- El Tribunal Regional de Berlín determinó, en una demanda de la federación alemana de organizaciones de consumidores vzbv, que algunas prácticas de tratamiento de datos de LinkedIn vulneran el control de los usuarios
- El aviso de LinkedIn de que continúa con el seguimiento con fines de análisis y marketing aun ignorando la señal Do Not Track del navegador puede inducir a error a los usuarios
- También se prohibió configurar automáticamente como público el perfil mediante el valor predeterminado de Profile Visibility para cuentas nuevas; para que sea visible para no miembros, se requiere consentimiento explícito
- En algunos fallos anteriores también se abordaron como problemáticos el envío de correos no deseados a no miembros y las cláusulas que obligan a renunciar a ciertos derechos legales
- Este fallo podría sentar precedente, pero para que Do Not Track se convierta en una protección real hará falta una aplicación sostenida en toda la UE
Fallo de un tribunal alemán sobre las prácticas de datos de LinkedIn
- El Tribunal Regional de Berlín prohibió algunas prácticas de tratamiento de datos de la plataforma de networking profesional LinkedIn
- La demanda fue presentada por la federación alemana de organizaciones de consumidores vzbv
- El tribunal determinó que LinkedIn no puede ignorar la señal Do Not Track enviada por el navegador del usuario
- La señal Do Not Track comunica que el usuario de internet rechaza el seguimiento de su actividad en línea
- LinkedIn informaba que, aun recibiendo esa señal, realizaba seguimiento en su sitio web con fines de análisis y marketing
- El tribunal consideró que, como LinkedIn debe respetar las solicitudes Do Not Track, ese aviso era una comunicación engañosa
- También se prohibió la configuración predeterminada que hace públicos automáticamente los perfiles de nuevos usuarios
- El valor predeterminado de Profile Visibility de LinkedIn pone la información del usuario en estado público inmediatamente después de crear la cuenta
- El tribunal consideró que publicar información del usuario sin consentimiento viola las normas de protección de datos
- Para que el perfil de un usuario sea visible para no miembros, el usuario debe dar su consentimiento explícito
- En algunos fallos anteriores también se prohibieron otras prácticas de LinkedIn
- Enviar correos no deseados a no miembros
- Usar términos y condiciones que obligan al usuario a renunciar a ciertos derechos legales
Tareas pendientes para hacer cumplir Do Not Track
- vzbv considera esta decisión como un caso que confirma que los consumidores pueden ejercer su control sobre los datos personales
- Cuando un usuario activa Do Not Track, envía un mensaje claro de que no quiere que se monitoree su actividad en línea
- La postura es que los operadores de sitios web deben respetar esa señal
- El fallo en sí es un avance, pero es difícil que una sola decisión alemana cambie de forma significativa las prácticas de privacidad de los usuarios
- Do Not Track existe desde hace años, pero muchos sitios lo han ignorado sin mayores consecuencias
- Este caso podría sentar precedente, pero también podría quedar como un fallo aislado en Alemania
- Para un cambio real se necesita una aplicación sostenida en toda la UE
- Los reguladores han sido criticados por no actuar con suficiente rapidez hasta ahora
- Aun si todos los sitios europeos cumplieran, sigue existiendo la posibilidad de que las empresas tecnológicas trasladen el seguimiento invasivo fuera de Europa
- Se considera que los banners de consentimiento de cookies se han vuelto casi un trámite formal
- Las protecciones de privacidad y consentimiento como Do Not Track dependen en gran medida del cumplimiento voluntario de las empresas
- Las empresas que buscan su propio interés encuentran formas de eludir reglas que fortalecen los derechos de los usuarios
- Algunos sitios pueden aparentar respetar señales como DNT, pero es fácil sortearlas mediante prompts de consentimiento superficiales
- Una protección de privacidad significativa requiere replantear cómo se construyen los sitios y cómo se monetizan
- Silicon Valley tiene pocos incentivos para abandonar el capitalismo de vigilancia
- Big Tech habla de privacidad mientras recopila la mayor cantidad de datos posible
- Si no cambia el modelo de negocio, medidas voluntarias como Do Not Track pueden quedar en gestos vacíos
1 comentarios
Opiniones de Hacker News
Esta sentencia es excelente, y espero que se mantenga en la apelación que probablemente sea inevitable. La forma más obvia de eliminar los avisos de cookies sitio por sitio es hacer que DNT sea legalmente exigible.
Dirijo una agencia que crea sitios web para organizaciones sin fines de lucro, y si DNT está activado, no rastreamos ni mostramos avisos de cookies. Aun así, me pregunto si deberíamos mostrar un aviso de una sola vez que diga “verificamos tu configuración de DNT y desactivamos el rastreo”, por si el usuario sospecha que, al no haber aviso de cookies, “seguramente rastrean por defecto”.
Si hacen eso, existe la posibilidad de que el usuario acepte para quitarse el banner de cookies, y el sitio web pueda argumentar que el consentimiento específico otorgado al sitio prevalece sobre la negativa general de DNT.
