Aviso de cookies III: el idioma

Como es sabido, el artículo 22.2 de la LSSI obliga a los prestadores sometidos a esta ley a que faciliten a los usuarios "información clara y completa" sobre la utilización de los dispositivos de almacenamiento y recuperación de datos que pretenden usarse (caso de las cookies) y, en particular, sobre los fines del tratamiento de los datos que vayan a recabarse, con arreglo a lo dispuesto en la LOPD. 

Es decir, de un lado, esta información debe ser puesta a disposición del usuario que accede a esa página web, de manera que el contenido de tal información pueda ser entendido por el usuario, cumpliendo así con esa obligación de claridad exigida por la norma. Y, de otro lado, debe tratarse de información "completa", requisito éste respecto del cual la Guía de Cookies afirma que "la información sobre las cookies facilitada en el momento de solicitar el consentimiento debe ser suficientemente completa para permitir a los usuarios entender la finalidad para las que se instalaron y conocer los usos que se les darán".

Las referencias a la claridad reabren un viejo debate sobre el uso de diferentes idiomas y lenguas, algunas de ellas incluso co-oficiales en un mismo territorio, puesto que al encontrarnos en la esfera de la obtención de un consentimiento informado, el efectivo entendimiento (que no comprensión) de la información mostrada, resulta esencial para poder afirmar la validez del consentimiento prestado, de conformidad con la legislación española en materia de consumidores y de protección de datos.

Huelga decir que desde un punto de vista estrictamente legal, el uso del idioma propio es una práctica perfectamente lícita a la vista de los artículos 2 a 4 de la LSSI (y los correspondientes en la Directiva). Sin embargo, no podemos negar que, de nuevo ahora con el aviso de cookies, vuelven a plantearse los mismos interrogantes acerca de la validez del consentimiento prestado por el usuario. Si buscamos algunos ejemplos que ilustren lo que aqui se pretende exponer, podemos encontrar los siguientes:

Idiomas del aviso de cookies from pacoperezbes

Resulta innegable que no es fácil encontrar una solución a este problema. Algunos no dudan en acogerse al hecho por el cual, según ellos, el usuario puede traducir ese aviso a través de traductores online. Pero si el argumento que se ha empleado desde el origen de este tema ha sido el de proteger al usuario de internet ante interrupciones de su navegación, no creo que sea defendible. Y tampoco hace falta que nos vayamos tan lejos. Pronto encontraremos avisos de cookies en Euskera o Catalán, en páginas web dirigidas exclusivamente a ese territorio. Quizás entonces retomaremos este debate, aunque habrá dejado de ser un problema de la industria, para pasar a serlo de los consumidores.

Primera infracción por no usar el icono en publicidad comportamental

La empresa KIA ha sido la primera compañía en ser descubierta y advertida por llevar a cabo publicidad comportamental online sin insertar, en la publicidad mostrada a los usuarios, el icono desarrollado por la propia por la industria publicitaria online norteamericana, que es precisamente el único signo que permite identificar que dicha publicidad aparece durante la navegación del usuario como consecuencia del rastreo y análisis de su navegación, dirigidos a identificar una serie de presumibles intereses derivados de aquélla.

La idea de la creación de un icono para insertar en la publicidad basada en los intereses del usuario fue una iniciativa desarrollada originariamente desde Estados Unidos, cuya industria acordó comprometerse "voluntariamente" a la inclusión de un signo que permitiera al destinatario de esa publicidad identificar fácilmente que la aparición de ese anuncio concreto era fruto del rastreo de su navegación y, de este modo, se entendiera cumplido el requisito de información exigido por los compromisos adquiridos dentro del sistema de autorregulación de la industria de ese país, en forma de códigos deontológicos.

El éxito de la creación de ese icono es indiscutible, y a finales de septiembre de 2012 se alcanzó la cifra de dos mil millones de iconos servidos cada día, hito éste que ha conseguido que la presencia de dicho icono en la publicidad display sea ya algo habitual, y que los usuarios comiencen a tener un mayor conocimiento de las implicaciones de su presencia en la publicidad online.

Además, a través de ese icono se ofrece al usuario la posibilidad de gestionar su deseo de dejar de ser rastreado por las compañías que operan en Internet (opt-out), lo que si bien no impedirá seguir recibiendo publicidad online, sí que -en teoría- la publicidad que reciba no irá ligada a los intereses que se puedan deducir de su navegación anterior. También en Europa se ha desarrollado un sistema similar, si bien las implicaciones que tiene el icono en Estados Unidos no alcanzan a cumplir con la obligación de información al usuario que exige la normativa europea en la materia, por lo que se está valorando la necesidad de reforzar ese aspecto informativo con una serie de medidas adicionales que aseguren un estricto cumplimiento de la normativa en esta materia y, por consiguiente, una debida protección de los consumidores online.

