Regulación de la FTC sobre la publicidad basada en el comportamiento

La Comisión Federal de Comercio de los Estados Unidos (FTC) ha estado involucrada en la supervisión de las técnicas de segmentación conductual utilizadas por los anunciantes en línea desde mediados de la década de 1990. Estas técnicas, inicialmente llamadas "elaboración de perfiles en línea", ahora se conocen como " segmentación conductual "; se utilizan para orientar la publicidad conductual en línea (OBA) a los consumidores en función de las preferencias inferidas de su comportamiento en línea. Durante el período comprendido entre mediados de la década de 1990 y la actualidad, la FTC realizó una serie de talleres, publicó varios informes y dio numerosas recomendaciones sobre la autorregulación de la industria y la regulación federal de la OBA. A fines de 2010, la FTC propuso un marco legislativo para la privacidad de los datos de los consumidores estadounidenses , incluida una propuesta para un mecanismo de "No rastrear". En 2011, se presentaron varios proyectos de ley en el Congreso de los Estados Unidos que regularían la OBA. ^[1]

“La Comisión Federal de Comercio ha estado involucrada en abordar cuestiones de privacidad en línea durante casi tanto tiempo como ha existido un mercado en línea”. ^[2] La FTC ahora es responsable de la aplicación de una serie de estatutos de privacidad específicos del sector, incluida la Ley Gramm-Leach-Bliley , la Ley de Protección de la Privacidad Infantil en Línea , la Ley CAN-SPAM de 2003 y la Ley de Prevención del Abuso y Fraude al Consumidor y Telemarketing (“Regla de No Llamar”).

En 1995, ^[3] 1996, ^[3] y 1997 ^[4] la FTC celebró talleres públicos en los que se exploraron cuestiones relacionadas con la privacidad de los datos de los consumidores. En estos talleres, los defensores de la industria de la publicidad en línea presionaron a favor de la autorregulación, mientras que los defensores de la privacidad argumentaron que la autorregulación sólo podría tener éxito si estuviera respaldada por “derechos legalmente exigibles a la privacidad de la información”. ^[5] Los grupos de presión de la industria abogaron por la opción de exclusión voluntaria , que permite a las empresas utilizar la información personal para los fines establecidos en una política de privacidad u otra forma de notificación, a menos que el consumidor “opte por no participar” y notifique a la empresa que no utilice la información personal de una determinada manera, como por ejemplo para fines de marketing. Los defensores de la privacidad abogaron por el consentimiento afirmativo previo y sugirieron que los consumidores podrían utilizar software para comunicar sus preferencias de privacidad de forma automática. ^[5]

En 1998, la FTC publicó un informe en el que realizó una revisión exhaustiva de las divulgaciones de las prácticas de privacidad de los sitios web comerciales y estableció los Principios de Prácticas Justas de Información (FIPPs). El informe concluyó que, “como lo demuestran los resultados de la encuesta de la Comisión, y a pesar de la iniciativa de privacidad de tres años de la Comisión que apoya una respuesta autorregulatoria a las preocupaciones de privacidad de los consumidores, la gran mayoría de los negocios en línea aún no han adoptado ni siquiera la práctica de información justa más fundamental (aviso/conciencia)”. ^[6]

La FTC realizó otro taller público en 1999 ^[7] y en mayo de 2000 publicó un informe que por primera vez recomendaba que el Congreso aprobara una legislación sobre privacidad en línea para crear un nivel básico de protección de la privacidad de datos para los sitios web comerciales orientados al consumidor. ^[8]

En julio de 2000, la FTC recomendó por primera vez que se aprobara una legislación para proteger la privacidad de los usuarios de Internet en relación con la elaboración de perfiles en línea. ^[9] La FTC afirmó además que “todavía se requiere una legislación de respaldo que aborde la elaboración de perfiles en línea para garantizar plenamente que la privacidad de los consumidores esté protegida en línea” y recomendó que se aprobara una legislación [tecnológicamente neutral] que creara un nivel básico de protección de la privacidad para los usuarios de “sitios web comerciales orientados al consumidor con respecto a la elaboración de perfiles”. ^[10] Según la propuesta de la FTC de 2000, todas las redes de publicidad en línea y los sitios web comerciales orientados al consumidor que permitieran la recopilación de información de o sobre los consumidores estarían obligados a implementar y cumplir con las FIPP. ^[9]

