Mostrando entradas con la etiqueta consentimiento. Mostrar todas las entradas
Mostrando entradas con la etiqueta consentimiento. Mostrar todas las entradas

jueves, 6 de junio de 2013

Aviso de cookies III: el idioma




Como es sabido, el artículo 22.2 de la LSSI obliga a los prestadores sometidos a esta ley a que faciliten a los usuarios "información clara y completa" sobre la utilización de los dispositivos de almacenamiento y recuperación de datos que pretenden usarse (caso de las cookies) y, en particular, sobre los fines del tratamiento de los datos que vayan a recabarse, con arreglo a lo dispuesto en la LOPD. 

Es decir, de un lado, esta información debe ser puesta a disposición del usuario que accede a esa página web, de manera que el contenido de tal información pueda ser entendido por el usuario, cumpliendo así con esa obligación de claridad exigida por la norma. Y, de otro lado, debe tratarse de información "completa", requisito éste respecto del cual la Guía de Cookies afirma que "la información sobre las cookies facilitada en el momento de solicitar el consentimiento debe ser suficientemente completa para permitir a los usuarios entender la finalidad para las que se instalaron y conocer los usos que se les darán".

Las referencias a la claridad reabren un viejo debate sobre el uso de diferentes idiomas y lenguas, algunas de ellas incluso co-oficiales en un mismo territorio, puesto que al encontrarnos en la esfera de la obtención de un consentimiento informado, el efectivo entendimiento (que no comprensión) de la información mostrada, resulta esencial para poder afirmar la validez del consentimiento prestado, de conformidad con la legislación española en materia de consumidores y de protección de datos.

Huelga decir que desde un punto de vista estrictamente legal, el uso del idioma propio es una práctica perfectamente lícita a la vista de los artículos 2 a 4 de la LSSI (y los correspondientes en la Directiva). Sin embargo, no podemos negar que, de nuevo ahora con el aviso de cookies, vuelven a plantearse los mismos interrogantes acerca de la validez del consentimiento prestado por el usuario. Si buscamos algunos ejemplos que ilustren lo que aqui se pretende exponer, podemos encontrar los siguientes:


Resulta innegable que no es fácil encontrar una solución a este problema. Algunos no dudan en acogerse al hecho por el cual, según ellos, el usuario puede traducir ese aviso a través de traductores online. Pero si el argumento que se ha empleado desde el origen de este tema ha sido el de proteger al usuario de internet ante interrupciones de su navegación, no creo que sea defendible. Y tampoco hace falta que nos vayamos tan lejos. Pronto encontraremos avisos de cookies en Euskera o Catalán, en páginas web dirigidas exclusivamente a ese territorio. Quizás entonces retomaremos este debate, aunque habrá dejado de ser un problema de la industria, para pasar a serlo de los consumidores.

miércoles, 5 de junio de 2013

Aviso de cookies II: ¿aceptación obligatoria?


"en caso contrario no acepte esta ventana y cese la visita al sitio web"

A la vista de la actual regulación en materia de uso de cookies, por todos es sabido que existen una serie de obligaciones que deben ser ejecutadas por los prestadores de servicios que cumplan con los requisitos recogidos en el artículo 22.2 de la LSSI, entre las cuales está la de la obtención del consentimiento del usuario con carácter previo a la instalación de determinadas cookies en su navegador.

La razón de ser de esta obligación estriba, precisamente, en la de mejorar el funcionamiento del comercio electrónico, de manera que el uso de este tipo de herramientas se haga de una manera respetuosa con los derechos del usuario, en particular -y así lo menciona expresamente la denominada "guía de cookies"-, el de su privacidad. Y es por eso, precisamente, por lo que el legislador impone al prestador de servicios una obligación de información, con carácter previo a la prestación del consentimiento del usuario, en cuanto a la recogida, almacenamiento y comercialización de aquella información que pueda obtenerse gracias al uso de cookies durante la navegación de ese usuario.

