El RGPD ha establecido nuevos derechos y obligaciones en materia de protección de datos, con el objetivo de proteger los derechos y libertades de usuarios y consumidores. Sin embargo, esta normativa tiene un carácter muy general y se hace necesario complementarla con otra más enfocada al tratamiento de datos en el entorno de internet y las nuevas tecnologías. Y aquí es donde entra el Reglamento e-Privacy.
En este artículo hablamos de:
¿Qué es el Reglamento e-Privacy?
De momento, tan solo una propuesta.
La propuesta de Reglamento e-Privacy ha sido publicada por la Comisión Europea, con el objetivo de sustituir a la anterior Directiva 2002/58/CE sobre la privacidad y las comunicaciones electrónicas.
Como vemos, el anterior reglamento data del año 2002 y, aunque se realizó una actualización en 2009, hoy se encuentra totalmente desfasado y no es acorde a las evoluciones tecnológicas y a las necesidades que implica el nuevo escenario de las comunicaciones online.
Objetivos del Reglamento ePrivacy
Uno de los principales objetivos del Reglamento ePrivacy es adecuarse a la Estrategia para el Mercado Único Digital, cuya finalidad es incrementar la seguridad de las comunicaciones digitales y la confianza de los usuarios en el uso de estos servicios.
Por otro lado, la nueva propuesta de ley también busca alinearse con los dispuesto en el Reglamento (UE) 2016/679 de protección de datos, para garantizar la máxima protección de la seguridad e intimidad de los usuarios, en este caso en el contexto de las comunicaciones electrónicas. Otro de sus fines principales asegurar un escenario de competencia equitativa entre los agentes del mercado.
La nueva propuesta ePrivacy también se está diseñando para ofrecer la mayor coherencia posible con el resto de políticas de la Unión Europea. Para ello, la Comisión elaboró en 2016 un Código Europeo de las Comunicaciones Electrónicas. Aunque el Reglamento e-Privacy no formará parte de dicha propuesta, sí se alineará con sus pautas de actuación y se basará en las definiciones que figuren en este código.
Ámbito de aplicación
El Reglamento e Privacy se aplicará al tratamiento de datos en comunicaciones electrónicas realizadas como consecuencias de las prestaciones y uso de estos servicios. Además, también se refiere al uso de la información obtenida sobre los equipos o terminales de los usuarios de dichos servicios.
En concreto, la propuesta del Reglamento e-Privacy señala la aplicación de la ley en los siguientes supuestos:
- Prestación de servicios basados en comunicaciones electrónicas a cualquier usuario de la Unión Europea, independientemente de si se trata de servicios de pago o gratuitos.
- Uso de estos servicios por parte de los usuarios.
- Protección de la información obtenida de los equipos de los usuarios que participen en las comunicaciones electrónicas dentro de la Unión Europea.
¿A quién afecta?
Este Reglamento afecta tanto a particulares como a empresas.
El respeto de las comunicaciones es un derecho fundamental reconocido no solo en nuestro país también en el marco legislativo de la Unión Europea.
Usuarios particulares
El contenido de las comunicaciones entre varios usuarios pueden desvelar información muy delicada, como por ejemplo:
- experiencias personales
- problemas de salud
- preferencias sexuales
- opiniones políticas
Empresas
Pero el contenido de los mensajes también pueden revelar información sensible de las personas jurídicas, como secretos comerciales o algún tipo de documento confidencial con alto valor económico.
¿Cuándo entra en vigor esta normativa?
Originalmente, la intención ambiciosa era dejar que el nuevo Reglamento de privacidad electrónica se aplicara el 25 de mayo de 2018 (la misma fecha que el RGPD).
Esa línea de tiempo no solo fue ambiciosa, sino que también resultó ser imposible, debido a:
- el borrador del texto se publicó tarde (10 de enero de 2017),
- los numerosos comentarios y críticas de las delegaciones desde que se publicó y
- es necesario debatir aún muchas cosas antes de llegar a un acuerdo entre el Consejo y el Parlamento.
Aún queda trabajo por hacer, por lo que se prevé que el Reglamento e-Privacy no entre en vigor hasta 2021-2022, o incluso más adelante.
Relación entre el Reglamento ePrivacy y el RGPD?
Es lógico pensar que la nueva norma que pretende regular la privacidad de los usuarios en las comunicaciones electrónicas (Reglamento e-privacy), tenga mucho que ver con la norma que regula la protección de datos de carácter personal (RGPD).
A través de las comunicaciones damos información y muchos datos que nos pueden identificar, además de los identificadores de los mensajes y llamadas.
Si tomamos como referencia a los datos de carácter personal:
- lo que pretende el RGPD es su protección en un sentido amplio
- y el Reglamento e-privacy es la protección de los mismos en el ámbito de las comunicaciones electrónicas
Al igual que el RGPD, el e-Privacy tendrá sus propias reglas extraterritoriales. Las empresas estadounidenses con sitios web eventualmente se encontrarán directamente bajo esta norma.
