El futuro de la privacidad y su regulación a nivel mundial

En fecha 19 de marzo de 2012 se celebró -simultáneamente en Bruselas y en Washington- la Conferencia Europea sobre Privacidad y Protección de Datos Personales, en la cual los representantes de la Unión Europa (entre otros la Vicepresidente de la Comisión Europea Viviane Reding), y de los Estados Unidos (entre los que se encontraban el Secretario de Comercio John Brison y la Comisaria de la Federal Trade Commission, Julie Brill), pusieron en común sus posturas en relación a cuál debe ser el futuro de la regulación de la privacidad y cómo afectará dicha regulación a las relaciones entre ambos continentes.

El momento histórico de dicho encuentro no podía ser más acertado, como lo demuestra el hecho de que, de un lado la Unión Europea hiciese público -en fecha 25 de enero de 2012- un borrador de propuesta de Reglamento sobre protección de datos de carácter personal, a través del cual se ofreciese una regulación unitaria a dicha materia para todo el territorio comunitario. Mientras que, de otro lado, el 23 de febrero de 2012 los Estados Unidos desvelaron su nueva política de privacidad, que tiene igualmente por objeto el de lograr una regulación completa y, asimismo, unificada para todo el territorio norteamericano en aspectos relacionados con los derechos de los usuarios de Internet y la protección de su privacidad online.

Foto Alberto Paredes (@AlbParedesPhoto)

No hay duda de que la situación óptima, en lo que se refiere a la regulación de la privacidad de los usuarios y la protección de sus datos personales, pasa por lograr un consenso lo más amplio posible entre los distintos estados y territorios del planeta. En efecto, la extraterritorialidad de las normas se ha convertido en unos de los mayores lastres al desarrollo de Internet. De este modo, los principales agentes y algunas de las mayores plataformas de Internet se han amparado en las normas que rigen en su lugar de origen para evitar tener que cumplir las normas de protección de los consumidores de aquellos territorios a los que, efectivamente, dirigían sus servicios. Y esta situación, si bien situaba a dichos agentes en una posición ventajosa de efectiva impunidad en la práctica, lo que en definitiva ha conseguido es potenciar, hasta llegar a niveles preocupantes y peligrosos para el desarrollo del comercio electrónico, el grado de desconfianza del usuario en el propio sistema. Y el comercio electrónico, sin la confianza de los usuarios, no puede sostenerse.

Con este encuentro bilateral se consigue poner sobre la mesa el mútuo compromiso tanto de la Unión Europea como de los Estados Unidos a la hora de enfocar las correspondientes reformas de sus respectivos sistemas de protección de la privacidad, así como el interés de ambas partes para lograr una regulación basada en similares principios y que, además, ofrezca herramientas eficaces a la hora de hacer cumplir las respectivas normas en un escenario de interoperabilidad y cooperación.

El reto es ambicioso e ilusionante. Imaginemos un escenario donde todos los países que componen la Unión Europea se vean sometidos a una misma regulación sobre protección de datos personales. De un lado, ello otorgaría de una amplia seguridad jurídica a los estados miembros que la compongan, pues todos dispondrían de una única y homogenea regulación. Y, de otro lado, aquellas plataformas y otros servicios originarios de Estados Unidos pero con interés en implantarse en el mercado comunitario, sabrían que existe una regulación estándar, consistente y unificada en todo el entorno europeo, lo que les permitiría cumplir, de un modo sencillo, la normativa europea relativa a esta materia, y no 27 diferentes regulaciones, lo que hasta el momento ha sido un claro obstáculo a estos efectos.

Creo que resulta enormemente representativa la nota de prensa publicada desde la Comisión Europea en relación al encuentro de hoy:

"Both parties are committed to working together and with other international partners to create mutual recognition frameworks that protect privacy. Both parties consider that standards in the area of personal data protection should facilitate the free flow of information, goods and services across borders. Both parties recognize that while regulatory regimes may differ between the US and Europe, the common principles at the heart of both systems, now re-affirmed by the developments in the US, provide a basis for advancing their dialog to resolve shared privacy challenges. This mutual interest shows there is added value for the enhanced EU-U.S.-dialogue launched with today's data protection conference".

