¿El fin del “Pay or Ok”?

¿El fin del “Pay or Ok”?

El auge del concepto del “Pay or Ok”

Este fenómeno del “Pay or Ok” toma su comienzo en enero de 2023 cuando el Comité Europeo de Protección de Datos (en adelante, el CEPD) multó con 390 millones de euros a la empresa Meta por considerar que no disponían de una base de legitimación adecuada para realizar publicidad personalizada a sus usuarios, la cual fundamentaron posteriormente en el interés legítimo. Sin embargo, el Tribunal de Justicia de la Unión Europea (en adelante, el TJUE) se pronunció sobre este asunto en julio de 2023 dictaminando que el tratamiento de los datos personales que estaba llevando a cabo Meta era ilegal. Por ello, meses más tarde, el CEPD finalmente le prohibió a Meta el tratamiento de datos personales de sus usuarios del EEE para publicidad comportamental cuando este se basara en el contrato suscrito con sus usuarios y en el interés legítimo.

De hecho, la Agencia Española de Protección de Datos (en adelante, la AEPD) tomó en consideración estas nuevas directrices del CEPD y publicó una nueva Guía sobre el uso de las cookies que establecía nuevas obligaciones para todos los responsables de las webs, que debían implementar y cumplir antes del 11 de enero de 2024.

Entre las diferentes directrices que se establecen sobre el uso de las cookies, se introduce la obligación de incluir en todas las webs la opción de rechazar las cookies en la primera capa informativa (o banner de cookies).

Esta obligación de tener que ofrecer a los usuarios la opción de poder rechazar las cookies llevó a Meta a buscar una alternativa ante el descenso de ingresos publicitarios que estaba sufriendo, implementando lo que se denomina “Pay or Ok” (consiente o paga) o “cookie paywalls”, es decir, se ofrece a los usuarios que, en el caso de no otorgar su consentimiento para la instalación de cookies publicitarias, paguen una cantidad económica para poder seguir navegando por la web o plataforma sin que las cookies sean instaladas y puedan rastrear el dispositivo.

Este fenómeno del “Pay or Ok” potenciado por Meta ha sido copiado en los últimos meses por un gran número de plataformas y sitios web que han comenzado a ofrecer a sus usuarios el pago de suscripciones para acceder a su contenido sin el uso de estas cookies publicitarias.

Análisis de la normativa “consiente o paga”

Tras la proliferación del fenómeno “Pay or OK”, numerosas ONGs han criticado su uso por considerar que el consentimiento otorgado por los usuarios para la instalación de las cookies y el tratamiento de los datos obtenidos no se encuentra fundamentado en un consentimiento libre, sino que este se encuentra condicionado.

El pasado mes de abril, el Comité Europeo de Protección de Datos (CEPD) se ha pronunciado sobre este asunto en el Dictamen 08/2024 sobre el «consentimiento o pago» de las grandes plataformas en línea, cuyo contenido ha sido elaborado teniendo en cuenta el RGPD, la Directiva sobre la privacidad y las comunicaciones electrónicas o las recientes normas sobre servicios (DSA) y mercados digitales (DMA).

El Dictamen ha sido adoptado a raíz de la solicitud presentada por las autoridades neerlandesas, noruegas y de Hamburgo para la protección de datos y aborda la validez del consentimiento para tratar datos personales con fines de publicidad comportamental en el contexto de los modelos de «consentimiento o pago» desplegados por las grandes plataformas.

En concreto, el CEPD ha establecido que el uso de estos modelos “Pay or OK” no cumplen con los requisitos para obtener un consentimiento válido de los usuarios, en tanto únicamente ofrecen a los usuarios a elegir entre otorgar su consentimiento para el tratamiento de los datos personales con fines de publicidad comportamental o pagar una tasa. Sin embargo, estas plataformas deben ofrecer una tercera alternativa gratuita que no suponga el pago de una cuota para que sus datos personales no sean tratados con fines de publicidad comportamental.

Alternativas para empresas y usuarios

En conclusión, estas empresas deben considerar la posibilidad de proporcionar a los usuarios una alternativa equivalente que no implique el pago de una tasa o cuota. En el caso de optar por cobrar una cuota por el acceso a la alternativa equivalente, deben considerar la posibilidad de ofrecer una alternativa adicional.

Esta alternativa adicional deberá ser una alternativa gratuita que no conlleve publicidad comportamental, como, por ejemplo, ofrecer una publicidad que implique el tratamiento de datos personales menores o nulos para que, de esta forma, sí cumplan con los requisitos de obtención del consentimiento válido de los usuarios.

El hecho de obtener el consentimiento de los usuarios para fines de publicidad comportamental únicamente ofreciendo como alternativa el pago de una cuota, supone no cumplir con los principios del art. 5 del RGPD y, en consecuencia, que el consentimiento obtenido para dicho tratamiento no sea conforme al RGPD.

Por tanto, las plataformas deberán tener en cuenta los criterios de dependencia, perjuicio, desequilibrio y granularidad para que el consentimiento de los usuarios sea prestado libremente y de forma válida, conforme a lo establecido en el RGPD.

Para los usuarios, el hecho de que las grandes plataformas adopten una alternativa válida y legal para que los usuarios otorguen el consentimiento del uso de sus datos supondrá que no regalen sus datos o paguen para no cederlos, puesto que actualmente los usuarios están dando su consentimiento para el procesamiento de sus datos con el fin de utilizar un servicio o acceder a un contenido de las webs, sin entender las implicaciones legales que supone dicha elección.

Por último, es importante destacar que la AEPD ha actualizado la Guía sobre el uso de cookies incluyendo estas nuevas directrices del Comité, donde ha hecho hincapié en la importancia de que estas plataformas cumplan con el principio de minimización de datos, el cual obliga a los responsables del tratamiento a asegurarse de que únicamente sean tratados los datos estrictamente necesarios para la actividad publicitaria.

A pesar de que el dictamen publicado por el CEPD hace referencia únicamente a las grandes plataformas, el Comité ha comunicado que se encuentra trabajando en un futuro segundo posicionamiento aplicable a todos los modelos de consentimiento o pago, y no solo a los implementados por las grandes plataformas en línea, con quienes contará con su colaboración para elaborar nuevas directrices sobre modelos de «consentimiento o pago» con un alcance más amplio que espera publicar durante el primer semestre de 2025.