Los gigantes de la tecnología publicitaria como Meta deben ofrecer a los usuarios de la UE opciones reales de privacidad, dice el EDPB

La Junta Europea de Protección de Datos (EDPB) ha publicado nuevas directrices que tienen implicaciones importantes para los gigantes de la tecnología publicitaria como Meta y otras grandes plataformas.

La guía, confirmada el miércoles, como informamos anteriormente, determinará cómo las autoridades de protección de datos interpretan el Reglamento General de Protección de Datos (GDPR) del bloque en un área crítica. La declaración completa del CEPD sobre el llamado “Consentimiento o Pago” consta de 42 páginas.

Otras grandes plataformas con publicidad también deberían tener en cuenta las directrices detalladas. Pero Meta puede ser el primero en sentir el impacto regulatorio resultante en su modelo de negocio basado en la vigilancia.

Esto se debe a que desde noviembre de 2023, el propietario de Facebook e Instagram ha estado obligando a los usuarios de la Unión Europea a dar su consentimiento para el seguimiento y la elaboración de perfiles para su negocio de orientación publicitaria; de lo contrario, tendrán que pagar una suscripción mensual para acceder a versiones sin publicidad de sus servicios. Sin embargo, que un líder del mercado exija este tipo de elección binaria parece poco realista, según el CEPD, un panel de expertos formado por representantes de las autoridades de protección de datos de toda la UE.

"El CEPD señala que es probable que surjan consecuencias negativas si las grandes plataformas en línea utilizan un modelo de 'consentimiento o pago' para obtener el consentimiento para el procesamiento", afirma el comité, destacando el riesgo de un "desequilibrio de poder" entre el individuo y el individuo. responsable del tratamiento de datos, por ejemplo en los casos en los que “un individuo confía en el servicio y en el público principal del servicio”.

En un comunicado de prensa anunciando la declaración, el presidente del panel, Anu Talu, también destacó la necesidad de que las plataformas ofrezcan a los usuarios una "elección real" sobre su privacidad.

"Las plataformas en línea deberían ofrecer a los usuarios opciones reales al adoptar 'modelos de consentimiento o pago'", escribió Talu. “Los modelos que tenemos hoy normalmente requieren que las personas entreguen todos sus datos o paguen por ellos. Como resultado, la mayoría de los usuarios dan su consentimiento al procesamiento para utilizar un servicio y no comprenden el impacto total de sus decisiones”.

"Las personas responsables siempre deben tener cuidado de garantizar que el derecho fundamental a la protección de datos no se convierta en una función por la que los individuos deban pagar para disfrutar. Los individuos deben ser plenamente conscientes del valor y las consecuencias de sus decisiones", añadió.

En un resumen de su dictamen, el CEPD escribe en el comunicado de prensa que "en la mayoría de los casos" no será posible que las "grandes plataformas en línea" que implementan consentimiento o modelos de pago cumplan con el requisito del RGPD de un "consentimiento válido". en conjunto con. – si “solo dan a los usuarios la opción de dar su consentimiento para el procesamiento de datos personales con fines de publicidad comportamental o pagar una tarifa” (es decir, como es el caso actualmente con Meta).

La declaración define las grandes plataformas, sin pretender ser exhaustiva, como entidades clasificadas como plataformas en línea de muy gran tamaño según la Ley de Servicios Digitales de la UE o como guardianes según la Ley de Mercados Digitales (DMA), de nuevo como Meta (Facebook e Instagram están sujetos a ambas leyes). .

"El CEPD considera que ofrecer únicamente una alternativa paga a los servicios que implican el procesamiento de datos personales con fines de publicidad comportamental no debería ser la ruta predeterminada de procesamiento", continúa el comité. "A medida que se desarrollen alternativas, las principales plataformas en línea deberían considerar ofrecer a los individuos una 'alternativa equivalente' que no requiera una tarifa".

“Si los controladores deciden cobrar una tarifa por el acceso a la “alternativa equivalente”, deberían considerar seriamente ofrecer una alternativa adicional. Esta alternativa gratuita debería estar libre de publicidad comportamental, p. B. con una forma de publicidad en la que se procesan menos o ningún dato personal. Este es un factor particularmente importante a la hora de evaluar el consentimiento válido según el RGPD".

El CEPD hace hincapié en que otros principios básicos del RGPD, como la limitación de la finalidad, la minimización de datos y la equidad, siguen aplicándose a los mecanismos de consentimiento, y añade: “Además, las grandes plataformas en línea también deberían tener en cuenta el cumplimiento de los principios de necesidad y proporcionalidad. y son responsables de demostrar que su tratamiento es fundamentalmente conforme al RGPD.”

Dada la extensión del dictamen del CEPD sobre este tema controvertido y delicado - y la suposición de que serán necesarios numerosos análisis caso por caso para llevar a cabo evaluaciones de cumplimiento - Meta puede confiar en que nada cambiará en el corto plazo. Está claro que los reguladores de la UE necesitarán algo de tiempo para analizar, absorber y responder al consejo del panel.

El portavoz de Meta, Matthew Pollard, contactado para hacer comentarios, envió por correo electrónico una breve declaración restando importancia a las directrices: “El año pasado, el Tribunal de Justicia de la Unión Europea falló [CJEU] decidió que el modelo de suscripción era una forma legal para que las empresas obtuvieran el consentimiento de las personas para realizar publicidad personalizada. El dictamen de hoy del CEPD no cambia esta decisión y la suscripción sin publicidad se ajusta a la legislación de la UE."