Partiendo de esta base, ¿tendría sentido que el uso de cookies se utilizase para restringir el acceso de los usuarios a determinadas páginas web en aquellas circunstancias en las que el usuario no aceptase, total o parcialmente, la instalación de unas determinadas cookies? De ser así, ¿no estaríamos convirtiendo a las cookies, y, en particular, a su preceptiva aceptación, en una obligación para el usuario, contraviniendo así los principios básicos del comercio electrónico y de la libertad de navegación?

En relación a esta cuestión, debe destacarse el apartado viii de la Guía de Cookies, titulado "posibilidad de denegación de acceso al servicio en caso de rechazo a las cookies", el cual es del siguiente tenor literal: 

Podrán existir supuestos en los que la no aceptación de la instalación de cookies impida la utilización total o parcial del servicio, siempre que se informe adecuadamente al respecto al usuario. No obstante, no podrá denegarse el acceso al servicio en caso de rechazo a las cookies, en aquellos supuestos en que tal denegación impida el ejercicio de un derecho legalmente reconocido al usuario, por ser el acceso a dicha página web sea el único medio facilitado al usuario para ejercitar tal derecho. (Ejemplo, la baja en un servicio telefónico, de acceso a Internet o de otro tipo).

Es decir, dicho apartado (y a salvo la excepción relativa al ejercicio de derechos legalmente reconocidos al usuario) parece contemplar la posibilidad de que, en determinados supuestos, el rechazo a la instalación de cookies por parte de los usuarios permita al prestador del servicio denegarles el acceso a su página web, lo que de facto, estaría convirtiendo al consentimiento del usuario, no en una obligación del empresario a informar adecuadamente al usuario sobre lo que se está haciendo con su privacidad, sino en un auténtico derecho de admisión online de los prestadores de servicios a su página web.

En otros ámbitos, esta posibilidad ha sido igualmente recogida, aunque con una justificación más concreta, esto es, en aquel supuesto en el que desde un punto de vista eminentemente técnico, la aceptación de determinadas cookies puede resultar fundamental para la efectiva prestación del servicio de un modo adecuado. Este podría ser el caso contemplado en el artículo 31.2 del Código de Confianza Online, en el cual se indica que "[...] se avisará de forma clara cuándo queda imposibilitado el acceso o la utilización de un servicio interactivo por ser necesario el envío e instalación de cookies u otros dispositivos o técnicas similares en el terminal del usuario".

Fuera de estos supuestos, el derecho de admisión, que viene regulado en distintos reglamentos de policía de espectáculos públicos y actividades recreativas, tiene una clara finalidad de satisfacer unas necesidades concretas en el mundo físico, especialmente de seguridad. Y, a pesar de ello, las normas imponen una serie de límites, en el sentido de obligar a que se informe adecuadamente sobre en qué supuestos puede ejercerse este derecho de admisión, que en ningún caso podrá dar lugar a situaciones de discriminación.

Pero viendo el redactado de la guía de cookies, puede llevarnos a reflexionar sobre la verdadera naturaleza jurídica de las páginas web, y de si esas pueden considerarse, a estos efectos, como auténticas tiendas o negocios virtuales, cuyo acceso puede ser libremente restringido por su titular. Es decir, cuando abro una página web en Internet dirigida al público en general, ¿tienen los usuarios derecho a poder acceder a ella libremente, o puede su titular obligarles a cumplir con exigencias y requisitos adicionales, de manera que quien no las cumpla vea su acceso impedido? El ejemplo más reciente lo tenemos en la verificación a través de captchas, donde el usuario que no validase su identidad humana vería restringido su derecho de acceso a ese servicio.

Algunos opinarán que el uso de captchas, u otros sistemas similares, están justificados por cumplir un objetivo lícito, como es el de la verificación de la naturaleza humana del usuario al objeto de prevenir, incluso, prácticas desleales por parte de terceras empresas. Sin embargo, ¿encontraríamos justificación en el caso de que el acceso a una página web se viera condicionada a la aceptación de simples cookies publicitarias, cuyo uso no afecta a la prestación del servicio al que pretendemos acceder? Espero que no.

martes, 4 de junio de 2013

Avisos de cookies I: la información por capas




Es de sobra conocida la problemática que existe en relación a la obligación de obtención del consentimiento previo informado del usuario que, tras la última modificación de la LSSI (en vigor desde el 1 de abril de 2012), se ha impuesto a los prestadores de servicios online que quieran emplear cookies.

