Estudio de las cookies: usos empresariales frente a las limitaciones legales y la percepción del consumidor.

Facultad de Ciencias Económicas y Empresariales Trabajo de Fin de Grado Grado en DADE Estudio de las cookies: usos empresariales frente a las limitaciones legales y la percepción del consumidor. Presentado por: Jesús Marcos Poza Tutelado por: Rebeca San José Cabezudo Valladolid, 17 de julio de 2019 2 Resumen. Las cookies son pequeñas unidades de información que generan los usuarios de Internet cuando navegan por la red y que son guardadas en sus navegadores. Ello facilitará un amplio abanico de posibilidades de aplicación en el ámbito del marketing digital, permitiendo conocer las preferencias de los consumidores, previa a la puesta en marcha de la campaña, así como el seguimiento y optimización de la misma a la hora de extraer resultados. No obstante, sus capacidades no se limitan a esto, sino que su alcance es mucho mayor. Sin embargo, hay que tener en cuenta que se está tratando con información de los usuarios, en ocasiones, perteneciente a la esfera privada de los mismos. Ello ha motivado a la redacción de normas que regulen dicha utilización, siendo central el consentimiento del usuario, previo al tratamiento de los datos. De este modo, se configura un sistema de límites, siendo necesario analizar el alcance real de los mismos y si funcionan como verdaderos impedimentos para las empresas a la hora de trabajar con las cookies. Palabras clave: Cookies, usos empresariales, RGPD, consentimiento. Abstract Cookies are small units of information generated by Internet users when they are surfing the network and stored in their browsers. This will facilitate a wide range of application possibilities in the field of digital marketing, allowing consumers to know consumer preferences prior to the launch of the campaign, as well as the monitoring and optimization of the same when extracting results. However, their capabilities are not limited to this, but their scope is much wider. However, it should be considered that information from users, sometimes belongs to their private sphere, is being dealt with. This has led to legal regulation, with the user’s consent being central, prior to the processing of the data. In this way, a system of limits is configured, it is necessary to analyze the real scope of the limits and if they work as real impediments for companies when working with cookies. Key words: Cookies, business use, RGPD, consent. 3 ÍNDICE 1. INTRODUCCIÓN ..................................................................................................................... 4 2. ESTUDIO DE LAS COOKIES ..................................................................................................... 6 2.1 Definición ............................................................................................................................ 6 2.2 Breve historia de las cookies ............................................................................................... 7 2.3 Tipos de cookies .................................................................................................................. 8 Tabla 2.1 Tipos de cookies informáticas. ................................................................................. 8 y 9 3. USOS EMPRESARIALES DE LAS COOKIES ............................................................................... 9 3.1 Agentes que participan en el ámbito de las cookies ........................................................... 9 3.2 La comunicación online ..................................................................................................... 10 3.2.1 Formatos de publicidad online ................................................................................... 11 3.2.1.1 Utilización de las cookies en los formatos anteriormente mencionados…………14 3.2.2 La página web. ............................................................................................................ 15 3.3 Otros usos de las cookies en el marketing digital. ............................................................ 17 3.3.1 El retargeting como estrategia de marketing online. ................................................ 17 3.3.2 Una nueva posibilidad, la compra programática. ...................................................... 19 4. LIMITACIÓN AL USO EMPRESARIAL DE LAS COOKIES. EL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS. ............................................................................................................. 20 4.1 Las cookies en el RGPD ...................................................................................................... 21 4.2 Principios relativos al tratamiento de datos. El consentimiento. ..................................... 22 4.3 El usuario de Internet y el RGPD. ...................................................................................... 23 4.4 Las empresas y el RGPD en el tratamiento de las cookies de usuario. ............................. 24 5. LÍMITES A LA UTILIZACIÓN DE LAS COOKIES: EL CONSUMIDOR. ............................................ 25 5.1 Percepción de la publicidad online y las cookies por parte de los consumidores. ........... 26 5.1.1 Comentario de los resultados de la encuesta. ........................................................... 27 5.1.2 Conclusiones y limitaciones de la encuesta realizada. ............................................... 29 6. CONCLUSIONES ....................................................................................................................... 31 BIBLIOGRAFÍA Y WEBGRAFÍA ...................................................................................................... 