La Comisión Irlandesa de Protección de Datos, que supervisa el cumplimiento del RGPD por parte de Meta y ha estado revisando su modelo de consentimiento desde el año pasado, se negó a comentar si tomará medidas a la luz de las directrices del CEPD, diciendo que el caso está en curso.

Desde que Meta lanzó su oferta de suscripción sin publicidad el año pasado, la compañía ha seguido afirmando que cumple con todas las regulaciones relevantes de la UE, haciéndose eco de una línea del fallo del tribunal superior de la UE de julio de 2023 en el que los jueces Esto no excluyó específicamente la posibilidad de cobrar una tarifa por una alternativa sin seguimiento, especificando en cambio que dicho pago debe ser “necesario” y “razonable”.

En su opinión sobre este aspecto de la decisión del TJUE, el panel señala - en marcado contraste con las repetidas afirmaciones de Meta de que el TJUE esencialmente había aprobado su modelo de suscripción por adelantado - que esto "no era central para la decisión del Tribunal".

“La EDSA está considerando que deben existir ciertas circunstancias para que se cobre una tarifa", teniendo en cuenta tanto las posibles alternativas a la publicidad comportamental, que implican el tratamiento de menos datos personales, como la posición de los interesados", continúa. “Esto es sugerido por las palabras “necesario” y “apropiado”Sin embargo, esto no debe entenderse en el sentido de que cobrar una tarifa sea “necesario” en el sentido del artículo 52(1) de la Carta y de la ley de protección de datos de la UE”.

Al mismo tiempo, la declaración del comité no rechaza por completo las grandes plataformas. probabilidad No hay forma de cobrar por una alternativa sin seguimiento, por lo que Meta y sus rivales de seguimiento financiados con publicidad pueden estar seguros de que pueden encontrar algún apoyo en una discusión detallada de 42 páginas sobre los requisitos superpuestos de la ley de privacidad. (O al menos que esta intervención mantendrá a los reguladores ocupados entendiendo la complejidad de los casos individuales).

Sin embargo, las pautas alientan específicamente a las plataformas a ofrecer alternativas gratuitas a los anuncios de seguimiento, incluidas ofertas con publicidad seguras para la privacidad.

El CEPD da ejemplos de “publicidad general” contextual o “publicidad basada en temas seleccionados por el interesado de una lista de temas de interés”. (Y también vale la pena señalar que la Comisión Europea, como parte de su supervisión del cumplimiento de la DMA por parte del gigante tecnológico, también ha sugerido utilizar anuncios contextuales en lugar de obligar a los usuarios a dar su consentimiento para el seguimiento de anuncios).

"Si bien las grandes plataformas en línea no tienen la obligación de ofrecer siempre servicios de forma gratuita, ofrecer esta alternativa adicional a los afectados aumenta su libertad de elección", continúa la junta, y añade: "Esto facilita que los responsables lo demuestren". "El consentimiento se da voluntariamente".

Si bien lo que la junta publicó hoy contiene más matices discursivos que claridad inmediata sobre un tema central, la intervención es importante y probablemente hará que sea más difícil para los gigantes de la tecnología publicitaria como Meta retratar y operar la privacidad binaria falsa. decisiones hostiles a largo plazo.

Las autoridades de protección de datos de la UE están equipadas con estas directrices. debería Me preguntaré por qué dichas plataformas no ofrecen muchas menos alternativas contra la privacidad, y haré esa pregunta, si no literalmente hoy, sí muy, muy pronto.

Para un gigante tecnológico tan dominante y con tantos recursos como Meta, es difícil imaginar cómo puede evitar responder esta pregunta por mucho tiempo. Sin embargo, ciertamente se atendrá a su principio habitual del RGPD de prolongar las cosas el mayor tiempo posible y cuestionar cada decisión final que pueda.

Noyb, una organización sin fines de lucro que defiende los derechos de privacidad y que ha estado a la vanguardia de la lucha contra las tácticas furtivas de consentimiento o pago en la región en los últimos años, sostiene que la declaración del CEPD deja claro que Meta ya no se centra en el “pago o el “vale”. truco. Sin embargo, su fundador y presidente, Max Schrems, dijo a TechCrunch que le preocupaba que la junta no hubiera ensartado lo suficiente este mecanismo divisivo de consentimiento forzado.

"El CEPD recuerda todos los elementos relevantes, pero no indica claramente la consecuencia obvia, es decir, que 'Pagar o Aceptar' no es legal", nos dijo. "Establece todos los elementos de por qué es ilegal el meta, pero hay miles de otros sitios que aún no tienen una respuesta".

Como si 42 páginas de orientación sobre este delicado tema no fueran suficientes, la junta tiene más en proceso: Talus dice que tiene la intención de desarrollar orientación sobre modelos de consentimiento o compensación "con un alcance más amplio", y agrega que este será el caso " Colaborar con las partes interesadas en esta próxima guía”.

Los editores de noticias europeos fueron los primeros en adoptar la controvertida táctica del consentimiento, por lo que es probable que los actores de la industria de los medios sigan de cerca la próxima opinión "más amplia" del CEPD.