A modo de recordatorio, esta nueva obligación viene recogida en el actual artículo 22.2 de la LSSI (redactado por el artículo 4.3 del Real Decreto Ley 13/2012, de 30 de marzo), que comienza diciendo que "los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal".

El concepto de consentimiento previo informado y la obtención efectiva del mismo por parte del prestador del servicio, incluye dos elementos clave a la hora de cumplir, en la práctica, la obligación legal que encierra el artículo antes transcrito, y que son, de un lado, la manera en que se ofrece al usuario la información previa que se le debe facilitar de conformidad con la Ley; y, de otro lado, cómo obtener efectivamente el consentimiento de dicho usuario respecto a la instalación de aquellas cookies cuyo uso quede incluido dentro del ámbito de aplicación de la norma.

En España (a diferencia de otros países), las dudas interpretativas del citado artículo han sido un primer inconveniente a la hora de aplicar, en la práctica, un sistema válido de cumplimiento de esta nueva obligación, lo que ha llevado a la publicación de una guía orientativa que pretende clarificar el alcance de tal obligación, e identificar soluciones válidas en la práctica a la hora de obtener dicho consentimiento previo informado.

Pues bien, en relación a este extremo, la solución más extendida en otros países de nuestro entorno ha sido la de obtener ese consentimiento en dos fases. Así, en un primer momento (o "capa") al usuario que accede a una página web se le muestra un aviso informativo (en formato banner, pop-up o similar), en el que se le advierte de la intención de instalarle cookies. Además, en ese mismo aviso se le solicita el consentimiento que autorice dicha instalación y el posterior uso de la información recabada, facilitándole un acceso a una política de privacidad, o similar, (segunda fase o "capa"), en la que se le informa con mayor detalle sobre el resto de aspectos relacionados con dicho uso de cookies .

Este sistema ha sido validado en la citada Guía de Cookies a través de lo que se denomina "información por capas", donde se recomienda al prestador de servicios que opte por esta solución de información por capas, a que incluya una serie de información en el aviso informativo que vaya a mostrarse al usuario que accede por primera vez a esa página. Dicho aviso deberá contener:

- Una advertencia del uso de cookies que se instalan al navegar por dicha página o al utilizar el servicio solicitado, siempre y cuando, por la naturaleza de las mismas, queden exceptuadas del ámbito de aplicación de la Guía.

- Identificación de las finalidades de las cookies que se instalan, además de información sobre si la instalación y uso de las cookies se llevará a cabo únicamente por el editor responsable de la web ("first party cookies"), o también por terceros asociados a él ("third party cookies").

- En su caso, advertencia al usuario de que si se realiza una determinada acción (pe. un click, un scroll down, etc), se entenderá que el usuario acepta el uso de las cookies en las condiciones indicadas.

- Un enlace a una segunda capa informativa (pe. una política de cookies específica) en la que se incluya una información más detallada. 

En cualquier caso, la información indicada deberá facilitarse a través de un formato que sea visible para el usuario y que deberá mantenerse hasta que el usuario realice la acción (ese click o ese scroll down, por ejemplo), requerida para la prestación válida del consentimiento.

Como ejemplo válido que las páginas web pueden utilizar a la hora de incluir dicha información obligatoria, la Guía recomienda un formato de aviso, siempre y cuando incluya el contenido siguiente, y -evidentemente- se cumplan las condiciones ahí indicadas:

Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarle publicidad relacionada con sus preferencias mediante el análisis de sus hábitos de navegación. Si continua navegando, consideramos que acepta su uso. Puede cambiar la configuración u obtener más información aquí.