33 ANEXO (Recogido a continuación de la bibliografía)………………………………………….Páginas 1 a 4 bis 4 1. INTRODUCCIÓN A lo largo de los últimos años del siglo pasado y en especial en este siglo XXI se han llevado a cabo transformaciones que han cambiado prácticamente todos los aspectos de la vida cotidiana. Una de las grandes revoluciones ha sido introducida con la popularización de Internet y la facilidad de acceso, a través de los diversos aparatos electrónicos que lo permiten, tanto los formatos más clásicos, como son los ordenadores, así como los más modernos: teléfonos móviles, Tablets, Smart TVs… Es decir, un extenso número de opciones con los que se pueden desempeñar una pluralidad de tareas, incluyendo la búsqueda de cualquier tipo de información en los diversos navegadores que poseen. Es precisamente en este aspecto donde adquiere relevancia una de las claves del trabajo, ya que las búsquedas en Internet generan pequeñas unidades de información que reciben el nombre de cookies y serán guardadas en los diferentes dispositivos. Esta información tiene un enorme valor, debido a las grandes posibilidades que supone para el uso empresarial, permitiendo, entre otros, la creación de campañas publicitarias con mayor precisión y eficacia. Esto es precisamente basado en ofrecer publicidad personalizada a los usuarios de Internet, utilizando la información que previamente se ha recogido de ellos. Esta nueva herramienta trabaja con datos de naturaleza delicada y, por ello, con el uso y la extensión de las cookies, ya desde principios del siglo empezaron a surgir voces desde todos los ámbitos, tanto consumidores, como políticos y representantes de organizaciones de consumidores que abogaron por regular y controlar toda esa información evitando usos irresponsables de la misma o que pueden ser abusivos contra el consumidor y garantizando su privacidad. Ello llevó a la necesidad de regulación legal, encontrando incluso legislación a finales del siglo pasado, la LO 15/1999 de Protección de Datos de Carácter Personal (LOPD) y destacando, en la actualidad, el Reglamento Comunitario de 5 Protección de datos de 2016 (RGPD) 1 , que ha sido introducido en nuestro ordenamiento por la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, el cual ha entrado en vigor en 2018. Así mismo, los usuarios, en la regulación actual, tendrán un papel novedoso, ganando importancia su percepción respecto a las cookies. Esto se debe a que ahora se deberá obtener el consentimiento previo de los individuos a la hora de trabajar con la información. Este trabajo tiene una serie de objetivos: a) En primer lugar, conocer la figura de las cookies informáticas y los usos empresariales que permiten en relación con el marketing online. b) En segundo lugar, analizar las posibles limitaciones al uso de las cookies (y su alcance real), que procederán de dos vías diferenciadas: a. Por un lado, se debe estudiar la normativa que ha surgido en relación a la misma y sus implicaciones a la hora de trabajar con las cookies. b. Por otro lado, estudiar la percepción de los usuarios y las posibilidades que tienen a la hora de limitar dicha utilización. Metodología. Respecto a la metodología, para dar respuesta a las cuestiones que han sido previstas en los objetivos, se utilizan tanto fuentes primarias como secundarias. En primer lugar, se lleva a cabo una síntesis de información presente en diversas fuentes bibliográficas y vía Internet. A través de la misma, se analizará el concepto y los tipos de cookies existentes, se estudiarán sus usos empresariales y se examinará el RGPD, con el objeto de conocer las implicaciones que puede tener para las empresas a la hora de realizar el tratamiento de los datos que serán utilizados posteriormente. 1 (Reglamento General de Protección de Datos). Reglamento relativo a la protección de datos de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Aprobado el 14 de abril de 2016, entra en vigor el 25 de mayo de 2018. 6 Así mismo, con el objeto de conocer la percepción de los usuarios sobre las cookies, se realizará una encuesta que permitirá conocer de primera mano dicha visión y posibilitará extraer una serie de conclusiones respecto a una parte significativa de la población. Se llevará a cabo un muestreo obtenido con el método de bola de nieve y será difundido entre las siguientes redes sociales: Whatsapp, Twitter y Facebook, que será definido oportunamente en el punto correspondiente del trabajo. Una vez se posea dicha información, se procederá a la redacción de las conclusiones definitivas, analizando las hipótesis anteriormente planteadas y proponiendo actuaciones para con las empresas a la hora de utilizar el sistema de cookies en relación al resultado que se haya demostrado. 2. ESTUDIO DE LAS COOKIES 2.1 Definición Una cookie es una pequeña unidad de información configurada como un archivo de texto que se almacena en el navegador de los usuarios o en las diferentes carpetas que contienen los datos de programas. Cada vez que un usuario entra en una página web a través del navegador se genera una cookie, que será utilizada por la propia página web para un gran número de usos, desde recordar inicios de sesión, temas y personalización de cada usuario, así como para conocer información sobre los hábitos de navegación. El archivo que es generado se almacena en el ordenador del usuario y será utilizado por la página web que lo ha creado cada vez que el usuario visita dicho dominio. Sin embargo, ningún dominio puede acceder a información ajena a la que se ha creado en su propia página. Además, al no tener ningún tipo de ejecutable, estos archivos no tienen vida propia, es decir, su uso se limita a recoger información por parte de la página que la ha creado. 