Siguiendo con el hilo argumental de la obra publicada entre Septiembre de 2009 y Abril de 2010, bajo el título ?Marketing y Protección de Datos?, procedemos a abordar en este texto alguna de las novedades recientes que a nuestro modo de ver afectarán a la industria del marketing digital en un futuro no muy lejano, y es que la realidad es que un mundo tan cambiante y en plena evolución como el de Internet, tiende a dejar obsoleta una regulación del año 2002, como lo es la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, ?LSSICE?). Esto es debido a que las técnicas de marketing online que han ido apareciendo desde la entrada en vigor de la ley y seguirán surgiendo en un futuro, a veces tienen un difícil encaje en la regulación de la LSSICE que, como decimos, tiene más de 8 años de vigencia. Es por este motivo que en este capítulo especial, haremos referencia a dos realidades normativas (una de ámbito comunitario y otra que se encuadra en la autorregulación del sector del marketing online), que a nuestro modo de ver, influirán de forma muy directa en ciertas actividades llevadas a cabo actualmente relacionadas con el marketing online: estamos hablando de la Directiva 2009/136/CE, de 25 de noviembre de 2009, que modifica la anteriormente citada Directiva 2002/22/CE y el Anexo al Código Europeo de Conducta de la FEDMA (Federation of European Direct and Interactive Marketing), de Junio de 2010.

Directiva 2009/136/CE, de 25 de noviembre de 2009

Esta Directiva comunitaria, viene a abordar una realidad que suele darse en cualquier conexión a Internet y que por consiguiente, es susceptible de afectar a cualquier usuario de la Red. Actualmente las tecnologías de la información permiten rastrear la actividad de las personas que se conectan a Internet, de forma que ?viendo? y analizando las pautas de navegación de los usuarios y los sitios web visitados, permiten ?clasificarlos? según sus gustos y preferencias. Esta información permite que compañías de marketing especializadas dirijan a dichos usuarios mensajes comerciales específicos, basados en el conocimiento que de ellos tienen gracias a dichas herramientas tecnológicas. Esto es posible, muchas veces, sin ni tan siquiera, haberles pedido sus datos y, menos aún, su consentimiento. A día de hoy la herramienta más utilizada para colmar este propósito, son las cookies, un fichero informático en el que se recoge información de la IP y de la máquina desde la que se ha realizado una conexión y que se aloja en el ordenador del usuario de Internet.

Esta realidad tecnológica ha desarrollado un mercado relacionado con el marketing online en el que participan básicamente tres sujetos: (a) La empresa de marketing (Ad networking provider), proveedor de servicios de publicidad online; (b) el publicista (Publisher), empresa que configura su página web para incluir un mensaje publicitario de un tercero y que facilita que la cookiese aloje en el ordenador del usuario y (c) el beneficiario de la publicidad (Advertisers), que promociona sus productos o servicios a través de las webs de publicista que trabajen con una empresa de marketing. Bajo este modelo, al usuario que acceda a la web del publicista le será insertada una cookie en su ordenador de forma que sea posible detectar cuando el citado usuario vuelve a acceder a la web o cuando este navegue por otras webs de publicistas controladas por la empresa de marketing. Así será posible conocer sus gustos dentro de esta red de webs de publicistas y lanzarle mensajes de los beneficiarios de la publicidad dentro de dicha red. Técnicamente pues la cookie permite e implica dos acciones:

• El alojamiento de la misma en el ordenador del usuario.

• Su consulta posterior cuando el usuario entra a Internet.

Pues bien esta situación, ha sido abordada de pleno por la Directiva 2009/136/CE y es que a partir de su transposición en las leyes de los Estados miembros, cualquier almacenamiento de información o acceso a la información ya almacenada, en el equipo terminal del usuario, requerirá su previo consentimiento. Esta obligación es plenamente exigible a los Estados miembros, a partir del 25 de mayo de 2011.

A pesar de que actualmente es complicado conocer cómo se incorporará esta obligación en las leyes de los Estados miembros, si que podemos dar algunas pinceladas del Grupo de Trabajo del Artículo 29, que en su Informe 2/2010, de 22 de junio de 2010, aborda una cuestión de tanta importancia práctica como es la forma en que debe recabarse este consentimiento para que sea considerado válido a la luz de la Directiva:

• El Informe del Grupo de Trabajo considera que no serán adecuadas a la obligación de la Directiva, la obtención del consentimiento al que hace referencia esta norma comunitaria, ?escondida? en textos legales de las webs, de forma que haga imposible, a la práctica, el conocimiento por parte del usuario que los acepta.