Algunos de los retos que plantea esta solución de información por capas los encontraremos, tanto en el efectivo cumplimiento de las obligaciones respecto del contenido del aviso (pe. en relación a la finalidad, o en la veracidad respecto del verdadero responsable de la instalación de cookies), como en la efectiva visibilidad del mismo dentro de la página web en la que se muestre dicho aviso (para que el usuario medio perciba, con claridad, su localización y contenido). En relación a este punto, debemos tener en cuenta algunos elementos que pueden afectar negativamente a dicho requisito de visibilidad, y que pueden ir desde la falta de identificación del aviso (pe. por razones de su formato o diseño), hasta la imposible lectura o comprensión de su contenido como consecuencia del tamaño de la letra, su contraste o su nitidez, o, incluso, por el idioma utilizado.

Aunque tomado de una web extranjera, una muestra de aviso de cookies que, de conformidad con lo establecido en la Guía de Cookies, resultaría insuficiente si se tratase de una web sometida a la normativa española, sería el siguiente:



Como se observa a simple vista, se trata de un aviso que sí parece cumplir con las obligaciones de visibilidad que se exige en la mencionada Guía (especialmente gracias a su localización en pantalla y al  contraste empleado), y que podría servir de ejemplo para páginas españolas en cuanto a formato, pero no en contenido. Como puede verse, el aviso realiza una simple remisión a la política de cookies de la página web, obviando el resto de información que se considera necesaria para concluir que el consentimiento prestado por el usuario es, como exige la Guía de Cookies, suficiente, previo e informado.





lunes, 22 de octubre de 2012

El concepto legal de "comunicación publicitaria" en la protección de datos



Tras la Resolución emitida por la Agencia Española de Protección de Datos el año pasado (Expediente número E/3044/2011), recientemente ha sido publicada una nueva Resolución (E/00181/2012) en un asunto similar. Ambas resoluciones se resolvían en el mismo sentido, esto es, acordando el archivo de las actuaciones. Los procedimientos de los que traen causa dichas Resoluciones se iniciaron mediante sendas denuncias presentadas por un particular contra la empresa Orange, a la que se acusaba de haber enviado publicidad inconsentida por correo ordinario, puesto que los reclamantes afirmaban no haber autorizado a tal compañía a tratar sus datos con finalidades publicitarias

Las comunicaciones controvertidas consistían en un tríptico en el que se invita al usuario a renovar su terminal móvil, a través del canje de puntos contenido en un programa al que se inscriben automáticamente todos los clientes de Orange. En el documento remitido al cliente, se incluyen referencias como las siguientes:

- "En Orange somos los únicos en ofrecerte, como cliente de tarjeta, puntos Orange para que consigas el móvil que quieras".

- "Y recuerda, para conseguir tu móvil nuevo debes realizar previamente una recarga de 10€ a 50€, en función del móvil que elijas".

- "Oferta válida para clientes del Servicio de telefonía móvil prepago particulares (...)".

También figura información de tres modelos de terminales móviles y los puntos e importe necesarios para su adquisición.


Foto: Alberto Paredes (@AlbParedesPhoto). www.albertoparedes.com


Ante los actos denunciados, la Agencia Española analiza los supuestos de hecho a la luz de los artículos 4 (principio de calidad de datos) y 6 (principio del consentimiento) de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), concluyendo que la utilización de los datos personales del cliente/denunciante se ha realizado, en este caso, de manera acorde a la legislación apicable. La Resolución de la Agencia afirma lo siguiente:

"Las comunicaciones denunciadas se enmarcan en el ámbito de la relación contractual mantenida entre Orange y su cliente, motivo por el cual, de conformidad con lo previsto en el artículo 6 de la LOPD, la operadora no precisa del consentimiento del afectado para el tratamiento de sus datos personales cuando éste se vincula al mantenimiento o cumplimiento del contrato suscrito entre ambas partes. Asimismo, la operadora ha de cumplir el principio de calidad de los datos recogidos en el artículo 4 de la LOPD a fin de que los datos personales obrantes en sus ficheros estén actualizados y sean exactos, obedeciendo a dicho requisito la solicitud de comprobación que de los mismos se efectuaba en uno de los escritos denunciados".