7 ¿Qué significa esto? Básicamente una cookie, al contener unidades tan pequeñas de información, no será utilizada para revelar información de naturaleza personal. De hecho, al ser solo unidades de datos no suponen, en principio, un ataque a la privacidad de los usuarios, sino que su utilización abarca una serie de ámbitos. Las cookies servirán, no solo para recoger la información, sino que facilitarán la protección de los usuarios, verificando que es el usuario el que inicia sesión y no una máquina (especialmente útil en las páginas que deben ser seguras, como las plataformas online de bancos). Además, facilitarán la navegación de los usuarios, recordando sus preferencias y servirán para ofrecer publicidad personalizada. Sin embargo, muchos servicios de contenido y publicidad son prestados por proveedores ajenos que trabajan con diferentes dominios. Esto permite que las cookies puedan ser leídas por terceros ajenos a las páginas web que se han visitado. Estas cookies especiales reciben el nombre de cookies de terceros. De hecho, una compañía de publicidad puede seguir las páginas donde se ha colocado dichas imágenes publicitarias, e incluso pueden generar un perfil de los usuarios. Este es precisamente el peligro de las cookies, que ha llevado a la necesidad de regularlas, evitando que las empresas se adueñen de información sobre consumidores y realicen auténticos seguimientos de los usuarios cuando navegan por la red. 2.2 Breve historia de las cookies Las cookies son inicialmente concebidas en EEUU por el programador Lou Montulli en 1994, empleado de Netscape Communications. La idea surge en el contexto de la creación de un servicio de comercio electrónico, buscando una manera de mantener las sesiones de compra de los consumidores, reteniendo transacciones parciales y guardando la información en los ordenadores de los mismos. Es decir, se pretende crear un carrito de compra virtual y fiable. 8 Tras un primer desarrollo de una cookie, que será incorporada en la página web de Netscape, en 1998 se concede la patente, aunque ya se había comenzado a incorporar en los navegadores desde 1995. Dicha introducción no fue conocida por el usuario medio y las cookies fueron recopiladas por sistema, sin necesidad de autorización expresa por parte del usuario de internet. Además, tampoco se comunica la presencia de las mismas. Esta situación cambia a partir de un artículo de The Financial Times en 1996, recibiendo la atención de los expertos y, por primera vez, de los poderes públicos, llegando los primeros casos a la Comisión Federal de Comercio. Se realiza un primer estudio de las cookies, identificando las cookies de terceros como un elemento peligroso y que pueden suponer un ataque a la privacidad de los individuos en Internet. A pesar de ello, algunas empresas publicitarias ya habían comenzado a trabajar con ellas, obviando este tipo de peligros y sin avisar de la utilización de las mismas. Este tipo de peligros obligarán a los legisladores a establecer normativa reguladora de estos datos. En la actualidad el consentimiento para el tratamiento de la información es clave, y deberá ser libre, inequívoco y expreso en cada caso. 2.3 Tipos de cookies Las cookies pueden ser clasificadas según varias categorías no excluyentes 2 : Según la entidad que las gestione Cookies propias. Se generan en la página web que ha visitado el usuario. Cookies de terceros. Gestionados por entidades ajenas al editor de la página. Estas cookies pueden suponer un ataque a la privacidad del usuario. 2 Información obtenida de la “Guía sobre el uso de las cookies”, realizado por el Ministerio de Interior en colaboración con otras agencias, como la Agencia Española de protección de datos. Disponible en: http://www.interior.gob.es/documents/10180/13073/Guia_Cookies.pdf/7c72c988-1e55-42b5-aeee- f7c46a319903. (Consultado el día 3/04/2019). 9 Según el tiempo que permanecen activadas Cookies de sesión. Se recogen en una sola ocasión, para un solo uso. Cookies persistentes. Permanecen en el ordenador del usuario durante un periodo prolongado de tiempo. Por ello se puede acudir a ellas durante un mayor periodo. Según su finalidad Cookies técnicas. Relacionadas con códigos de programación: inicio de sesión, agregar productos al carro… Cookies de personalización. Permiten guardar la personalización de una página web realizada por un usuario, por ejemplo, que se muestre la página en un idioma determinado. Cookies de análisis. Permiten el seguimiento y análisis de las pautas de comportamiento de los consumidores. Deben ser utilizados con fines meramente estadísticos. Cookies publicitarias. Permiten el control de la publicidad de una página web que contiene espacios publicitarios. Regulan varios aspectos como la frecuencia con la que aparece. Cookies de publicidad comportamental. Permiten la optimización de la publicidad que se ofrece. Supone publicidad personalizada en función del comportamiento del usuario en las diferentes páginas web. Tabla 2.1 Tipos de cookies informáticas. 3. USOS EMPRESARIALES DE LAS COOKIES 3.1 Agentes que participan en el ámbito de las cookies Todo el complejo de cookies anterior será aplicable al ámbito comercial de una manera determinante, en relación con el ofrecimiento de contenidos personalizados que optimizarán las diversas campañas de publicidad online y permitirán una serie de usos bastante amplia. En toda página web nos encontramos con una serie de agentes que participan en el proceso de generación de información y en el de aprovechamiento económico de la misma 3 . 