Oura reconoce solicitudes de datos por parte de gobiernos, pero enfrenta dudas sobre su publicación
El fabricante finlandés de anillos inteligentes Oura ha confirmado por primera vez de manera oficial que recibe solicitudes de datos de usuarios por parte de gobiernos. La empresa lo expuso la semana pasada en una respuesta enviada a la publicación hermana de TechCrunch, This Week in Security. Sin embargo, queda por aclarar si la empresa publicará esas solicitudes en un informe numérico de transparencia.
Oura es conocida por su producto de anillo inteligente que recoge datos biométricos. Los anillos, utilizados para el seguimiento de métricas de salud y sueño, recopilan de forma continua la temperatura corporal, la frecuencia cardiaca, el nivel de oxígeno en sangre, el movimiento y los patrones de sueño. La base de usuarios global de la empresa supera los 2,5 millones.
En respuesta a las preguntas de This Week in Security, una portavoz de Oura declaró: 'Nuestra empresa tiene la obligación de responder a las solicitudes de datos formuladas en los marcos legales aplicables. En este proceso, mantener la privacidad y los derechos de los usuarios al más alto nivel es nuestra prioridad.' La portavoz, sin embargo, no compartió datos específicos sobre el número de solicitudes recibidas ni sobre cuántas fueron aprobadas.
La política de privacidad de la empresa ya incluía antes la mención de que 'el intercambio de datos puede producirse en virtud de un proceso legal aplicable', pero no había confirmación explícita de que se hubieran recibido efectivamente solicitudes gubernamentales. La declaración de Oura esta semana es su primera declaración abierta.
El tema surgió tras la noticia de la presentación de OPV de Oura. La empresa presentó su solicitud de OPV ante la SEC el 22 de mayo, con una valoración esperada de 6.000 millones de dólares. Los documentos presentados ante la SEC enumeran las políticas de datos de usuarios entre los factores de riesgo.
La portavoz de la Electronic Frontier Foundation (EFF) Eva Galperin calificó la divulgación de 'paso importante', y añadió: 'Pero la transparencia real exige una declaración numérica. Apple, Google, Meta, Twitter: todos los grandes actores del sector publican informes semestrales con el número de solicitudes gubernamentales y sus tasas de cumplimiento. Oura debería adoptar el mismo estándar.'
Esta práctica sectorial se desarrolló paralelamente al movimiento de los 'informes de transparencia' del periodo 2010-2014. Google había publicado su primer informe de transparencia en 2010; Apple, Microsoft y Meta siguieron en años posteriores. Estos informes semestrales incluyen, por país de la solicitud gubernamental, el número de solicitudes recibidas, el número de solicitudes de retirada de contenidos y las tasas de cumplimiento.
Lo llamativo de la situación específica de Oura es el carácter sanitario-biométrico de los datos que recoge. Los patrones de sueño, la variabilidad de la frecuencia cardiaca y los datos de temperatura corporal contienen información más sensible que los metadatos de comunicación ordinarios. El profesor de Informática Sanitaria de la Yale School of Medicine, Dr. Karandeep Singh, declaró: 'Los datos biométricos permiten hacer inferencias sobre el estado médico de una persona; se trata de una categoría que, jurídica y éticamente, debe protegerse con estándares superiores.'
En los marcos de protección de datos de EE. UU. y la UE, los datos biométricos se encuadran en 'categorías especiales'. El artículo 9 del Reglamento General de Protección de Datos europeo (RGPD) somete el tratamiento de datos biométricos a un consentimiento específico. En EE. UU. no existe una ley federal de datos biométricos; las regulaciones a nivel estatal (como la BIPA de Illinois) varían.
Se esperan divulgaciones más completas de Oura sobre privacidad antes de la salida a bolsa. Los inversores obtendrán información más detallada tras la presentación del documento S-1 en el proceso de la SEC. Este artículo es información general; se recomiendan fuentes independientes para las decisiones individuales sobre privacidad de datos.