Ahora bien, lo destacable de este asunto es el hecho según el cual la Agencia concluye, como argumento principal para acordar el archivo de las actuaciones, que "los escritos denunciados no son de naturaleza comercial o publicitaria". En efecto, la autoridad sostiene que las comunicaciones recibidas por el denunciante no tenían carácter publicitario, sino que su naturaleza era meramente informativa, ya que la citada compañía de telefonía se limitaba a informar a su cliente que éste disponía de un número determinado de puntos, derivados de la utilización del servicio contratado, los cuales podían ser canjeados por uno de los móviles que aparecían en el catálogo que se adjuntaba al tríptico en cuestión, todo ello -dice la Resolución ahora analizadasin publicitar un nuevo servicio o producto.

Evidentemente, nos encontramos ante un supuesto tremendamente relevante para el Derecho de la Publicidad, por cuanto un organismo administrativo competente se manifiesta acerca de la naturaleza no comercial o publicitaria de una comunicación remitida desde una empresa hacia un cliente.

Con tal de poder analizar esta decisión, debemos remitirnos a la definición que de publicidad da la Ley General de Publicidad, cuando en su artículo 2 define tal concepto como a toda forma de comunicación realizada por una persona física o jurídica, pública o privada, en el ejercicio de una actividad comercial, industrial, artesanal o profesional, con el fin de promover de forma directa o indirecta la contratación de bienes muebles o inmuebles, servicios, derechos y obligaciones.

De los requisitos contenidos en tal artículo se desprende que para poder considerar a una comunicación como publicitaria, debemos atender necesariamente a su eventual finalidad promocional. Y, en este caso, discrepo de la AEPD en cuanto a la consideración como informativa de lo que parece una comunicación claramente comercial, aunque en ella sí se inserte información necesaria para el cumplimiento del contrato. Me explico:

En primer lugar, y aunque a efectos meramente indiciarios, el propio documento -un tríptico remitido por correo ordinario-, se presenta en un formato propio de las comunicaciones comerciales.

En cuanto al contenido, bien es cierto que se comunica al cliente una serie de información, pero no puede negarse que tal comunicación tiene un objetivo comercial, por cuanto, desde mi punto de vista, sí concurre la finalidad promocional a la que se refiere el artículo 2 de la LGP. De un lado, no en vano el conocido por "programa de puntos" es una actividad eminentemente promocional, en cuanto oferta dirigida a lograr la fidelización del cliente, con independencia de que el usuario haya decidido -o no- formar parte de dicho programa específico de la empresa con la que contrata. De otro lado, las propias expresiones empleadas, tales cómo "en Orange somos los únicos en ofrecerte [...]" o "y recuerda, para conseguir tu móvil nuevo debes realizar previamente una recarga de 10€ a 50€, en función del móvil que elijas" denotan un claro fin comercial, consistente en lograr una mayor permanencia del cliente. Además, aunque parezca anecdótico, incluso la propia Agencia parece confundirse en este caso, y parece llegar a reconocer que estamos ante un verdadero envío de publicidad, cuando en uno de sus párrafos, en particular aquel en el que se remite a la Resolución E/3044/2011, dice que los hechos denunciados eran semejantes a los que nos ocupan -el envío de publicidad del Programa de Puntos Orange al denunciante y titular de una línea prepago que había solicitado no recibir publicidad-.

Por último, tampoco el argumento de que la comunicación denunciada "no publicita un nuevo servicio o producto" parece ser suficiente para poder sustentar la naturaleza no comercial (informativa) de aquélla, pues, como hemos visto en la definición legal, la caracterización de una comunicación como publicitaria viene definida por su finalidad promocional, que en este caso consiste en el deseo de la compañía de mantener al cliente actual, al que se le ofrece la posibilidad de cambiar de terminal móvil en unas condiciones más beneficiosas. De ahí que se incluyan imágenes (opino que con finalidades promocionales) de una serie de teléfonos móviles a los que el usuario puede acceder mediante el canje de sus puntos y, posiblemente, tras el pago de una cantidad adicional por el terminal; pero seguro a través de una recarga previa.

