Privacy no es security: la trampa del inglés tecnológico que sí importa

Una app anuncia con orgullo "Your data is secure", y te relajas pensando: "Genial, entonces también es private". Pero esas son dos promesas distintas. Una empresa puede encerrar tus datos tras muros fuertes (security) y aun así compartirlos con docenas de otras empresas (nada de privacy). Ambas palabras se sienten como la misma reassurance cálida, y por eso justamente se mezclan.

Usar bien estas palabras no es solo quisquillosería. La diferencia decide si "we protect your data" significa de verdad "no los venderemos" o solo significa "los de afuera no pueden entrar". Esas son promesas muy distintas.

Aquí va una forma simple de mantenerlas separadas el resto de tu vida: la security es sobre la puerta, la privacy es sobre la lista de invitados. La security pregunta: "¿Pueden entrar las personas equivocadas?" La privacy pregunta: "De los que sí pueden entrar, ¿qué pueden hacer con lo que ven?" Dos preguntas distintas, dos respuestas distintas, y una empresa puede aprobar una mientras suspende la otra.

Respuesta rápida

La security trata de la protección frente a ataques y accesos no autorizados: mantener fuera a los intrusos. La privacy trata de quién puede ver o usar tus datos y para qué, incluida la propia empresa. Puedes tener security fuerte y privacy débil al mismo tiempo. La security guarda la puerta; la privacy decide a quién se invita dentro y qué puede hacer con lo que encuentre.

Palabras clave

• Security. Protección frente a ataques, robo y acceso no autorizado. Cerraduras, contraseñas, defensas. La pregunta que responde: ¿pueden entrar las personas equivocadas?
• Privacy. Control sobre quién ve o usa tu información y por qué, incluida la gente que legítimamente la posee. La pregunta: ¿quién puede mirar, y qué puede hacer con ella?
• Confidential. Pensado para compartirse solo con personas concretas y autorizadas. Un documento confidential no es para los ojos de todos.
• Anonymous. Sin un nombre adjunto; sin identidad revelada. No puedes ser vinculado de vuelta a los datos.
• Encrypted. Codificado de modo que solo quien tenga la clave correcta pueda leerlo. Protección en tránsito o en almacenamiento.
• Personal data(datos personales). Información que se relaciona con una persona identificable. Las reglas de privacy suelen preocuparse sobre todo por esta categoría, porque puede vincularse de vuelta a alguien.
• Consent(consentimiento). Tu acuerdo para que los datos se usen de cierta manera. Una idea de privacy: trata del permiso, no de la protección. Security fuerte sin consent sigue siendo un problema de privacy.

Trampas comunes

Una trampa común es tratar privacy y security como sinónimos. Se solapan, pero responden preguntas distintas. La security mantiene fuera a las personas no autorizadas. La privacy controla qué pueden hacer con tus datos las personas autorizadas, incluida la propia empresa. Un servicio puede ser muy seguro y aun así entregar tu información a los anunciantes. Eso es buena security y mala privacy. Lo contrario también puede pasar: un servicio podría prometer no compartir tus datos (buenas intenciones de privacy) pero protegerlos débilmente (mala security).

Así que cuando un producto dice "we keep your data secure", fíjate en lo que no dice. Calla sobre si la propia empresa usa o comparte tus datos. "Secure" no es una promesa de privacy.

Confidential se confunde con ambas. Confidential significa "compartir solo con personas autorizadas". Está más cerca de la privacy (quién puede verlo) pero enmarcado en torno a la restricción. Llamar a algo "confidential" no dice nada sobre qué tan bien está protegido técnicamente.

Anonymous se exagera mucho. Mucha gente supone que "anonymous" significa "totalmente imposible de rastrear para siempre". En la práctica, datos supuestamente anónimos a veces pueden re-vincularse a una persona al combinarse con otra información. "Anonymous" y "private" no son lo mismo: anonymous significa que no hay nombre adjunto; private significa que el acceso está controlado. Puedes tener datos con tu nombre que se mantienen privados, y datos sin nombre que se comparten ampliamente.