• Según el Grupo de Trabajo, tampoco sería colmado este requisito en el caso que la aceptación de las cookies se diera por defecto, en la configuración inicial de los navegadores utilizados para acceder a Internet (como sucede actualmente en la mayoría de ellos).

• Por el contrario sí que se consideraría adecuado el navegador que por defecto rechaza la instalación de cookies y en que el propio usuario cambia esta configuración para aceptarlas.

• En cualquier caso la información y obtención del consentimiento para el uso de cookies deberá hacerse de forma ?clara, comprensible y completa?.

• En definitiva el Grupo de Trabajo propone que el sistema para la aceptación de cookies mientras se navegue por Internet en general o una web en particular, deberá hacerse mediante una manifestación expresa del usuario en ese sentido (opt-in) y, añade, que no debe solicitarse dicho consentimiento cada vez que el usuario entre en Internet o en las páginas que usen cookies, sino que dicho consentimiento valdrá para posteriores conexiones, con las siguientes salvedades:

  1. Limitar la ?vida? de la cookie a un periodo de tiempo concreto. El Grupo de Trabajo propone un año.

  2. Que el consentimiento sea revocable.

En cualquier caso, y a la espera de ver como se implementa esta previsión legal, no solo en las leyes nacionales de los Estados miembros, sino también en la forma de navegar por Internet, esta previsión está claramente encaminada a que los usuarios de la Red sean más conscientes del tipo de información que de ellos se recoge durante sus conexiones (incluso cuando no dejan sus datos personales), así como a que pueda incluso cambiar los pasos para acceder a las páginas web que usan las comentadas cookies.

Anexo al Código Europeo de Conducta de FEDMA, de Junio de 2010.

FEDMA, en el marco de sus funciones de protección y asesoramiento a la industria del marketing directo e indirecto, aprobó en Junio de 2010, el Anexo al Código de Conducta del Marketing Directo de 2003, que aborda de forma muy específica, problemas y situaciones concretas con las que nos encontramos en el mundo del marketing online y la cohabitación de dichas situaciones con el derecho a la protección de datos. Antes de entrar en el contenido básico de este Anexo, cabe destacar dos aspectos a tener en cuenta sobre los Códigos de Conducta en general y sobre el de FEDMA en particular:

• En un mundo como Internet en el que la realidad supera, prácticamente siempre, cualquier intento legal de regularla o de establecer límites a ciertas prácticas, los códigos de conducta se han convertido en herramientas muy útiles a los efectos de adaptar realidades concretas (como el marketing online) a principios legales pre-establecidos (como el de protección de datos). Así, la capacidad de un sector concreto de auto-regular su práctica a través de dichos códigos, es una actividad cada vez más habitual y tiene la virtud de que los actores de un sector determinado dispongan de ciertas garantías a efectos de conocer de antemano la legalidad de una práctica concreta no recogida en la normativa vigente en cada instante.

• El Anexo al que a continuación haremos referencia, además de contar con las características atribuidas a cualquier Código de Conducta, ha recibido la aprobación del Grupo de Trabajo del Artículo 29 (Informe 4/2010, de 13 de Julio de 2010) por lo que el mismo, está de acuerdo con los criterios marcados por las autoridades de control de protección de datos de los Estados miembros de la UE, lo que a la práctica significa que seguir con sus recomendaciones, prácticamente asegura el debido cumplimiento de la normativa de protección de datos a los ojos de dichas autoridades de control.

A continuación anunciaremos, de forma breve, algunos de los contenidos del Anexo al Código de Conducta, que completan la regulación establecida en la LSSICE, estudiada en la obra ?Marketing y Protección de Datos?.

1. El Anexo aborda un tema ya estudiado en los anteriores capítulos y es la cuestión relativa a las excepciones en las que se pueden enviar comunicaciones electrónicas comerciales, sin el consentimiento del destinatario. En el citado apartado decíamos que esto sería posible siempre que se enviaran comunicaciones a clientes del anunciante y que dichas comunicaciones fueran relativas a productos o servicios ?similares? a los adquiridos o contratados, en primer lugar, por el cliente. Pues bien el Anexo arroja algo de luz a este término, al considerar que para determinar si una comunicación comercial ofrece productos o servicios ?similares? a los que se adquirieron inicialmente, el anunciante debe tomar en consideración las ?expectativas razonables del cliente? y eso se consigue informando al cliente, cuando se recaban sus datos, sobre lo que el anunciante considera productos o servicios ?similares?. Esto implica que dicha definición debería ser incluida en la política de protección de datos que el cliente lee y acepta, antes de contratar un servicio o comprar un producto determinado.

