Resumen

  • Passport dejaba entrar en sitios participantes con una sola cuenta. Según la denuncia de la FTC, Microsoft conservaba por un tiempo limitado un registro identificable de los sitios visitados mediante ese acceso y de las fechas y horas de entrada; atención al cliente podía asociarlo con un nombre.
  • La política de privacidad detallaba otros datos, pero omitía ese historial, sostuvo la FTC. Microsoft aceptó una orden que exigió información veraz, un programa escrito de seguridad y revisiones independientes.

La llave única abría un segundo fichero

Passport llegó en octubre de 1999 con una propuesta fácil de entender: menos cuentas dispersas, una entrada común. La comodidad tenía una consecuencia técnica. Cada acceso a un sitio participante pasaba por un servicio capaz de reconocer el evento. La denuncia final de la FTC de diciembre de 2002 afirma que Microsoft guardaba durante un período limitado los nombres de los sitios en los que cada usuario iniciaba sesión y las fechas y horas correspondientes. Personal de atención podía vincular ese registro con el nombre del titular al responder a una consulta.

La política de privacidad sí contaba muchas cosas. Describía la información de registro, un número exclusivo por cuenta, datos de funcionamiento y cookies temporales que se borraban al salir. La FTC sostuvo que no contaba la existencia del fichero de accesos sitio por sitio. Una lista extensa de datos divulgados puede parecer exhaustiva; aquí dejaba fuera precisamente la información que el punto de entrada común permitía reunir. El registro abarcaba los inicios de sesión en sitios participantes.

La misma denuncia trató además las promesas de seguridad de Passport, las afirmaciones de Passport Wallet y los controles de Kids Passport. La cuestión del historial expone algo más básico que una frase de marketing: qué registro produjo realmente el sistema y quién pudo recuperarlo. Un servicio central de identidad no solo simplificaba contraseñas. También hacía posible juntar eventos que, para el usuario, parecían repartidos entre páginas distintas.

La orden puso nombres y tareas a la seguridad

Microsoft anunció un acuerdo en agosto de 2002 y habló de formalizar, documentar y someter a auditoría independiente los procedimientos de Passport. La orden definitiva de diciembre prohibió tergiversar la recogida, el uso o la divulgación de información personal. También exigió un programa de seguridad por escrito: responsables identificados, evaluación de riesgos, salvaguardas, pruebas, ajustes y evaluación independiente. Incluyó servicios de autenticación de múltiples sitios similares a Passport.

La FTC formuló cargos en su denuncia y Microsoft aceptó la orden sin admitir los hechos discutidos. El efecto exigible estaba en las tareas: explicar con precisión qué se recoge y construir un proceso que pueda examinarse. Una insignia de privacidad en la página no sustituía la descripción del fichero que el servicio utilizaba.

Fuentes originales