comprendan el uso que Meta hace de sus datos y confíen en que nuestros productos hagan un uso responsable de ellos.
El equipo de prácticas de datos y privacidad es solo una de las muchas organizaciones de la empresa encargadas de la privacidad. En Meta hay miles de personas en diferentes organizaciones y roles que trabajan para integrarla en todas las facetas de las operaciones de nuestra organización, como en las políticas públicas y los asuntos jurídicos. La elaboración de una estrategia de privacidad acertada conlleva un esfuerzo sumamente interdisciplinar del que todos los miembros de Meta somos responsables.
Bajo el mando de Erin Egan, vicepresidenta y directora de privacidad de políticas públicas, el equipo de política de datos y privacidad representa nuestra participación en el debate público global sobre la privacidad, incluidos los nuevos marcos normativos. Además, el equipo se asegura de que la opinión de gobiernos y especialistas de todo el mundo se tenga en cuenta en el diseño de nuestros productos y en las prácticas de uso de datos.
Para ello, este equipo utiliza diversos mecanismos de consulta, por ejemplo:
También organizamos una serie de conversaciones con regularidad y una asamblea anual de expertos sobre privacidad con especialistas líderes en privacidad de todo el mundo para comentar diversos temas candentes relacionados con las políticas en este ámbito.
El equipo jurídico de privacidad está integrado en el diseño y la ejecución continua de nuestro programa y se encarga de asesorar sobre los requisitos legales durante nuestro proceso de revisión de la privacidad.
Se trata de un comité independiente de nuestro Consejo de administración que se reúne al menos cada trimestre para garantizar que cumplimos nuestros compromisos de privacidad. Está formado por un equipo directivo independiente con una dilatada experiencia en puestos de asesoramiento similares. Al menos una vez por trimestre, reciben informes sobre el panorama de políticas global, el estado de nuestro programa de privacidad y el estado de la evaluación de terceros independiente de dicho programa, entre otros aspectos.
La auditoría interna aporta una garantía independiente sobre la salud general de nuestro programa de privacidad y el marco de control de apoyo.
Para garantizar que todos los miembros de Meta conocen su papel en la protección de la privacidad, entre otras cosas, generamos de forma continua recursos de educación y aprendizaje que abarcan formación y campañas de concienciación sobre la privacidad a nivel interno.
Un componente esencial de nuestro enfoque de educación en privacidad se consigue mediante nuestras formaciones. Esta formación abarca los fundamentos de la privacidad y está diseñada para ayudar a todos los miembros de Meta a desarrollar la capacidad de reconocer y tener en cuenta los riesgos de privacidad. Mediante el formato de aprendizaje electrónico, tanto nuestros cursos de formación anual como los de formación en privacidad para nuevos trabajadores temporales y contrataciones proporcionan ejemplos de consideraciones de privacidad basados en escenarios que se ajustan a nuestras operaciones comerciales. Además, incluyen una evaluación para comprobar si los empleados han comprendido los conceptos pertinentes. Estas formaciones se actualizan e implementan cada año para garantizar que se incluye información pertinente junto a los conceptos básicos.
Además de nuestra formación básica sobre privacidad de carácter obligatorio, también disponemos de un catálogo de toda la formación conocida sobre privacidad impartida en Meta, que abarca temas pertinentes para personas con roles específicos.
Otra forma de fomentar la educación en materia de privacidad es a través de la comunicación frecuente con los empleados. Además de nuestros cursos de formación sobre privacidad, proporcionamos continuamente contenido sobre el tema mediante canales de comunicación internos, actualizaciones de los directivos de privacidad, sesiones de preguntas y respuestas internas y nuestra Semana de la Privacidad.
Durante la Semana de la Privacidad, ponentes internos y externos imparten contenido atractivo en eventos dirigidos a toda la empresa, en los que se destacan los conceptos y prioridades clave en materia de privacidad.