Y si las empresas violan estas reglas de cookies, pueden enfrentar fuertes multas similares a las del RGPD de hasta el 4% de los ingresos globales.
Un aspecto muy positivo tanto para los consumidores como para las empresas es que bajo el Reglamento e-Privacy se simplificará el proceso de consentimiento de cookies . El borrador actual incluye reglas para centralizar la configuración de cookies en el software como una forma de evitar esos molestos banners de cookies.
En resumen: los servidores web leerán directamente las opciones de permisos de cookies que los usuarios han configurado, por ejemplo, en sus navegadores y facilitarán la vida de los usuarios.
Esta norma también cubrirá una clase mucho más amplia de comunicaciones, que incluye mensajería web, Voz sobre IP (VoIP), chat, así como servicios de correo electrónico basados en la web. El e-Privacy se refiere a esto como comunicaciones Over-the-Top.
WhatsApp, Skype, Slack, y un montón de otras empresas más pequeñas que ofrecen servicios de comunicaciones similares estarán bajo el ámbito de aplicación de dicha normativa.
Principales diferencias
Cada reglamento se redactó para reflejar un segmento diferente del derecho de la UE. El RGPD fue creado para consagrar el Artículo 8 de la Carta Europea de Derechos Humanos en términos de protección de datos personales, mientras que la regulación de privacidad electrónica fue creada para consagrar el Artículo 7 de la carta con respecto a la vida privada de una persona.
El ámbito privado del usuario final está cubierto por las regulaciones de privacidad electrónica, por lo que es un requisito para la protección de la privacidad del usuario en cada etapa de cada interacción en línea.
Es importante recordar que la regulación de ePrivacy se creó para complementar y particularizar el RGPD, por lo que las reglas del RGPD son siempre relevantes y una parte general de los aspectos legislativos del Reglamento ePrivacy.
La directiva ePrivacy tiene en cuenta el amplio sector minorista en línea en términos de cómo se podría utilizar la información personal y, en este sentido, es lo que agrega a las regulaciones generales que conforman el RGPD.
Novedades del Reglamento e-Privacy
Algunas de las novedades del Reglamento e-Privacy tienen que ver con la cesión de consentimiento, el tratamiento de los metadatos o el uso de cookies, entre otras cuestiones.
Consentimiento
Como venimos diciendo, el Reglamento de e-privacy se aplica a todos los datos de comunicaciones electrónicas (sean personales o no).
Introduce un consentimiento más estricto para la publicidad digital.
Y debido a su interconexión con el RGPD se introduce un “explícito consentimiento” en todos sus términos.
Manifestación de voluntad por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos.
Por lo tanto el consentimiento debe ser:
- libre
- específico
- informado
- inequívoco
Metadatos
Además, esta normativa regula por primera vez a los metadatos, que de una forma simplificada podemos decir que son los datos que generamos cuando navegamos por internet o mandamos un whatsapp, como la hora de conexión, la localización, etc.
El uso propuesto de intereses legítimos como una base legal para procesar metadatos de comunicaciones electrónicas también está demostrando ser polémico.
El Reglamento los define de la siguiente forma:
“Datos tratados en una red de comunicaciones electrónicas con el fin de transmitir, distribuir o intercambiar contenido de comunicaciones electróncias.
Se incluyen los datos :
- que permiten identificar el origen y el destino
- sobre la ubicación del dispositivo ( generados en el contexto de la comunicación )
- fecha
- hora
- duración
- tipo de comunicación
E-mail marketing
El Reglamento e-Privacy establece que los usuarios finales no pueden recibir comunicaciones de marketing directo a menos que hayan dado su consentimiento.
Luego proporciona una serie de exenciones, incluida la comercialización a clientes existentes, y establece reglas para los vendedores, incluida la obligación de revelar su identidad y brinda la oportunidad a los destinatarios de optar por no recibir más comunicaciones de comercialización.
El último borrador del Consejo se refiere a comunicaciones de marketing ‘no solicitadas’ y directas, y agrega la opción para que los estados miembros establezcan un límite de tiempo después del cual las organizaciones no pueden enviar comunicaciones de marketing a sus clientes.
Ten en cuenta que, aunque el RGPD establece que “el procesamiento de datos personales con fines de marketing directo puede considerarse realizado con un interés legítimo”, el Reglamento de privacidad electrónica, como ‘lex specialis’ a la ‘lex generalis’ del RGPD, anulará este, por lo que si la versión final requiere consentimiento, los intereses legítimos no serán válidos para el marketing directo a pesar de que el RGPD dice que sí.
Los usuarios finales también tendrán el derecho absoluto de objetar, en cuyo caso debes dejar de enviar esos e-mails lo antes posible. También debes informarles sobre ese derecho, así como el hecho de que tienes la intención de utilizar sus datos para fines de marketing directo.
Por lo tanto está claro que se introduce un consentimiento más estricto para la publicidad digital.
Si el consentimiento requiere una acción afirmativa, se produce un problema:
¿Cómo lo van a obtener los terceros que no mantienen una conexión directa con el usuario?