De hecho, en el pasado Digital Law World Congress celebrado en Barcelona, se abordó esta cuestión, y el Director Adjunto de la Agencia Española de Protección de Datos se refirió a la imposibilidad de aceptar la implantación de un icono como el norteamericano en Europa, argumentando que, de momento, la gran mayoría de los usuarios no conocen el significado ni las implicaciones de la aparición de ese icono en los banners que se muestran durante la navegación, por lo que no puede aceptarse que tal inserción pueda sustituir a la obligación de obtención del consentimiento previo informado exigido por la actual normativa relativa al uso de cookies. Sin embargo, no descartó que en un futuro pueda plantearse la validez de un sistema como el planteado, siempre y cuando pueda acreditarse que la gran mayoría de los usuarios identifican con claridad qué es y por que aparece ese icono en la publicidad que se muestra durante la navegación.

Siguiendo con el tema que nos ocupa, uno de los principales problemas que presenta el sistema del icono es el de poder garantizar que aquellas empresas involucradas en publicidad comportamental utilizan adecuadamente ese icono y desvelan con claridad que sirven publicidad basada en los intereses del usuario. Y que una vez se descubra que una de las empresas adheridas al sistema no cumple con tales extremos, obligarle a hacerlo e, incluso, sancionarla. A estos efectos, la industria norteamericana ha desarrollado un comité de auditoría que vela por que tal obligación se cumpla, y ha sido precisamente esta comisión la que ha descubierto que, a pesar del rastreo al que KIA y sus proveedores de servicios someten a los usuarios de Internet, se omitía de su publicidad el mencionado icono, contraviniendo de este modo las obligaciones asumidas en los códigos de autorregulación de los cual forma parte tal compañía.

Cookies y publicidad: el consentimiento previo (II)

A día de hoy, la interpretación generalizada de la regulación de las cookies, en base a lo dispuesto en el actual artículo 22.2 de la LSSI, es la de reconocer la licitud de su utilización, siempre que se cumplan una serie de requisitos por parte de los prestadores de servicios, consistentes básicamente en la obtención previa del consentimiento informado del destinatario de esos servicios.

En efecto, el citado artículo parece referirse a la instalación de dispositivos específicos en los terminales de los usuarios, y su posterior uso:

Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

A la vista de este artículo de la LSSI española, la primera observación que salta a la mente es la de identificar  quién se refiere la ley cuando habla de "prestadores de servicios". El Anexo la LSSI los define como toda "persona física o jurídica que proporciona un servicio de la sociedad de la información".  ¿Se refiere, entonces, el artículo 22.2, a la página web en la que te instalarán las cookies cuando accedas a ella? ¿al ad network que te las instalará? ¿al anunciante que las usará? ¿a todos ellos?

A continuación, podemos observar que la norma distingue entre dispositivos de "almacenamiento" y dispositivos "de recuperación de datos", dentro de lo que considera como dispositivos autorizados. Sin embargo, de una lectura detenida del mismo puede surgir la duda acerca de si el concepto "en equipos terminales de los destinatarios" se está refiriendo a los "dispositivos" o a los "datos". La distinción es fundamental, ya que dependiendo de la interpretación que se dé a ese extremo, el enfoque con el que abordar este asunto será completamente diferente.

 Foto: Alberto Paredes (@AlbParedesPhoto). www.albertoparedes.com

Para ello, podemos acudir a la redacción del nuevo artículo 22.2 de la LSSI, el cual trae causa -como sabemos- de la última modificación de la Directiva 2009/136/CE, que modifica la conocida como e-Directiva. En particular, de la modificación de su artículo 5.3, cuya nueva redacción es del siguiente tenor literal:

Los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un abonado o usuario, a condición de que dicho abonado o usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE.

Al contraponer ambas redacciones, nos daremos cuenta fácilmente de que el artículo 5.3 de la Directiva no hace mención alguna al uso de dispositivos ni a su eventual instalación en el terminal del usuario, sino que se refiere a la licitud del acceso al terminal del usuario o al almacenamiento de información en dicho terminal, pero no necesariamente a través de la instalación de dispositivo alguno.

La creencia de lo contrario parece provenir de lo que señala el Considerando 66 de la Directiva, en la que se incluye una referencia a las cookies como herramientas, en principio, de lícita utilización. Sin embargo, vemos como tampoco dicho Considerando incluye mención alguna a la necesidad de instalación de dispositivos en los terminales, sino que la referencia a las cookies se hace como finalidad legítima de dicho acceso, dentro del reconocimiento de la licitud de su utilización en determinadas circunstacias. Tal referencia dice:

Puede que haya terceros que deseen almacenar información sobre el equipo de un usuario o acceder a información ya almacenada, con distintos fines, que van desde los fines legítimos (como algunos tipos de cookies) hasta aquellos que suponen una intrusión injustificada en la esfera privada (como los programas espía o los virus). Resulta, por tanto, capital que los usuarios reciban una información clara y completa cuando realicen una acción que pueda dar lugar a dicho almacenamiento u obtención de acceso.