Lo cierto es que, en este caso, la AEPD podría haber resuelto este caso en el mismo sentido que lo ha hecho, alegando que dicho envío era, en palabras de la propia Agencia, "fruto del desenvolvimiento de la relación contractual". De este modo, no habría hecho falta entrar a analizar la naturaleza publicitaria de esa comunicación. Sin embargo, lo ha hecho. Creo que siempre es bueno que la Administración define y delimite el alcance de los conceptos jurídicos más problemáticas, pues eso siempre favorece a la seguridad jurídica. Ojalá lo hubiesen hecho también con el concepto "comunicación electrónica equivalente" a la hora de regular el spam. Sin embargo, el pronunciamiento de la Agencia en este caso me parece controvertido, pues si bien declara una comunicación como informativa y, por tanto, no publicitaria a efectos jurídicos, no establece los requisitos que debe cumplir una comunicación para poder ser declarada como tal, de manera que deberemos analizar los futuros supuestos caso por caso.

La calificación de una comunicación como comercial o como informativa no es sencilla. Sin embargo, sus implicaciones en uno u otro caso, son tremendamente importantes y relevantes, pues abre la puerta a que las compañías anunciantes puedan dirigirse a sus clientes a través de comunicaciones, siempre y cuando se acredite la naturaleza informativa y no comercial de aquéllas, hecho éste que habrá que valorar caso a caso. Sin ir más lejos, en un caso como el que nos ocupa, una afirmación como la sostenida por la AEPD sitúa en una plano de absoluta licitud (recordemos que no se desestima la reclamación, sino que se decreta el archivo de actuaciones) un acto que podría haber sido un supuesto claramente ilícito y duramente sancionado, y que en el caso de que se hubiera tratado de una comunicación online llevaría aparejadas, además- unas consecuencias aún mayores.

Se reconoce expresamente, por tanto, que las empresas de las que somos clientes nos envíen todo tipo de comunicaciones aún a pesar de habernos opuesto expresamente a ello; eso sí, siempre y cuando no tengan naturaleza promocional ni se refieran a nuevos productos o servicios.

lunes, 1 de octubre de 2012

Primera infracción por no usar el icono en publicidad comportamental



La empresa KIA ha sido la primera compañía en ser descubierta y advertida por llevar a cabo publicidad comportamental online sin insertar, en la publicidad mostrada a los usuarios, el icono desarrollado por la propia por la industria publicitaria online norteamericana, que es precisamente el único signo que permite identificar que dicha publicidad aparece durante la navegación del usuario como consecuencia del rastreo y análisis de su navegación, dirigidos a identificar una serie de presumibles intereses derivados de aquélla.




La idea de la creación de un icono para insertar en la publicidad basada en los intereses del usuario fue una iniciativa desarrollada originariamente desde Estados Unidos, cuya industria acordó comprometerse "voluntariamente" a la inclusión de un signo que permitiera al destinatario de esa publicidad identificar fácilmente que la aparición de ese anuncio concreto era fruto del rastreo de su navegación y, de este modo, se entendiera cumplido el requisito de información exigido por los compromisos adquiridos dentro del sistema de autorregulación de la industria de ese país, en forma de códigos deontológicos.

El éxito de la creación de ese icono es indiscutible, y a finales de septiembre de 2012 se alcanzó la cifra de dos mil millones de iconos servidos cada día, hito éste que ha conseguido que la presencia de dicho icono en la publicidad display sea ya algo habitual, y que los usuarios comiencen a tener un mayor conocimiento de las implicaciones de su presencia en la publicidad online.

Además, a través de ese icono se ofrece al usuario la posibilidad de gestionar su deseo de dejar de ser rastreado por las compañías que operan en Internet (opt-out), lo que si bien no impedirá seguir recibiendo publicidad online, sí que -en teoría- la publicidad que reciba no irá ligada a los intereses que se puedan deducir de su navegación anterior. También en Europa se ha desarrollado un sistema similar, si bien las implicaciones que tiene el icono en Estados Unidos no alcanzan a cumplir con la obligación de información al usuario que exige la normativa europea en la materia, por lo que se está valorando la necesidad de reforzar ese aspecto informativo con una serie de medidas adicionales que aseguren un estricto cumplimiento de la normativa en esta materia y, por consiguiente, una debida protección de los consumidores online.