3 Desarrollado a partir de la “Guía de uso de las cookies” del Ministerio del Interior. Disponible en: http://www.interior.gob.es/documents/10180/13073/Guia_Cookies.pdf/7c72c988-1e55-42b5-aeee- f7c46a319903. (Consultado el 3/4/2019) 16 están aún en desarrollo, pero según algunos autores como Raymond Kurzweil (1998) 8 , la inteligencia artificial permitirá conocer e interactuar con el usuario, incluso detectando sus emociones, ofreciendo una experiencia de mayor calidad. Ello exigirá la recogida de información a través de diversas vías, incluida la que se realiza vía cookies, con el objetivo de lograr un perfil que se adapte mejor a lo que exige cada individuo. Dejando de lado estas perspectivas de futuro, hay elementos importantes a la hora de lograr buenos resultados en relación con el sitio web, como son el diseño, así como el contenido de calidad, fundamentales a la hora de lograr un posicionamiento oportuno, así como determinará en muchos casos el éxito de las campañas publicitarias y del uso de las cookies. En primer lugar, la página web permite a las empresas ofrecer productos a los consumidores, los cuales podrán serán enlazados a través de los diversos anuncios y formatos que se utilicen en la campaña publicitaria. Como ya se ha analizado, en el momento en el cual un usuario visita la página web, las cookies son recogidas en el navegador del mismo, de tal modo que ofrecer un contenido de calidad posibilitará un mayor número de visitas 9 y una mayor recogida de información que puede ser utilizada por la empresa. Cabe recordar que las cookies también permiten conocer aspectos relativos a las preferencias de los usuarios, así como pueden ser utilizadas para guardar la sesión, entre otros. Así mismo, es destacable la importancia que tiene un adecuado diseño de la página web y presentación del producto. Ello incidirá de manera decisiva en algunas estrategias como la de retargeting. Acercándonos brevemente, si se ha 8 Este autor realizó una predicción sobre la evolución de la tecnología en su libro La era de las máquinas espirituales (1998). Con el tiempo, sus predicciones se mostraron ciertas, y por ello es considerado uno de los genios de nuestra época. Actualmente trabaja para Google como director de ingeniería y es presidente de la empresa informática Kurzweil Technologies, que se dedica a elaborar dispositivos electrónicos de conversación máquina-humano y aplicaciones para personas con discapacidad 9 En este ámbito se debe destacar el posicionamiento SEO (Search Engine Optimization), concepto que se debe contraponer al SEM. En este caso se incide en los resultados naturales (es decir, aquellos que no son de pago) que se obtienen en los navegadores, con el objetivo de obtener la mejor posición posible dentro de una búsqueda determinada realizada por el usuario de Internet. Para obtener dicha posición es fundamental ofrecer un contenido de calidad dentro de la página web, teniendo en cuenta que el navegador se basa en dos factores a la hora de posicionar el enlace: la popularidad de la web y su relevancia. 17 mostrado el producto de una manera atractiva, será más fácil recuperar la atención del consumidor. No obstante, el retargeting permite más posibilidades que serán analizadas en el epígrafe siguiente. En definitiva, la página web permite un conjunto extenso de opciones, mucho más allá de lo aquí descrito, que podrá ser utilizado por la empresa, donde las cookies incidirán, sobre todo, a la hora de obtener información sobre los consumidores y a la hora de ofrecerles los productos. 3.3 Otros usos de las cookies en el marketing digital. Las cookies permiten un amplio espectro de usos empresariales que no se reducen a lo anteriormente descrito. Existen otros así mismo relevantes, como los que se presentan a continuación: 3.3.1 El retargeting como estrategia de marketing online. El retargeting es una estrategia relativamente reciente cuyo objetivo es causar impresión entre los usuarios, que ya han recibido información previamente sobre la marca o producto. Se centra en recordar a los usuarios el valor de nuestra marca, reforzando la capacidad de llamar la atención de los productos que previamente han sido capaces de captarla. Este re-impacto es posible gracias a las cookies. Esta publicidad se centra en aquellos usuarios que ya hicieron click en el anuncio de la empresa, visitaron una determinada página o producto. Las cookies guardarán dicha información en el navegador utilizando un “píxel tag u otro código para facilitar a un tercero el reconocimiento de usuarios concretos fuera del dominio donde esta actividad ha sido recogida. 10 ” (IAB (2010), traducción realizada de la definición presente en el siguiente enlace: https://wiki.iab.com/index.php/Retargeting) Son anuncios que “persiguen” al usuario que inicialmente ha hecho un esfuerzo por identificar la página web o producto, pero que ha sido abandonado sin finalizar la compra. Sin embargo, también puede ser utilizado para lograr una nueva visita a nuestra página e incluso para recuperar los productos que han 10 Traducción de la definición de retargeting, proporcionada por el IAB. Disponible en el siguiente enlace: https://wiki.iab.com/index.php/Retargeting. Consultado el día 07/04/2019 18 sido guardados en el carro de la compra, sin necesidad de volver a iniciar el proceso en su totalidad. Existen varios tipos de retargeting: • Retargeting site. Es uno de los más identificados. El usuario visita una determinada página web y en el navegador se registra la información a través de la cookie, permitiendo posteriormente que se muestren anuncios de esa página a medida que navegamos por Internet. • Dinámico. Uno de los más utilizados. El anuncio personalizado se basa en un producto en el que el cliente se ha interesado previamente. Dicha información será recogida por el navegador una vez el usuario ha visitado dicho producto y se le intentará atraer de nuevo. • Email retargeting. Cuando dicha publicidad se hace en función de un determinado producto que aparece en un email que el usuario ha mandado o recibido. La cookie se instala en el propio email, de tal manera que cuando el usuario lo abre, queda recogida. • Retargeting CRM. Es un tipo especial que consiste en cruzar la información que se tenga de un usuario (sobre todo listas de emails) con bases de datos de cookies para ofrecer dicha publicidad, aunque no se tengan activadas las cookies en la página. • También se puede hablar de estrategias de retargeting presentes en los formatos anteriores, tanto en buscadores como en redes sociales. En definitiva, el retargeting es una de las estrategias más utilizadas, por la amplitud de posibilidades que permite, así como porque permite volver a captar clientes o interesados. En muchos casos la rentabilidad es superior al 100%, e incluso cifras cercanas al 300% 11 , lo que hace que las empresas inviertan grandes sumas de dinero en este tipo de estrategia publicitaria. 