El Grupo de Trabajo del Artículo 29 emitió el 22 de junio su Opinión 2/2010 sobre publicidad comportamental online. Ya comenté en diciembre que se avecinaban cambios en la regulación de las “cookies” por la entrada en vigor de la Directiva 2009/136/CE, y que España, como el resto de los países de la Unión Europea, quedaba obligada a adecuar su legislación a más tardar en mayo de 2011. Este documento da las líneas maestras de esos cambios, y la verdad es que no debiera dejar indiferente a nadie, ni a usuarios, ni a las empresas que viven de los anuncios, ni a los fabricantes de software.
De la Opinión destaco lo siguiente:
1. Aclara que ha de disponerse del consentimiento previo del usuario. Sólo después podrán colocar la “cookie”, y para esto es necesario proveer al usuario de la información correspondiente sobre las finalidades para las que se utilizarán los datos obtenidos. El consentimiento obtenido a través de las típicas políticas de privacidad o condiciones generales, a juicio del GT29, no cumple con los requisitos del artículo 5.3 de la Directiva, así como tampoco alegar que los navegadores disponen de opciones técnicas para rechazar las “cookies”.
2. Remarca que hay ocasiones en las que será aplicable la Directiva sobre protección de datos si después de colocar la “cookie” la información recogida puede considerarse dato de carácter personal. Da el ejemplo de la dirección IP, de procesos donde se utilizan identificadores únicos, y de los que posteriormente usan esa información para asociarla a un usuario registrado.
3. Marca las obligaciones para cada uno de los agentes que intervienen en la publicidad comportamental online: proveedores de redes de anuncios, editores y anunciantes.
4. No sólo es aplicable a las “cookies”, sino a cualquier otro dispositivo que pueda colocarse en cualquier medio. Pensemos en los teléfonos móviles, por ejemplo.
5. Estas disposiciones son aplicables al proceso de datos que tenga lugar utilizando medios situados en la U.E.
6. El GT29 considera este cambio una oportunidad de innovación para las empresas implicadas.
Lo cierto es que no dice nada que descuadre dentro del sistema europeo de protección de datos. ¿Qué va a cambiar? Nada de nada. El sector ya está rasgándose las vestiduras y haciendo de víctima, porque claro, todo esto implica que tienen menos de 1 año para cambiar radicalmente su modelo de recogida de información, y eso “duele”. Me quedo con las declaración que ha publicado IAB Spain en su página web, en especial con el párrafo siguiente:
…las cookies se limitan al conocimiento de hábitos de navegación de un equipo, no de una persona, sin que en ningún caso identifiquen a un usuario concreto, a no ser que éste haya facilitado de manera voluntaria sus datos.
Va a resultar que es mi equipo el que navega él solito, no soy yo el que lo hace, y que a esta industria no le importan lo más mínimo mis preferencias… ¿así que la publicidad la dirigen a las máquinas, no a las personas? De todas maneras, que estén tranquilos, porque nadie llegará a sancionarles por no cumplir con estas cosas. Estoy convencido. Tiempo van a tener, desde noviembre del 2009, que se aprobó la Directiva, hasta mayo de 2011, que sea aplicable en cada país de la U.E., para ir cambiando su modo de trabajo. Pero eso cuesta mucho dinero, y disminuiría gravemente la cantidad ingente de información de los usuarios que podrían recoger.
A quien le parezca esto una nimiez, y quiera enterarse bien de cómo funcionan, le recomiendo la lectura de esta queja interpuesta en EE.UU. contra las prácticas de varias empresas del ramo.
El 19 de abril un grupo de representantes de autoridades de protección de datos envió una