De hecho, en el pasado Digital Law World Congress celebrado en Barcelona, se abordó esta cuestión, y el Director Adjunto de la Agencia Española de Protección de Datos se refirió a la imposibilidad de aceptar la implantación de un icono como el norteamericano en Europa, argumentando que, de momento, la gran mayoría de los usuarios no conocen el significado ni las implicaciones de la aparición de ese icono en los banners que se muestran durante la navegación, por lo que no puede aceptarse que tal inserción pueda sustituir a la obligación de obtención del consentimiento previo informado exigido por la actual normativa relativa al uso de cookies. Sin embargo, no descartó que en un futuro pueda plantearse la validez de un sistema como el planteado, siempre y cuando pueda acreditarse que la gran mayoría de los usuarios identifican con claridad qué es y por que aparece ese icono en la publicidad que se muestra durante la navegación.




Siguiendo con el tema que nos ocupa, uno de los principales problemas que presenta el sistema del icono es el de poder garantizar que aquellas empresas involucradas en publicidad comportamental utilizan adecuadamente ese icono y desvelan con claridad que sirven publicidad basada en los intereses del usuario. Y que una vez se descubra que una de las empresas adheridas al sistema no cumple con tales extremos, obligarle a hacerlo e, incluso, sancionarla. A estos efectos, la industria norteamericana ha desarrollado un comité de auditoría que vela por que tal obligación se cumpla, y ha sido precisamente esta comisión la que ha descubierto que, a pesar del rastreo al que KIA y sus proveedores de servicios someten a los usuarios de Internet, se omitía de su publicidad el mencionado icono, contraviniendo de este modo las obligaciones asumidas en los códigos de autorregulación de los cual forma parte tal compañía.


martes, 25 de septiembre de 2012

Cookies y publicidad: el consentimiento previo (II)




A día de hoy, la interpretación generalizada de la regulación de las cookies, en base a lo dispuesto en el actual artículo 22.2 de la LSSI, es la de reconocer la licitud de su utilización, siempre que se cumplan una serie de requisitos por parte de los prestadores de servicios, consistentes básicamente en la obtención previa del consentimiento informado del destinatario de esos servicios.

En efecto, el citado artículo parece referirse a la instalación de dispositivos específicos en los terminales de los usuarios, y su posterior uso:

Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

A la vista de este artículo de la LSSI española, la primera observación que salta a la mente es la de identificar  quién se refiere la ley cuando habla de "prestadores de servicios". El Anexo la LSSI los define como toda "persona física o jurídica que proporciona un servicio de la sociedad de la información".  ¿Se refiere, entonces, el artículo 22.2, a la página web en la que te instalarán las cookies cuando accedas a ella? ¿al ad network que te las instalará? ¿al anunciante que las usará? ¿a todos ellos?

A continuación, podemos observar que la norma distingue entre dispositivos de "almacenamiento" y dispositivos "de recuperación de datos", dentro de lo que considera como dispositivos autorizados. Sin embargo, de una lectura detenida del mismo puede surgir la duda acerca de si el concepto "en equipos terminales de los destinatarios" se está refiriendo a los "dispositivos" o a los "datos". La distinción es fundamental, ya que dependiendo de la interpretación que se dé a ese extremo, el enfoque con el que abordar este asunto será completamente diferente.



 Foto: Alberto Paredes (@AlbParedesPhoto). www.albertoparedes.com


Para ello, podemos acudir a la redacción del nuevo artículo 22.2 de la LSSI, el cual trae causa -como sabemos- de la última modificación de la Directiva 2009/136/CE, que modifica la conocida como e-Directiva. En particular, de la modificación de su artículo 5.3, cuya nueva redacción es del siguiente tenor literal:

Los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un abonado o usuario, a condición de que dicho abonado o usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE.

Al contraponer ambas redacciones, nos daremos cuenta fácilmente de que el artículo 5.3 de la Directiva no hace mención alguna al uso de dispositivos ni a su eventual instalación en el terminal del usuario, sino que se refiere a la licitud del acceso al terminal del usuario o al almacenamiento de información en dicho terminal, pero no necesariamente a través de la instalación de dispositivo alguno.

