El Comité Europeo de Protección de Datos dictamina sobre los modelos de «consentimiento o pago» de las grandes plataformas 

El Comité Europeo de Protección de Datos (CEPD, o EDPB en siglas inglesas) emitió, el 17-4-2024,  un dictamen¹ a solicitud de las autoridades de protección de datos holandesa, noruega y de Hamburgo.

Este dictamen:

• aborda la validez del consentimiento para tratar datos personales con fines de publicidad comportamental a partir de los modelos de consentimiento o pago de las grandes plataformas en línea,² e
• indica que se refiere a las «grandes plataformas en línea», como las define el artículo 3.i) de la conocida como ley de servicios digitales.³

Resumimos los criterios del Comité en este dictamen.

Modelos de consentimiento o pago

El dictamen

1. entiende por «modelos de consentimiento o pago» los que un responsable del tratamiento ofrece a los interesados para que elijan entre al menos dos opciones para acceder a un servicio en línea:
   • consentir el tratamiento de sus datos personales para un fin determinado, o
   • pagar una cuota y acceder al servicio en línea sin que sus datos personales sean tratados para ese fin;
2. expresa en el dictamen que, en la mayoría de los casos, las grandes plataformas en línea no podrán cumplir con los requerimientos del consentimiento válido si solo proponen esas dos opciones para tratar sus datos para fines de publicidad comportamental.

Consentimiento

Recuerda, además, que se entiende como consentimiento: «toda manifestación de voluntad, libre, específica, informada e inequívoca, mediante la que el interesado, por declaración o mediante una clara acción afirmativa, consienta el tratamiento de datos personales que le conciernan» (artículo 4.11 del Reglamento General de Protección de Datos⁴).

Evaluación de la validez jurídica

Estos modelos de consentimiento o pago plantean cuestiones  sobre la interpretación y aplicación del propio consentimiento.

Por eso, el dictamen:

• evalúa la validez del consentimiento cuando se utiliza como base jurídica para tratar datos personales con fines de publicidad comportamental en los modelos de consentimiento o pago de las grandes plataformas en línea, y
• recalca la necesidad de que los responsables del tratamiento cumplan todos los requisitos de la protección de datos, pero en particular los requisitos para un consentimiento válido.

Requisitos para que el consentimiento sea válido

Para que el consentimiento  sea válido, tiene que ser:

1. Libre. Es decir, tiene que haberse dado libremente. Para esto, las grandes plataformas en línea deben tener en cuenta:
   • si el interesado sufre un perjuicio como consecuencia de no dar o retirar su consentimiento;
   • si existe desequilibrio de poder entre el interesado y la plataforma:
     • para esto, hay que considerar factores como la posición de la empresa en el mercado, la existencia de efectos de bloqueo o de red, la medida en el que el interesado confía en el servicio y la categoría de los usuarios del servicio;
   • si hay disponible una alternativa equivalente:
     • es decir, que se dé a los interesados una versión alternativa del servicio en cuestión ofrecida por el mismo responsable del tratamiento que no implique el consentimiento para tratar datos personales para publicidad comportamental; y
   • si la tasa es apropiada.
2. Informado. Los responsables del tratamiento tienen la responsabilidad de crear y documentar un proceso de información que permita a los interesados comprender plena y claramente el valor, el alcance y las consecuencias de sus posibles opciones.
3. Específico. Las grandes plataformas en línea deben definir y delimitar con precisión los fines de las actividades de tratamiento para las que se requiere el consentimiento.

Recomendación final

Con esta interpretación, en la mayoría de los casos, las grandes plataformas en línea no van a cumplir los requisitos para un consentimiento válido si se basan en que el usuario elija entre una opción binaria como la indicada antes.

El CEPD, en este dictamen:

1. Por una parte, recuerda:
   • que los datos personales no pueden considerarse una mercancía comercializable, y
   • que las grandes plataformas en línea deben evitar que el derecho fundamental a la protección de datos se transforme en una característica por la que los interesados tengan que pagar para disfrutarlo.
2. Por otra, dictamina:
   • que ofrecer solo una alternativa de pago al servicio que incluye el tratamiento con fines de publicidad comportamental no debería ser el camino que, por defecto, sigan los responsables del tratamiento;
   • que, por el contrario, deberían considerar la posibilidad de ofrecer una «alternativa equivalente» a la versión del servicio con publicidad basada en el comportamiento que no implique el pago de una tasa: por ejemplo una forma diferente de publicidad que no esté basada en el comportamiento.