Hace años que la legislación europea exige a los responsables de los sitios web pedir conformidad a los usuarios para hacer la instalación de cookies analíticas con fines publicitarios. También la entrada en vigor del RGPD (Reglamento General de Protección de Datos) en España obliga a las empresas a pedir a los navegantes una aceptación expresa de las cookies.
Por su parte, la Agencia Española de Protección de Datos (AEPD) o la CNIL en Francia, admiten también la posibilidad de que, en el caso de que no se acepte el uso de cookies, se impida el acceso al sitio web o la utilización total o parcial del servicio. Para ello, se debe informar adecuadamente al usuario y, además, hay que ofrecer una alternativa, no necesariamente gratuita, de acceso sin aceptar el uso de cookies.
En este sentido, la Agencia Española de Protección de Datos actualizó, en julio de 2023, la Guía sobre el uso de cookies para alinearse con las directrices del Comité Europeo de Protección de Datos (CEPD o EPDB por sus siglas en inglés).
Ante el escenario descrito, desde Secure&IT, especialistas en ciberseguridad y seguridad de la información, identifican un debate emergente entre los sitios web y los usuarios.
“Según esta normativa, los usuarios deben tener la libertad de rechazar el tratamiento de datos no esenciales sin perder acceso al servicio, teniendo alternativas de servicio equivalente, que podrían ser de pago, pero, el principal debate radica en definir qué es lo que se considera una remuneración adecuada”, explica Andrea Fernández, Consultora de Derecho TIC y Protección de Datos en Secure&IT.
La información que se extrae de las cookies
Hasta ahora, numerosas empresas encontraban beneficios significativos al aprovechar el potencial de las cookies. Según un estudio de BCG y Google, las empresas que usan datos originales proporcionados por los clientes, mediante métodos como las cookies, experimentan un aumento de hasta un 29 % en sus ingresos y reducen sus costes en un 15 %.
El propósito fundamental de las cookies es rastrear y proporcionar información a las marcas y empresas sobre el comportamiento de los usuarios en internet. Su aceptación implica aceptar de forma voluntaria el uso de ciertos datos que les facilitas, aunque sean anonimizados, para mejorar la segmentación publicitaria.
Existen dos tipos de cookies, las propias que recopila cada sitio web y las que, posteriormente, son facilitadas por la fuente original a terceros sin que el usuario haya manifestado consentimiento alguno. Así, el 70% de las cookies son de terceros y rastrean nuestra actividad para ofrecernos publicidad personalizada. No obstante, Google ha desactivado las cookies de terceros para el 1% de los usuarios de Chrome y espera eliminar por completo estos elementos de rastreo a finales de este año 2024, si es que no aplica una nueva moratoria.
El modelo ‘pay or ok’
Muchas páginas web han adoptado el modelo pay or ok (consiente o paga). Así, un sitio web o aplicación dirigida al consumidor puede poner un precio a cualquier opción de rechazo de cookies. Esto provoca que la gran mayoría de los usuarios acepten el uso de sus datos personales o se vean obligados a pagar una tarifa que, en algunos casos, puede ser superior a los ingresos generados por las empresas por el uso de los datos.
Aunque el CEPD no se ha pronunciado todavía sobre este modelo, a juicio de Secure&IT, “sí que deja claro que la utilización de patrones oscuros, la pre-marcación de checkbox o la ocultación de un botón de “rechazo” de cookies en una segunda capa informativa del banner, infringe el Reglamento General de Protección de Datos (RGPD)”
Como asegura Fernández, “en el ámbito de la publicidad personalizada intervienen tantos elementos (calidad y contenidos de terceros, publicidad, personalización, seguimiento en línea y acceso a servicios, etc.) que reducir esto a dos opciones (“acepta el uso de tus datos” o “paga), parece no ser la mejor alternativa”.
Y añade: “En ocasiones se interpreta que la monetización de datos conlleva implícita una pérdida de privacidad o una vulneración de derechos, pero, no necesariamente, tiene que ser así. Las organizaciones deben trabajar para alcanzar un equilibrio justo entre los derechos de los usuarios y los intereses comerciales de las empresas”.