De un lado, el acuerdo de puerto seguro suscrito entre la Unión Europa y los Estados Unidos (safe harbour) para operaciones comerciales, parece haber sido la semilla que ha permitido llegar a este acuerdo de colaboración futura, gracias al cual se pueden acercar las normativas europea y norteamericana en materia de protección de datos personales.

Por otro lado, la experiencia de la Federal Trade Commission norteamericana en los aspectos relacionados a hacer cumplir la normativa en materia de privacidad en el medio online, es innegable. La resolución de los conflictos con Facebook y con Google relacionadas con sus políticas de privacidad y el uso de los datos de sus usuarios, y su sometimiento a una auditoría independiente (con las dudas que siempre plantea el concepto "independiente") han sido tremendamente relevantes en el desarrollo de Internet en general y el comercio electrónico en particular.

Así pues, en aras de lograr esta necesaria cooperación internacional de exigencia de cumplimiento de las normas relativas a la privacidad, el organismo norteamericano se compromete a colaborar para lograr una efectiva interoperabilidad normativa al objeto de conseguir una vía efectiva de protección cuando usuarios europeos utilicen plataformas norteamericanas o servicios ofrecidos por ellas, partiendo de la positiva experiencia obtenida -a su juicio- con el desarrollo de códigos de conducta vinculantes tales como el Global Privacy Enforcement Network (GPEN) o con la Cross-border Privacy Enforcement Arrangement (APEC), en virtud de los cuales se podía lograr una adecuada protección legal transfronteriza en materia de privacidad.

En el caso que ahora nos ocupa, la postura con la que concluye la FTC es la siguiente:

"The privacy frameworks being developed in both the US and the EU feature codes of conduct for industry to follow. As a 20-year plus veteran of law enforcement, my instinctual reaction to codes of conduct is this: meaningful enforcement mechanisms are critical in order for a code of conduct to be worth the paper it is written on, or the screen or smartphone you’re reading it on".

A la vista de las declaraciones de ambas partes, no queda duda de las buenas intenciones que manifiestan en cuanto al fondo del asunto. Ahora queda lograr que se pongan de acuerdo en la forma. Pero desde luego que, si lo consiguen, el panorama legal en Internet va a sufrir un importante y positivo cambio.

La prohibición de registro de una marca por ir contra las buenas costumbres

El 24 de junio de 2009 el fabricante del aguardiente comercializado bajo la denominación "hijoputa" presentó una solicitud de registro de marca figurativa comunitaria ante la Oficina de Armonización del Mercado Interior (OAMI), consistente en la palabra "hijoputa" junto a la expresión asturiana "¡Que bueno ye!" (¡Que bueno es!).

Tras su denegación inicial de registro y el consiguiente recurso, éste fue desestimado por la OAMI al considerar que la marca solicitada incurría en un motivo de denegación absoluto al ser -a su juicio- contraria al orden público o a las buenas costumbres.

El motivo de denegación aducido por la OAMI se corresponde, en la Ley de Marcas española, con el artículo 5.1.f), según el cual "no podrán registrarse como marca los signos siguientes: [...] f. Los que sean contrarios a la Ley, al orden público o a las buenas costumbres".

Es evidente la dificultad que plantea el determinar cuándo una expresión es contraria a las buenas costumbres, especialmente teniendo en cuenta que la moral y las costumbres son conceptos en constante evolución, que dependen del momento histórico en el que nos encontremos, así como del territorio geográfico en el que lo apliquemos. De este modo, el enjuiciamiento de este caso se ve afectado por un alto grado de subjetividad a la hora de interpretar el signo objeto de análisis.