11 Dato extraído del estudio de Oniup (2019) sobre el remarketing. Página especializada en el marketing digital y orientada a ofrecer servicios a empresas. Disponible en: https://oniup.com/que-es/retargeting/ Consultado el día 05/04/2019 19 3.3.2 Una nueva posibilidad, la compra programática. La compra programática es uno de los grandes avances que permite la tecnología y el uso de las cookies. Según el IAB, la compra de publicidad programática se define como “la ejecución de la compra de medios online mediante pujas u ofertas estables a través de tecnologías basadas en algoritmos que definen los términos de la demanda y son capaces de ejecutar la compra más adecuada a los objetivos de campaña, definidos en términos de perfiles, precio, valor o cualquier otro parámetro fijado e identificado por el comprador y cuya ejecución se realiza en tiempo real” (IAB, (2014), “Libro blanco de compra programática”. Disponible en el siguiente enlace: https://iabspain.es/wp-content/uploads/libro-blanco-de-compra- programatica-y-rtb.pdf) Por tanto, estamos ante un nuevo modelo, donde la compra de espacios publicitarios se realiza de manera automática, en función de una serie de algoritmos a tiempo real y por ello, sin intervención humana. Ello permite acceder a todos los espacios publicitarios ofrecidos a la vez, adquiriéndose dichos espacios a través de subastas en tiempo real o RTB (Real Time Bidding). Los anunciantes fijarán un determinado precio que están dispuestos a pagar para un determinado perfil o usuario. Cuando el precio de adquisición coincide con lo que están dispuestos a pagar, se produce la compra automática del espacio. En este ámbito el uso de las cookies permitirá generar información sobre los diferentes perfiles de usuarios de la red, siendo necesario realizar una segmentación, con el fin de establecer un determinado público objetivo que recibirá dichos anuncios. De este modo, cuando un usuario que pertenece a un segmento que interesa a la empresa visita una determinada página con un espacio publicitario disponible se abre el proceso de pujas automático. El anuncio que se le mostrará será aquel que haya ganado la puja. 20 Así mismo, es posible realizar el seguimiento de la campaña que se está llevando a cabo, conociendo la respuesta de los usuarios. Esta información será útil a la hora de optimizar los resultados de la misma y abandonar si no son los buscados. En definitiva, trabajar con las cookies permite un gran número de aplicaciones empresariales, simplificando actuaciones que sin la presencia de las mismas no sería posible realizar, como es el caso de la compra programática. 4. LIMITACIÓN AL USO EMPRESARIAL DE LAS COOKIES. EL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS. El abanico de posibilidades que otorgan las cookies tal y como hemos visto supone un gran avance para las empresas, que pueden ofrecer publicidad personalizada y, a través del seguimiento de la campaña, llegar de una manera más eficaz a los consumidores, siendo determinantes en los nuevos escenarios de publicidad online. No obstante, hay que tener en cuenta que no se puede trabajar con total libertad en este ámbito, sino que se deberán analizar dos figuras que pueden ser considerados como límites, con el objeto de ver el alcance real de los mismos. Por un lado, los consumidores, a través de sus posibles actuaciones y opiniones, podrán manifestar una determinada oposición o desconfianza respecto a la publicidad que procede de este tipo de fuente. El otro límite, que es el que trataremos en las siguientes páginas, es el de la regulación por medio de la Ley. El legislador, tras analizar las posibles consecuencias de un uso indiscriminado, impondrá una serie de condiciones a las empresas, que deberán respetar si quieren trabajar con las cookies. No hay que olvidar que España está integrado en el ámbito comunitario, Unión que en parte importante nació para crear y facilitar las relaciones comerciales. Por tanto, es obvio que una de las preocupaciones de la UE será regular el comercio y a las partes especialmente débiles en la relación, como son los usuarios de internet, que pueden verse atacados a través de la utilización de las cookies. 21 La legislación anteriormente vigente, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, será derogada por el Reglamento General de Protección de Datos, que ha entrado en vigor el 25 de mayo de 2018. El objetivo de esta normativa, tal y como establece el artículo 1 del RGPD, es establecer “normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos”. En este caso, el nuevo Reglamento estará centrado en el refuerzo de la privacidad de los datos personales, así como en la mayor transparencia cuando se procede a dicho tratamiento. Antes de entrar en el análisis es necesario destacar que los datos personales se configuran como un auténtico derecho fundamental de las personas, de gran importancia y de necesidad de protección. 