2. El Anexo también aborda la forma en que debe informarse al titular de los datos sobre la política de uso de los mismos, en el marco de campañas que utilicen dispositivos cuyas pantallas que hagan difícil mostrar la totalidad del texto que contiene el aviso legal (por ejemplo, campañas de SMS). En este caso se considera adecuado que en el dispositivo objeto de la campaña se incluya un enlace a una página web donde se incluya la información legalmente obligatoria.

3. El Código de Conducta de FEDMA, a través del Anexo aquí estudiado, confirma la doctrina seguida, entre otros por la AEPD, relativa al caso en que los datos que son utilizados en el marco de una campaña publicitaria, no han sido recabados por quien los utiliza. En este caso se confirma la obligación de quien pretenda usar dichos datos de tomar medidas para asegurar que los datos han sido obtenidos siguiendo los requisitos legalmente establecidos, especialmente comprobando el consentimiento del titular del datos para que esos sean usados con fines publicitarios.

4. El Anexo al Código de Conducta aborda la cuestión del marketing online viral o campañas de captación de clientes en las que los anunciantes utilizan sus propios usuarios registrados para obtener datos de amigos, familiares o conocidos de estos a efectos de poder ampliar sus bases de datos de usuarios registrados. En este punto el Anexo del Código de Conducta, indica que dichas campañas deben ir inspiradas por los siguientes principios:

   1. En ningún caso pueden establecerse mecanismos a través de los cuales el usuario ya registrado otorga el consentimiento de amigo, familiar o conocido, en nombre de este, para recibir comunicaciones comerciales del anunciante.

   2. Quien reciba la ?invitación de registro? (el usuario no registrado) debe ver claramente la identidad del usuario registrado.

   3. La persona en nombre de quien se envía el mensaje, debe ver, antes de su envío efectivo, el mensaje que se enviará en su nombre.

   4. La dirección de correo electrónico del usuario no registrado sólo puede ser usada por el anunciante para enviar la invitación. Cualquier uso posterior implicará que el usuario no registrado, haya leído y aceptado por su cuenta, la política de protección de datos del anunciante, para pasar a ser así un usuario registrado del mismo.

5. En relación a los menores de edad establece que quien pretenda usar sus datos con fines publicitarios, deberá prever mecanismos que permitan de forma efectiva, comprobar la edad del menor así de cómo quien otorgue el consentimiento en nombre del mismo. Dicho esto el Anexo también indica que actualmente (en el momento de aprobar el Anexo), no existe un sistema de verificación de edad en Internet que se accesible, universal y sencillo. Es por esto que la dificultad práctica de cumplir con esta exigencia es reconocida por la propia industria a través del Código de Conducta, por lo que su aplicabilidad práctica es más bien dudosa.

6. En materia de cookies el anexo sigue el criterio establecido por la Directiva 2009/136/CE, recientemente abordada e indica que la información sobre su uso en páginas web de hacerse de forma comprensiva y clara.

7. Por último el Anexo recoge entre las prácticas prohibidas en el sector del marketing directo:

   1. La recopilación indiscriminada de direcciones de correo electrónico en Internet y su posterior uso con fines publicitarios.

   2. Uso de programas malignos que interfieran en el uso de las herramientas informáticas, con fines publicitarios. Entre estas prácticas, el Anexo enumera: tomar el control del ordenador o terminal del usuario (virus, secuestro de modem, ataques de denegación de servicio o pop-ups publicitarios cuya eliminación se haga imposible para el usuario); modificar o deshabilitar la seguridad del usuario o evitar que el usuario elimine programas que afecten a su seguridad o su configuración de su privacidad.

A modo de resumen, pues tanto la Directiva 2009/136/CE como el Anexo del Código de Conducta de FEDMA, son buenos ejemplos para demostrar que el uso de datos con fines publicitarios o de marketing directo, especialmente en Internet, no ha hecho más que empezar y que los retos ante los que se encuentran los anunciantes así como sus consultores, es enorme. Los dos textos citados (uno legal y otro auto-regulador), son por tanto ejemplos claros de cómo se reacciona tanto des de los poderes públicos como des de la industria del marketing, a efectos de esclarecer situaciones que parecían poco menos que inimaginables con la aprobación de la LSSICE y que nos demuestran que la solución a problemas legales concretos en este ámbito, hay que ir a buscarlas, cada vez con más frecuencia, más allá de las leyes nacionales tradicionales de la forma en que siempre las hemos entendido.

Víctor Roselló Mallol.
Abogado. Especialista en Protección de Datos.