Las conversaciones permitieron encontrar fácilmente a la persona afectada y a su pareja, además de conocer sus hábitos y horarios

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea permite solicitar a un consumidor los datos que tiene una empresa sobre él. Un usuario alemán de Amazon, amparándose en dicha ley, recibió en un zip de 100MiB unos 50 archivos con sus búsquedas e información privada, además de 1.700 ficheros de audio junto con transcripciones, a pesar de que nunca había usado Alexa.

El usuario intentó hablar con Amazon, pero al no recibir respuesta contactó con la revista c’t Magazine para buscar a la persona que aparecía en las grabaciones que recibió. A pesar de que durante este tiempo Amazon borró el enlace para descargar el zip (tal vez al darse cuenta del error), ya se había realizado una copia de seguridad, lo que permitió continuar la investigación.

Gracias a la grabaciones, la revista pudo obtener un perfil de la persona que aparecía un ellas. No fue complicado, ya que aparecía nombres de transportes públicos que utilizaba, personas con las que hablaba, sus nombres, sus trabajos, gustos musicales… También se escuchaba en las grabaciones a la víctima hablar con su novia, a la que se llega a oír cómo se ducha en uno de los audios.

Tras conocer a la víctima y hablar con ella a través de Twitter, el medio contactó también con Amazon para exponer los hechos, pero sin revelar que habían descubierto a la persona afectada. Finalmente, la empresa respondió a los 3 días, asegurando que había llamado a las personas involucradas para explicarles que todo había sido debido a un error humano, y que iban a tomar medidas para que algo así no volviese a suceder.

Amazon se negó a responder preguntas a la prensa, pero aseguró que fueron conscientes del fallo por sí mismos. Esto plantea un posible problema legal en Europa para Amazon, ya que la nueva ley (GDPR) obliga a las empresas a notificar este tipo de incidencias a las 72 horas de descubrirse. Si lo sucedido se hubiese ocultado, podría estar obliga a pagar hasta 20 millones (o el 4% de su facturación) por haber incumplido la ley.

Fuente:

Alexa, Who Has Access to My Data?
https://www.heise.de/downloads/18/2/5/6/5/3/9/6/ct.0119.016-018_engl.pdf