El Comité Europeo de Protección de Datos (“CEPD”) ha emitido un dictamen sobre el modelo de “consiente o paga” implementado por las grandes plataformas online en el que se solicita a los interesados que consientan el tratamiento de sus datos personales con el fin de adaptar la publicidad ofrecida en base a una serie de patrones de comportamiento de los usuario al navegar por la red (i.e. publicidad comportamental) o, en su defecto, paguen una cuota para acceder a las plataformas sin que sus datos personales sean objeto de análisis (“Dictamen”).

El CEPD, en su Dictamen, hace hincapié en la necesidad de que los responsables del tratamiento deben cumplir con todos los requisitos del Reglamento General de Protección de Datos (“RGPD”), especialmente con los relacionados con el consentimiento válido que los usuarios de las grandes plataformas online prestan para el tratamiento de sus datos personales con fines de publicidad comportamental.

De igual forma, recuerda que la obtención del consentimiento en estos contextos no exime al responsable del tratamiento de cumplir con los principios establecidos en el artículo 5 del RGPD, así como con los principios de necesidad, proporcionalidad, limitación de la finalidad, minimización de datos y equidad.

De forma resumida, podríamos decir que el modelo de “consiente o paga” se refiere al opción que proporciona el responsable del tratamiento a los usuarios para optar entre: a) consentir el tratamiento de sus datos personales con fines de publicidad comportamental, o b) pagar una cuota y acceder al servicio sin que sus datos personales sean tratados para dicho fin.

Alternativas al modelo “consiente o paga”

El CEPD considera que en muchas ocasiones las grandes plataformas online no podrán cumplir con los requisitos para obtener un consentimiento válido si la única opción que presentan a los usuarios es la de aceptar el tratamiento de sus datos personales para publicidad basada en el comportamiento o el pago de una cuota. Por tanto, entiende que ofrecer una única alternativa no debería ser el camino a seguir.

En su lugar, propone que se ofrezca al usuario una alternativa, entre las que se encuentran las siguientes:

(i) Una opción "equivalente" que no implique el pago de una cuota, ni el uso de tantos datos personales para ofrecer a los usuarios publicidad en base a su comportamiento.

(ii) Una opción “adicional” que no implique el pago de una cuota, ni tampoco el tratamiento de datos personales con fines de publicidad comportamental.

La opción indicada en el punto (ii) anterior es crucial para evaluar si el consentimiento otorgado es válido bajo el RGPD, dado que ofrecer una opción “adicional” gratuita y sin publicidad comportamental tiene un efecto significativo para valorar si el consentimiento es válido.

El CEPD enfatiza en que los datos personales de los interesados no pueden ser considerados como un bien comercializable; de lo contrario, se estaría limitando su derecho fundamental a la protección de datos, condicionándolo al pago de una cuota.

Requisitos del consentimiento válido

Para que el consentimiento sea válido se deben cumplir los siguiente requisitos:

(i) Consentimiento “voluntario”: Para prevenir cualquier daño que pudiera invalidar la voluntariedad del consentimiento, la cuota impuesta a los usuarios no debe ser desproporcionada al punto de condicionar la libertad de elección de los individuos. El daño también puede manifestarse cuando los usuarios que no den su consentimiento y se niegan a pagar una cuota se vean excluidos del servicio, especialmente si dicho servicio es crucial para su integración social o profesional.

A este respecto, el CEPD señala que los responsables del tratamiento tienen la obligación de determinar si existe una relación de desigualdad con el usuario, debiendo considerar la influencia que la plataforma online posee dentro del mercado o la dependencia que los usuarios puedan tener de sus servicios.

En un escenario donde se ofrezca el modelo de “consiente o paga”, el interesado debe tener la libertad de seleccionar los propósitos para los cuales otorga su consentimiento, en lugar de verse “obligado” a aceptar una solicitud de consentimiento que combina múltiples finalidades para poder disfrutar del servicio.

(ii) Consentimiento “específico”: Supone que el consentimiento debe ser otorgado para fines específicos y concretos.

(iii) Consentimiento “informado”: Ello implica que el proceso informativo diseñado por los responsables del tratamiento debe proporcionar a los interesados la información necesaria para comprender de manera clara y concisa el alcance y consecuencias de sus posibles decisiones, teniendo en cuenta la complejidad que implica el tratamiento de datos personales que se llevan a cabo en el marco de la publicidad comportamental.

(iv) Consentimiento “inequívoco”: Es importante que los responsables del tratamiento diseñen cuidadosamente la forma en la que se solicita el consentimiento a los interesados, debiendo evitarse el uso de patrones de diseño que les induzcan o puedan inducir a error al momento de tomar una decisión sobre si consienten el tratamiento de sus datos personales.

Retirada y actualización del consentimiento

El CEPD indica que las grandes plataformas online deben poner a disposición de los usuarios un mecanismo de fácil acceso para que puedan retirar el consentimiento otorgado para el tratamiento de sus datos personales en relación con la publicidad comportamental.

Asimismo, dada la naturaleza del tratamiento de datos personales en el marco de los modelos de “consiente o paga”, el CEPD concluye que el consentimiento otorgado en este contexto debe limitarse a un plazo razonable (p. ej., un (1) año).

Conclusiones

(i) En el contexto de los esquemas de “consiente o paga”, es imperativo que las grandes plataformas digitales aseguren que el consentimiento otorgado por los usuarios sea válido, es decir, voluntario, específico, informado e inequívoco. Es por ello que puede resultar problemático para estas plataformas demostrar la validez del consentimiento otorgado por los usuarios conforme al RGPD cuando en la práctica estos se ven forzados a elegir exclusivamente entre autorizar el uso de sus datos personales para publicidad comportamental o abonar una cuota para evitar dicho uso.

(ii) Por otro lado, los modelos de “consiente o paga” que se han implementado hasta ahora generan incertidumbre no solo respecto a si se satisfacen las condiciones necesarias para un consentimiento válido, sino también en cuanto a si se respetan los principios fundamentales del RGPD, como son la limitación del propósito y la minimización de los datos.

(iii) Finalmente, es importante subrayar que los datos personales no deben ser tratados como un bien de intercambio y que las grandes plataformas online deben prevenir que el derecho fundamental a la protección de datos se convierta en un servicio premium al alcance únicamente de los usuarios que accedan a pagar una cuota.

MAYO 2024

Florencia Arrébola
Asociada senior