4.1 Las cookies en el RGPD A pesar de la enorme importancia que tiene el tratamiento de las cookies en el horizonte de la protección de datos, únicamente se hace referencia a las mismas en una ocasión, en el inciso 30 de los presupuestos de partida del Reglamento. “Las personas físicas pueden ser asociadas a identificadores en línea […] como direcciones de los protocolos de internet, identificadores de sesión en forma de «cookies» u otros identificadores […]. Esto puede dejar huellas que, en particular, al ser combinadas con identificadores únicos y otros datos recibidos por los servidores, pueden ser utilizadas para elaborar perfiles de las personas físicas e identificarlas.” Es decir, el reglamento considera sujetas al cumplimiento a todas aquellas cookies que contienen circunstancias identificadoras del usuario de internet o que contienen datos que permiten identificar al individuo. En principio, parece que según esta redacción, muchas cookies con las que trabajan las empresas en el ámbito empresarial quedan exentas del 22 cumplimiento de lo establecido en el RGPD, ya que no están ligadas de manera necesaria con inicios de sesión o propiamente, con la identificación del individuo. Sin embargo, es clave el siguiente inciso que se realiza, incluyendo todo tipo de información que puede ser susceptible de ser utilizado para la elaboración de perfiles de personas. Por tanto, informaciones como los comportamientos de compra, visitas en páginas web, clicks en anuncios publicitarios o propiamente la localización GPS del individuo quedarán sujetas al cumplimiento de la norma de manera necesaria. Quizá por ello el legislador no ve necesario incidir más en la idea de las cookies, ya que estarán sujetas todas aquellas que cumplan dichos presupuestos. Así, se configura un sistema con tres pilares: a) Por un lado, el consentimiento como punto de partida para el tratamiento de la información. b) En segundo lugar, se establece la necesidad del control del usuario de Internet sobre dicho consentimiento y derechos necesarios para la protección de dicho derecho a la protección de datos personales. c) Por último, se imponen obligaciones a las empresas con el objeto de que se ajusten al cumplimiento de la ley. 4.2 Principios relativos al tratamiento de datos. El consentimiento. 12 En este punto se trata el aspecto central a la hora de poder trabajar con las cookies de usuario: el consentimiento del usuario. Desde la aprobación de esta nueva regulación, en prácticamente cualquier página de Internet nos podemos encontrar con la ventana de aceptación del tratamiento de datos o de uso de cookies, que se configura como una auténtica conditio sine qua non. Acudiendo a la normativa, el capítulo II del RGPD hace referencia al tratamiento de los datos y los requisitos que debe cumplir para que sea legal. Según el artículo 5, para que los datos cumplan dicho requisito deben ser tratados de manera “lícita, leal y transparente.” 12 Epígrafe realizado a través del análisis del Reglamento Europeo de Protección de Datos, de 27 de abril de 2016 https://www.boe.es/doue/2016/119/L00001-00088.pdf 23 El siguiente párrafo nos aclara que el procedimiento para la obtención debe ser exacto (“exactitud”), recogido con una serie de fines determinados y claros (“minimización de datos”) y con la obligación de borrar dichos datos en el momento en el que dejen de ser necesarios para dicho fin (“limitación del plazo de conservación”). Es decir, las cookies, deberán ser recopiladas con un fin y serán mantenidas solo en el momento en que se estén aplicando al mismo. Además, deben ponerse en marcha medidas de seguridad para evitar su pérdida, daño accidental o filtración, cumpliendo con los requisitos de “integridad y conservación”. El respeto a estos principios nos lleva a uno de los pilares en el tratamiento de datos, el consentimiento del interesado, presente en el artículo 6, requisito necesario para proceder a la recogida y posterior tratamiento de los datos. El tratamiento sólo será lícito si existe consentimiento. El artículo 7 nos indica cuales son las condiciones para el consentimiento. Dicho consentimiento deberá ser libre y expreso y será retirable en cualquier momento, siendo necesario que su retirada sea tan fácil de realizar como a la hora de consentir el tratamiento. En definitiva, desaparece el consentimiento tácito, siendo sustituido por un consentimiento claro y expreso. Es decir, el usuario que autoriza al tratamiento de cookies lo debe hacer con pleno conocimiento y con la posibilidad de retirar el mismo en cualquier momento. 4.3 El usuario de Internet y el RGPD. Dentro del RGPD no se puede olvidar uno de los factores clave, el usuario de Internet, en el cual ha centrado su preocupación el legislador. Por primera vez, se busca la protección de los derechos de los consumidores, a través de la protección de los datos personales que deberán permanecer en la esfera privada del usuario, a no ser que se den las condiciones oportunas para su tratamiento. Como ya se ha comentado, el punto de partida de todo tratamiento de cookies es el usuario. De aquí se proyectan una serie de derechos que son concedidos 24 y que se pueden comentar de manera breve en la manera que afectan a la materia que se está tratando. En primer lugar, tiene derecho a prestar consentimiento, de tal modo que el usuario con esta actuación permitirá todo el espectro de actividades de las empresas que anteriormente hemos comentado. Paralelamente, como consecuencia de lo anterior, el individuo tiene derecho a no prestar su consentimiento, es decir, derecho de oposición. Podrá oponerse al tratamiento de los datos o al uso de datos con motivos empresariales o comerciales. Este derecho es ejercitable en todo momento y si el consumidor opta por retirar el consentimiento esto imposibilitará la actuación de las empresas. Por último, otro derecho relevante que se debe mencionar es el de limitación del tratamiento de los datos. En este caso, el usuario podrá negarse a que sus datos sean usados en determinados escenarios. Por ello, si no autoriza el uso de las cookies para una determinada actuación comercial, ello implicará la imposibilidad de su recogida para la realización dicha actividad. 