En el caso del Considerando 66 de la Directiva, llama la atención que la primera línea haga referencia al deseo de terceros de almacenar información "sobre" el equipo de un usuario, pues la versión en inglés parece querer referirse a la intención de realizar ese almacenamiento "en" el equipo del usuario:

Third parties may wish to store information on the equipment of a user, or gain access to information already stored, for a number of purposes, ranging from the legitimate (such as certain types of cookies) to those involving unwarranted intrusion into the private sphere (such as spyware or viruses).

Pues bien, más allá de lo que pueda parecer un simple error de traducción, sigue sin quedar claro si la prohibición de la norma es la de instalar dispositivos (pe. cookies) en el terminal de los usuarios, o la de acceder al terminal de ese usuario de alguna manera, con alguna de las finalidades antes señaladas (almacenamiento u acceso a información ya almacenada).

Aunque aparentemente irrelevante, esta reflexión nos lleva al análisis del requisito clave en todo este asunto, como es el de la necesidad de obtener el consentimiento previo e informado de los usuarios afectados. Cosa distinta será la reflexión acerca de la validez de ese consentimiento, teniendo en cuenta que, en principio, se parte de la base del anonimato del usuario del terminal concreto. En este sentido, debemos tener presente que el objeto de ese consentimiento debe ser concreto y determinado y que, en este caso, es distinto el solicitar consentimiento para instalar cookies que solicitarlo para acceder a información almacenada en el terminal afectado. Bien es cierto que, a día de hoy, este tipo de acceso se fudamenta, básicamente, en la tecnología de cookies. Sin embargo, nada obsta a que el acceso a la informacion almacenada en un terminal pudiera tener lugar a través de otras herramientas e-tags, web beacons, flash cookies, digital fingerprinting, etc...), las cuales, incluso, puedan llegar, ni tan siquiera, a instalarse en los terminales.

En tal caso, nos podríamos encontrar ante una discrepancia importante entre lo dispuesto por la Directiva y lo establecido en la LSSI española. Es decir, la redacción de la Directiva es, a mi juicio, acertada, por cuanto el objeto jurídico a proteger es el acceso inconsentido (por cualquier medio) a información que, de alguna manera, pueda estar almacenada en el terminal del usuario. O dicho con otras palabras, se protege la decisión del usuario de permitir, o prohibir, a un tercero que acceda, en la forma que sea, a su terminal. De ahí la necesidad de obtener el consentimiento previo informado del usuario afectado. Por el contrario, el artículo 22.2 de la LSSI, más que el propio acceso en sí, parece regular la instalación y uso de dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios (pe. cookies), olvidando aparentemente la protección del verdadero deseo del usuario en relación a la protección de su privacidad online. En tal caso, esta última interpretación podría llevarnos a concluir que quedarían excluidas de una presumible ilicitud a aquellas situaciones en las que se accede inconsentidamente a la información almacenada en el terminal del usuario cuando dicho acceso se produce a través de un dispositivo que no se instala en dicho terminal, cosa que, a la vista del espíritu de la Directiva, parecería inaceptable.

Cookies y publicidad: el consentimiento previo (I)

Casi seis meses han transcurrido ya desde la modificación del artículo 22.2 de la LSSI por el Real Decreto-ley 13/2012, de 30 de marzo, y siguen las sombras sobre este apartado en cuanto a su interpretación, en particular en lo que afecta a la publicidad comportamental online.

Como ya se sabe, la nueva redacción dada al citado artículo modifica el antiguo régimen del consentimiento (que era el de consentimiento tácito u opt-out) para aquellos casos en que se proceda a la instalación, en el terminal de un usuario, de herramientas de almacenamiento o recuperación de información de dicho terminal. Herramientas éstas que, en su práctica totalidad, a día de hoy están soportadas en tecnología de cookies.

Así, el primer párrafo del referido artículo 22.2 dispone lo siguiente:

Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Foto: Alberto Paredes (@AlbParedesPhoto). www.albertoparedes.com

De un primer análisis de esta nueva redacción pueden extraerse una serie de conclusiones, como son las de que dicha Ley autoriza el uso de cookies, aunque únicamente en aquellos casos en que el destinatario del servicio haya otorgado su consentimiento para ello, con la excepción recogida en el último párrafo del artículo 22.2 ("Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario"). Que dicho consentimiento debe ser previo a la prestación del servicio en cuestión. Y, por último, que no vale cualquier tipo de autorización, sino que la norma exige que ese consentimiento del usuario se obtenga tras habersele facilitado información suficiente acerca de la utilización de esas cookies.

También el segundo párrafo del artículo 22.2 se refiere al consentimiento del destinatario de servicios dirigido a autorizar que sus datos sean tratados. En este caso, la Ley prevé que tal consentimiento pueda obtenerse a través del propio navegador u otras aplicaciones, lo que simplificaría enormemente esta cuestión desde el punto de vista funcional. En tal caso -prosigue la Ley-, esta solución será admisible siempre que el usuario preste su consentimiento a través de una acción expresa, que deberá tener lugar durante su configuración en la correspondiente fase de instalación o actualización.

