Pese a toda la controversia alrededor durante los últimos años, la publicidad dirigida no necesariamente es mala ni tiene que estar reñida con la normativa de privacidad.
De hecho, lo que se busca al regularla es que las empresas se adecúen para desarrollarla de una manera que no sea nociva para los derechos y libertades de las personas. Seguramente, tu empresa también ha usado la publicidad dirigida mediante algunas de las herramientas digitales que existen actualmente para ello. Pero para que lo hagas sin correr riesgos legales, en este artículo te indicamos una medida clave para proteger la privacidad de tus clientes: cumplir con el tiempo de conservación de los perfiles de usuario.
Veamos de qué se trata y por qué es necesaria:
¿Cuál es el problema con la publicidad dirigida?
Empecemos definiendo por qué la publicidad dirigida es tan cuestionada en términos de protección de datos personales.
Sabemos que la mayoría de las empresas utiliza la publicidad buscando llevar sus anuncios al usuario ideal, el que les dará el mayor retorno de inversión. Para lograrlo, la máxima del marketing en la era digital es “conoce a tu cliente”. Algo que se ha facilitado con diversas herramientas como las cookies o el píxel de Meta, que permiten recolectar de internet los datos personales de los clientes.
Esto habilita la personalización de anuncios que, a su vez, posibilita acercarse a ese ideal publicitario. Y que, por otro lado, puede ser también beneficioso para los usuarios porque se les muestra contenido que resulta de su interés. Sin embargo, en muchos casos, esta necesidad de conocer quién es y qué quiere el cliente puede llevar a la hiperpersonalización, que puede resultar intrusiva con la privacidad de los usuarios.
Para que nos entendamos, a todos nos gusta que nuestro panadero nos salude por nuestro nombre, y quizá que recuerde qué tipo de barra pedimos todos los días, nos parece un gesto de una relación personal. Pero si nuestro panadero te demuestra que sabe cuántos hijos tienes, a qué cole van, dónde vives y a qué hora paseas a tu perro, probablemente nos parecerá un cotilla y su curiosidad, intrusiva.
Algo similar sucede con el amplísimo número de datos que las empresas utilizan, en ocasiones, para su publicidad dirigida y ahí es donde nace la preocupación por que la publicidad dirigida sea regulada por la normativa de privacidad como el RGPD o la LOPD. También por ese motivo, muchas veces se cuestiona su pertinencia. En específico, la de una actividad indispensable para lograr la personalización: el perfilado de usuarios.
El perfilado de usuarios
Se llega a conocer al cliente mediante la elaboración de perfiles de usuario que se logra por medio del recojo y tratamiento de sus datos personales. Muchas veces se piensa que, cuanto más, mejor, aunque no es así necesariamente.
Entre la información recogida están datos demográficos, como la edad y el género, datos de comportamiento, como los lugares que visitan a diario, o de sus intereses, como las causas sociales que apoyan. Inclusive, pueden recogerse datos especialmente sensibles, como los relativos a su estado de salud. La finalidad detrás de este análisis es predecir cómo se comportará el usuario frente a un anuncio publicitario, producto o servicio. Así, se busca asegurar que se concrete la compra.
El problema es que muchas veces, el perfilado puede usarse de forma errónea desde la perspectiva de los derechos y libertades de las personas. Algunos de los riesgos más graves pueden incluir el seguimiento de personas físicas, la desprotección de los menores y el favorecimiento de la discriminación por raza, credo u orientación sexual. También pueden incrementarse las posibilidades de brechas de seguridad.
Frente a esto, el RGPD y la LOPD no prohíben el perfilado como táctica de mercadotecnia, pero sí lo regulan, estableciendo algunos requisitos para realizarlo:
- Informar a los usuarios sobre el perfilado y sus consecuencias.
- Requerir el consentimiento de los usuarios para elaborar perfiles o tener otra base jurídica para el tratamiento de los datos.
- Garantizar la exactitud y conservación de los datos tratados.
- No tomar, en general, decisiones con relación a los usuarios con base en la elaboración automatizada de perfiles.
- Habilitar la posibilidad de ejercer el derecho de oponerse a la elaboración de perfiles.
