IAB Europe junto a IAB Spain, Alliance Digitale, IAB Italia, IAB Polska, IAB Sweden, SPIR & VIA Nederland, han participado en el trámite de consulta pública del EDPB sobre sus directrices provisionales 2/2023 sobre el Alcance Técnico del Artículo 5(3) de la Directiva de ePrivacy.

La coalición de asociaciones respaldamos firmemente los principios de neutralidad tecnológica de la legislación de la UE para garantizar un alto nivel de protección de datos y acogemos con satisfacción las iniciativas destinadas a aclarar en la práctica qué requisitos pueden aplicarse a nuevas tecnologías y así permitir a las empresas innovar con certeza legal y prácticas orientadas a la privacidad.

Sin embargo, las asociaciones firmantes estimamos que las directrices propuestas 2/2023, tal como están redactadas actualmente conllevan riesgos significativos de discrepancias en su aplicación, y pueden tener el efecto contrario. Socavando así el propósito de eliminar ambigüedades relacionadas con el alcance material del Artículo 5(3) de la Directiva de ePrivacy.

En primer lugar, no está claro si las directrices propuestas recogen  adecuadamente las perspectivas de las autoridades nacionales encargadas de hacer cumplir las normativas nacionales de la Directiva ePrivacy (LSSI), lo que nos plantea dudas sobre si dichas directrices reflejan las opiniones de las diferentes autoridades locales, pudiendo aumentar la incertidumbre legal en toda la Unión Europea.

En segundo lugar, las directrices propuestas tienen un ámbito expansivo de cómo se aplica la Directiva de ePrivacy a tecnologías ya existentes en el momento de redacción de la normativa, especialmente preocupante es su aplicación al Protocolo de Control de Transmisión (TCP/IP) así como a mecanismos de almacenamiento efímero como la RAM o diferentes memorias caches. Esto no solo se encuentra desalineado con los objetivos de la Directiva de ePrivacy cuyo objetivo era proteger la esfera privada de los usuarios, sino que también contradice las posiciones establecidas adoptadas por reguladores locales. Ello plantea la posibilidad de una aplicación inconsistente, así como disparidades económicas en toda Europa.

En tercer lugar, las directrices propuestas eliminan toda distinción entre operaciones que pueden implicar el seguimiento de actividades de los usuarios y aquellas que no, como la entrega de publicidad contextual o la prevención del fraude publicitario o actividades de seguridad. Al no proporcionar orientación sobre cómo podrían aplicarse las dos exenciones previstas por la Directiva de ePrivacy a las nuevas posiciones adoptadas por el EDPB, muchas operaciones fundamentales para el funcionamiento de Internet podrían estar sujetas a consentimiento. Esto tendría el efecto perjudicial de empeorar el fenómeno de fatiga del consentimiento, así como actuar como un desincentivo para que las empresas favorezcan prácticas orientadas a la privacidad.

Recomendaciones:

Las asociaciones firmantes recomiendan al EDPB revisar la propuesta de directrices de manera que se reflejen sus competencias reales y no regulatorias, para así alinear su análisis tanto con el objetivo principal de la Directiva de ePrivacy de proteger la esfera privada de los usuarios como con la orientación interpretativa emitida por las autoridades locales competentes emitidas durante los últimos años.

Además, es esencial que cualquier nueva guía o recomendación proporcionada por el EDPB sobre el asunto de referencia recoja no solo las prohibiciones sino también aquellas actividades que pueden ser exceptuadas del requisito de consentimiento bajo el artículo 5(3) de la Directiva de ePrivacy bajo criterios y consideraciones técnicas y empresariales realísticas.

Más información

Descarga el posicionamiento

Tras la publicación por parte de la AEPD de la Guía sobre el Uso de cookies para herramientas de medición de audiencia, te informamos que esta nueva Guía ha sido elaborada a modo de complemento de la Guía sobre el uso de las Cookies, ante la necesidad de permitir actividades de medición y analítica bajo determinadas condiciones.

Recordamos que las modificaciones publicadas en julio relativas a la Guía sobre el uso de las Cookies ya son plenamente aplicables y, por tanto, se debe otorgar un mecanismo para rechazar las Cookies en la primera capa de los avisos de Cookies y privacidad (CMPs). Por ello, y tras conversaciones de la industria con la AEPD, se ha adoptado la nueva Guía que permite exceptuar ciertas herramientas de medición y analítica del consentimiento.

La AEPD, al igual que la autoridad francesa de protección de datos (CNIL), ha declarado que los siguientes casos de uso de cookies son estrictamente necesarios para la prestación del servicio y, por tanto, pueden llegar a estar exceptuados de consentimiento:

• Medición de audiencia, página por página.
• La lista de páginas desde las que se ha seguido un enlace para solicitar la página actual (a veces llamada “referente”), ya sea interna o externa al sitio, por página y agregada diariamente.
• Determinación del tipo de dispositivo, navegador y tamaño de pantalla de los visitantes, por página y agregados diariamente.
• Estadísticas de tiempo de carga de la página, por página y agregadas por hora.
• Estadísticas sobre el tiempo dedicado a cada página, la tasa de rebote, la profundidad de desplazamiento, por página y agregadas diariamente.
• Estadísticas sobre las acciones de los usuarios (clics, selecciones), por página y agregadas diariamente.
• Estadísticas sobre la zona geográfica de origen de las solicitudes, por página y agregadas diariamente.

En cualquier caso, y para que puedan ser exceptuadas de consentimiento, se deben cumplir las siguientes garantías y condiciones:

• Los usuarios deben ser informados de la utilización de estas Cookies o tecnologías similares consideradas exentas con el propósito de medición de audiencias, por ejemplo, a través de la política de privacidad.
• La vida útil de estas Cookies o tecnologías similares se limitará a un período que permita una comparación significativa de audiencias a lo largo del tiempo, como es el caso de una duración de trece meses, y que no se extenderá automáticamente en nuevas visitas. La información recopilada a través de estas Cookies o tecnologías similares se conservará durante un período máximo de veinticinco meses. En cualquier caso, la vida útil y periodo de conservación mencionados anteriormente estarán sujetos a revisión periódica para limitarse a lo estrictamente necesario.
• Cuando el editor recurra a un proveedor de servicios de medición de audiencia tendrá que cumplir con las siguientes garantías adicionales: realizar y documentar una evaluación de la configuración de las herramientas proporcionadas por el proveedor para garantizar el cumplimiento de los requisitos anteriores, además de tener con el proveedor un compromiso contractual de encargo del tratamiento en el que se exponga:
  •  La obligación no reutilizar los datos recopilados en ningún caso, en el marco del contrato.
  • Restringir el tratamiento de los datos a los propósitos establecidas anteriormente como estrictamente necesarios.
  • Cumplir con las garantías establecidas para el caso de dar servicio a múltiples editores.
  • Que toda transferencia de datos fuera de la Unión Europea cumple con las condiciones de cumplimiento establecidas en el RGPD.

• Además, un proveedor que proporcione un servicio de medición comparativa de audiencia para varios editores debe dar garantías objetivas al editor de que los datos se recopilan, procesan y almacenan de forma independiente para cada editor y que las Cookies (o tecnologías similares) utilizadas son completamente independientes las unas de las otras y de cualquier otra cookie o tecnología similar.