Nos encontramos, entonces, en la necesidad de encontrar un procedimiento dirigido a lograr la válida obtención de un consentimiento por parte de un usuario. Por tanto, no debemos olvidar una serie de circunstancias que inciden en dicho proceso. Así, de un lado, y siguiendo con lo mencionado anteriormente, debe tratarse de un consentimiento "informado" (la ley utiliza los términos "se le(s) haya facilitado información clara y completa sobre su utilización"). Por tanto, en este primer estadio se debe garantizar que el usuario ha recibido información clara y completa sobre cuál va a ser el funcionamiento y finalidad de esas cookies, pues de no ser de ese modo, el consentimiento prestado no podrá ser considerado válido a estos efectos.

De otro lado, estamos ante un proceso de solicitud/prestación/obtención del consentimiento de un usuario, por lo que el formato que se emplee para ello deberá, aparentemente, incorporar un grado de intensidad superior al de un simple aviso o mensaje de advertencia de los que se muestran durante la navegación del usuario.

Además, no sólo basta con la obtención del mencionado consentimiento, sino que éste deberá almacenarse debidamente por parte del responsable de su custodia con tal de poder demostrar, cuando así se le requiera, la válida obtención del mismo.

Por último, la propia naturaleza de este acto comporta la facultad de poder revocar en cualquier momento el consentimiento libremente otorgado, lo que nos puede llevar a la discusión acerca de cuál debe ser la duración de ese consentimiento. Sin embargo, considero que no existe motivo alguno que haga pensar que una vez prestado un consentimiento de estas características, éste deba ser renovado periódicamente. Antes al contrario, parece que se trata de un consentimiento que se presta indefinidamente, siempre y cuando se ofrezca permanentemente al usuario la opción de revocarlo en cualquier momento, de forma fácil y gratuita, en el mismo sentido que la regulación del consentimiento que establece la normativa sobre protección de datos.

Llegados a este punto, hay que pensar en la aplicación práctica que debe tener la solicitud de este consentimiento. Para ello, es preciso analizar, de un lado, cuál es el mensaje adecuado para poder considerar que el usuario ha prestado su consentimiento de un modo válido y cumpliendo los requisitos que exige la Ley. Y, de otro lado, los diferentes medios de que disponemos a la hora de hacer llegar ese mensaje al destinatario.

Esta primera pregunta constituye la principal duda que se está discutiendo en este momento, en particular en lo relativo al contenido y funcionamiento de una solicitud de estas características, y que es, precisamente, el punto en el que se centran las actuales conversaciones entre la Industria y la Administración competente en esta materia, que en España son la SETSI y la AGPD.

En cuanto a la segunda cuestión, hay que pensar en los diferentes tipos de terminales que hay actualmente en el mercado y sus diferentes formatos y tamaños de pantalla, con tal de poder consensuar un diseño que permita cumplir con los requisitos legales en todos ellos. Así, por ejemplo, mientras las pantallas de tablets pueden equipararse, en tamaño, a las de un PC o un ordenador portátil, encontraremos mayores dificutades cuando de un smartphone se trate. También para las smart TV van a tener que preverse este tipo de avisos, en cuanto son terminales igualmente restreables.

Desde luego que cuanto más estándar sea el formato finalmente elegido (formato y contenido, funcionamiento, lugar y duración de la aparición en pantalla de ese aviso), más facil será para la industria su inclusión y gestión, y más seguridad tendrá el usuario, quien al cabo de poco tiempo identificará con facilidad qué es y en qué consiste la advertencia que se le muestra.

No se están escatimando esfuerzos a la hora de diseñar propuestas que satisfagan a las autoridades que protegen a los usuarios en Internet, como tampoco son pocas las dudas que todavía se plantean en relación al uso que algunas empresas quieren hacer de la información que, involuntariamente y a modo de rastro, van dejando los usuarios durante su navegación. En los próximos posts analizaremos algunas de las soluciones que se han ido planteando en otros países, con tal de poder facilitar la valoración de su idoneidad.

Privacidad simplificada

Creo que coincidiréis conmigo si digo que, cada vez más, los usuarios rechazamos, con carácter general, el contenido excesivo y farragoso de los mensajes promocionales que nos dirigen las empresas, y de toda aquella información complementaria al mensaje principal. Los consumidores preferimos mensajes de venta breves y simples, especialmente en Internet. Esto no obstante, no hay que olvidar que la normativa de protección al consumidor exige a las empresas la preceptiva inclusión de una información mínima suficiente que permita a dicho consumidor tomar una decisión de compra con el debido conocimiento de causa, al objeto de protegerle de eventuales prácticas comerciales desleales por parte de la industria.

Eso ha llevado a que la publicidad siempre esté llena de advertencias (la mayoría de las cuales no son atendidas o, directamente, no son percibidas por el consumidor) que se muestran en forma de letra pequeña, scroll, remisión a condiciones aplicables, etc.