Cuando participamos en eventos externos sobre privacidad, como el Día de la Privacidad de los Datos o nuestra asamblea de expertos sobre privacidad, fomentamos la concienciación y el compromiso internos a través de nuestros canales para garantizar que todo el mundo tenga la oportunidad de participar y obtener información sobre esta cuestión.
Contamos con un equipo específico cuyo trabajo es garantizar que cumplimos las normativas de datos y privacidad internacionales. Nuestro proceso de preparación de cara a la normativa está estructurado según distintas “áreas de privacidad” o temas de privacidad clave (por ejemplo, juventud, datos confidenciales, consentimiento, etc.) para asegurarnos de cumplir los requisitos de manera integral.
Hemos creado un programa de administración de riesgos de privacidad para identificar y evaluar los riesgos relacionados con la forma en que recogemos, usamos, compartimos y almacenamos datos de los usuarios. Este proceso nos ayuda a identificar ámbitos de riesgo, mejorar nuestro programa y prepararnos de cara a futuras iniciativas de aplicación de las normas.
Hemos diseñado una serie de medidas de protección, como controles técnicos y procesos, para abordar los riesgos en materia de privacidad. Como parte de esta iniciativa, llevamos a cabo evaluaciones internas sobre el diseño y la eficacia de dichas medidas para mitigar los riesgos derivados de la privacidad.
Hemos establecido una función centralizada de administración de problemas para facilitar la autoidentificación y solución de problemas en materia de privacidad. Este proceso abarca el ciclo de vida de la administración de problemas de privacidad desde la identificación y la clasificación hasta la planificación de la solución y el cierre con pruebas.
Hemos creado un equipo de supervisión de la privacidad responsable de poner a prueba de forma proactiva nuestros procesos y tecnologías necesarios para identificar riesgos potenciales. Este equipo adopta el papel de figuras externas o internas que intentan eludir nuestros controles y medidas de privacidad, lo que nos permite identificar de forma proactiva las áreas en las que podemos mejorar nuestro entorno de control.
Independientemente de lo sólidas que sean nuestras mitigaciones y medidas de protección, también necesitamos un proceso para (1) identificar cuándo un evento puede perjudicar a la confidencialidad, integridad o disponibilidad de los datos de los que Meta es responsable, (2) investigar esas situaciones y (3) tomar las medidas necesarias para hacer frente a las lagunas que identifiquemos.
Nuestro programa de gestión de incidentes que operamos a nivel global tiene el objetivo de supervisar los procesos destinados a identificar, evaluar, mitigar y solucionar incidentes de privacidad. Por mucho que el equipo de prácticas de datos y privacidad lidere el proceso de administración de los incidentes de privacidad, este asunto es responsabilidad de todos los miembros de Meta. Los equipos de toda la empresa desempeñan funciones fundamentales, incluidos los equipos de producto y asuntos jurídicos. Seguiremos dedicando tiempo, recursos y energía a concebir un programa multidimensional en constante evolución y mejora. A continuación, destacamos tres componentes de nuestro enfoque.
Adoptamos una estrategia de varios niveles para proteger a las personas y su información, lo que incluye implementar medidas de protección diseñadas para detectar errores de forma proactiva antes de que se conviertan en un problema. Dado que operamos a gran escala, hemos invertido mucho en el desarrollo y la implementación de una amplia gama de herramientas automatizadas destinadas a identificar y remediar posibles incidentes de privacidad tan pronto y rápido como sea posible. Estos sistemas automatizados están diseñados para detectar incidentes en tiempo real con el fin de facilitar una respuesta rápida.
Por supuesto, por muy eficaces que sean nuestros sistemas automatizados, la supervisión y la diligencia de nuestros empleados siempre desempeñan un papel fundamental a la hora de ayudar a identificar y remediar los incidentes de forma proactiva. Nuestros equipos de ingenieros revisan con frecuencia nuestros sistemas para identificar y solucionar los incidentes antes de que puedan afectar a las personas.