Si tu empresa cumple con todos estos requisitos, probablemente estará dentro del cumplimiento normativo. Aunque en la realidad, existen muchos casos en los que lo que se aparenta, no se cumple a cabalidad. A continuación, te contaremos de uno de los más paradigmáticos.
El caso de la publicidad dirigida de Meta
El caso en cuestión fue presentado por el activista Max Schrems ante la autoridad reguladora de Austria y argumentaba que Meta había realizado un tratamiento ilegal de sus datos personales. Entre los datos recogidos y tratados por la plataforma se encontraban algunos relativos a su orientación sexual, pese a que no habían sido compartidos en la plataforma.
Sin embargo, el demandante sí había hecho referencia a ellos en otros espacios públicos. Y, como consecuencia, había recibido publicidad dirigida en Facebook con base en sus intereses (la orientación sexual), que habría logrado obtener mediante de plug-ins y el citado píxel.
Por eso, Max Schrems pedía que se declare que la aceptación de los términos y condiciones de la plataforma no eran un consentimiento válido en virtud del RGPD. Y, por ello, que no existía consentimiento válido para el tratamiento de los datos recibidos de terceros para sus propios fines por parte de Meta. Y que se la condenase en consecuencia.
Las cuestiones prejudiciales
Para resolver, el tribunal austríaco presentó cuatro cuestiones prejudiciales al Tribunal de Justicia de la Unión Europea (TJUE), que podrían resumirse así:
- ¿Es válido el tratamiento de datos en Facebook, amparados solo en la aceptación de las condiciones de servicio de la plataforma?
- Teniendo en cuenta el principio de minimización de datos, ¿es posible recoger, analizar y tratar datos para fines de una publicidad específica sin restricciones de carácter temporal o en función de la naturaleza de los datos?
- ¿Puede Facebook tratar datos personales de categoría especial (como la orientación sexual) para fines publicitarios?
- ¿La manifestación pública sobre la propia orientación sexual permite el tratamiento de esa información para fines de publicidad personalizada por parte de Facebook?
Dado que el 4 de junio de 2023 el TJUE dictó sentencia en un litigio paralelo entre la autoridad alemana de protección de datos y Meta, se consideraron resueltas las preguntas 1 y 3.
En concreto, en aquel litigio paralelo se determinó, en primer lugar, que es necesario tener un contrato donde se consienta específicamente el tratamiento y no bastan con aceptar las condiciones de la plataforma. En segundo lugar, se señala que, de acuerdo con el RGPD, no es válido ningún tratamiento de datos personales de categoría especial en la forma en que Meta lo había realizado.
Respecto a las preguntas 2 y 4, el 4 de octubre de 2024, el TJUE emitió una respuesta. Sobre la pregunta 2, indicó que –acorde con el RGPD– siempre es necesario establecer un período de tiempo de conservación de los datos y el tipo de datos tratados. Y, aunque el usuario haya consentido el tratamiento, los datos no pueden ser tratados indefinidamente, tal como lo hacía Meta.
En relación con la pregunta 4, el TJUE determinó que la manifestación pública de la orientación sexual de una persona no autoriza el tratamiento de sus datos personales por parte de cualquier plataforma online.
Este no es el único proceso en el que Meta se ve envuelta en problemas legales debido a su laxitud en el cumplimiento del RGPD. Mira este vídeo sobre otro caso reciente que la involucra:
¿Cómo afecta esta decisión a tus actividades de publicidad dirigida?
El caso de la conservación de datos de modo indefinido para la publicidad dirigida de Meta (esto es, la segunda cuestión prejudicial analizada), es, según nuestra experiencia en Talos, algo bastante habitual entre pequeñas y grandes empresas. Muchas cumplen con los requisitos del RGPD para elaborar perfiles de usuarios, pero fallan en aplicar los principios del tratamiento de datos. En especial, estos dos:
El principio de minimización de datos
El RGPD establece que es necesario definir un fin de tratamiento para el que se recolectan los datos, por lo tanto, no puedes recolectar todos los que puedas por si acaso los necesites más tarde. Esto se llama el principio de minimización de datos.