Respecto a la obligación de inserción de una información mínima obligatoria en las comunicaciones comerciales, ha sido la última modificación de la Ley de Competencia Desleal la que actualizó las obligaciones de las empresas en este sentido, haciendo un guiño a las nuevas tecnologías en cuanto la nueva redacción del artículo 7, relativo a las omisiones engañosas, incluyó la previsión siguiente: "cuando el medio de comunicación utilizado imponga limitaciones de espacio o de tiempo, para valorar la existencia de una omisión de información se tendrán en cuenta estas limitaciones y todas las medidas adoptadas por el empresario o profesional para transmitir la información necesaria por otros medios".

Si bien, con carácter general, las empresas que comercializan productos y servicios online no han sabido -desde mi punto de vista- adaptar sus formatos a las nuevas necesidades de los usuarios, algunas iniciativas han demostrado la eficacia de figuras tales como iconos o representaciones gráficas similares, en el sentido de que, por un lado, la empresa consigue eliminar de sus creatividades una gran cantidad de información que "ensucia" la publicidad, sustituyéndola por unas imágenes mucho más aceptadas y menos intrusivas para el destinatario; y, de otro lado, el consumidor destinatario de ese mensaje percibe con claridad el significado de esos mensajes, por lo que no se ve afectado el derecho a obtener información que le concede la legislación aplicable.

Ejemplos de estas iniciativas las hemos encontrado en medios tradicionales, como la televisión, en la que se han desarrollado iconos informativos tales como el signo de +18, para indicar que un contenido no es adecuado para menores de edad, o el más reciente logotipo informativo de que un programa particular tiene emplazamiento de producto o product placement, tal y como exige el artículo 17.2 de la Ley 7/2010, General de la Comunicación Audiovisual.

Fuera del medio televisivo, quizás la industria de los videojuegos haya sido la que más intensamente ha desarrollado esta solución, donde a través de sus indicadores basados en el Código PEGI, permiten mostrar rápida y claramente, la calidad de los contenidos de un videojuego, o de un juego en línea (Pegi online).

Asimismo, la iniciativa relacionada con las licencias creative commons de contenido protegido por derechos de propiedad intelectual sea el ejemplo más representativo del poder de las imágenes gráficas frente a los textos escritos, en el sentido que la inserción de un simple icono transmite al usuario una información bastante completa, sin perjuicio de que dicho logotipo enlace con otro espacio en el que se desarrollen con detenimiento otros aspectos más específicos de la concreta figura que se representa.

Recientemente, la solución consistente en emplear iconos ha sido adoptada por la industria publicitaria norteamericana (y, posiblemente, también lo será por la europea como explica el libro "la publicidad comportamental online"), a la hora de informar al destinatario de la publicidad acerca del hecho de que está recibiendo esa concreta publicidad como consecuencia de tener instalada una cookie en su navegador que rastrea su navegación y, por ende, conoce los gustos y necesidades del usuario basándose en su comportamiento online.

Llegados a este punto, podríamos preguntarnos: ¿sería posible el desarrollo de una solución de este tipo para aplicarla a los aspectos relacionados con la privacidad de las páginas webs?

Pues parece que sí, a la vista de la iniciativa desarrollada desde la universidad de Yale, donde unos estudiantes han creado una serie de iconos informativos cuya inclusión en los sitios web permitiría a sus visitantes percibir, de manera inmediata, algunas características de la página que están visitando, relacionadas con aspectos tales como:

(i) Cambios materiales: si ante eventuales cambios relevantes en las condiciones de uso de la web, por ejemplo los que afectasen a las políticas de privacidad de la web, se advertirá -o no- de ello al usuario.

(ii) Control: si los usuarios pueden tener control absoluto -o no- acerca de los datos personales  y otra información facilitados a dicha página.

(iii) Información: un icono representará si esa página usa únicamente la información necesaria para prestar el servicio solicitado por el usuario, o puede captar más información de la necesaria para ello.

(iv) Cesión de la información: el icono permitirá identificar si esa página web sólo obtiene información personal de los usuarios, limitándose estrictamente a su tratamiento para la prestación del servicio o si, por el contrario, cede los datos personales de los que dispone.

(v) Seguridad de los datos: mediante un icono determinado se expresará si los datos personales de que dispone la página web están, o no, encriptados.

(vi) Cumplimiento normativo: finalmente, un icono concreto permitirá identificar si esa página web colabora ágilmente en relación a los requerimientos que les hace llegar un tercero afectado, o si exigen el cumplimiento de los formalismos legalmente exigibles.

La iniciativa no me parece del todo mala para explorar. Desde luego, para lograr su aplicación en Europa, y más concretamente en España, habría que hacer ciertos retoques y adaptaciones que garanticen el cumplimiento de la normativa de consumo y de privacidad aplicables en nuestro entorno, pero, desde luego, bienvenidas sean propuestas como estas.

Adicionalmente, deberíamos pararnos a discutir quién gestionaría el diseño, inclusión y control de los correspondientes iconos, y quien auditaría su correcta utilización. Pero eso, es otra historia...

