La Junta Europea de Protección de Datos (EDPB) ha publicado nuevas directrices que tienen importantes implicaciones para gigantes de la publicidad en línea como Meta y otras plataformas grandes.
Desde noviembre de 2023, el propietario de Facebook e Instagram ha obligado a los usuarios en la Unión Europea a aceptar ser rastreados y perfilados para su negocio de publicidad dirigida, o de lo contrario pagar una suscripción mensual para acceder a versiones sin publicidad de los servicios. Sin embargo, imponer ese tipo de elección binaria «consentir o pagar» a un líder del mercado no parece viable según la EDPB, un órgano experto formado por representantes de autoridades de protección de datos de toda la UE.
Las nuevas directrices, que fueron confirmadas el miércoles pasado como informamos anteriormente, dictarán cómo los reguladores de privacidad interpretan el Reglamento General de Protección de Datos (GDPR) de la Unión Europea en un área crítica. La opinión completa de la EDPB sobre el llamado «consentir o pagar» consta de 42 páginas.
Otras plataformas grandes financiadas con publicidad también deben tener en cuenta estas detalladas directrices. Sin embargo, Meta parece ser la primera en sentir cualquier enfriamiento regulatorio resultante sobre su modelo de negocio basado en la vigilancia.
«La EDPB señala que pueden producirse consecuencias negativas cuando las grandes plataformas en línea utilizan un modelo de ‘consentir o pagar’ para obtener consentimiento para el procesamiento», opina la Junta, subrayando el riesgo de «un desequilibrio de poder» entre el individuo y el controlador de datos, como en casos donde «un individuo depende del servicio y la audiencia principal del servicio».
En un comunicado de prensa que acompaña a la publicación de la opinión, la presidenta de la Junta, Anu Talu, también enfatizó la necesidad de que las plataformas brinden a los usuarios una «elección real» sobre su privacidad.
«Las plataformas en línea deben dar a los usuarios una elección real al emplear modelos de ‘consentir o pagar'», escribió Talu. «Los modelos que tenemos hoy en día suelen requerir que los individuos entreguen todos sus datos o paguen. Como resultado, la mayoría de los usuarios aceptan el procesamiento para poder utilizar un servicio, y no entienden completamente las implicaciones de sus elecciones».
«Los controladores deben tener cuidado en todo momento de evitar que el derecho fundamental a la protección de datos se convierta en una característica por la que los individuos tengan que pagar para disfrutar. Los individuos deben estar completamente conscientes del valor y las consecuencias de sus elecciones», agregó.
En un resumen de su opinión, la EDPB escribe en el comunicado de prensa que «en la mayoría de los casos» no será «posible» para «grandes plataformas en línea» que implementan modelos de consentir o pagar cumplir con el requisito de «consentimiento válido» del GDPR si «confrontan a los usuarios solo con una elección entre consentir al procesamiento de datos personales con fines de publicidad conductual y pagar una tarifa» (es decir, como lo está haciendo actualmente Meta).
La opinión define a las plataformas grandes, de manera no exhaustiva, como entidades designadas como muy grandes plataformas en línea según la Ley de Servicios Digitales de la UE o como gatekeepers según la Ley de Mercados Digitales (DMA) – nuevamente, como es el caso de Meta (Facebook e Instagram están regulados bajo ambas leyes).
«La EDPB considera que ofrecer solo una alternativa de pago a servicios que implican el procesamiento de datos personales con fines de publicidad conductual no debería ser la forma predeterminada para los controladores», continúa la Junta. «Al desarrollar alternativas, las grandes plataformas en línea deberían considerar proporcionar a los individuos una ‘alternativa equivalente’ que no implique el pago de una tarifa.
«Si los controladores optan por cobrar una tarifa por el acceso a la ‘alternativa equivalente’, deben considerar seriamente ofrecer una alternativa adicional. Esta alternativa gratuita debe ser sin publicidad conductual, por ejemplo, con una forma de publicidad que implique el procesamiento de menos o ningún dato personal. Este es un factor especialmente importante en la evaluación del consentimiento válido bajo el GDPR.»
La EDPB se cuida de subrayar que otros principios fundamentales del GDPR, como la limitación de la finalidad, la minimización de datos y la equidad, siguen aplicándose en torno a los mecanismos de consentimiento, añadiendo: «Además, las grandes plataformas en línea también deben considerar el cumplimiento de los principios de necesidad y proporcionalidad, y son responsables de demostrar que su procesamiento está en línea con el GDPR.»
Dada la amplitud de la opinión de la EDPB sobre este tema polémico y complicado, y la sugerencia de que se necesitará mucho análisis caso por caso para realizar evaluaciones de cumplimiento, Meta puede sentirse segura de que nada cambiará a corto plazo. Claramente, tomará tiempo para que los reguladores de la UE analicen, procesen y actúen sobre el consejo de la Junta.