Desde 2011 ofrecemos el programa “Bug Bounty”, en el que investigadores externos nos informan de posibles vulnerabilidades de seguridad y privacidad de nuestros productos y sistemas para ayudarnos a mejorarlos. Esto nos permite ampliar las medidas de detección, solucionar los problemas con más rapidez y, por consiguiente, proteger mejor a nuestra comunidad. Además, las recompensas que pagamos a los participantes que reúnen los requisitos mejoran la calidad de las investigaciones en materia de seguridad.
En los últimos 10 años, más de 50 000 investigadores han participado en este programa y alrededor de 1500 investigadores de 107 países han recibido recompensas.
Aunque hemos adoptado una serie de medidas para evitar incidentes relacionados con la privacidad, como el acceso no autorizado a los datos, creemos que la transparencia es importante para recuperar la confianza en nuestros productos, servicios y procesos si se llega a producir un incidente. Por lo tanto, además de corregir nuestros errores y aprender de ellos, nuestro programa de gestión de incidentes también incluye la correspondiente comunicación de los problemas que afectan a nuestra comunidad, por ejemplo, a través de una publicación en Newsroom o en nuestro blog La privacidad es importante, así como la colaboración con las autoridades policiales u otras instituciones para abordar los incidentes que detectemos.
Los terceros son socios externos que colaboran con Meta, pero que no son de su propiedad ni están gestionados por la empresa. Suelen dividirse en dos categorías principales: los que prestan un servicio a Meta, como los proveedores que ofrecen asistencia para el diseño de sitios web, y los que establecen sus negocios en torno a nuestra plataforma, como los desarrolladores de aplicaciones o API. Para mitigar los riesgos de privacidad que plantean los terceros que reciben acceso a la información personal, hemos desarrollado un programa específico de supervisión y administración externo, que se encarga de supervisar los riesgos de terceros e implementar medidas de protección de privacidad adecuadas.
También hemos creado un proceso de evaluación de la privacidad externo para que los proveedores de servicios evalúen y mitiguen los riesgos en este ámbito. Nuestro proceso requiere que estos proveedores de servicios también estén sujetos a contratos que contengan medidas para proteger la privacidad. El perfil de riesgo de un tercero puede determinar la forma en que lo supervisamos y lo volvemos a evaluar y, cuando corresponde, las medidas de cumplimiento que adoptamos como resultado de infracciones, incluida la terminación del compromiso.
Hemos creado un proceso formal para tomar medidas o finalizar nuestro compromiso con terceros que infringen sus obligaciones de privacidad o seguridad. El proceso incluye normas y mecanismos técnicos que respaldan la implantación de prácticas de desarrollo mejores en nuestra plataforma, por ejemplo:
Nuestro equipo encargado del uso externo e indebido de los datos se dedica a detectar, investigar y bloquear patrones de comportamiento asociados a la extracción de datos. La extracción consiste en recopilar datos de forma automatizada de sitios web o aplicaciones, y puede estar autorizada o no. Utilizar la automatización para recopilar datos de las plataformas de Meta o acceder a ellos sin nuestro permiso supone una infracción de nuestras Condiciones del servicio.
Seguimos invirtiendo en infraestructura y herramientas para que la extracción de datos de nuestros servicios resulte difícil y para que, si se consigue hacer, sea más complicado aún sacar partido de ellos. Algunos ejemplos de estas inversiones incluyen los límites de frecuencia y de datos. Los límites de frecuencia restringen el número de veces que alguien puede interactuar con nuestros productos en un periodo de tiempo determinado, mientras que los límites de datos evitan que se obtengan más datos de los necesarios para usar nuestros productos con normalidad.