Todavía no entiendo por qué los sitios web no pueden encontrar soluciones publicitarias propias en lugar de recurrir a terceros. Los sitios grandes se ven hechos un desastre por anuncios colocados sin criterio.
Deberían elegirse cuidadosamente por personas y colocarse en la página como anuncios de revistas o periódicos; así la experiencia sería mejor y no haría falta rastreo. La expectativa de que el rastreo era necesario para tener “buenos anuncios” no se cumplió, y al final elegir productos que la gente quiera comprar debería hacerlo una persona con buen gusto.
Por eso compran paquetes a grandes proveedores, y esos proveedores entregan las estadísticas de forma centralizada. Esto también sirve para mantener a los dueños de los medios más o menos honestos, porque el fraude de clics y de impresiones puede ser generalizado. Siempre hay formas de desviar presupuesto sin entregar lo que el anunciante quiere, y el usuario final queda atrapado en una carrera armamentista entre estafadores y marketers, y entre marketers y usuarios. Esta sentencia les devuelve un poco de sentido común a quienes se declararon no combatientes.
Eso implica encontrar anunciantes, negociar tarifas, preparar informes de ubicación y respuesta de los anuncios, detectar fraude de clics, convencer al socio publicitario de que se está enfrentando el fraude y persuadirlo de que, según el contrato, algún día recibirá su dinero. El anunciante querrá contrastar esos informes con los registros de interés que entran a sus propios sistemas.
Piénsalo desde la perspectiva de un comprador de publicidad: si algún sitio web cualquiera me dice que va a mostrar mi anuncio, ¿cómo sé qué estoy obteniendo?
Por fin. El encabezado Do Not Track es la negativa definitiva al consentimiento. Es un “no” explícito, y forma parte de un encabezado de solicitud sobre el que el servidor no puede alegar desconocimiento.
Que la web se haya convertido en un caos de pop-ups de consentimiento pese a que existía Do Not Track muestra la mala fe de estas empresas. Está claro que intentaron eludir la voluntad del usuario y, peor aún, convirtieron eso en un bit adicional para rastrear. Me alegra que haya un precedente legal.
Sería bueno que los navegadores tuvieran una forma de especificar esto de manera explícita, pero eso inevitablemente también abriría la puerta a listas de excepciones. En una interpretación extrema, cumplir con DNT podría significar que no se pueden usar sitios que requieren iniciar sesión.
La mayoría de las tonterías de contratos implícitos que definen la relación entre consumidores y empresas son teorías legales basura. Nunca debieron haberse reconocido en primer lugar.
El hecho de que el sistema legal los haya permitido y respaldado muestra lo intelectualmente frágiles que son la filosofía y la ética de la profesión jurídica. Las empresas usan cosas como términos de servicio y contratos de licencia de usuario final como si fueran conjuros, especialmente en las interacciones digitales, pero eso no es consentimiento: es un ritual ridículo para quitarles derechos a usuarios y consumidores. Si un derecho puede ser arrebatado por unos términos, entonces no existía para empezar. La idea misma de “por acuerdo” es falsa en estas situaciones, pero si hay que jugar así, también se podría inclinar la cancha al revés. Algo como: “Al entregar una página web a este navegador, usted acepta lo siguiente…”. En cuanto se deje una cookie o se registre un dato, se podría crear un valor predeterminado seudolegal a favor del usuario. Las condiciones de que debas aceptar X antes de usar un producto que compraste deberían invalidarse, y si revelar datos o aceptar términos es condición para usar el producto, el consumidor debería tener derecho a reembolso total indefinido. Si para usar un dispositivo hay que aceptar un contrato coercitivo diseñado para no ser leído, entonces al menos debería existir el derecho a rechazarlo y recibir un reembolso total en cualquier momento, o como mínimo ese acuerdo debería anularse.
Los contratos de licencia de usuario final deben presentarse antes de que el usuario obtenga la app o el dispositivo. Por eso Steam exige aceptar primero los EULA de terceros antes de descargar un juego, y en la página de la tienda muestra una barra amarilla visible para poder leer el EULA de terceros. Algo como “un enlace al EULA en la parte de atrás de la caja” no está permitido. E incluso en ese caso, gran parte de un EULA que vaya más allá de cuestiones de responsabilidad suele ser ilegal, porque intenta prohibir derechos que ya tenías. Hasta donde sé, Estados Unidos es casi el único país donde estos EULA de tipo “abrir el empaque” tienen más utilidad que papel higiénico premium. Aunque no soy abogado.
Buena noticia. Ahora me gustaría ver si esto también llega a tratarse en el Tribunal de la UE si el asunto es impugnado. Aunque sospecho que la industria publicitaria preferirá pelear país por país antes que arriesgarse a perder de una sola vez en toda la UE.