Contactado para hacer comentarios, el portavoz de Meta Matthew Pollard envió una breve declaración minimizando las directrices: «El año pasado, el Tribunal de Justicia de la Unión Europea [TJUE] determinó que el modelo de suscripciones es una forma legal válida para que las empresas busquen el consentimiento de las personas para la publicidad personalizada. La Opinión de hoy de la EDPB no altera esa sentencia y la suscripción sin anuncios cumple con las leyes de la UE.»
La Comisión de Protección de Datos de Irlanda, que supervisa el cumplimiento del GDPR de Meta y ha estado revisando su modelo de consentimiento desde el año pasado, se negó a hacer comentarios sobre si tomará alguna medida a la luz de las directrices de la EDPB, ya que dijo que el caso está en curso.
Desde que Meta lanzó la oferta de «suscripción sin anuncios» el año pasado, ha seguido afirmando que cumple con todas las regulaciones relevantes de la UE, aprovechando una línea en el fallo de julio de 2023 por el tribunal superior de la UE en la que los jueces no excluyeron explícitamente la posibilidad de cobrar por una alternativa sin seguimiento, pero especificaron que dicho pago debe ser «necesario» y «apropiado».
Comentando este aspecto de la decisión del TJUE en su opinión, la Junta señala – en marcado contraste con las reiteradas afirmaciones de Meta de que el TJUE básicamente sancionó su modelo de suscripción de antemano – que esto «no fue central para la determinación del Tribunal».
Al mismo tiempo, la opinión de la Junta no niega por completo la posibilidad de que las plataformas grandes cobren por una alternativa sin seguimiento, por lo que Meta y sus similares financiadas con publicidad basada en seguimiento pueden sentirse seguros de que podrán encontrar algún consuelo en las 42 páginas de discusión detallada de las demandas entrelazadas de la ley de protección de datos. (O, al menos, que esta intervención mantendrá a los reguladores ocupados tratando de entender las complejidades caso por caso).
Sin embargo, las directrices animan notablemente a las plataformas a ofrecer alternativas gratuitas a los anuncios de seguimiento, incluidas ofertas de publicidad seguras para la privacidad.
La EDPB da ejemplos de publicidad contextual, «publicidad general» o «publicidad basada en temas seleccionados por los interesados de una lista de temas de interés». (Y también es importante señalar que la Comisión Europea también ha sugerido que Meta podría estar utilizando anuncios contextuales en lugar de obligar a los usuarios a consentir a los anuncios de seguimiento como parte de su supervisión del cumplimiento del gigante tecnológico con la DMA).
«Mientras no hay obligación para las grandes plataformas en línea de ofrecer siempre servicios de forma gratuita, al hacer esta alternativa adicional disponible para los interesados aumenta su libertad de elección», continúa la Junta, añadiendo: «Esto facilita que los controladores demuestren que el consentimiento se ha dado libremente.»
Aunque las directrices publicadas hoy ofrecen más matices discursivos que claridad instantánea sobre un tema crucial, la intervención es importante y parece hacer más difícil para los gigantes de la publicidad en línea como Meta presentar y operar opciones falsas binarias y hostiles a la privacidad a largo plazo.
Armados con estas directrices, los reguladores de protección de datos de la UE deberían preguntarse por qué esas plataformas no están ofreciendo alternativas mucho menos hostiles a la privacidad, y plantear esa pregunta, si no literalmente hoy, entonces muy, muy pronto.
Para una empresa tecnológica tan dominante y bien provista de recursos como Meta, es difícil ver cómo puede eludir responder a esa pregunta por mucho tiempo. Aunque seguramente se apegará a su habitual estrategia de juego de desgaste del GDPR tanto como sea posible y apelará cada decisión final que pueda.
noyb, una organización sin fines de lucro de derechos de privacidad, que ha estado a la vanguardia de luchar contra la expansión de tácticas de consentimiento o pago en la región en los últimos años, argumenta que la opinión de la EDPB deja en claro que Meta no puede depender más del truco de «pagar o aceptar». Sin embargo, su fundador y presidente Max Schrems le dijo a TechCrunch que le preocupa que la Junta no haya ido lo suficientemente lejos en criticar este mecanismo de consentimiento forzado y divisivo.
«La EDPB recuerda todos los elementos relevantes, pero no afirma de forma inequívoca la consecuencia obvia, que es que ‘pagar o aceptar’ no es legal», nos dijo. «Menciona todos los elementos por los que es ilegal para Meta, pero hay miles de otras páginas donde aún no hay respuesta».
Como si las 42 páginas de directrices sobre este complicado tema no fueran suficientes ya, la Junta también tiene más en marcha: Talus dice que tiene la intención de desarrollar directrices sobre modelos de consentimiento o pago «con un alcance más amplio», añadiendo que «se involucrará con las partes interesadas en estas próximas directrices».
Los editores de noticias europeos fueron los primeros en adoptar la táctica de consentimiento controvertida, por lo que es probable que la próxima opinión «más amplia» de la EDPB sea seguida con interés por los actores de la industria de los medios de comunicación.