Y bajo ese mismo principio, tampoco puedes mantener los datos ya recolectados y que has usado para un tratamiento específico anterior para usarlos más adelante. Es importante, guardar solo los que necesites. Te explicamos más en este artículo.
El principio de la limitación de la conservación
Por otro lado, el RGPD estipula que los datos solo podrán conservarse el tiempo necesario para el fin del tratamiento establecido. Es decir, si los recogiste para poder realizar un sorteo especial por Navidad, no los puedes conservar todo el año siguiente.
Es cierto que existen excepciones a esta regla, pero no aplican a los perfiles comerciales que hayas elaborado de tus usuarios para enviarles publicidad dirigida. Por lo tanto, debes atenerte a conservar solo los datos que requieras para un fin específico.
Cómo se relacionan estos dos principios en el tratamiento de datos para la publicidad dirigida
Tanto el principio de minimización como el de limitación de la conservación son complementarios en el cumplimiento de la normativa de privacidad. No solo debes limitar los datos que recoges, sino que también debes suprimirlos cuando ya haya superado su tiempo de conservación.
Sabemos que, usualmente, ni en la normativa, ni en la política de privacidad de cada empresa se suele especificar el plazo de conservación. Usualmente se usan términos generales como «mientras tengas cuenta», pero hay que tener en cuenta que eso no significa que será para siempre. La conservación de los datos solo debe limitarse a la necesaria para el cumplimiento de los fines del tratamiento.
Pongámoslo en términos prácticos: si recoges todos los datos posibles de tus usuarios, los perfilas en masa y los guardas para siempre, tendrás más de un problema.
Porque, por un lado, de esa manera te expones y expones a tus usuarios a una brecha de seguridad, que derivará en una sanción por infringir la normativa de privacidad. Y, por el otro, porque es un esfuerzo inútil. La realidad es que el perfilado comercial depende mucho de datos que no son inalterables en el tiempo, como los gustos e intereses. Pues una persona de 20 años, a los 30 tendrá otro contexto, expectativas y condiciones de vida en general.
4 pasos recomendados para minimizar y limitar la conservación de datos en la publicidad dirigida
Entendemos que aplicar estos principios puede ser un poco abstracto en la realidad, porque, ¿cómo saber si es mucha o poca la cantidad de datos o su tiempo de conservación? Por eso, a continuación, te enumeramos 4 pasos que puedes utilizar para minimizar el recojo de datos y limitar la conservación de perfiles elaborados para la publicidad dirigida:
- Analiza tus procesos. Conoce a profundidad qué procesos comerciales realizas y sepáralos para poder determinar sus necesidades individuales.
- Determina qué datos necesitan para cada actividad. No requerirás los mismos datos para todos los procesos. Por ejemplo, si tienes una plataforma de educación en línea no necesitarás los mismos datos para ofrecer un descuento anual a los alumnos que pagan sus mensualidades que para aquellos que están interesados en cursos cortos específicos. Define cuáles son los necesarios para cada una de ellas.
- Verifica cuánto tiempo debes conservar los datos que sí necesitas. Cuando establezcas qué datos necesitas, también determina durante cuánto tiempo los requerirás. Así, tendrás claro cuándo deberás eliminarlos de tus sistemas.
- Elimina los datos innecesarios. Si recolectaste datos que no necesitas para tus fines publicitarios actuales, lo mejor es eliminarlos. Establece procesos rutinarios de supresión, bloqueo o anonimización de datos, para evitar continuar acumulándolos.
Conclusión
Aunque la publicidad dirigida y el perfilado de usuarios en el que se basa es necesario tanto para las empresas como para los clientes, es importante respetar los principios de minimización de datos y de limitación del plazo de conservación. De esta manera, disminuyen riesgos legales, operativos y financieros para la empresa.
Si deseas conocer si el tratamiento de datos personales que realiza tu empresa para publicidad dirigida se adecúa a la normativa de privacidad, pide una cita para evaluarla. Nuestros abogados especializados podrán orientarte para evitar futuros errores.
Foto de insung yoon en Unsplash