La trampa más peligrosa es suponer que encrypted significa automáticamente private. El cifrado codifica los datos para que los de afuera no puedan leerlos sin una clave, eso es una medida de security. Pero la empresa que tiene la clave a menudo todavía puede leerlos, usarlos y compartirlos. "Encrypted" te dice sobre la protección frente a los de afuera, no sobre qué hace la propia empresa con el contenido. El cifrado es maravilloso, pero no es una garantía de privacy por sí solo.

La palabra consent es donde mucha gente deja de pensar demasiado pronto. Suponen que si los datos están bien protegidos, sus deseos han sido respetados. Pero protección y permiso son cosas separadas. Un servicio puede guardar tus datos impecablemente y aun así usarlos de formas que nunca aceptaste. "We keep it safe" no es lo mismo que "we only use it the way you allowed". Cuando veas promesas fuertes sobre seguridad, busca por separado promesas sobre el consent: ¿qué aceptaste de verdad, y para qué propósito?

Ayuda hacer una prueba mental rápida con cualquier afirmación tranquilizadora. Pregunta: ¿esta frase trata de mantener fuera a los intrusos, o de controlar qué hacen los de dentro? "Encrypted", "secure" y "protected" casi siempre responden lo primero. "We don't sell your data", "only with your consent" y "we delete it after thirty days" responden lo segundo. Una promesa confiable suele necesitar las dos mitades. Si una declaración solo habla de cerraduras y nunca del uso, ese silencio es el mensaje.

Ejemplos naturales y forzados

Forzado: Your data is secure, so of course it's completely private.

Natural: Your data is secure from outsiders; how we use it is a separate question.

Menos natural: It's encrypted, which means no one, including the company, can ever use it.

Mejor: It's encrypted, so outsiders can't read it, though the company may still access it.

Forzado: This is anonymous, so it can never be traced to anyone.

Natural: This is anonymous, meaning no name is attached, though it might still be re-linked in some cases.

Forzado: We keep your messages confidential, so they're technically unbreakable.

Natural: We keep your messages confidential, meaning only authorized people may see them.

Menos natural: We protect your data, so we'd never use it without asking.

Mejor: We protect your data, and we only use it with your consent.

La versión "mejor" añade la mitad que falta: protección (security) y permiso (consent y privacy) quedan ambos enunciados, así la promesa es completa en lugar de contada a medias.

Mini tabla

Práctica rápida

Para cada afirmación, nombra el hueco (lo que NO promete). Siguen las respuestas.

1. "Your data is secure." What is left unsaid?
2. "It's encrypted." What might still happen?
3. "This survey is anonymous." What is the caution?
4. "These files are confidential." What does this not tell you?
5. "We protect your privacy." What does this not by itself promise?

Respuestas posibles:

1. No dice nada sobre si la empresa usa o comparte tus datos (privacy).
2. La empresa que tiene la clave aún puede leerlos, usarlos o compartirlos.
3. Aún pueden re-vincularse a personas al combinarse con otros datos.
4. No dice qué tan fuerte es la protección técnica de los archivos.
5. No garantiza una protección fuerte frente a atacantes externos (security).

Conclusión

La privacy y la security se sienten como la misma promesa reconfortante, pero guardan cosas distintas. La security mantiene fuera a los intrusos; la privacy controla qué pueden hacer con tus datos los de dentro, incluida la empresa. El cifrado es una cerradura contra los de afuera, no un voto de privacy. Anonymous significa sin nombre, no imposible de rastrear. Cuando leas una línea tranquilizadora como "secure and protected", pregunta qué promesa se está haciendo de verdad, y cuál falta en silencio. Ese único hábito te hará a la vez un lector más claro de la escritura tecnológica y una persona más difícil de engañar.