La publicidad comportamental online: el libro

Posiblemente estamos ante una de las más poderosas herramientas de marketing que se han desarrollado en el mundo online, y que con toda seguridad marcará un antes y después en el mundo de la publicidad en Internet. Por ello es, precisamente, el momento propicio para analizar y comprender su potencial, como paso previo a lograr una regulación adecuada de dicha figura.

Las implicaciones comerciales que tiene la figura de la publicidad comportamental son inmensas, como también lo son las implicaciones jurídicas. Efectivamente, estamos ante una técnica que permite rastrear la navegación de los usuarios durante un periodo de tiempo indefinido, y extraer, gracias al análisis de esos datos, una segmentación de perfiles en base a los cuales poder predecir los gustos e intereses de un concreto navegador (e, indirectamente, de su usuario). Se trata, pues, del origen de una publicidad mucho más interesante para su destinatario y, por tanto, más eficaz. Es el sueño de todo anunciante: una publicidad cuasi personalizada.

El equivalente en el mundo off-line sería aquel en el que una persona nos fuese siguiendo noche y día, tomando nota de que periódicos leemos, dónde trabajamos, en qué escaparates nos paramos, qué coche tenemos...y al cabo de unas semanas enviarnos publicidad relacionada con nuestros hábitos.

Si logramos que el contenido del anuncio que recibe el destinatario durante su navegación le interese, las discusiones acerca de la relevancia del formato pasarán a un segundo plano, aunque no por eso dejará de ser, en cierta manera, importante a la hora de captar la atención del usuario y, por ende, mayor será la posibilidad de influir en su fase de deliberatio; esto es, en la toma de decisión de compra del consumidor.

Me gustó mucho un artículo de opinión publicado recientemente en prensa que, aún a pesar de pasar bastante inadvertido, decía acertadamente que "un anuncio en la red es, casi siempre, un estorbo insufrible que querremos esquivar".

Pero, aún así, nos esforzamos constantemente en tratar de comunicar lo contrario, alabando los incrementos de cifras de inversión publicitaria en Internet y repitiendo lo importante que son los anuncios para sostener el desarrollo de Internet y sufragar la gratuidad de los servicios ofrecidos a través de él, cosa esta última que -por otro lado- también tiene una gran parte de verdad.

Originariamente, la publicidad en Internet había sido masiva e indiscriminada. ¿Qué hombre no recuerda aquellos correos electrónicos en los que se nos promocionaban compresas y otros tipos de productos relacionados con la higiene íntima de la mujer? Poco a poco se fue acercando cada vez más a la realidad del consumidor destinatario de la misma, gracias a la posibilidad, entre otras, de poder segmentar por perfiles de usuario a grupos de personas diferenciándolas por diferentes aspectos. Hasta llegar a un punto en el que nos hemos dado cuenta de que la publicidad es cada vez más oportuna. Incluso, a veces, hasta nos persigue. Y eso nos demuestra que nos están observando. Y lo hacen, sencillamente, porque nuestra información personal es tremendamente valiosa para los anunciantes.

En este caso, no me importa cuán valiosa pueda ser, ni cuánto vale en el mercado mi dirección o el nombre de mis amigos del colegio. De lo que estamos hablando es de la necesidad de poner límites y de proteger la privacidad de esa información, garantizando -por lo menos- el derecho del afectado a conocer que está siendo observado, quién rastrea nuestra navegación y qué quieren hacer con esa información, al fin de que -como mínimo- se le ofrezca la oportunidad de oponerse a la intrusión que supone que un desconocido instale cookies en mi ordenador para recabar información sobre mis gustos, intereses, deseos, costumbres, o -porqué no- vicios o problemas.

De ahí que estemos en un momento clave en la regulación de lo que hemos denominado como "publicidad comportamental" y que consiste, precisamente, en lograr conocer -gracias al uso de la tecnología- qué quiere o qué necesita el usuario de Internet, para así poder ir mostrándole los anuncios adecuados a lo largo de las páginas web que vaya visitando durante su sesión de navegación.

Bien es cierto que la tecnología avanza a una gran rapidez, y que las previsiones normativas no pueden seguir ese ritmo. De hecho, en lo que respecta a la cookies, su regulación en la LSSI ha sido objeto de modificación por el Real decreto-ley 13/2012, por el que se transponen a nuestro ordenamiento interno -entre otras-  la Directiva 2009/136/CE (e-Directiva) a través de la modificación de la Ley General de Telecomunicaciones, tal y como avanzó el Consejo de Ministros del viernes 30 de marzo, y cuyo plazo de transposición había expirado el pasado 25 de mayo de 2011.

Sin embargo, la nueva regulación no ofrece, con la claridad que merecen los usuarios, hasta qué punto y con qué finalidades pueden ser utilizadas lícitamente las cookies por parte de una industria ávida por conocernos más y mejor, para poder -así- vendernos cada vez más productos.

En efecto, la nueva redacción del artículo 22.2 de la LSSI, que respeta la que en su día se propuso en el borrador de anteproyecto de modificación de la Ley General de Telecomunicaciones, dice lo siguiente:

"2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento de recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lso dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto.

Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario".