4.4 Las empresas y el RGPD en el tratamiento de las cookies de usuario. Es el tercero de los pilares que debemos mencionar en relación al tratamiento legal de las cookies. En este caso, las empresas son las que se ocuparán de la utilización en para los diversos usos empresariales que consideren oportuno. Sin embargo, deben someterse a un régimen normativo bastante exigente, centrado en lograr el consentimiento del usuario y posteriormente tratar la información contenida en las cookies con el debido cuidado y sólo para los usos que fueron recogidas. De esta nueva regulación hay una serie de aspectos clave que las empresas deberán cumplir de manera necesaria. En primer lugar, se deben identificar los datos que se consideran oportunos recoger y guardar, de una manera precisa, de tal modo que la empresa sea consciente de los posibles riesgos en los que incurrirá en caso de que se 25 produzca algún tipo de filtración o menoscabo de la información que se posee de los consumidores. En caso de que se produzca algún tipo de brecha de seguridad sensible en relación a datos de naturaleza personal, deberá ser notificada a la AEPD en un plazo de 72 horas. Así mismo, solo para las empresas grandes o que se encargan del tratamiento de grandes masas de información, se crea de manera obligatoria la figura del Delegado de Protección de Datos, aquel que se debe encargar de buscar posibles factores de riesgo y de buscar soluciones a los mismos. Las empresas deben tener en cuenta esta conjunción de factores a la hora de tratar con la información presente en las cookies. Es decir, se debe seleccionar una estrategia adecuada, pero también se debe respetar el Reglamento y la normativa española a la hora de ejecutar la misma. En definitiva, el Reglamento opera como el primero de los límites al uso de las cookies de las empresas, el límite legal. 5. LÍMITES A LA UTILIZACIÓN DE LAS COOKIES: EL CONSUMIDOR. Como se acaba de analizar, el sistema legal sirve de control para la actuación de las empresas a nivel de marketing digital. Junto a este, el otro gran límite a analizar a la hora de trabajar con las cookies es impuesto por el consumidor. De nuevo, es elemento central la idea del consentimiento obligatorio. Es decir, el consumidor tiene la capacidad de bloquear todo tipo de uso de cookies a través de una hipotética negativa a consentir la recopilación de su información. Será interesante estudiar hasta que punto los consumidores pueden poner trabas en este ecosistema. La confianza es clave, pero es complicada de ganar y muy fácil de perder. Por ello las empresas deben trabajar por cuidar su marca y su producto, así como deben fomentar la colaboración entre las mismas para evitar aquellos tipos de publicidad invasiva. Además, existe una herramienta que se debe considerar en el estudio, los bloqueadores de publicidad, que podrán bloquear todo el sistema de anuncios online. 32 De este modo queda probado que existen límites reales a la utilización de las cookies por parte de las empresas. Ello obligará a realizar un esfuerzo por minimizar los efectos que pueden tener los mismos a la hora de trabajar con dicha información. En primer lugar, las actuaciones deberán ceñirse a lo presente en las diversas normas, evitando en la medida de lo posible actuaciones que trasciendan el ámbito para el cuál la información fue recogida. Obviamente, una actuación ilegal supondrá la no operatividad de todas aquellas acciones que se valieron de la misma y la empresa podrá ser condenada por dicha conducta. Así mismo, parece claro que, actuaciones de dudosa legalidad o fraudulentas no harán más que actuar como barrera a la hora de obtener el visto bueno del usuario. Cabe recordar que la confianza de los mismos se establece como clave y un buen clima empresa-consumidor será beneficiosa para ambos. En segundo lugar, se deben tener en cuenta las conclusiones que se extrajeron de la encuesta sobre la percepción de los usuarios. Es decir, se debe realizar una actuación global en relación a las cookies, incrementando la transparencia en su utilización, así como mantener unos estándares elevados de calidad en las campañas publicitarias. En definitiva, el uso de las cookies representa uno de los presentes y futuros del marketing digital, pero para su aplicación se debe tener en cuenta la especial naturaleza de la información que se recoge, principalmente datos personales. Ello ha llevado al establecimiento de una serie de barreras efectivas para las empresas que deberán ser minimizadas para lograr un uso óptimo de las cookies. Y este objetivo se logra con una serie de actuaciones que deben implicar un trabajo conjunto de las empresas, así como un esfuerzo para recuperar la confianza del usuario. 33 BIBLIOGRAFÍA Y WEBGRAFÍA - AEPD (Agencia Española de Protección de Datos) “Cumplimiento de las obligaciones” Artículo relativo a las obligaciones que deben cumplir las empresas en el ámbito del RGPD. Disponible en el siguiente enlace: https://www.aepd.es/reglamento/cumplimiento/index.html (Consultado el 20/04/2019) - All About Cookies. Página web especializada en el estudio de las cookies informáticas. Disponible en el siguiente elnace: http://www.allaboutcookies.org (Consultado el 18/04/2019) - Europa.eu (2019) Página de la Comisión Europea donde se recogen normas generales aplicables sobre protección de datos en el Derecho Europeo. Disponible en el siguiente enlace: https://ec.europa.eu/info/law/law-topic/data-protection_en (Consultado el 23/06/2019) - Herreroip (2018) “Wikileaks y nuestros datos personales” Disponible en el siguiente enlace: https://www.herreroip.com/es/espacio/wikileaks-y- nuestros-datos-personales/ (Consultado el 03/04/2019) - IAB (2019) Formatos publicitarios estandarizados. Disponible en el siguiente enlace: https://iabspain.es/estandares/formatos/ (Consultado el 05/06/2019) - IAB (2019) “Estudio Anual de Mobile & Connected Devices” Contiene información relevante relacionada con la publicidad en el marco de los smarphones. Disponible en el siguiente enlace: https://iabspain.es/wpcontent/uploads/estudio-anual-mobile-connected-devices-2019_iab- spain_vreducida.pdf. (Consultado el día 16/06/2019.) - IAB Spain, (2016), “Search Engine Marketing” disponible en el siguiente enlace: https://iabspain.es/iabpedia/sem-search-engine-marketing/ (Consultado el día 18/05/2019) - IAB, (2018) “Estudio de las Redes Sociales” Disponible en el siguiente enlace: https://iabspain.es/wp-content/uploads/estudio-redes-sociales- 2018_vreducida.pdf (Consultado el 18/03/2019). - IAB (2010), “definición de retargeting” traducción realizada de la definición presente en el siguiente enlace: https://wiki.iab.com/index.php/Retargeting (Consultado el 19/03/2019) 34 - IAB, (2014), “Libro blanco de compra programática”. Disponible en el siguiente enlace: https://iabspain.es/wp-content/uploads/libro-blanco-de- compra-programatica-y-rtb.pdf (Consultado el 06/07/2019) - IAB (2019) “Top tendencias digitales del año 2019“ Disponible en el siguiente enlace: https://iabspain.es/wpcontent/uploads/top_tendencias_digitales_iab_spain_2019.pdf (consultado el 16/06/2019). - MARTINEZ VIDAL en Dos asociados (2018), “La verdad sobre las Cookies” Disponible en el siguiente enlace: https://www.dosasociados.com/web/la-verdad-sobre-las-cookies/ Consultado el 17/02/2019. - MARINO LATORRE (2018) “Historia de las web, 1.0, 2.0, 3.0 y 4.0” Universidad Marcelino Champagnat Disponible en el siguiente enlace: http://umch.edu.pe/arch/hnomarino/74_Historia%20de%20la%20Web.pd f (Consultado el 10/07/2019) - Marketing4ecommerce “10 claves sobre el Nuevo Reglamento General de Protección de Datos (GDPR/RGPD) en eCommerce” Disponible en el siguiente enlace: https://marketing4ecommerce.net/nuevo-rgpd- reglamento-general-de-proteccion-de-datos-en-ecommerce/ (Consultado el 02/04/2019) - Ministerio de Interior español. Información obtenida de la “Guía sobre el uso de las cookies”, realizado por el Ministerio de Interior en colaboración con otras agencias, como la Agencia Española de protección de datos. Disponible en: http://www.interior.gob.es/documents/10180/13073/Guia_Cookies.pdf/7c 72c988-1e55-42b5-aeee-f7c46a319903 (Consultado el día 3/04/2019) - Oniup (2019) “¿Qué es el retargeting?”. Página especializada en el marketing digital y orientada a ofrecer servicios a empresas. Disponible en: https://oniup.com/que-es/retargeting/ (Consultado el día 05/04/2019) - Reglamento General de Protección de Datos (2016), presente en el BOE. Disponible en el siguiente enlace: https://www.boe.es/doue/2016/119/L00001-00088.pdf (Consultado el 6/04/2019) 1 ANEXO 1- Cuestionario de la encuesta: 1. ¿Conoce la figura de las cookies informáticas? 2. ¿Cuál es su reacción ante las ventanas emergentes que solicitan el consentimiento para el tratamiento de las cookies? 3. ¿Qué opina de la publicidad personalizada que aparece en las páginas web mientras navega? 4. Teniendo en cuenta que la publicidad personalizada utiliza las cookies guardadas en tu ordenador ¿Cree que pueden suponer un ataque a su privacidad? 5. ¿Usa algún tipo de bloqueador de publicidad en su navegador? 2- Resultados de la encuesta 1) ¿Conoce la figura de las cookies informáticas? Las opciones de respuesta son las siguientes: a) “Sí” b) “No” c) “Sí, pero desconozco para qué son utilizadas.” 2 2) ¿Cuál es su reacción ante las ventanas emergentes que solicitan el consentimiento para el tratamiento de las cookies 17 ? Las opciones de respuesta son las siguientes: a) “Intento no aceptar, en la medida de lo posible (No acepto si existe dicha posibilidad).” b) “Acepto, estoy de acuerdo con la política de cookies.” c) “Acepto, pero no conozco la política de cookies.” 3) ¿Qué opina de la publicidad personalizada que aparece en las páginas web mientras navega? Las opciones de respuesta son las siguientes: a) “Me parece invasiva.” b) “Me parece útil, ofrece publicidad sobre productos que me interesan.” c) “No presto demasiada atención a dicha publicidad.” 17 Para ver ejemplo de ventana de aceptación, acudir al tercer apartado del anexo. Me parece invasiva 49% Me parece útil, ofrece publicidad sobre productos que me interesan. 14% No presto demasiada atención a dicha publicidad 37% Acepto, estoy de acuerdo con la política de cookies 26% Acepto, pero no conozco la política de cookies 63% Intento no aceptar, en la medida de lo posible. 11% 3 4) Teniendo en cuenta que la publicidad personalizada utiliza las cookies guardadas en tu ordenador ¿Cree que pueden suponer un ataque a su privacidad? Las opciones de respuesta son las siguientes: a) “Sí” b) “No” c) “NS/NC” 5) ¿Usa algún tipo de bloqueador de publicidad en su navegador? Las opciones de respuesta son las siguientes: a) “Sí” b) “No” c) “NS/NC” Sí 77% No 21% NS/NC 2% Sí 75,4% No 17,5 % NS/NC 7,1% 4 3- EJEMPLO DE VENTANA DE ACEPTACIÓN DE COOKIES Esta ventana es una de las formas clásicas en las que se presenta la aceptación de la política de cookies. Una aceptación clara y un rechazo complejo, que se representa con un aspa en la esquina superior derecha, de unas dimensiones reducidas y más complicado de percibir. 4- EJEMPLO DE VENTANA DE ACEPTACIÓN DE COOKIES EN UNA FORMA TÁCITA. Otro ejemplo, el usuario no da su consentimiento de forma expresa, sino que el propietario de la página web lo obtiene de manera tácita. Esta figura puede llegar a ser cuestionable, bajo mi punto de vista, teniendo en cuenta lo establecido en el RGPD. Ventana extraída de la página web del BBVA, disponible en el siguiente enlace: https://www.bbvaapimarket.com/?lang=es