Hemos empezado a utilizar los identificadores de usuario y contenido generados de forma interna después de descubrir que la extracción no autorizada suele implicar que se adivinen o compren dichos identificadores. También usamos nuevos identificadores con seudónimo que previenen la extracción de datos no autorizada y hacen que sea más difícil que las herramientas de extracción los adivinen, se conecten a datos o accedan a ellos de forma insistente.
Bloqueamos miles de millones de acciones sospechosas de extracción no autorizada al día en Facebook e Instagram, y hemos tomado diferentes medidas contra la extracción de datos no autorizada, como desactivar cuentas y solicitar que las empresas que tengan datos extraídos de forma no autorizada los eliminen.
El proceso de revisión de la privacidad es una parte central del desarrollo de prácticas, productos y servicios nuevos y actualizados en Meta. A través de él, evaluamos cómo se usarán y protegerán los datos como parte de estas prácticas, productos y servicios nuevos y actualizados. Revisamos una media de 1200 productos, funciones y prácticas de datos al mes en toda la empresa antes de que se implementen para evaluar y mitigar riesgos en materia de privacidad.
Como parte del proceso, un equipo interdisciplinar de expertos en la materia evalúa los riesgos de privacidad potenciales asociados a un proyecto y determina si hay que hacer algún cambio para mitigarlos antes de su lanzamiento. De acuerdo con el proceso, si no hay acuerdo en cuanto a la evaluación de riesgos aplicables o a las propuestas de mitigaciones de productos, los equipos deberán remitir el asunto al órgano superior de políticas y productos y, en última instancia, a la dirección ejecutiva para llevar a cabo una evaluación más detallada y tomar una decisión.
El desarrollo de nuestras prácticas, servicios y productos nuevos o modificados a través del proceso de revisión de la privacidad se guía por nuestras expectativas internas de privacidad, que incluyen:
También hemos invertido en revisiones de verificación y una plataforma centralizada para respaldar el proceso de revisión de la privacidad a gran escala:
— Komal Lahiri, vicepresidenta del proceso de revisión de la privacidad
Proteger la privacidad de los usuarios es una de nuestras prioridades a la hora de crear y actualizar continuamente nuestros productos. Para lograrlo, creamos una configuración y unos controles predeterminados para facilitar que los usuarios establezcan el nivel de privacidad que prefieran. Asimismo, nos centramos en la privacidad a la hora de desarrollar nuevos productos.
Desde 2016, Messenger ha ofrecido la opción de activar el cifrado de extremo a extremo. En 2023, empezamos a implementar el cifrado de extremo a extremo predeterminado para todas las llamadas y todos los chats personales en Messenger y Facebook.
Hemos tardado años en incorporarlo para poder hacerlo correctamente. Nuestros ingenieros, criptógrafos, diseñadores, expertos en políticas y administradores de productos han trabajado sin descanso para reinventar las funciones de Messenger desde cero. Habilitar el cifrado de extremo a extremo en Messenger ha implicado principalmente rediseñar muchos aspectos de los protocolos de la aplicación para mejorar la privacidad y la seguridad, sin dejar de lado las funciones que han hecho que Messenger sea tan popular. Nuestra estrategia ha consistido en aprovechar las conclusiones anteriores de las conversaciones secretas de WhatsApp y Messenger y, luego, realizar cambios a partir de nuestros problemas más complejos, como la capacidad de usar varios dispositivos, la compatibilidad de la función, el historial de mensajes y la compatibilidad web. Durante el proceso, hemos implementado nuevas funciones de privacidad, seguridad y control, como el bloqueo de aplicaciones y los controles de entrega, que permiten a la gente elegir quién puede enviarle mensajes. También hemos mejorado funciones de seguridad ya existentes, como las denuncias, los bloqueos y las solicitudes de mensajes.