Excepción
No se exigirá ese acto directo por parte del interesado cuando éste haya solicitado un servicio cuya prestación requiera recoger datos y aplicar tecnologías como las cookies.
Cookies
La Directiva de privacidad electrónica fue apodada la “Ley de cookies“, ya que llevó a muchas organizaciones a introducir muros de cookies y mecanismos de consentimiento que impedían a los usuarios finales acceder a sitios web a menos que aceptaran a ciegas las cookies.
El Reglamento de privacidad electrónica está destinado a eliminar problemas como estos, al tiempo que brinda a las personas privacidad en línea y protege la confidencialidad de sus equipos terminales.
La propuesta de la Comisión establece que las cookies que se utilizan solo para procesar información de forma anónima ya no deberían requerir el consentimiento del usuario final. Esto debería significar menos muros de cookies y pancartas para los usuarios finales.
En la propuesta se retienen muchas otras exenciones de consentimiento, incluidas las cookies necesarias para:
- Transmitir una comunicación;
- Seguridad;
- Facturar o cobrar pagos; o
- Detectar o detener el fraude.
Sin embargo, a pesar de que hay menos restricciones sobre cómo puede recopilar los datos de las comunicaciones electrónicas, el Reglamento de privacidad electrónica establece reglas sobre cómo deben almacenarse, protegerse y borrarse esos datos.
Sin embargo, en octubre de 2019, el Tribunal de Justicia de la UE dictaminó que los usuarios deben consentir activamente que las empresas almacenen cookies en sus equipos, independientemente de “si la información almacenada o accedida en el equipo del usuario es información personal”. Deberíamos esperar ver esto reflejado en el borrador final del Reglamento.
El nuevo reglamento de e-Privacy afectará a las cookies pero también a las direcciones IP, a los píxeles y, en general, a cualquier elemento que sirva para rastrear a un usuario, ya sea con fines comerciales o no.
El nuevo Reglamento propone dejar de lado los avisos informativos de las webs y obtener el consentimiento a través del navegador, eligiendo la configuración de privacidad en la instalación.
Los navegadores deben asegurarse de que los usuarios puedan revisar fácilmente sus opciones y mantener sus preferencias.
¿Y en la práctica en que se traduce?
Se quiere acabar con el antiguo sistema de de consentimiento general de las cookies, es decir, que cuando naveguemos por diferentes páginas no tengamos que aceptar la primera vez las cookies y estas queden perpetuas, si no que como usuarios utilizamos las preferencias de privacidad de nuestro navegador y adaptemos el servicio a nuestros gustos.
Es decir, el navegador se transforma en un fuerte filtro de protección de la identidad y datos de perfil del usuario.
Ad blockers
Un ad blocker es un software que permite “bloquear” la visualización de anuncios mientras navegas.
Hay que destacar que la propuesta no regula específicamente el uso de ad blockers.
Los usuarios tienen la libertad de instalar software en sus dispositivos que deshabilita la visualización de anuncios, pero la Comisión es consciente de que el contenido gratuito en Internet suele financiarse con ingresos publicitarios.
Por tanto, la propuesta permite a los sitios web comprobar si el dispositivo del usuario puede recibir su contenido, incluidos los anuncios sin obtener el consentimiento del usuario y preguntar a los usuarios si estarían dispuestos a apagarlo.
Internet de las cosas
Respecto a los dispositivos conectados (Internet de las Cosas), establece la necesidad de transparencia e información con avisos destacados sobre el uso de los datos.
Lo que se pretende es que el usuario sepa en todo momento donde están sus datos y que se hace con ellos.
Preguntas frecuentes
Todas estas novedades hacen que nos hagamos las siguientes preguntas:
¿Qué sucede con mi tienda online?
Esta normativa nos afecta de muchas maneras:
- reduce el tiempo de vigencia de las cookies
- limita la captación de datos mediante cookies de terceros
Esto se traduce en que nos será mas difícil dar contenido publicitario de relevancia personal, y el usuario se encontrará en muchos casos con publicidad general.
Ejemplo práctico
Antes podíamos instalar cookies potentes de terceros que hacían que recopilaban las preferencias del usuario y hacían que se encontrara siempre sus artículos favoritos como recomendaciones en la tienda online y por lo tanto mejoraba la probabilidad de compra por parte del usuario.
Ahora al limitar el uso de las cookies, se hará más difícil la personalización de los anuncios y por lo tanto se traducirá en una peor venta.
¿Es necesario adoptar la Ley e-Privacy?
Sí y de forma precisa.
Las sanciones serán mucho más grandes que las que hay ahora.
El régimen sancionador será el mismo que el RGPD, por lo que se podrán imponer multas de hasta 20 millones de euros o el 4 % de la facturación anual.
Esperamos que te haya quedado claro qué es esta nueva normativa y que implica. No obstante siempre estamos encantados de resolver tus dudas en el Tlf 91 489 64 19. Grupo Ático34 está aquí para ayudarte.