Índice
Tras el último pleno del EDPB (European Data Protection Board), la Autoridad comunitaria ha emitido una nota «informativa» en relación al modelo aceptar o pagar, el nuevo sistema de información y recogida de consentimiento de cookies de los sitios web, tras la solicitud de las Autoridades (en materia de protección de datos) de Holanda, Noruega y Hamburgo.
De esta manera, y valiéndose de la posibilidad que ofrece el artículo 64 del RGPD (Reglamento General de Protección de Datos) de solicitar la opinión del Comité, obtienen respuesta sobre el tratamiento de datos personales por medio de cookies publicitarias (utilizadas para analizar el comportamiento de los usuarios en su navegación de cualquier sitio web, con fines de personalización de la publicidad) en el nuevo modelo aceptar o pagar.
1. Consentimiento por descarte para no pagar
Como primera conclusión, la EDPB considera que las plataformas a gran escala (a las que accede un gran volumen de usuarios), una vez analizadas, van a tener un problema en lo que a la obtención de consentimiento válido se refiere al usar un modelo aceptar o pagar.
Esto se debe a que la mayoría están ofreciendo a sus usuarios la opción de aceptar todas las cookies (incluyendo las destinadas al diseño de publicidad comportamental) o pagar para rechazar todo tratamiento no indispensable para el funcionamiento de sitio.
De tal forma que el resultado es que el usuario ofrece su consentimiento por descarte de la opción de pago, y no por decisión consciente de qué es lo que está aceptando. Algo que, en principio, no deberíamos considerar una forma válida de obtención de consentimiento informado y libre.
2. Alternativa al modelo aceptar o pagar con un menor tratamiento de datos personales
Centrándose en las cookies publicitarias (siendo cuestiones de personalización de esta actividad publicitaria la principal cuestión), la segunda conclusión que plantea la EDPB es la posibilidad de que los titulares de las plataformas ofrezcan una alternativa «intermedia» dentro del modelo aceptar o pagar. En la nota se desliza, a modo de ejemplo, la alternativa para los supuestos gratuitos de adaptación del procesamiento de los datos, es decir, encontrar una alternativa de tratamiento con fines publicitarios que suponga un tratamiento menor (o inexistente) de los datos personales.
Esta alternativa se enmarca en la obligación de cumplimiento de los principios de cualquier tratamiento que establece el artículo 5 del RGPD, esto es:
- Limitación de la finalidad.
- Minimización de datos.
- Exactitud.
- Proporcionalidad.
3. Evitar que la opción gratuita del modelo aceptar o pagar resulte excluyente
Respecto de la «opción gratuita» del modelo aceptar o pagar, resalta la EPDB la necesidad de que cada uno de los controllers se adecúe a las circunstancias propias de su situación. Desde un punto de vista de protección del usuario, plantea el escenario en que cada titular debe valorar en qué medida debe ofrecer una opción de pago (y en qué cuantía) respecto de servicios en los que esta opción podría dejar al usuario en una situación negativa en términos de:
- Exclusión de un servicio general.
- Impedimento de acceso a redes profesionales.
- Riesgo de no poder acceder a contenido o contactos de relevancia.
Situación que la EDPB considera posible si las grandes compañías dan el paso y empiezan a aplicar un modelo de aceptar o pagar.
Desequilibrio entre partes y riesgo de indefensión, cuestiones a analizar en el futuro
Por el momento, y al tratarse de únicamente de una nota informativa, la Autoridad no entra a analizar en profundidad el escenario de desequilibrio en que se encuentran ambas partes en cuanto al poder que los titulares pueden ejercer sobre los usuarios, y el riesgo de indefensión en que estos pueden llegar a encontrarse.
En conclusión, la cuestión planteada en torno al modelo aceptar o pagar es absolutamente lógica y dará para mayor análisis y desarrollo, seguramente, en forma de una guía de actuación emitida por la EPDB que venga a limitar las opciones que el modelo aceptar o pagar plantea, y a la que tendrán que circunscribirse cada una de las autoridades de los estados miembros y, en consecuencia, cada uno de los agentes y usuarios.
En Vento Abogados & Asesores, ponemos a su disposición un equipo de juristas especializados en prestar servicios de protección de datos para asesorar a las empresas en todo lo relativo al tratamiento de la información personal de sus clientes y empleados.