En esencia, el cifrado de extremo a extremo sirve para proteger las comunicaciones entre las personas, de forma que puedan expresarse libremente con sus amigos y seres queridos. Hemos trabajado estrechamente con gobiernos, promotores, académicos y especialistas externos con el fin de identificar riesgos y desarrollar mitigaciones para garantizar que la privacidad y la seguridad van de la mano. Hemos encargado una evaluación independiente del impacto en los derechos humanos y hemos publicado un informe exhaustivo sobre el enfoque de Meta para ofrecer experiencias de mensajes privados más seguras en Messenger y en los mensajes directos de Instagram.
Las gafas inteligentes Ray-Ban Meta te permiten hacer una foto o grabar un clip de vídeo en primera persona, escuchar música o realizar una llamada, y usar funciones inteligentes a medida que se implementan. Todo ello sin tener que sacar el teléfono. Las gafas inteligentes Ray-Ban Meta se han rediseñado con una cámara de mayor calidad, sistemas de micrófono y audio mejorados, y nuevas funciones, como las transmisiones en directo y la integración de Meta AI, para que no tengas que elegir entre capturar el momento y vivirlo.
Las gafas inteligentes Ray-Ban Meta se han diseñado con la privacidad como prioridad, y son el claro ejemplo de nuestro compromiso con la innovación responsable y la integración de la privacidad. Hemos incorporado los comentarios de las partes interesadas, que hemos obtenido desde el momento en el que lanzamos las Ray-Ban Stories, de formas tangibles y significativas.
Hemos lanzado nuevas experiencias de IA generativa, como los stickers de IA, la edición de imágenes con IA, nuestro asistente de IA (Meta AI) y AI Studio (donde la gente puede crear su propia IA personalizada). Hemos ido incorporando medidas de privacidad importantes a medida que desarrollamos nuevas y prometedoras funciones de IA generativa y hemos creado una guía sobre la privacidad en la IA generativa y otros recursos de transparencia para ayudar a las personas a entender cómo desarrollamos nuestros modelos de IA, cómo funcionan nuestras funciones de IA y qué elecciones y derechos de privacidad de datos tienen.
El año pasado actualizamos nuestra herramienta ¿Por qué veo esto?, que ayuda a las personas a saber por qué ven los anuncios que les aparecen en los feeds de Facebook e Instagram. Una actualización clave fue resumir la información en temas sobre cómo la actividad tanto dentro como fuera de nuestras tecnologías (por ejemplo, dar Me gusta a una publicación de la página de Facebook de un amigo o visitar un sitio web de deportes) envía información a los modelos de aprendizaje automático que utilizamos para seleccionar y entregar los anuncios que mostramos. También implementamos nuevos ejemplos e ilustraciones para explicar cómo nuestros modelos de aprendizaje automático conectan diferentes temas para mostrar anuncios pertinentes. Además, también incorporamos nuevas formas para que los usuarios encuentren nuestros controles de anuncios al ofrecer la disponibilidad para acceder a “Preferencias de anuncios” desde páginas adicionales en la herramienta “¿Por qué veo esto?”.
Hemos desarrollado la biblioteca de contenido de Meta y la API, nuevas herramientas de investigación que permiten a los investigadores cualificados acceder a contenido adicional y disponible públicamente en Facebook e Instagram de manera respetuosa con la privacidad.
Estas herramientas conceden a los investigadores acceso a datos públicos casi en tiempo real, por ejemplo, contenido de páginas, grupos y eventos en Facebook, así como contenido de cuentas empresariales y de creadores en Instagram. También pueden consultar detalles sobre el contenido, como el número de reacciones y comentarios, las veces que se ha compartido y, por primera vez, el número de visualizaciones. Los investigadores pueden buscar, explorar y filtrar el contenido tanto en una interfaz de usuario gráfica como mediante una API programática.
Hemos colaborado con el Consorcio interuniversitario para la investigación política y social de la Universidad de Michigan en la iniciativa del Archivo de medios sociales para compartir datos públicos de nuestras plataformas, en la que el acceso a los datos restringidos está estrictamente controlado y los usuarios autorizados deben aceptar el uso estricto de los datos y condiciones de confidencialidad para acceder a ellos.