En este sentido, la Ley marcaria no prohibe el registro de insultos o palabras malsonantes, pues de haber sido así no habrían podido registrarse, como marcas comunitarias, otros signos que sí han accedido al registro y que contienen las expresiones "de puta madre", "reputa", "cabrón" o "bastardo". Tampoco en este caso, hubiéramos podido aceptar el registro, como marca nacional, de signos como el de la pimienta de Canarias "puta la madre"; "ole tus cojones" para vino; o los conocidos espárragos "cojonudos". Y, del mismo modo, tampoco cabría el registro, como nombre de dominio de términos iguales o similares.

¿Y cómo enjuiciamos este extremo? Pues la propia Jurisprudencia del Tribunal de Justicia Europeo señala que el examen del carácter contrario al orden público o a las buenas costumbres de un signo debe realizarse tomando en cuenta la percepción de ese signo por parte del público destinatario en la Unión o en una parte de la Unión, pudiendo consistir esa parte en un concreto Estado miembro.

En este caso, en relación con el concepto de "público pertinente" que sirve para valorar este motivo de denegación absoluto, la Sala de Recurso consideró que las normas de moral pública que se han de tomar en consideración son las generalmente reconocidas en España, porque la marca está formada por expresiones españolas. Así pues, con tal de poder determinar la licitud del signo controvertido conforme a la referida norma, ésta debe analizarse desde la perspectiva del consumidor español, entendiendo por éste a una persona razonable, con unos umbrales medios de sensibilidad y tolerancia; y no sobre la base de una parte del público a la que no ofende nada ni tampoco respecto de aquella que se ofenda con gran facilidad.

De este modo, si tras realizar este examen, concluimos que un consumidor español percibirá ese signo como ofensivo o contrario a las buenas costumbres, entonces debería denegarse el registro del mismo como marca.

En cuanto a este punto, lo que más llama la atención es que entre los miembros del tribunal que enjuiciaba el caso no hubiera ningún español que conociera las costumbres del lugar (la Sala la componían un austriaco, un danés y una maltesa), lo que llevó a fundamentar su decisión en la interpretación literal que de la definición de hijoputa encontramos en el diccionario de la RAE (1. vulg. Mala persona. Insulto).

Es evidente que la búsqueda de un insulto en el diccionario de cualquier país nos llevará ineludiblemente a concluir -de inicio- que estamos frente a una expresión que en el lenguaje común es, por su propia naturaleza, indudablemente ofensiva. Así lo sostuvo el Tribunal, quien señaló que: "el término controvertido se percibe claramente como un insulto en el lenguaje común. Salvo que concurran circunstancias especiales, posee la capacidad intrínseca de ofender a cualquier persona normal que lo perciba y comprenda su sentido. Habida cuenta de este significado, es razonable pensar que el consumidor medio de los productos objeto de la solicitud de marca, representativo de una moralidad pública alejada de los extremos, percibirá principalmente la expresión controvertida como gravemente ofensiva y por ende moralmente reprochable".

La duda en cuanto este punto consistía en determinar si el «público relevante» percibirá el término controvertido como peyorativo o, por el contrario, lo hará como un término jocoso. En efecto, existen contextos y circunstancias muy específicas en los que la capacidad hiriente de la expresión se ha banalizado o incluso transformado, pudiendo llevar incluso a considerar que el signo tiene una connotación cariñosa cuando es pronunciada iocandi gratia. No obstante, el Tribunal consideró que el contexto aludido por el recurrente "no resulta representativo del que se corresponde con el consumidor medio español de los productos y servicios a los que se refiere la solicitud, sino que, por el contrario, resulta parte de una jerga utilizada por un círculo minoritario de personas, probablemente poco o nada sensibles a este tipo de expresiones".

También el hecho de que el término "hijoputa" apareciera de un modo destacado en el cuerpo de la propia marca incidió en el sentido de la decisión adoptada. Por lo tanto, el Tribunal concluye que el término «hijoputa» contenido en la marca solicitada es percibido por el público español como contrario a las buenas costumbres en una parte de la Unión Europea, por lo que desestima el recurso y confirma la resolución de instancia que se opone al registro.

