Uno de los mayores retos que plantea la evolución tecnológica y la protección de datos en la actualidad es el tratamiento de datos en el contexto de la elaboración de perfiles o profiling.
Hoy en día las empresas centran sus esfuerzos en impactar a los usuarios con publicidad cada vez más personalizada y segmentada, de manera que dicha publicidad se adapte a los intereses reales de los usuarios, tomando en cuenta aspectos tales como el rango de edad del usuario, el sexo, intereses previos mostrados en su navegación, etc.
Esto se consigue a través de la utilización de herramientas tecnológicas capaces de elaborar perfiles de los usuarios, haciendo una trazabilidad de la actividad de dichos usuarios en Internet mediante la descarga en sus terminales de cookies, etiquetas píxel y otras tecnologías similares capaces de almacenar y recuperar información.
Si bien en materia de cookies disponíamos ya de un marco regulatorio concreto, la elaboración de perfiles se trata de un aspecto que hasta el momento no estaba regulado de forma expresa por ninguna normativa.
Como ya es sabido, tal y como establece el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información, resulta obligatorio obtener el consentimiento previo e informado del usuario antes de proceder a la descarga de cookies, píxeles y otras tecnologías similares en los terminales de los usuarios. Puede obtener más información sobre la normativa de cookies en el siguiente link:
La nueva regulación del profiling
En el caso del profiling, el borrador del nuevo reglamento de protección de datos, que se prevé que entre en vigor a lo largo de este año, ofrece una definición de profiling en su artículo 4: “(…) cualquier forma de tratamiento automatizado de datos de carácter personal consistente en utilizar dichos datos para evaluar aspectos de la personalidad de una persona física, en particular para analizar y predecir los aspectos relativos al rendimiento en el trabajo, la situación económica, la salud, las preferencias personales o intereses, fiabilidad o conducta, ubicación o movimientos;(…)”.
Además, el artículo 20 regula expresamente la figura del profiling, prohibiendo con carácter general el empleo de este tipo de técnicas (art.20.1):
“El interesado tendrá el derecho a no ser objeto de técnicas de evaluación de aspectos relacionados con sus datos personales, que se basen exclusivamente en técnicas de tratamiento automatizado, incluyendo técnicas de profiling, y de las cuales se deriven aspectos legales que le afecten de manera significativa”
No obstante, el artículo 1.a matiza esta prohibición general introduciendo tres tipos de excepciones:
- Si el empleo de técnicas de profiling es necesario para dar cumplimiento a un contrato entre el afectado y el responsable del tratamiento.
- Si se autoriza el empleo de técnicas de profiling por la legislación del estado miembro aplicable al responsable del tratamiento.
- Si el empleo de técnicas de profiling ha sido expresamente autorizado por el afectado.
De esta forma, todo parece indicar que el empleo de técnicas de profiling deberá ser autorizado expresamente por el propio usuario afectado.
A la espera de un texto definitivo del nuevo reglamento europeo de protección de datos, surgen una serie de dudas en relación con la redacción del borrador del reglamento que actualmente prevista para su entrada en vigor.
¿Será necesario advertir a los usuarios expresamente de la utilización de técnicas de profiling en plataformas y sitios web? ¿Bastará con incluir la información sobre uso de técnicas de profiling en la política de privacidad? ¿Deberá informarse al usuario sobre el uso de técnicas de profiling mediante la implementación de un banner como en el caso de las cookies?
Ante esta incertidumbre en relación con la nueva regulación del profiling, deberemos estar atentos a la aprobación definitiva del reglamento europeo de protección de datos para poder dar respuesta a estas y otras preguntas.