Nuestras medidas para lograr una comunicación transparente incluyen proporcionar educación externa para mejorar la comprensión y el reconocimiento de nuestras prácticas y garantizar que la información sea accesible y fácil de encontrar.
Para proporcionar más transparencia y control, hemos desarrollado una serie de herramientas de privacidad para que las personas entiendan qué comparten y cómo se utiliza su información, por ejemplo:
— Michel Protti, director de productos de privacidad
Seguimos creando una infraestructura que tenga en cuenta la privacidad, es decir, soluciones de infraestructura innovadoras y ampliables que permitan a los ingenieros abordar con más facilidad los requisitos de privacidad cuando creen productos. Esta infraestructura de protección de la privacidad nos permite utilizar cada vez más la automatización para verificar que cumplimos nuestras responsabilidades en materia de privacidad, en lugar de recurrir principalmente a personas y procesos manuales.
Estamos implementando tecnología y herramientas innovadoras en Meta para reducir de forma proactiva la cantidad de datos de usuarios que recogemos y utilizamos. También seguimos invirtiendo en tecnologías de mejora de la privacidad, que están basadas en técnicas criptográficas y estadísticas avanzadas que minimizan los datos que recopilamos, procesamos y usamos. También hemos estado trabajando para poner esta iniciativa a disposición del público en los casos en los que resulte útil para el amplio ecosistema, por ejemplo, las tecnologías de mejora de la privacidad para IA mediante PyTorch. Asimismo, gracias a nuestras inversiones en tecnologías de mejora de la privacidad, hemos podido habilitar una nueva función de seguridad criptográfica en WhatsApp que permite verificar que tus conexiones y conversaciones son seguras según medidas de transparencia clave. Esta función reduce la posibilidad de que un tercero suplante la identidad de la persona o la empresa con la que un usuario quiere conectar y compartir mensajes cifrados. Para ello, se comprueba la validez de las claves públicas en la conversación frente a un directorio del servidor que almacena claves públicas con información del usuario y, luego, se proporciona un registro de auditoría disponible públicamente de protección de la privacidad a todo el mundo para verificar que los datos no se han eliminado ni modificado en el directorio.
De forma similar, hemos desarrollado un marco de eliminación de activos y códigos que sirve de orientación a los ingenieros a la hora de retirar un producto de forma segura y eficiente. La retirada de productos es un logro complejo que implica dependencias internas y externas, incluidas dependencias de otros productos de Meta que es posible que no se pretendan retirar. Para abordar esta cuestión, nuestro Código de retirada de activos y códigos sistemático (SCARF, por sus siglas en inglés) incluye una herramienta de administración de procesos que permite a los ingenieros ahorrar tiempo al identificar dependencias, así como el orden correcto de las tareas a la hora de limpiar un producto. Además, SCARF incluye subsistemas para suprimir de forma segura los códigos inactivos, así como los tipos de datos que no se utilizan.
SCARF permite llevar a cabo miles de proyectos de retirada manuales, además de los millones de activos de datos y códigos que ha limpiado de forma automática. También resulta útil para nuestros equipos de privacidad, que utilizan la herramienta para supervisar el progreso de retiradas de productos en curso y garantizar que se completan a tiempo.
“Diseñar una estrategia de privacidad adecuada requiere una inversión continua y colectiva de toda nuestra empresa. Progresar en nuestra misión es responsabilidad de todos en Meta”. — Michel Protti, director de productos de privacidad
Proteger los datos y la privacidad de los usuarios es esencial para nuestra empresa y nuestra visión de futuro. Para lograrlo, hacemos mejoras continuas en nuestros productos y nuestro programa de privacidad, mientras damos respuesta a los desarrollos tecnológicos y las expectativas cambiantes mediante la colaboración con legisladores y especialistas en protección de datos y compartimos nuestro progreso sobre la marcha.