Actualización de la Guía sobre Cookies de la AEPD en lo que los modelos de “Consentimiento o pago” de las grandes plataformas se refiere
Como consecuencia de la publicación por el Comité Europeo de Protección de Datos (CEPD) del dictamen 8/2024, sobre la oferta por parte de las grandes plataformas en línea de acceso a sus servicios sin publicidad mediante el pago de una tarifa (“consentimiento o pago” o “pay or okay”), en la que el CEPD señala que, en la mayoría de los casos, no será posible que cumplan los requisitos de un consentimiento válido, si solo ofrecen a los usuarios una elección entre el consentimiento y el pago de una tarifa; la AEPD ha actualizado el punto “3.2.10. Posibilidad de denegación de acceso al servicio en caso de rechazo a las cookies” de su guía sobre cookies, quedando con el siguiente redactado:
3.2.10. Posibilidad de denegación de acceso al servicio en caso de rechazo a las cookies:
Siguiendo las directrices del CEPD sobre el consentimiento, para que este se dé libremente, el acceso a los servicios y funcionalidades no debe supeditarse a la aceptación por el usuario del uso de cookies. Por ello, no podrán utilizarse los denominados “muros de cookies” que no ofrezcan una alternativa al consentimiento, tal y como se explica a continuación. Este criterio resulta especialmente importante en aquellos supuestos en los que la denegación de acceso impediría el ejercicio de un derecho legalmente reconocido al usuario, por ser, por ejemplo, el acceso a un sitio web el único medio facilitado al usuario para ejercitar tal derecho.
Podrán existir determinados supuestos en los que la no aceptación de la utilización de cookies impida el acceso al sitio web o la utilización total o parcial del servicio, siempre que se informe adecuadamente al respecto al usuario y se ofrezca una alternativa, no necesariamente gratuita, de acceso al servicio sin necesidad de aceptar el uso de cookies. Conforme establecen las Directrices 05/2020 sobre el consentimiento del CEPD, los servicios de ambas alternativas deberán ser genuinamente equivalentes, y además no será válido que el servicio equivalente lo ofrezca una entidad ajena al editor.
Sobre la gratuidad de acceso a los servicios de internet se ha planteado la cuestión de en qué circunstancias y condiciones los modelos de “consentimiento o remuneración” (también llamados popularmente “pay or okay”) relativos a la publicidad comportamental pueden ser aplicados por las grandes plataformas en línea de una manera que constituya un consentimiento válido y, en particular, libremente dado, de manera que legitime el tratamiento por dichas grandes plataformas en línea de los datos personales de los interesados (los usuarios).
A este respecto, el Comité Europeo de Protección de Datos (CEPD) ha aprobado el dictamen 8/2024, que afecta exclusivamente a la oferta por parte de las grandes plataformas en línea de acceso al servicio sin publicidad comportamental mediante el pago de una tarifa. Entre las grandes plataformas en línea a que se refiere el dictamen cabe citar, a modo de ejemplo, las grandes redes sociales. Por otra parte, se espera que durante el primer semestre de 2025 el CEPD publique una Guía de aplicación general sobre la validez del consentimiento en modelos “pay or okay”.
El dictamen 8/2024 señala que, en la mayoría de los casos, no será posible que las grandes plataformas en línea cumplan los requisitos para entender que el consentimiento ha sido válidamente otorgado por los interesados si aquellas solo ofrecen a los usuarios una elección binaria entre el consentimiento para el tratamiento de datos personales con fines de publicidad comportamental y el pago de una tarifa que evite dichos tratamientos de datos personales.
Y añade el CEPD que la oferta de (únicamente) una alternativa de pago al servicio que incluya el tratamiento con fines de publicidad comportamental no debe ser el camino por defecto para los responsables del tratamiento, indicando que, al desarrollar la alternativa a la versión del servicio con tratamiento de datos personales para ofrecer publicidad comportamental, las grandes plataformas en línea deben considerar la posibilidad de proporcionar a los interesados una «alternativa equivalente» que no implique el pago de una tarifa.
Si los responsables del tratamiento optan por cobrar una tarifa por el acceso a la «alternativa equivalente» también deben considerar la posibilidad de ofrecer otra alternativa gratuita, sin publicidad comportamental que, en principio, pueda considerarse equivalente.
Esta alternativa, añade el CEPD, podría consistir en publicidad general o contextual. Es decir, una publicidad que requiera el tratamiento de menos o de ningún dato personal del destinatario, como, por ejemplo, que se basase en una selección de materias que elija el sujeto de entre una lista de asuntos de interés facilitada por la plataforma (Cfr. Parágrafo 75 del dictamen 8/2024).
Esta opción deriva del principio de minimización de datos, que obliga a los responsables del tratamiento, quienes deben asegurar que solo serán tratados los datos necesarios para la actividad publicitaria. El ofrecimiento de esta alternativa gratuita es un factor particularmente importante a la hora de valorar si el consentimiento otorgado para la publicidad comportamental sería considerado como válido y no se ha producido detrimento al interesado.