El nuevo Reglamento Europeo de Protección de Datos (GDPR en sus siglas en inglés) ha sido lo más parecido a una bomba atómica lanzada en el epicentro de Internet. De la noche a la mañana, todo el ciberespacio ha tenido que adaptar su funcionamiento por una ley de aplicación directa sobre los derechos de más de 500 millones de ciudadanos de los (hasta ahora) 28 Estados de la Unión Europea. Porque el GDPR los protege allá donde naveguen, lo que implica que no importa dónde esté radicada una web: si un europeo la visita, la web debe estar convenientemente adaptada. Algunos medios han decidido no pasar por el aro y vetar directamente el acceso a los europeos o incluso obligarlos a pagar. Otros, como el periódico 'USA Today', han creado un insulso híbrido específico para ellos, que muestra contenidos informativos sin publicidad e incluso sin enlaces para no perder a esos usuarios sin tener que explicarles qué se hace con sus datos (porque básicamente no se recopilan).
Sin embargo, otros medios habrán pasado horas hasta dar con cómo cumplir el GDPR, y probablemente han llegado a una conclusión inteligente: mejor ser rigurosos y hacer las cosas bien. Es el caso de Oath, el grupo estadounidense surgido de la fusión de AOL y Yahoo: al entrar por primera vez en alguna de sus webs, la compañía ofrece una profunda explicación de lo que sucederá con nuestros datos e incluso ofrece la posibilidad de gestionar al milímetro qué anunciantes podrán acceder a ellos.
En media-tics hemos analizado las explicaciones, que también proporcionan otros medios, para explicarte cómo gestionar la publicidad que ves en Internet.
Al entrar en alguna web de Oath, la compañía nos muestra un mensaje explicativo sobre la nueva normativa. En él piden "tu consentimiento para instalar cookies en tu dispositivo con el fin de utilizar tus datos de búsqueda, ubicación y navegación para entender tus intereses y personalizar y medir anuncios en nuestros productos". Hasta ahora, el mensaje sobre cookies que mostraban las webs se limitaba a explicar al usuario que se hacía uso de esas piezas de código y que la navegación implicaba su aceptación.
El GDPR obliga a explicar a los usuarios de forma clara qué se hace con sus datos, lo que Oath demuestra con su explicación sobre las cookies incluso con ejemplos: "Cuando buscas una película, usamos tu ubicación para mostrarte los cines cercanos más relevantes". En otro apartado, solo si el usuario requiere más información, Oath explica que "cuando te desplazas y deslizas el dedo por nuestros sitios y aplicaciones, empezamos a tener conocimiento de lo que te gusta, y mejoramos progresivamente las historias, los vídeos y los anuncios que te mostramos". A priori parece una explicación superficial, pero es posible llegar a detalles que por un lado dan miedo (a pesar de que ya sabíamos que todo esto sucedía), pero, por otro lado, demuestran que por primera vez en mucho tiempo volvemos a tener cierto poder sobre nuestros datos.
Si, por ejemplo, pedimos más información a Oath sobre qué hacen con nuestros datos en las webs, obtendremos una exhaustiva explicación que la categoriza según las fuentes de las que provienen:
1) De ti: "Nos proporcionas tus datos cuando interactúas con nosotros", citando como ejemplos cuando "abres una cuenta" en Oath, "publicas, cargas, compartes o almacenas comentarios, fotos, vídeos, mensajes y otros elementos" o cuando "te registras para obtener servicios de pago o que requieren tu información financiera".
Este apartado no tiene mayor recorrido, dado que se ciñe a datos que proporciona voluntariamente cada usuario.
2) De tus dispositivos: "Es posible que uses tu smartphone por la mañana, un equipo de escritorio en el trabajo y un portátil o tablet en casa", explica la compañía, que añade datos que recogen de cada uno de ellos, como direcciones IP, cookies, versión del navegador o sistema operativo.
En realidad, ya sabíamos que esta información era recopilada por las webs que visitamos e incluso por nuestro proveedor de acceso a Intener, como se encarga de recordarnos el Modo Incógnito de Chrome.
3) De tu ubicación: "Para poder ofrecerte una experiencia uniforme donde quiera [sic] que vayas, recogemos información de ubicación, que puede incluir dirección IP, proximidad de la señal de GPS, WiFi, Bluetooth y de la torre celular, datos de la ubicación en la que se crearon, publicaron y enviaron mensajes, fotos y vídeos, y búsquedas de ubicación realizadas en otros dispositivos, aplicaciones, páginas de marcas comerciales y lugares publicitarios".