Personalmente no estoy de acuerdo con la totalidad de los fundamentos empleados en la sentencia, pues como consumidor cualificado para poder interpretar la adecuación de ese signo a las buenas costumbres, no me parece -atendiendo a las circunstancias concretas del caso- que estemos ante un supuesto de gravedad suficiente como para impedirle su acceso al registro. Pero, sin embargo, estamos ante un supuesto que debe ser analizado cuidadosamente, pues no cabe permitir que todas las marcas que identifican a una serie de productos utilicen insultos o palabras malsonantes como signo distintivo en el mercado En relación al caso que ahora nos ocupa, me pregunto: ¿hubiera sido la misma la sentencia si la parte captatoria del signo a registrar hubiese consistido en la expresión "¡Qué buenu ye!" y que la referencia a "hijoputa" fuera residual?

Una vez llegados  a este punto, ¿qué implicaciones puede tener tal resolución en el mercado a partir de ahora?

Pues teniendo en cuenta que el Tribunal General ha declarado que el signo "hijoputa" para distinguir un producto es contrario a las buenas costumbres en España, esta circunstancia podría conllevar otro tipo de consecuencias que afectasen, por ejemplo, a su distribución y etiquetado, y no sólo su mero bloqueo de acceso al registro de marcas.

En cuanto a lo segundo (considerando al etiquetado de un producto  como publicidad a efectos legales), la normativa que regula la publicidad en España no contempla un precepto idéntico al que establece la Ley de Marcas, sino que declara (art. 3 Ley General de Publicidad) ilícita a aquella publicidad que atente contra la dignidad de la persona o vulnere los valores y derechos reconocidos en la Constitución, especialmente a los que se refieren sus artículos 14, 18 y 20, apartado 4 (donde este último se refiere a la protección de la juventud y la infancia).

Sin embargo, no hay que olvidar que el código de la Cámara de Comercio Internacional en materia de marketing (aunque no vinculante para las empresas españolas), sí contempla el supuesto según el cual la publicidad deberá ser decente (art. 2), en el sentido de que "el mensaje comercial no debe contener declaraciones o presentaciones visuales o de audio que ofendan los estándares de decencia que prevalezcan en el país y cultura donde se difunda". O, en el mismo sentido, el código de publicidad de la asociación autocontrol, también prohíbe (art. 8) aquella publicidad "que contenga contenidos que atenten contra los criterios imperantes del buen gusto y decoro social, así como contra las buenas costumbres". Todo ello sin perjuicio -claro está- de otras normas aplicables al sector de las bebidas alcohólicas que pudieran resultar aplicables a este concreto caso.

En efecto, la declaración de que un acto de comercio resulta contrario a las buenas costumbres tiene un ámbito de aplicación extensivo, de manera que su carácter de ilicitud alcanzará al resto de supuestos en que ese acto (un etiquetado en este caso) se vea involucrado, y no únicamente al eventual registro de marca. De ser así, ¿resultarían igualmente aplicables los argumentos empleados por la Sentencia para impedir un eventual acceso desde España a páginas web que utilizasen este tipo de términos en un nombre de dominio, en base al artículo 8 de la LSSI?

Novedades en el proceso de regulación de la publicidad comportamental

Aunque existen numerosas definiciones de lo que debe entenderse por publicidad comportamental (Online Behavioural Advertising), la última ha sido la que ha publicado recientemente el IAB, que la considera como aquel "modelo publicitario basado en el comportamiento del consumidor para el cual una cookie recaba información anónima sobre hábitos de navegación con el fin de ofrecerle publicidad acorde a sus intereses".

En relación a la figura de la publicidad comportamental y su regulación en España, sigue sin transponerse la modificación de la Directiva sobre Privacidad en las Comunicaciones electrónicas (e-Directiva), que afecta, en lo que ahora nos ocupa, a las obligaciones que deben cumplir aquellos operadores que utilizan cookies o herramientas similares.

En efecto, el pasado mes de mayo de 2011 se difundió un Proyecto de Ley de modificación de la Ley General de Telecomunicaciones, donde se procedía a la adaptación, a nuestro ordenamiento interno, de las modificaciones exigidas por la e-Directiva. No obstante, la convocatoria de elecciones generales, unido a los intereses de diversos grupos de presión, hizo que dicha norma no viera la luz.

