El consentimiento que nunca diste: los pop-ups de cookies son considerados ilegales en la UE
Un tribunal de apelaciones de la Unión Europea confirmó en un fallo que un mecanismo llamado Transparency and Consent Framework (TCF), que permite el rastreo y, consecuentemente, la publicidad en línea basada en rastreo, no es compatible con la piedra angular de la ley de protección de datos de Europa, el GDPR (Reglamento General de Protección de Datos).
Al emitir la decisión, el tribunal reafirmó la posición tomada por la Autoridad de Protección de Datos de Bélgica, que ya había llegado a la misma conclusión sobre la legalidad del TCF en 2022.
Al menos sobre el papel, esto parece una gran victoria para la privacidad, para los defensores, los usuarios y para servicios enfocados en la protección de datos como AdGuard. Y aunque la decisión se aplica solo en la UE, es un avance positivo.
Aún no está claro cómo afectará esto a las grandes empresas tecnológicas como Google, Amazon, Microsoft, Adobe y Meta, responsables de la mayor parte de este tipo de rastreo. El Interactive Advertising Bureau (IAB), que creó el TCF, tendrá que pagar una multa y hacer modificaciones al sistema. Los reguladores europeos supervisarán estos cambios.
Por qué importa esto
Puede parecer solo un montón de jerga legal alejada de la realidad, pero no lo es. Esto afecta a las personas comunes porque interactúan con este sistema diariamente, aunque no lo sepan. Este sistema es el que alimenta esos molestos pop-ups de consentimiento de cookies que (de forma velada) piden permiso para rastrear al usuario. La nueva decisión significa, en la práctica, que este modelo ya no es aceptable.
¿Desaparecerá el aviso de consentimiento de cookies y será reemplazado por otra cosa? ¿El sistema sufrirá cambios fundamentales o solo modificarán el texto? Lo descubriremos conforme la decisión comience a aplicarse. Mientras tanto, seguiremos bloqueando pop-ups de cookies para los usuarios de AdGuard siempre que no afecte el funcionamiento del sitio. Y si bloquear el aviso causa problemas, implementaremos técnicas alternativas para minimizar el rastreo relacionado con el proceso de consentimiento.
Cómo maneja AdGuard los pop-ups de cookies
En AdGuard, tenemos un filtro especial para avisos de cookies desde hace bastante tiempo, y hemos estado bloqueando diálogos de cookies de varias Plataformas de Gestión de Consentimiento (CMPs), herramientas que ayudan a los sitios a recopilar y gestionar el consentimiento del usuario, según nuestra política de filtros.
Este filtro está diseñado para bloquear tanto los pop-ups de cookies como las solicitudes hechas por las CMPs. En la mayoría de los casos, basta con bloquear u ocultar los scripts relevantes. Pero en situaciones más complejas, como cuando un sitio no muestra contenido a menos que se tome una decisión de consentimiento, usamos técnicas más avanzadas:
- Usamos scriptlets para evitar la solicitud;
- Establecemos cookies o claves en localStorage para simular una elección;
- Simulamos la interacción del usuario, como hacer clic en el botón Rechazar (nuestra opción preferida) o Aceptar (solo como último recurso).
Siempre que simulamos una elección, especialmente Aceptar, nos aseguramos de bloquear cualquier script de análisis que se cargue como resultado, usando nuestro filtro de protección contra rastreo.
Así ve nuestro CTO y cofundador de AdGuard, Andrey Meshkov, la decisión y sus implicaciones:
Nuestro punto siempre ha sido este: aunque aparezca un aviso de cookies, los usuarios de AdGuard están claramente eligiendo protegerse del rastreo, por ejemplo, activando el filtro de protección contra rastreo. Así que, incluso cuando dejamos que un diálogo se cargue, no permitimos que ocurra el rastreo. O negamos el consentimiento automáticamente, o bloqueamos los rastreadores directamente. Desde nuestra perspectiva, este enfoque siempre ha sido técnicamente sólido y conforme a las normas. Dicho esto, desde hace tiempo nos preocupa que las plataformas CMP a menudo rastreen el comportamiento del usuario durante el proceso de consentimiento, incluso antes de que se dé el consentimiento. Ahora que se confirmó que el TCF actual no cumple con los estándares del GDPR, creemos que los sitios deberían comenzar a tratar el bloqueo de una CMP como una señal válida y clara de que el usuario está negando el consentimiento. Esperamos que esta decisión haga más fácil y seguro para los usuarios gestionar su consentimiento sin tener que lidiar con pop-ups confusos o manipuladores cada vez que navegan en internet.