Como puede observarse, la nueva redacción varía sustancialmente respecto de la antigua redacción del artículo 22.2 de la LSSI, pero sin que se haya establecido un criterio claro acerca de la necesidad de un consentimiento previo del usuario afectado, más o menos informado. El texto que ahora se sustituye por la nueva redacción era del siguiente tenor literal:

"Cuando los prestadores de servicios empleen dispositivos de almacenamiento y recuperación de datos en equipos terminales, informarán a los destinatarios de manera clara y completa sobre su utilización y finalidad, ofreciéndoles la posibilidad de rechazar el tratamiento de los datos mediante un procedimieno sencillo y gratuito. Lo anterior no impedirá el posible almacenamiento o acceso a datos con el fin de efectuar o facilitar técnicamente la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario".

Fruto de mi investigación sobre los orígenes y el desarrollo de la aplicación de la tecnología de cookies a la industria publicitaria, he publicado el libro titulado "la publicidad comportamental online", en la que analizo con mayor detalle cuál es la situación presente y futura de la regulación, tanto legal como deontológica, de esta actividad y de cuál es el camino que parece va a seguir en el futuro. Os invito a leerlo y a reflexionar sobre el tema.

Novedades en el proceso de regulación de la publicidad comportamental

Aunque existen numerosas definiciones de lo que debe entenderse por publicidad comportamental (Online Behavioural Advertising), la última ha sido la que ha publicado recientemente el IAB, que la considera como aquel "modelo publicitario basado en el comportamiento del consumidor para el cual una cookie recaba información anónima sobre hábitos de navegación con el fin de ofrecerle publicidad acorde a sus intereses".

En relación a la figura de la publicidad comportamental y su regulación en España, sigue sin transponerse la modificación de la Directiva sobre Privacidad en las Comunicaciones electrónicas (e-Directiva), que afecta, en lo que ahora nos ocupa, a las obligaciones que deben cumplir aquellos operadores que utilizan cookies o herramientas similares.

En efecto, el pasado mes de mayo de 2011 se difundió un Proyecto de Ley de modificación de la Ley General de Telecomunicaciones, donde se procedía a la adaptación, a nuestro ordenamiento interno, de las modificaciones exigidas por la e-Directiva. No obstante, la convocatoria de elecciones generales, unido a los intereses de diversos grupos de presión, hizo que dicha norma no viera la luz.

De todos modos, tampoco el artículo de la Directiva que se refiere a la regulación de las cookies ha estado exento de polémica, debido a su poca claridad. Esta circunstancia ha llevado a posturas encontradas en lo que respecta a la interpretación del espíritu de la norma y, por tanto, su aplicación no se ha hecho efectiva en la práctica. En relación a este extremo existe, de un lado, una postura -desarrollada por el Grupo de Trabajo del artículo 29- que considera que la intención del legislador ha sido la de instaurar un sistema de opt-in o de consentimiento expreso (o reforzado) del usuario; mientras que, de otro lado, la industria publicitaria aboga por el mantenimiento del status quo y el sistema de opt-out o de consentimiento informado, tal y como ha regido hasta la fecha.

A la vista del posible riesgo de desarrollo normativo de una práctica como la indicada, la industria publicitaria, liderada por el IAB europeo y EASA, se apresuró a desarrollar un código de buenas prácticas en el mismo sentido que ya se había hecho, con relativo éxito, en los Estados Unidos. De este modo, una eventual aceptación de esta iniciativa por parte de los organismos comunitarios hubiese evitado el farragoso proceso en el que todavía nos encontramos. Sin embargo, los organismos responsables de la protección de datos y de la privacidad han entendido que la propuesta lanzada desde la industria era insuficiente para garantizar una adecuada protección del usuario de Internet.

En este sentido, numerosa ha sido la documentación originada desde el citado Grupo de Trabajo en relación a la técnica del rastreo de la navegación del usuario, de igual modo que intensa ha sido la correspondencia cruzada entre aquél y la industria publicitaria, especialmente en relación a la calidad del consentimiento del usuario exigible a la hora de aceptar la instalación de cookies de rastreo (o tracking cookies) y del posterior uso publicitario que vaya a darse de la información obtenida mediante dicha tecnología.

La última comunicación dirigida desde dicho organismo consultivo en protección de datos a la industria introduce un nuevo elemento, consistente en una propuesta para desarrollar -conjuntamente con el W3C- un protocolo estándar de limitación del rastreo de la navegación del usuario (conocido por su denominación inglesa como do not track), en el que se asegure que el usuario, de un lado recibe de un modo adecuado información previa suficiente en relación a la instalación en su navegador de tracking cookies; y, de otro lado, se garantice que una vez el usuario haya optado por no ser rastreado, utilizando para ello las herramientas facilitadas por el propio navegador, se respete su decisión en ese sentido y no que se limite únicamente a no mostrarle publicidad comportamental.