De todos modos, tampoco el artículo de la Directiva que se refiere a la regulación de las cookies ha estado exento de polémica, debido a su poca claridad. Esta circunstancia ha llevado a posturas encontradas en lo que respecta a la interpretación del espíritu de la norma y, por tanto, su aplicación no se ha hecho efectiva en la práctica. En relación a este extremo existe, de un lado, una postura -desarrollada por el Grupo de Trabajo del artículo 29- que considera que la intención del legislador ha sido la de instaurar un sistema de opt-in o de consentimiento expreso (o reforzado) del usuario; mientras que, de otro lado, la industria publicitaria aboga por el mantenimiento del status quo y el sistema de opt-out o de consentimiento informado, tal y como ha regido hasta la fecha.

A la vista del posible riesgo de desarrollo normativo de una práctica como la indicada, la industria publicitaria, liderada por el IAB europeo y EASA, se apresuró a desarrollar un código de buenas prácticas en el mismo sentido que ya se había hecho, con relativo éxito, en los Estados Unidos. De este modo, una eventual aceptación de esta iniciativa por parte de los organismos comunitarios hubiese evitado el farragoso proceso en el que todavía nos encontramos. Sin embargo, los organismos responsables de la protección de datos y de la privacidad han entendido que la propuesta lanzada desde la industria era insuficiente para garantizar una adecuada protección del usuario de Internet.

En este sentido, numerosa ha sido la documentación originada desde el citado Grupo de Trabajo en relación a la técnica del rastreo de la navegación del usuario, de igual modo que intensa ha sido la correspondencia cruzada entre aquél y la industria publicitaria, especialmente en relación a la calidad del consentimiento del usuario exigible a la hora de aceptar la instalación de cookies de rastreo (o tracking cookies) y del posterior uso publicitario que vaya a darse de la información obtenida mediante dicha tecnología.

La última comunicación dirigida desde dicho organismo consultivo en protección de datos a la industria introduce un nuevo elemento, consistente en una propuesta para desarrollar -conjuntamente con el W3C- un protocolo estándar de limitación del rastreo de la navegación del usuario (conocido por su denominación inglesa como do not track), en el que se asegure que el usuario, de un lado recibe de un modo adecuado información previa suficiente en relación a la instalación en su navegador de tracking cookies; y, de otro lado, se garantice que una vez el usuario haya optado por no ser rastreado, utilizando para ello las herramientas facilitadas por el propio navegador, se respete su decisión en ese sentido y no que se limite únicamente a no mostrarle publicidad comportamental.

En este sentido, el Grupo de Trabajo manifiesta, en la citada carta, que un mecanismo global de Do Not Track puede ser una manera muy efectiva de tratar con el consentimiento del usuario en relación al rastreo de su comportamiento de navegación a través de una pluralidad de páginas web ("a global DNT mechanism could be a very efficient way to deal with user consent for the tracking of their web surfing behaviour across different websites").

Adicionalmente a tales exigencias, la inclusión de un icono específico en los anuncios que los usuarios reciban durante su navegación, que haga percibir al consumidor que dicha publicidad se recibe como consecuencia de un rastreo de su navegación, junto a la existencia de una página web unificada a nivel europeo que informe a los usuarios y les permita ejercer su derecho al opt-out, son iniciativas bien recibidas por parte de dicho Grupo de Trabajo, por lo que podría llegarse a un acuerdo durante el próximo mes de junio y admitir la validez del código de buenas prácticas propuesto por la industria, siempre y cuando se respeten los mínimos indicados.

La propuesta del Grupo de Trabajo no sólo parece razonable, sino que su aplicación es posible desde un punto de vista técnico. Por lo que creo se trata de una buena oportunidad para lograr el consenso que permita, de un lado, que la industria continúe con sus actividades de rastreo de la navegación de los usuarios de un modo lícito, respetando la privacidad de los consumidores y ofreciendo una protección adecuada de los derechos de los usuarios de Internet.