El Congreso no promulgó la legislación recomendada por la FTC, y pasaría otra década antes de que la FTC volviera a proponer una legislación para regular la OBA. ^[11]

En 2001, el Comisionado de la FTC, Timothy Muris, desvió la atención de la FTC de la privacidad en línea y la regulación de la OBA, al afirmar que “la desaceleración del crecimiento de Internet pone de relieve la necesidad de comprender el costo de la legislación sobre privacidad en línea… En este momento, necesitamos más aplicación de la ley, no más leyes”. ^[12]

En 2006, la FTC volvió a tomar el manto de la protección de la privacidad en línea en el foro de la FTC de noviembre de 2006, “Tech-ade”, que examinó los “desarrollos tecnológicos y comerciales clave que darán forma a las experiencias centrales de los consumidores en los próximos diez años”. ^[13] Los participantes en el foro describieron cómo los avances tecnológicos en la elaboración de perfiles en línea (ahora llamada publicidad, segmentación o marketing “conductual”) habían permitido que la práctica se volviera más generalizada y eficiente. ^[14]

Basándose en las audiencias de Tech-ade, la FTC organizó una reunión pública en noviembre de 2007 centrada específicamente en las implicaciones de privacidad de las prácticas de publicidad conductual llamada "Publicidad conductual: seguimiento, segmentación y tecnología". ^[15] La reunión pública fue motivada, en parte, por el crecimiento de la publicidad conductual y el interés de las grandes empresas de Internet en utilizar dichas técnicas para ofrecer anuncios con una segmentación específica. Estos desarrollos incluyeron los planes de Google de adquirir DoubleClick , el interés de AOL en Tacoda y la continua expansión de Microsoft y Yahoo de sus propios productos de publicidad conductual. ^[16] También incluyeron una presentación de eBay con una demostración en vivo del sitio web ebay.com, destacando la primera sobre enlaces publicitarios que permiten a los consumidores optar por no recibir anuncios conductuales a través de un programa de eBay llamado AdChoice.

En diciembre de 2007, la FTC promulgó un conjunto de “Principios” propuestos con el objetivo de proporcionar una base para los esfuerzos de autorregulación de la industria de la publicidad en línea para abordar las preocupaciones sobre la privacidad. ^[17] Los Principios “instan a que las empresas obtengan el consentimiento expreso y afirmativo de los consumidores antes de utilizar los datos de una manera que sea sustancialmente diferente a la prometida en el momento de la recopilación y antes de recopilar y utilizar datos 'sensibles' de los consumidores para la publicidad conductual”. ^[18]

La FTC hizo un seguimiento de este informe de 2007 con otro informe en 2009, que aclaró aún más los principios de autorregulación. ^[19] En ese momento, una coalición de grupos de consumidores propuso una “Lista de No Rastrear” en sus comentarios a la reunión del ayuntamiento de 2007. ^[20]

En un informe de diciembre de 2010, la FTC propuso un nuevo marco regulatorio para la privacidad de los datos de los consumidores, incluida una propuesta para un mecanismo de “No rastrear” que permitiría a los usuarios de Internet optar por no participar en la OBA. ^[11]

En el informe, la FTC describe las limitaciones del actual modelo de notificación y elección, que, según afirma, “se han hecho cada vez más evidentes en los últimos años”. ^[21] La FTC afirma que el modelo basado en la notificación y la elección “anima a las empresas a desarrollar avisos de privacidad que describan sus prácticas de recopilación y uso de información a los consumidores, de modo que estos puedan tomar decisiones informadas”. ^[22] Sin embargo, “el modelo de notificación y elección, tal como se implementó, ha dado lugar a políticas de privacidad largas e incomprensibles que los consumidores normalmente no leen, y mucho menos entienden. Asimismo, el modelo basado en el daño ha sido criticado por no reconocer una gama más amplia de preocupaciones relacionadas con la privacidad, incluido el daño a la reputación o el miedo a ser monitoreado”. ^[22]