Aunque está suficientemente claro, Oath nos está explicando que pueden acceder al lugar más o menos exacto desde el que entramos a una de sus webs y que incluso pueden saber el lugar en el que hicimos una fotografía que luego hemos compartido en alguna de ellas. Resulta obvio que todos los que utilizamos Facebook sabemos que las compañías digitales pueden acceder a esta información, que en realidad tampoco nos sorprende a estas alturas.
4) De tus clics: "Utilizamos cookies y otras tecnologías para ver sitios y aplicaciones que visitas, tanto de Oath como otros, contenido que has leído o visto, el tiempo que pasas en un sitio o con una aplicación o la frecuencia con que repites, anuncios que has visto o recorrido, que han recibido tus clics, que has cerrado o te han animado a hacer una compra".
Este punto ya puede resultar un poco más perturbador, aunque quien haya revisado el apartado 'Mi Actividad' de Google seguramente estará curado de espanto: las webs pueden saber prácticamente todo lo que hacemos en Internet. Ese "todo" es literal: no importa que estés leyendo 'El País' o 'elDiario.es' en un momento dado, Yahoo lo sabrá (y no digamos Google, Microsoft o Apple, quienes probablemente hayan diseñado tu navegador). ¿Qué puedes hacer al respecto? Más bien poco, pero al menos ahora sabes que esto sucede.
5) De otras fuentes, como "servicios ofrecidos por terceros" o "fuentes disponibles públicamente, como los datos del censo".
Tenemos algunas dudas sobre la posibilidad de que estas compañías accedan a censos, al menos en Europa.
Una vez conocido todo lo que se puede hacer con nuestros datos de navegación, Oath permite que los gestionemos con bastante libertad. La primera explicación al respecto nos dice que "al permitir que nuestros socios usen cookies para recoger datos similares a los que recogemos en nuestros sitios, estos podrán proporcionarte anuncios adaptados a tus intereses, como ofertas en tus productos favoritos, y podrán comprender cómo interactúas con ellos". Tenemos la opción de aceptar sin más, pero también de ir más lejos. En media-tics hemos elegido la segunda opción. Y accedemos a una pantalla con dos posibilidades: saber cómo usan sus "socios" nuestros datos o saber quiénes son esos "socios".
La primera de las opciones explica asuntos similares a los que hemos analizado antes: los anunciantes pueden acceder a nuestros datos para "seleccionar y mostrar anuncios adecuados y medir la entrega y eficacia de estos".
Sin embargo, es la segunda opción la que presenta una diferencia sustancial respecto a lo que podíamos saber antes del GDPR: qué anunciantes acceden a mis datos de navegación. En el caso de Oath, se diferencian entre los que están adscritos al Marco de Transparencia y Consentimiento de la IAB y los que no. Entre los primeros podemos encontrar más de un centenar de empresas como Taboola, Outbrain, Weborama, Rakuten Marketing, Kantar, Comcast International France, Criteo o comScore. Entre los segundos, a Amazon, eBay, Foursquare, Nielsen, O2 Telefónica o Microsoft. La mayoría de las compañías que aparecen en ambos apartados son totalmente desconocidas para el gran público, pero todas están enlazadas hacia su política de privacidad específica. Asimismo, Oath permite que bloqueemos algunas o todas, lo que ofrece la posibilidad de seleccionar qué empresas podrán mostrarnos publicidad.
La cuestión de fondo radica en que el mercado publicitario es un ente vivo, por lo que habrá nuevas empresas que en el futuro quieran anunciarse en las webs a las que ahora estamos otorgando permisos. El GDPR obliga a notificar al usuario todo cambio sobre el tratamiento de sus datos, lo que implica que la entrada de un nuevo anunciante en la web modifica el uso de esa información. ¿Cómo van a gestionarlo las empresas? ¿Tendremos que estar aceptando nuevos permisos cada vez que entre un nuevo anunciante?
Una pista nos la puede dar la configuración de las empresas que hemos mencionado: la mayoría se dedican al negocio publicitario digital, lo que sugiere que una vez hayamos otorgado el permiso a alguna de ellas, sus posteriores clientes estarán en disposición de utilizarlos sin miedo y sin estar vulnerando el GDPR. Pero esto es solo una suposición: solo el tiempo dirá cómo se implanta el GDPR en realidad...