Que los usuarios sean conscientes del valor económico de sus datos personales, como parece prometer Aura, supone un gran salto pedagógico favorecedor de la privacidad en el uso de los servicios de Internet. De esta manera, un usuario podrá conocer el precio real que está pagando por usar servicios aparentemente gratuitos y prestar de manera más consciente su consentimiento al aceptar sus condiciones de uso.

Sin embargo, una vez que el usuario ha aceptado ceder sus datos personales a un proveedor de servicios, debería dar un paso más allá para mejorar el control efectivo de su privacidad. Está muy bien que el usuario sepa qué datos personales son susceptibles de cesión y qué valor económico tienen, pero es necesario que pueda controlar el uso real que se está haciendo de ellos. Dicho de otra manera, es necesario que pueda tener la garantía de que las aplicaciones que utiliza no están usando sus datos personales para finalidades no conocidas o facilitándolos a terceros de forma subrepticia o fuera de su control.

Al igual que el fabricante de un coche puede, por ejemplo, trucar el software embebido en el motor de éste para que en determinadas condiciones tenga más potencia a costa de contaminar por encima de los límites permitidos, todo ello con el desconocimiento absoluto por parte del conductor, el fabricante de una cámara de videovigilancia doméstica puede introducir en su firmware el establecimiento de un canal de comunicación con un servidor pirata que capture imágenes privadas del usuario sin su conocimiento. Aunque el usuario crea que tiene bajo su control el coche o la cámara, puede que realmente no sea así. De hecho, siempre se debe partir de que existe el riesgo de que una aplicación que pueda manejar datos personales lleve a cabo actuaciones ocultas con esos datos al margen de las finalidades formalmente comunicadas a los interesados.

Por eso, en relación a una aplicación cliente (que se ejecuta en el terminal del usuario), una manera efectiva de garantizar que su funcionamiento real coincide con lo que su proveedor dice que hace, es que el software que la implemente sea abierto. Es decir, es necesario que el código fuente de la aplicación sea accesible y, por tanto, que su funcionalidad completa sea comprobable por la comunidad de desarrolladores de software, así como que la compilación de ese código fuente tenga como resultado un código objeto cuya función hash coincida con la del fichero descargable correspondiente a dicha aplicación. Un servicio que funcione completamente en redes P2P (peer to peer o extremo a extremo), es decir, sólo mediante aplicaciones cliente, y siempre que el software que las implemente sea abierto, permite conocer su funcionamiento real y garantizar así su transparencia y el control de los usuarios sobre su privacidad.

Sin embargo, por regla general resulta problemático desarrollar aplicaciones que funcionen completamente en redes P2P, ya que es frecuente la necesidad de disponer de repositorios comunes o de bases de datos cuya implementación de forma distribuida resulta compleja, siendo más fácil de realizar en servidores controlados por el proveedor del servicio. En estos casos, es necesario que el software que corre en los servidores del proveedor, si no es abierto, sea al menos auditable, aunque ello no garantizaría que el proveedor no pueda conmutar ese software por otro oculto una vez finalizada la auditoría. Una manera de paliar esta debilidad consistiría en reducir al mínimo la funcionalidad requerida del software ejecutado en servidores en lo que respecta al tratamiento de datos personales y/o definirla mediante protocolos estándar, de forma que pudiera ser implementada por diversos proveedores, como ocurre con los servicios de correo electrónico o de acceso web.

Los servicios basados en aplicaciones de código abierto tienen a su favor la transparencia en su funcionamiento frente a las aplicaciones de código cerrado, de forma que esa característica les permite competir de forma ventajosa aun a costa de tener que evolucionar su modelo de negocio, evitándose de esta manera el riesgo de tratamiento indiscriminado de datos personales fuera del control por parte de sus titulares.