Aplicación del artículo 5.3 de la Directiva ePrivacy para cookies y tecnologías similares
Fecha: 21 de noviembre de 2023
El Comité Europeo de Protección de Datos (CEPD) ha publicado las Directrices 2/2023 sobre el Alcance Técnico del art. 5.3 de la Directiva de ePrivacy (EPD) como consecuencia de la aparición de nuevas tecnologías de seguimiento y la creación de nuevos modelos de negocio. De este modo, mientras que es evidente la aplicación del artículo 5.3 de la mencionada directiva cuando el método utilizado son las cookies, es necesario precisar algunos conceptos para nuevas tecnologías o técnicas existentes.
Las Directrices identifican cuatro elementos clave para la aplicación del artículo 5.3: (A) la información, (B) el concepto de dispositivo del usuario, (C) la obtención de acceso y (D) la información almacenada y su almacenamiento. Son estos cuatro elementos los que el CEPD ha optado por conceptualizar para la aplicación del artículo, clasificándolos en el criterio A, B, C y D, respectivamente.
Cabe señalar que la aplicación del artículo 5.3 significa que dichas tecnologías deberán de ser informadas adecuadamente y se deberá de recabar el consentimiento antes de su uso.
- Elementos clave para la aplicación del artículo 5.3 de la EPD
- Concepto de “información” (criterio A): abarca un término más amplio que el de datos personales y se extiende a cualquier información almacenada en los equipos terminales del usuario.
- Concepto de “dispositivo del usuario” (criterio B): la consideración de dispositivo se hará en su conjunto, aunque pueda estar compuesto por varios elementos individuales de hardware que formen la totalidad de este.
- Concepto de “red de comunicaciones electrónicas” (criterio C): cualquier sistema de red que permita la transmisión de señales electrónicas entre sus nodos, independientemente del equipo y de los protocolos utilizados.
- Concepto de “obtención de acceso”, “información almacenada” y “almacenamiento” (criterio D): las operaciones realizadas constituyen una obtención de acceso o almacenamiento. Es por ello por lo que, para acceder a la esfera privada de un usuario, así como a la información almacenada en su dispositivo, es necesario recabar su consentimiento porque, de lo contrario, se estaría invadiendo gravemente en su privacida
Casos de uso
Las Directrices ofrecen un análisis específico de algunas tecnologías que presentan un interés relevante debido a que son ampliamente utilizados y están sujetos a la aplicación del artículo 5.3 de la Directriva de ePrivacy, conforme a los conceptos señalados anteriormente.
- Seguimiento de URL y píxeles: se trata de elementos instalados en un sitio web o en correos electrónicos que recopilan información del usuario, pueden contener identificadores que rastrean el origen del tráfico y se pueden distribuir a través de diversos canales de red. De este modo, se consideraría almacenamiento en el equipo terminal del usuario, así como una obtención de acceso. Por lo que, consecuentemente, es de aplicación el artículo 5.3 de la Directiva de ePrivacy.
- Almacenamiento local: algunas tecnologías basadas en software de almacenamiento local, donde la información producida se pone a disposición a través de la red a otros actores, constituiría una operación de obtención de acceso a información ya almacenada del usuario y sería de aplicación el artículo 5.3 de la EPD.
- Seguimiento basado únicamente en IP: algunos proveedores utilizan la dirección IP para rastrear la navegación del usuario (en algunos casos a través de múltiples dominios) siendo de aplicación el artículo 5.3, si la información, en este caso la dirección IP, ha sido originada en el equipo terminal del usuario.
- Dispositivos IoT (Internet de las cosas): estos dispositivos generan información de manera continua, la almacenan y la transmiten. Las Directrices destacan las diferencias que existen en las modalidades de recopilación, donde algunos dispositivos tienen conexión directa a una red publica y otros utilizan conexiones a través de dispositivos de retransmisión. Sin embargo, a pesar de las diferencias que pueda haber, se señala que es de aplicación el artículo 5.3 en aquellas operaciones en las que estos dispositivos recopilan información, la almacenan y, posteriormente, la envían a otro servidor, puesto que se está produciendo una obtención de acceso y, consecuentemente, se estaría cumpliendo con los cuatros elementos básicos del artículo.
- Identificador único o identificadores persistentes: es una herramienta muy utilizada por las empresas en las que, dichos identificadores, se generan a partir de la información de un usuario (como poder ser el nombre, apellidos, correo electrónico, etc.) y sirven para identificar de forma única a una persona. A pesar de que la información haya sido dada por el usuario, no impide la aplicación del artículo 5.3 de la EPD, ya que la información se almacena temporalmente en el equipo terminal antes de ser recopilada. De este modo, la entidad que recopila dicha información para la generación del identificador, le indica al navegador o al sitio web el envío de esa información, por lo que se está produciendo una obtención de acceso y es de aplicación el artículo
Conclusión
Concluyendo, el auge de estas nuevas tecnologías y técnicas ha provocado que el CEPD se pronuncie sobre el campo de aplicación del artículo 5.3 de la Directiva ePrivacy. No obstante, a pesar de que la lista de casos de usos que se indica en las Directrices no es exhaustiva, la conceptualización que se realiza de los cuatro elementos básicos, sirve para determinar cuándo podemos estar ante una tecnología que sea susceptible de entrar dentro del ámbito de aplicación de la norma.
Esta cuestión es fundamental, ya que la aplicación de dicho artículo 5.3 implica la necesidad de recabar el previo consentimiento del usuario así como dar cumplimiento a las obligaciones de transparencia.
Área de Protección de Datos de ECIJA
Telf: + 34 91.781.61.60