Tomas Apodaca y Colin Lecher | CalMatters
Artículo original de CalMatters, traducido independientemente por Lilia O’Hara.
El sitio web que permite a los californianos contratar seguros médicos en virtud de la Ley de Asistencia Asequible, coveredca.com, ha estado enviando datos confidenciales a LinkedIn, según ha revelado un análisis forense realizado por CalMatters.
Mientras los visitantes rellenaban los formularios del sitio web, los rastreadores de las mismas páginas comunicaban a LinkedIn sus respuestas a preguntas sobre si eran ciegos, estaban embarazadas o tomaban un gran número de medicamentos recetados. Los rastreadores también controlaban si los visitantes decían ser transgénero o posibles víctimas de violencia doméstica (véanse los datos en nuestro repositorio de GitHub).
Covered California, la organización que gestiona el sitio web, eliminó los rastreadores tal y como hicieron CalMatters y The Markup en este artículo. La organización afirmó que se eliminaron a principios de abril “debido a una transición de la agencia de marketing”.
En un comunicado, Kelly Donohue, portavoz de la agencia, confirmó que los datos se enviaron a LinkedIn como parte de una campaña publicitaria. Desde que se informó del seguimiento, “se han desactivado por precaución todas las etiquetas activas relacionadas con la publicidad en nuestro sitio web”, añadió.
“Covered California ha iniciado una revisión de nuestros sitios web y de los protocolos de seguridad y privacidad de la información para garantizar que ninguna herramienta de análisis comparta de forma indebida información confidencial de los consumidores”, afirmó Donohue, quien añadió que “compartirán los resultados adicionales a medida que estén disponibles y tomarán las medidas necesarias para salvaguardar la seguridad y la privacidad de los datos de los consumidores”.
Según Donohue, los visitantes que rellenaron información sanitaria en el sitio web podrían haber sido objeto de seguimiento durante más de un año, dado que la campaña de LinkedIn comenzó en febrero de 2024.
CalMatters observó los rastreadores directamente en febrero y marzo de este año. Confirmó el día 21 de abril que la mayoría de los rastreadores publicitarios, incluido el rastreador pixel de Meta, así como todas las cookies de terceros, habían sido eliminados del sitio web.
Desde 2014, más de 50 millones de estadounidenses se han inscrito en un seguro médico a través de mercados estatales como Covered California. Estos se crearon en virtud de la Ley de Asistencia Asequible, promulgada por el entonces presidente Barack Obama hace 15 años. Los estados pueden gestionar sus sitios web de intercambio en colaboración con el gobierno federal o de forma independiente, como hace California.
Covered California opera como una entidad independiente dentro del gobierno estatal. Su junta directiva es nombrada por el gobernador y la Asamblea Legislativa.
En marzo, Covered California anunció que, tras cuatro años de aumento de las inscripciones, casi dos millones de personas estaban cubiertas por un seguro médico a través del programa, lo que supone un récord. En total, según la organización, aproximadamente uno de cada seis californianos se inscribió a través de Covered California en algún momento. Entre 2014 y 2023, la tasa de personas sin seguro médico se redujo del 17.2 % al 6.4 %, según la organización, lo que supone la mayor caída de todos los estados durante ese periodo. Esto coincidió con una serie de ampliaciones de los requisitos de acceso a Medi-Cal, el programa de seguro médico estatal para hogares con bajos ingresos.
Los expertos expresaron su alarma ante la posibilidad de que esos millones de personas hubieran enviado datos sanitarios sensibles a una empresa privada sin su conocimiento ni consentimiento. Sara Geoghegan, asesora jurídica principal del Electronic Privacy Information Center, dijo que era “preocupante e invasivo” que un sitio web de seguros médicos enviara datos que eran “totalmente irrelevantes” para los fines de una empresa con ánimo de lucro como LinkedIn.
“Es lamentable” —dijo— “porque la gente no espera que su información médica sea recopilada y utilizada de esta manera”.
La etiqueta Insight de LinkedIn
En los últimos meses, CalMatters y The Markup han buscado rastreadores en cientos de sitios web del gobierno del estado y de los condados de California que ofrecen servicios a inmigrantes indocumentados utilizando Blacklight, una herramienta automatizada desarrollada por The Markup para auditar los rastreadores de los sitios web.
CalMatters descubrió que Covered California tenía más de 60 rastreadores en su sitio web. De los más de 200 sitios web gubernamentales examinados, el número medio de rastreadores era de tres. Covered California tenía docenas más que cualquier otro sitio web que examinamos.
En coveredca.com, rastreadores de conocidas empresas de redes sociales como Meta recopilaron información sobre las páginas visitadas por los usuarios, mientras que empresas de análisis y campañas mediáticas menos conocidas, como la empresa de marketing por correo electrónico LiveIntent, también siguieron a los usuarios por todo el sitio web.
Sin embargo, la información más sensible se transmitía sobre todo a LinkedIn.
Aunque algunos de los datos enviados a LinkedIn eran relativamente inocuos, como las páginas visitadas, Covered California también enviaba a la empresa información detallada cuando los visitantes seleccionaban médicos para ver si estaban cubiertos por un plan, incluida su especialización. El sitio web también informaba a LinkedIn si alguien buscaba un hospital específico.