Si en Alemania este asunto llega hasta el Tribunal Federal de Justicia (BGH), se planteará una “cuestión prejudicial” ante el Tribunal de Justicia de la Unión Europea sobre la interpretación de la ley aplicable de la UE, en este caso el GDPR, y otros tribunales nacionales también tomarán en cuenta ese precedente. Si LinkedIn no apela, tendrá que acatar este fallo, y aun así no es raro que los tribunales nacionales consulten jurisprudencia de otros países.
Para que cada país use esta interpretación, probablemente habrá que litigar país por país, pero será un precedente al 100% también para otros países de la UE.
Según entiendo, LinkedIn no fue obligado a respetar el encabezado DNT en su procesamiento real. Lo único que se le prohibió fue afirmar que no lo respeta porque el encabezado DNT no es jurídicamente vinculante.
El tribunal no obligó a LinkedIn a respetar efectivamente el encabezado DNT, ni siquiera a tenerlo en cuenta. Como hablante nativo de alemán, así entendí también este artículo de heise online, que normalmente es confiable: https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...
Primero, no especificaba con suficiente precisión qué significa exactamente DNT. En particular, la demanda no se limitaba al encabezado DNT, sino que mencionaba todo tipo de señales configuradas enviadas por el navegador. Segundo, describía de forma demasiado amplia las conductas que LinkedIn debía detener al encontrarse con esas señales. Si el fallo se mantiene, claramente parece abrir la puerta a futuras demandas, y uno podría esperar que las empresas afectadas anticipen esto y ajusten su conducta, pero no me haría demasiadas ilusiones.
[1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
Dicho eso, el fallo en sí trata sobre esa afirmación y no sobre si se respeta DNT o no, así que en ese punto tienes razón.
El problema que siempre aparece cuando se habla de rastreo es que el alcance de la palabra es demasiado amplio. Por ejemplo, hay tres casos: el dueño de una tienda que observa a los clientes para evitar robos y analiza sus recorridos para acomodar los productos; una tienda en línea que rastrea qué productos mira la gente y qué carritos se abandonan más; y una red publicitaria global que recibe la mayor parte de la actividad de navegación en todo Internet para crear perfiles publicitarios.
¿No dirían que en algún punto de ese eje una diferencia de escala se convierte en una diferencia de tipo? Personalmente, me parece bien observar lo que hace un usuario en mi sitio web, pero creo que se necesita consentimiento explícito cuando los datos se comparten con terceros.
El perfil publicitario que tiene Google se puede ver y modificar directamente [1] [2]. Lo tengo activado por curiosidad, para ver más o menos qué descubre, y hasta ahora los temas de anuncios han sido muy generales y nada preocupantes.
[1] https://myadcenter.google.com/
[2] chrome://settings/adPrivacy/interests (al usar Chrome de escritorio)
Si el objetivo del rastreo es una persona, se necesita el consentimiento de esa persona. Si el objetivo del rastreo es un objeto inanimado, en general es probable que esté bien. Pero si al rastrear un objeto inanimado terminas rastreando a una persona, entonces debes obtener el consentimiento de esa persona.
“No podemos proporcionar este contenido porque Do Not Track está activado en tu navegador”.
¿Incluiría esto a los navegadores que tienen el encabezado DNT activado por defecto? Recuerdo que las primeras versiones de Edge o las últimas de Internet Explorer enviaban este encabezado por defecto, y que también lo afirmaban en su publicidad.
Creo que en ese momento la especificación decía que se podía ignorar si el encabezado se enviaba siempre o si no lo había activado el usuario.
Supongamos que la tía Agatha leyó sobre la configuración DNT en una revista y, al entrar a la configuración del navegador, vio que ya estaba activada, así que no hizo nada. No es distinto del tío Ulysses, que usa otro navegador donde viene desactivada por defecto, entra a la configuración y la activa. Si mi buzón tiene una calcomanía que dice que no quiero recibir publicidad no solicitada, no hace falta ponerse a adivinar quién pegó esa calcomanía.
También se podría argumentar que usar un navegador con el encabezado DNT configurado por defecto ya implica haber tomado una decisión sobre privacidad al elegir ese navegador. Las empresas de publicidad no quieren ese argumento; quieren que el usuario haga opt-out en cada navegador. Idealmente, les gustaría simplemente ignorar el encabezado en sí, como de hecho hicieron después de que Microsoft lo activara por defecto en Explorer.
La situación original de Internet Explorer era distinta porque venía preinstalado con el sistema operativo. Incluso hoy, muchas veces es dudoso que haya posibilidad de elegir el sistema operativo en cierto hardware de consumo, y en ese entonces probablemente en muchos casos era más bien “no la hay”.
Parece que nadie mencionó Global Privacy Control. En esencia, es un encabezado HTTP pensado para tener fuerza legal bajo la CCPA, y es distinto de DNT.
Firefox tiene una opción para activarlo, al menos en Beta. Referencias:
https://globalprivacycontrol.org/
https://global-privacy-control.glitch.me/
https://privacycg.github.io/gpc-spec/
https://www.huntonprivacyblog.com/2021/07/15/california-atto...