En este sentido, el Grupo de Trabajo manifiesta, en la citada carta, que un mecanismo global de Do Not Track puede ser una manera muy efectiva de tratar con el consentimiento del usuario en relación al rastreo de su comportamiento de navegación a través de una pluralidad de páginas web ("a global DNT mechanism could be a very efficient way to deal with user consent for the tracking of their web surfing behaviour across different websites").

Adicionalmente a tales exigencias, la inclusión de un icono específico en los anuncios que los usuarios reciban durante su navegación, que haga percibir al consumidor que dicha publicidad se recibe como consecuencia de un rastreo de su navegación, junto a la existencia de una página web unificada a nivel europeo que informe a los usuarios y les permita ejercer su derecho al opt-out, son iniciativas bien recibidas por parte de dicho Grupo de Trabajo, por lo que podría llegarse a un acuerdo durante el próximo mes de junio y admitir la validez del código de buenas prácticas propuesto por la industria, siempre y cuando se respeten los mínimos indicados.

La propuesta del Grupo de Trabajo no sólo parece razonable, sino que su aplicación es posible desde un punto de vista técnico. Por lo que creo se trata de una buena oportunidad para lograr el consenso que permita, de un lado, que la industria continúe con sus actividades de rastreo de la navegación de los usuarios de un modo lícito, respetando la privacidad de los consumidores y ofreciendo una protección adecuada de los derechos de los usuarios de Internet.

La preocupación del uso de tecnología Deep Packet Inspection en la publicidad online

De todos son sabidos los beneficios que la publicidad online nos ofrece: no sólo es una crucial fuente de ingresos para que los medios de comunicación puedan desarrollarse y un estímulo de la competitividad empresarial. Sino, además, sus efectos repercuten de manera positiva en los consumidores, pues incrementan la variedad de las opciones disponibles, financian los servicios gratuitos que se ofrecen en Internet y proporcionan información sobre nuevos productos.

Pero no debemos olvidar que el desarrollo de nuevas prácticas de publicidad online, en particular las relativas a la publicidad selectiva (contextual, personalizada, basada en el comportamiento, etc.), supuestamente adaptada a los intereses de los internautas, plantea una serie de problemas, en particular los relativos a la privacidad, a los que hay que hacer frente con el fin de garantizar un alto nivel de protección para los usuarios.

Foto: Alberto Paredes (@AlbParedesPhoto)

En efecto, la rápida evolución de los avances tecnológicos, junto a un cierto cansancio y saturación de los consumidores ante la proliferación de mensajes publicitarios, ha llevado al desarrollo de técnicas publicitarias online basadas en el rastreo de la navegación de los usuarios, que persiguen una mayor adecuación de los contenidos publicitarios a los intereses de los usuarios destinatarios de los mismos.

La preocupación sobre los potenciales riesgos de una descontrolada generalización de dichas técnicas ya fue puesta de manifiesto en la Resolución del Parlamento Europeo, de 15 de diciembre de 2010, sobre los efectos de la publicidad en el comportamiento de los consumidores, a través de la cual el citado organismo expresa su inquietud por el desarrollo de prácticas publicitarias intrusivas, tales como la lectura del contenido del correo electrónico y similares, que -a su juicio- constituyen graves ataques contra la intimidad de los consumidores.

Tal Resolución se complementa en este punto con el Dictamen del Supervisor Europeo de Protección de Datos (SPED) sobre la neutralidad de la red, la gestión del tráfico y la protección de la intimidad y los datos personales (DOUE C 34/1 de 8.2.2012), en el cual se analizan las eventuales amenazas a la neutralidad de la red derivadas de algunas prácticas de filtrado y de rastreo de la navegación llevadas a cabo por prestadores de la sociedad de la información (PSI) y basadas en la controvertida técnica de deep packet inspection, como son, de un lado, la inspección basada sólo en la cabecera de IP y, de otro, la inspección de la carga útil de IP (que puede, a su vez, basarse en el análisis de los protocolos o en el contenido de la comunicación).

Desde un punto de vista publicitario, el SEPD alerta sobre los riesgos que este tipo de prácticas implica en la gestión de las comunicaciones de los usuarios, pues la información a la que puede accederse puede resultar muy valiosa desde un punto de vista comercial.  Así, por ejemplo, tanto el Parlamento Europeo como el SEPD coinciden en el ejemplo utilizado para representar gráficamente su preocupación, que consiste en el eventual ofrecimiento, por parte de los PSI, de una reducción en el precio de un producto o servicio -tal como, por ejemplo, una tarifa reducida de acceso a Internet-, a cambio de usar su información de navegación a través de técnicas de deep pàcket inspection, para mandarle publicidad basada en su comportamiento online.

Ante este tipo de situaciones, ambos organismos destacan la importancia de la obtención de un consentimiento adecuado (real, específico e informado, según el SEPD) que legitime tal tratamiento, ya que, entiende aplicable el artículo 5.1 de la Directiva de privacidad, al equiparar la técnica descrita a una interceptación de comunicaciones.

El objetivo es claro: incrementar la protección de los consumidores internautas durante su navegación, exigiendo una mayor transparencia de los prestadores de servicios.