Opinión de EDPB: Meta no puede confiar en "Pay or Okay

Dicta­men sobre las gran­des plata­for­mas en línea. Como ya argu­mentó en casos ante­rio­res presen­ta­dos por noyb, la EDPB parece haber seguido la única inter­pre­ta­ción lógica del término «consen­ti­miento libre­mente otor­gado» al anali­zar el sistema «Pay or Okay» de Meta, que cobraba a los usua­rios más de 250 euros al año por Instagram y Facebook si no consen­tían «libre­mente» el uso de sus datos perso­na­les. En lamayo­ría de los casos, no será posible que las gran­des plata­for­mas en línea cumplan los requi­sitos para un consen­ti­miento válido si enfren­tan a los usua­rios única­mente a una elec­ción bina­ria entre consen­tir el trata­miento de datos perso­na­les con fines de publi­ci­dad basada en el compor­ta­miento o pagar una tasa".

Max Schrems:«En gene­ral, Meta se ha quedado sin opcio­nes en la UE. Ahora debe dar a los usua­rios una verda­dera opción de sí/no a la publi­ci­dad perso­na­li­zada. Puede seguir cobrando a los sitios por su alcance, hacer publi­ci­dad contextual y cosas por el estilo, pero el segui­miento de las perso­nas con fines publi­cita­rios nece­sita un claro »sí" de los usua­rios"

Debate plan­teado – se nece­sitan pruebas. El dicta­men emitido hoy por el EDPB deberá anali­zarse con más deta­lle cuando se publique ínte­gra­mente. Es proba­ble que sólo sea un punto de partida para un debate más amplio sobre «Pay or Okay» en diver­sos contextos, dado que la EDPB tiene inten­ción de publi­car más direc­tri­ces a fina­les de este año que vayan más allá de las «gran­des plata­for­mas en línea». La cues­tión central sigue siendo si un modelo «Pay or Okay» puede cumplir el requi­sito legal de que el consen­ti­miento debe ser «libre­mente otor­gado» y de que se respe­ten los «verda­de­ros deseos» de los usua­rios. Al fin y al cabo, consen­tir el trata­miento de datos perso­na­les es una deci­sión de renun­ciar al dere­cho funda­men­tal a la protec­ción de datos. Por lo gene­ral, los dere­chos funda­men­ta­les no pueden «venderse» ni conce­derse a cambio de una contra­pres­ta­ción. Hasta ahora, la JEPD ha decidido en gran medida en el vacío, sin pruebas indepen­dien­tes y exhaus­ti­vas de cómo un modelo «Pay or Okay» inter­fiere en la elec­ción genuina y libre de los usua­rios.

Max Schrems, Presidente de noyb:«Acoge­mos con satis­fac­ción que la EDPB haya iniciado un debate más matizado sobre »paga o vale" y al menos haya acla­rado que las gran­des plata­for­mas no pueden utilizar «paga o vale». Sin embargo, nos preo­cupa que el primer dicta­men de hoy sea más bien prudente y se base en hechos limita­dos. Una vez que todos los hechos estén sobre la mesa, confia­mos en que «Pay or Okay» sea decla­rado ilegal de forma gene­ra­li­zada. Sabe­mos que «Pay or Okay» desplaza los índi­ces de consen­ti­miento de alre­de­dor del 3% a más del 99%, por lo que está tan lejos del consen­ti­miento «libre­mente otor­gado» como Corea del Norte de una demo­c­ra­cia. Es crucial obte­ner todas las cifras relevan­tes para tomar nuevas deci­sio­nes más allá de Meta y las plata­for­mas más gran­des"

Se nece­sita una tercera opción. La EDPB también mencionó la posibi­li­dad de intro­ducir una tercera opción más allá de «Pay or Okay», que hasta ahora ha sido amplia­mente igno­rada por la indus­tria. De hecho, hay muchas formas de mone­tizar un sitio web, como la publi­ci­dad contextual, la coloca­ción de produc­tos, los conte­ni­dos de pago o los modelos free­mium, en los que deter­mi­na­dos conte­ni­dos sólo están dispo­nibles previo pago. Mien­tras el sector intenta limitar el debate a dos opcio­nes («pagar» o «vale»), la EDPB ha subra­yado que el RGPD no limita otras formas de finan­ciar produc­tos, aunque puedan ser menos renta­bles.

