El Comité Europeo de Protección de Datos (EDPB) por fin se ha pronunciado. Y su respuesta es muy clara: tiene que existir una alternativa más allá de pagar o aceptar las condiciones. Amparándose en el RGPD y en el "interés legítimo" de utilizar los datos personales, grandes plataformas digitales como Meta han implantado el modelo de 'Pay or Okay'.
O aceptas las cookies que analizan el comportamiento como usuario o pagas una suscripción. Un todo o nada que se ha extendido por internet pero que generaba muchas dudas y ahora ha sido rechazado por el máximo organismo europeo en materia de protección de datos.
Debe existir una alternativa que no sea pagar. Anu Talus, presidenta del EDPB, explica que "como consecuencia de esta estrategia, la mayoría de los usuarios dan su consentimiento al procesamiento y no comprenden todas las implicaciones de sus elecciones". Desde el Comité Europeo apuntan que se está obligando a los usuarios a aceptar las cookies sin hacerles entender ni explicarles las consecuencias.
Ante esta situación, el organismo concluye que "ofrecer únicamente una alternativa de pago no debería ser el camino por defecto". Por ello establece que deberían "considerar ofrecer a los usuarios una "alternativa equivalente" que no implique el pago de una tarifa".
Y esta opción gratis debe ser sin publicidad comportamental. La tercera vía que exige el EDPB no podrá estar basada en la publicidad comportamental, aquella que se basa en las cookies y el uso de cada usuario para ofrecerle anuncios personalizados. Y lanzan un aviso: "es un importante factor para conseguir un consentimiento válido bajo el RGPD".
El debate de fondo: ¿cuándo está justificado cobrar? Los factores que se ponen encima de la mesa para justificar el consentimiento son los de "condicionalidad, detrimento, desequilibrio de poder y granularidad". ¿Cómo se traslada esto al debate de pagar o aceptar las cookies? Principalmente el EDPB argumenta que si se quiere cobrar al usuario, debe estar justificado. Y deja en manos de las agencias de cada país evaluar si en cada caso es apropiado.
El organismo expone que las grandes plataformas online como Meta deberían analizar si la opción de pago es un método de exclusión y puede llevar al usuario a verse excluido o sufrir consecuencias negativas. Es decir: si se está forzando al usuario a pagar por evitar aspectos negativos en vez de convencer de los beneficios de la versión de pago.
De dónde venimos. El caso viene de lejos. El Reglamento General de Protección de Datos es de 2018 y empresas como Meta se basaron en el Artículo 6(1) para procesar los datos de los usuarios. Este uso fue declarado ilegal por el Tribunal de Justicia Europeo en 2023, lo que derivó en ampararse en el interés legítimo de usar publicidad personalizada.
Una justificación donde ni la propia Meta estaba convencida, pues al tiempo se cambió la política de privacidad para ampararse en este "consentimiento libremente dado" y en presentar la alternativa de pedir 21,99 euros al mes por usar Facebook e Instagram.
Las agencias de protección de datos de Noruega, Holanda y Alemana no veían claro este uso y solicitaron al EDPB que se pronunciase. Que es justo lo que ha hecho ahora.
Se acaban las opciones para Meta. "Meta se está quedando sin opciones en la UE. Ahora debe ofrecer a los usuarios una auténtica opción de sí o no para publicidad personalizada. Aún puede cobrar a los sitios por el alcance, participar en publicidad contextual y similares, pero rastrear a las personas en busca de anuncios necesita un claro "sí" por parte de los usuarios", explica Max Schrems, activista de la organización en defensa de la privacidad Noyb.
Según apuntan desde Noyb: "una vez se sepan todos los datos, estamos convencidos de que la estrategia del 'Pay or Okay' será declarada ilegal en Europa. Este "consentimiento libre" está tan lejos de ser libre como Corea del Norte de una democracia".
El EDPB no se ha pronunciado sobre los medios. La petición de una alternativa al pagar o aceptar las condiciones se refiere a las "grandes plataformas online". El caso viene a raíz de la denuncia respecto a Meta. En ningún momento el Comité Europeo expone que el caso es equivalente al del cookiewall que se ha implementado en multitud de medios de comunicación y páginas web, entre ellas Xataka.
La Guía de uso de cookies de la AEPD publicada en 2023 recoge el uso legal de pagar para rechazar las cookies. De momento el criterio del EDPB no modifica estas recomendaciones y la AEPD no ha anunciado cambios, pero sí puede ser visto como anticipo.
No es una cuestión teórica, sino práctica. Según apunta Jorge García Herrero, delegado de Protección de Datos, la opinión del EDPB es vinculante y reiterativa, aunque el experto expone que "apenas se puede encontrar nada nuevo" y se "limita a sistematizar de nuevo los requisitos". Es decir, el Comité remarca los requisitos que aplican a Meta pero va en línea con lo que ya habían dicho antes.
El problema, según García Herrero, es que "lo que necesitamos del EDPB es que haga cumplir sus decisiones vinculantes previas, meter en cintura -con consecuencias ejemplarizantes para todas- a una plataforma que, tras casi seis años de vigencia del RGPD, no ha cumplido ni tiene intención de cumplir la normativa".
Imagen | Erik Mclean | Glenn Carstens-Peters
Ver 63 comentarios