La aprobación del primer código de conducta bajo el RGPD en materia de tratamiento de datos en el sector publicitario y su incidencia en el ecosistema de la publicidad programática
Publicado el 23rd diciembre 2020
A raíz de la reciente aprobación por parte de la Agencia Española de Protección de Datos del Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria, el presente artículo analiza sus implicaciones en el sector de la publicidad programática.
Los últimos avances tecnológicos han transformado el sector de la publicidad digital, permitiendo que la publicidad programática gane cada vez mayor terreno y que, a través de una serie de algoritmos y códigos de programación, los anunciantes muestren en el momento y lugar (medio) adecuado sus campañas publicitarias permitiendo segmentar la audiencia y dirigiendo, por lo tanto, la publicidad al público específico de la manera más eficiente posible.
La Agencia Española de Protección de Datos (la "AEPD"), en el ejercicio de las funciones que tiene atribuidas por ley, ha aprobado el Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria (el "Código") presentado por Autocontrol (Asociación para la Autorregulación de la Comunicación Comercial) –organismo independiente de autorregulación y supervisión publicitaria–. El Código es aplicable a los tratamientos de datos personales en la actividad publicitaria realizados por entidades adheridas que estén establecidas en España o que afecten a interesados que residan en España, en este último caso siempre que los tratamientos estén relacionados con la oferta de bienes o servicios a dichos interesados en España o el control de su comportamiento en España.
A pesar de que el Código no especifica la aplicación del Reglamento General de Protección de Datos (el "RGPD") en el ámbito de la publicidad programática, lo cierto es que el mismo hace hincapié en aspectos de protección de datos que pueden aplicarse transversalmente en este sector. Así, empezando por la legitimación del tratamiento de los datos con fines publicitarios, el Código remarca que el consentimiento de los interesados debe otorgarse de manera inequívoca (por ejemplo, con la marcación de una casilla opt-in) o que, en caso de que la publicidad sea personalizada, podrá obtenerse un único consentimiento para la elaboración de perfiles y la realización de publicidad. A ello hay que añadir –aunque el Código no lo mencione– que si la tipología de datos personales objeto de tratamiento incluye categorías especiales (por ejemplo, opiniones políticas, orientación sexual, etc.) para la personalización de las campañas publicitarias, será necesario que el consentimiento del interesado sea explícito.
Aunque el Código plantea el interés legítimo como otra base jurídica para amparar el tratamiento de datos personales con fines publicitarios, no parece que éste pueda considerarse una condición válida para la licitud del tratamiento en el sector de la publicidad programática, tal y como ya manifestó la Information Commissioner's Office –ICO– (autoridad de protección de datos del Reino Unido) en su informe sobre publicidad programática del mes de junio de 2019. El motivo principal de dicho rechazo es que el tratamiento de datos personales en el ecosistema de la publicidad programática se realiza mediante el uso de cookies y tecnologías similares en páginas web o aplicaciones móviles de editores, lo que conlleva –en virtud de lo establecido en la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico– la necesidad de obtener el consentimiento informado de los usuarios. La información dirigida a los interesados debe evitar descripciones ambiguas respecto a la utilización de las cookies publicitarias, e informar –en su caso– de que la publicidad se realiza a partir de un perfil elaborado en base a la navegación o uso de la aplicación móvil por el usuario y de que se utilizan cookies o tecnologías de terceros, si fuera aplicable.
Por otro lado, el Código enfatiza la necesidad de que, en el ámbito digital, la información sobre el tratamiento de datos con fines publicitarios se facilite por capas, con textos desplegables u otras soluciones que faciliten la lectura y comprensión, aspecto que cobra especial relevancia en el ámbito de la publicidad programática en el que las prácticas relacionadas con el tratamiento de los datos personales resultan ser poco transparentes e invisibles porque en muchos casos se desconocen los terceros con quienes se comparten los datos personales y, en particular, por el crecimiento exponencial en este sector de la elaboración de perfiles, la cesión de los mismos a terceros, la obtención de datos de fuentes ajenas al interesado (incluso por asociación o combinación de conjuntos de datos), así como la toma de decisiones individuales automatizadas.
Los principios de protección de datos desde el diseño y por defecto reflejados en el Código son de especial relevancia en el sector de la publicidad programática porque la complejidad y el uso innovador de las tecnologías en que se enmarca permite la recogida y tratamiento de más datos de los que se necesitan.
Finalmente, cabe mencionar que el objetivo principal del Código es el establecimiento de un sistema extrajudicial para tramitar reclamaciones sobre protección de datos y publicidad, de forma ágil, eficaz y gratuita entre las entidades adheridas al Código y los interesados en aspectos tales como el tratamiento ilegítimo de datos personales a través de cookies y tecnologías similares de publicidad comportamental.
Aunque el nivel de conocimiento de los principios y obligaciones de protección de datos por parte de los agentes intervinientes en el sector de la publicidad programática es relativo y pone de manifiesto la complejidad de dar cumplimiento al RGPD, el Código es una herramienta que debe ser considerada por el sector en sus actividades.