Pay or Okay es el fin del consen­ti­miento «libre­mente otor­gado». Como hemos adver­tido en los últi­mos meses, «Pay or Okay» supone costes enor­mes para los consumi­do­res (fácil­mente 35.263,20 euros para una fami­lia de cuatro miem­bros), que supe­ran con creces los ingre­sos publi­cita­rios actua­les de los editores, que a menudo ascien­den a unos pocos cénti­mos. La media actual de ingre­sos por publi­ci­dad progra­má­tica en la UE es de 1,41 euros al mes por usua­rio en todos los sitios web. En países como Austria, Alema­nia, Fran­cia, España o Italia, visitar los 100 prin­cipa­les sitios web puede costar ya más de 1.500 euros al año si no se consiente el segui­miento. En el vídeo de fondo de la semana pasada, también desta­ca­mos la proble­má­tica dinámica de toma de deci­sio­nes de «Pagar o Acep­tar», que cambia el «libre deseo» de los usua­rios del 3% que quiere tener publi­ci­dad perso­na­li­zada hasta el 99,9% que (invo­lun­ta­ria­mente) hace clic en «acep­tar» si la alter­na­tiva es una factura abul­tada.

Max Schrems:«Cuando más del 90% de los usua­rios acep­tan algo que no quie­ren, no hace falta ser abogado para ver que no se trata de un consen­ti­miento 'libre­mente dado'". De hecho, 5 años después de la entrada en vigor del GDPR, esto no es más que el último »truco" para soca­var la legis­la­ción de la UE, o al menos retra­sar su cumpli­miento unos años más. Es muy proble­má­tico que las autori­da­des no hayan adop­tado ya una posi­ción clara al respecto. En los casos que hemos presen­tado en Austria o Alema­nia, vemos más bien que las autori­da­des hacen la vista gorda con el «Pay or Okay» porque fue intro­ducido por primera vez por los medios de comu­ni­ca­ción, en los que no quie­ren inter­fe­rir -aunque la ley es la misma para todos."

Ante­ce­den­tes. Hasta que el GDPR entró en vigor el 25 de mayo de 2018, Meta ha utilizado el «consen­ti­miento» en virtud del artículo 6, apar­tado 1, letra a) GDPR como base legal para el proce­sa­miento de los datos perso­na­les de los usua­rios, por ejem­plo, para publi­ci­dad. Según el GDPR, el consen­ti­miento tendría que ser espe­cífico, infor­mado, inequívoco y dado libre­mente. Meta temía, que dar a los usua­rios tal opción de sí/no limita­ría sus opcio­nes de ganar dinero en la UE, por lo que en la medi­ano­che del 25 de mayo de 2018, Meta comenzó a argu­men­tar que era parte del contrato del usua­rio para mostrar anun­cios, utilizando el artículo 6, apar­tado 1, letra b) GDPR. Esto fue decla­rado ilegal por el Tribu­nal de Justi­cia de la Unión Euro­pea (TJUE) y la Junta Euro­pea de Protec­ción de Datos (JEPD) en 2023. En 2023, Meta argu­mentó breve­mente que tenía un «inte­rés legítimo» para proce­sar datos perso­na­les con fines publi­cita­rios en virtud del artículo 6, apar­tado 1, letra f) del RGPD, hasta que empezó a volver al «consen­ti­miento» en virtud del artículo 6, apar­tado 1, letra a) del RGPD, pidiendo a los usua­rios que dieran su consen­ti­miento o paga­ran una cuota de hasta 20,99 euros por Instagram y Facebook combi­na­dos.

Las autori­da­des de protec­ción de datos norue­gas, neer­lan­de­sas y hambur­gue­sas lleva­ron el caso «Pay or Okay» ante la JEPD, que ahora ha emitido una deci­sión. Todos estos inten­tos de eludir la ley se han llevado a cabo con el apoyo activo de la Comi­sión de Protec­ción de Datos de Irlanda (CPD), como regula­dor prin­cipal de la sede de Meta en la UE, en Irlanda. Todos estos «acuer­dos» con el regula­dor irlan­dés fueron poste­rior­mente decla­ra­dos ilega­les por la EDPB o el TJUE.