Además de la información demográfica, como el género, el sitio también compartía detalles con LinkedIn cuando los visitantes seleccionaban su origen étnico y su estado civil, y cuando indicaban a coveredca.com con qué frecuencia acudían al médico para someterse a una cirugía o recibir tratamiento ambulatorio.
LinkedIn, al igual que otras grandes empresas de redes sociales, ofrece a los sitios web una forma de transmitir fácilmente datos sobre sus visitantes a través de una herramienta de seguimiento que los sitios pueden colocar en sus páginas. En el caso de LinkedIn, esta herramienta se llama Insight Tag. Al utilizar la etiqueta, las empresas y otras organizaciones pueden posteriormente dirigir anuncios en LinkedIn a los consumidores que ya han mostrado interés en sus productos o servicios. En el caso de un sitio de comercio electrónico, un rastreador en una página podría detectar cuándo alguien añade un producto a su carrito, y la empresa podría enviar anuncios de ese producto a la misma persona en sus redes sociales.
Un mercado de atención médica como Covered California podría utilizar los rastreadores para llegar a un grupo de personas que podrían estar interesadas en recibir un recordatorio de la fecha límite para inscribirse en un seguro médico, por ejemplo.
En su comunicado, Covered California señaló la utilidad de estas herramientas y afirmó que la organización “aprovecha las herramientas de la plataforma publicitaria de LinkedIn para comprender el comportamiento de los consumidores y enviarles mensajes personalizados que les ayuden a tomar decisiones informadas sobre sus opciones de atención médica”.
Los rastreadores también pueden ser valiosos para las empresas de redes sociales que los ofrecen. Además de impulsar las ventas de anuncios, brindan la oportunidad de recopilar información sobre los visitantes de sitios web distintos al suyo.
En su página informativa sobre Insight Tag, LinkedIn advierte a los sitios web que utilizan la etiqueta que no lo hagan en situaciones de riesgo. La página aconseja no instalar la etiqueta en páginas que recopilen o contengan datos confidenciales, incluyendo “páginas que ofrezcan a los consumidores servicios o productos específicos relacionados con la salud o las finanzas”.
La portavoz de LinkedIn, Brionna Ruff, dijo en una declaración enviada por correo electrónico: “Nuestro Acuerdo publicitario y nuestra documentación prohíben expresamente a los clientes instalar la etiqueta Insight en páginas web que recopilen o contengan datos sensibles, incluidas las páginas que ofrecen servicios relacionados con la salud. No permitimos a los anunciantes orientar los anuncios basándose en datos o categorías sensibles”.
Recurso legal
La recolección de información sensible por parte de los rastreadores de redes sociales ha dado lugar en casos anteriores a la eliminación de los rastreadores, a demandas judiciales y al escrutinio de los legisladores estatales y federales.
Por ejemplo, después de que The Markup revelara en 2022 que el Departamento de Educación enviaba información personal a Facebook cuando los estudiantes solicitaban ayuda financiera para la universidad a través internet, el departamento desactivó el intercambio, se enfrentó a preguntas de dos miembros del Congreso y fue demandado por dos grupos de defensa que buscaban más información sobre el intercambio. Otras historias de la misma serie sobre rastreadores, conocida como Pixel Hunt, también provocaron cambios y reacciones, incluida una campaña de la Comisión Federal de Comercio contra las empresas de telesalud que transmitían información personal a empresas como Meta y Google sin el consentimiento de los usuarios, y se propusieron demandas colectivas por la información compartida a través de rastreadores con farmacias, proveedores de salud y empresas de preparación de impuestos.
LinkedIn ya se enfrenta a múltiples demandas colectivas relacionadas con la recolección de información médica. En octubre, tres nuevas demandas en los tribunales de California alegaron que LinkedIn violó la privacidad de los usuarios al recolectar información sobre citas médicas, incluidas las de una clínica de fertilidad.
Las prácticas de rastreo de las empresas de redes sociales han sustentado el enorme crecimiento de la industria tecnológica, pero pocos usuarios de internet son conscientes de hasta dónde llega el rastreo. “Esto contradice totalmente las expectativas del consumidor medio”, dijo Geoghegan.
En California, una ley denominada California Confidentiality of Medical Information Act regula la privacidad de la información médica en el estado. En virtud de esta ley, los consumidores deben dar su permiso a algunas organizaciones antes de que su información médica sea revelada a terceros. Las empresas se han enfrentado a litigios en virtud de esta ley por utilizar tecnologías de seguimiento web, aunque esas demandas no siempre han tenido éxito.
Geoghegan afirmó que las protecciones actuales como estas no son suficientes para ayudar a los consumidores a proteger sus datos confidenciales.
“Este es un ejemplo claro de por qué necesitamos mejores protecciones”, dijo en referencia a la recepción de datos por parte de LinkedIn. “Se trata de información sanitaria sensible que los consumidores esperan que se proteja y la falta de regulaciones nos está fallando”.