La creencia de lo contrario parece provenir de lo que señala el Considerando 66 de la Directiva, en la que se incluye una referencia a las cookies como herramientas, en principio, de lícita utilización. Sin embargo, vemos como tampoco dicho Considerando incluye mención alguna a la necesidad de instalación de dispositivos en los terminales, sino que la referencia a las cookies se hace como finalidad legítima de dicho acceso, dentro del reconocimiento de la licitud de su utilización en determinadas circunstacias. Tal referencia dice:

Puede que haya terceros que deseen almacenar información sobre el equipo de un usuario o acceder a información ya almacenada, con distintos fines, que van desde los fines legítimos (como algunos tipos de cookies) hasta aquellos que suponen una intrusión injustificada en la esfera privada (como los programas espía o los virus). Resulta, por tanto, capital que los usuarios reciban una información clara y completa cuando realicen una acción que pueda dar lugar a dicho almacenamiento u obtención de acceso.

En el caso del Considerando 66 de la Directiva, llama la atención que la primera línea haga referencia al deseo de terceros de almacenar información "sobre" el equipo de un usuario, pues la versión en inglés parece querer referirse a la intención de realizar ese almacenamiento "en" el equipo del usuario:

Third parties may wish to store information on the equipment of a user, or gain access to information already stored, for a number of purposes, ranging from the legitimate (such as certain types of cookies) to those involving unwarranted intrusion into the private sphere (such as spyware or viruses).

Pues bien, más allá de lo que pueda parecer un simple error de traducción, sigue sin quedar claro si la prohibición de la norma es la de instalar dispositivos (pe. cookies) en el terminal de los usuarios, o la de acceder al terminal de ese usuario de alguna manera, con alguna de las finalidades antes señaladas (almacenamiento u acceso a información ya almacenada).

Aunque aparentemente irrelevante, esta reflexión nos lleva al análisis del requisito clave en todo este asunto, como es el de la necesidad de obtener el consentimiento previo e informado de los usuarios afectados. Cosa distinta será la reflexión acerca de la validez de ese consentimiento, teniendo en cuenta que, en principio, se parte de la base del anonimato del usuario del terminal concreto. En este sentido, debemos tener presente que el objeto de ese consentimiento debe ser concreto y determinado y que, en este caso, es distinto el solicitar consentimiento para instalar cookies que solicitarlo para acceder a información almacenada en el terminal afectado. Bien es cierto que, a día de hoy, este tipo de acceso se fudamenta, básicamente, en la tecnología de cookies. Sin embargo, nada obsta a que el acceso a la informacion almacenada en un terminal pudiera tener lugar a través de otras herramientas e-tags, web beacons, flash cookies, digital fingerprinting, etc...), las cuales, incluso, puedan llegar, ni tan siquiera, a instalarse en los terminales.

En tal caso, nos podríamos encontrar ante una discrepancia importante entre lo dispuesto por la Directiva y lo establecido en la LSSI española. Es decir, la redacción de la Directiva es, a mi juicio, acertada, por cuanto el objeto jurídico a proteger es el acceso inconsentido (por cualquier medio) a información que, de alguna manera, pueda estar almacenada en el terminal del usuario. O dicho con otras palabras, se protege la decisión del usuario de permitir, o prohibir, a un tercero que acceda, en la forma que sea, a su terminal. De ahí la necesidad de obtener el consentimiento previo informado del usuario afectado. Por el contrario, el artículo 22.2 de la LSSI, más que el propio acceso en sí, parece regular la instalación y uso de dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios (pe. cookies), olvidando aparentemente la protección del verdadero deseo del usuario en relación a la protección de su privacidad online. En tal caso, esta última interpretación podría llevarnos a concluir que quedarían excluidas de una presumible ilicitud a aquellas situaciones en las que se accede inconsentidamente a la información almacenada en el terminal del usuario cuando dicho acceso se produce a través de un dispositivo que no se instala en dicho terminal, cosa que, a la vista del espíritu de la Directiva, parecería inaceptable.