A la espera de que se pronuncie el Comité Europeo de Protección de Datos y las autoridades de control nacionales sobre este nuevo modelo, en Secure&IT se plantean otros muchos interrogantes como la posibilidad de hallarnos ante un cambio de paradigma donde las web van a un modelo de suscripción o qué precios podrían cobrar las páginas web en el supuesto de que rechaces las cookies.
¿Pero no iban a desaparecer las cookies en 2024?
La respuesta inmediata a la pregunta planteada es sí, pero con un matiz: que para 2024 está prevista solo la desaparición de cookies de terceros (las third-party cookie), al menos eso es lo que ha comunicado Google.
Desde Súmate, agencia internacional de marketing digital, explicancómo será este cambio y las mejores estrategias para adaptarse a él. Según esta agencia, como alternativa frente a las cookies de terceros, se abre paso el paradigma cookieless, con unas nuevas reglas de juego que alimentan la confianza y priorizan la seguridad y la protección de los datos de los usuarios.
“Todavía está por ver cuál será la repercusión de estos cambios, pero es indudable que hay que prepararse desde ya mismo para el nuevo escenario cookieless”, apunta Carmen Ceballos, directora general de Súmate. “Además, no debemos perder de vista que tenemos a las puertas la implementación del Consent Mode v2.0, que Google establece como obligatoria para todos los anunciantes a partir de marzo”.
El Consent Mode v2.0 es la nueva solución proporcionada por Google para ayudar a los anunciantes a cumplir con las regulaciones de protección de datos en materia de consentimiento, mientras siguen obteniendo lo mejor del uso de servicios como Google Ads o Analytics, manteniendo las funcionalidades de medición y personalización para aplicaciones y sitios web a través de la modelización estadística. El nuevo modelo cuenta con mayor número de parámetros en comparación con la versión anterior.
¿Cómo moverse en un entorno ‘cookieless’?
Según Súmate, para desenvolverse correctamente en este entorno cookieless, organizaciones y marcas deben tener en cuenta cuatro factores:
Obtención de datos propios. El first-party data, o datos propios, es aquel conjunto de información reunida a través de la comunicación explícita y libre con el usuario. Para conseguirlos se puede recurrir a formularios, newsletter, promociones o sorteos, entre otros. Algunas vías para obtener datos propios cedidos de forma voluntaria por parte de los consumidores pueden ser los formularios, promociones o sorteos, entre otras.
Nuevas herramientas de Google: Privacy Sandbox. En paralelo a la retirada de las cookies de tercera parte, Google lleva tiempo trabajando en su proyecto Privacy Sandbox, cuyo objetivo es facilitar el acceso a internet con mayor seguridad y control por parte de los usuarios.
Privacy Sandbox es un nuevo marco que pone límites a la recogida de lo que se conoce como Personally Identifiable Information (PII), es decir, datos sensibles que permiten identificar a una persona de manera individualizada. Google apuesta ahora por una recogida de datos agregada, que respeta la privacidad de los usuarios, pero que a la vez sirve para ofrecerles anuncios relevantes en base a sus intereses. Google da, incluso, la opción de seleccionar en los ajustes de la cuenta las temáticas acerca de las cuales se desea visualizar promociones durante la navegación.
Publisher Advertiser Identity Reconciliation (PAIR). Es una solución que ofrece a los medios de comunicación y anunciantes la opción de mostrar anuncios solo a audiencias con las que han interactuado previamente.
Uso de modelos predictivos. Herramientas como la inteligencia artificial han popularizado el uso de modelos predictivos que ayudan a prever el comportamiento y que compensan la ausencia de datos de terceros a la hora de planear las campañas publicitarias. Con esta información es posible diseñar estrategias customer centric, con acciones muy personalizadas para que las marcas logren comunicarse con su target en el lugar y en el momento precisos.
Otra opción posible es la que incluye la propuesta de Appcelerate con una dilatada experiencia en la obtención de datos geoespaciales basados en la movilidad física de los usuarios.