Para abordar los problemas con el modelo basado en notificación y elección, el marco de privacidad propuesto por la FTC insta a las empresas a ofrecer a los consumidores una opción significativa con respecto al seguimiento de OBA, pero establece "un conjunto limitado de prácticas de datos para las que no es necesaria la elección", llamadas "prácticas comúnmente aceptadas". ^[23] Las prácticas comúnmente aceptadas incluyen: cumplimiento de productos y servicios, operaciones internas, prevención de fraude, cumplimiento legal y marketing de primera parte, incluido el marketing contextual. ^[24]

La OBA, junto con la inspección profunda de paquetes (DPI), se señala específicamente como “prácticas no comúnmente aceptadas”. ^[25] Además, el informe afirma que la FTC apoya el “consentimiento expreso afirmativo” previo con respecto a la recopilación de “información confidencial” (niños, información financiera y médica, datos precisos de geolocalización ) para la OBA. ^[26]

En el informe de 2010, la FTC propuso un “ mecanismo de elección del consumidor uniforme y completo ” para la publicidad basada en el comportamiento en línea, denominado “Do Not Track”. La FTC afirma que “el método más práctico para proporcionar una elección uniforme para la publicidad basada en el comportamiento en línea probablemente implicaría colocar una configuración similar a una cookie persistente en el navegador del consumidor y transmitir esa configuración a los sitios que visita el navegador, para indicar si el consumidor desea o no ser rastreado o recibir anuncios dirigidos”. ^[27] La ​​FTC cree que un mecanismo de “Do Not Track” es preferible a las actuales opciones de exclusión de cookies basadas en el navegador, ya que es más “claro, fácil de localizar y eficaz” y transmite la opción del usuario de optar por no ser rastreado directamente a los sitios web. ^[28]

El 16 de marzo de 2011, la FTC compareció ante el Comité de Comercio del Senado de los Estados Unidos . En la audiencia, la FTC recomendó imponer medidas más estrictas para proteger a los usuarios de Internet contra el seguimiento no autorizado en apoyo de la publicidad basada en el comportamiento, incluida una configuración universal de No rastrear en el navegador. ^[29]

La FTC también anunció su primer caso de publicidad basada en el comportamiento, interpuesto contra el anunciante de la red Chitika por utilizar un mecanismo de exclusión engañoso. ^[29] Como parte del acuerdo, la FTC exigió que Chitika vinculara toda su publicidad a un mecanismo de exclusión eficaz en el futuro. Se ha comentado que “[e]ste requisito de un hipervínculo integrado en los anuncios en línea es un buen indicador del tipo de mecanismo de No rastrear que será aceptable para la FTC si el 'No rastrear' se vuelve obligatorio”. ^[29]

En la misma audiencia del Senado, la administración de Barack Obama pidió una nueva “carta de derechos de los usuarios de Internet”, que daría a la FTC autoridad para regular la publicidad basada en el comportamiento en línea. ^[29]

La representante Jackie Speier (demócrata por California) presentó la “Ley de No Rastrearme en Línea de 2011” ^[30] , que autorizaría a la FTC a promulgar regulaciones que requieran que los anunciantes y sitios web en línea permitan a los usuarios optar por no permitir que se rastreen sus actividades en línea mediante la creación de un mecanismo de no rastrear. El proyecto de ley otorga a los usuarios la capacidad de bloquear toda recopilación de datos para la OBA, pero otorga una excepción para prácticas comúnmente aceptadas, como la prevención del fraude y el control de inventario. ^[30] El proyecto de ley autoriza a la FTC a hacer cumplir las nuevas regulaciones mediante la realización de auditorías aleatorias de los editores web, aunque las regulaciones propuestas contienen una excepción para los sitios web que tienen menos de 10.000 visitantes por año. ^[31] El proyecto de ley nunca llegó a votación y se estancó en el Congreso. ^[32]

El 12 de abril de 2011, el senador John Kerry presentó la “Ley de Derechos de Privacidad Comercial de 2011”, copatrocinada por el senador John McCain . ^[33] En la conferencia de prensa para presentar el proyecto de ley, los senadores Kerry y McCain dijeron que el proyecto de ley logró un compromiso entre los intereses de las empresas y los consumidores, y señalaron que el proyecto de ley fue apoyado por Microsoft, Intel y eBay . ^[34]

El proyecto de ley encarga a la FTC desarrollar normas específicamente dirigidas a la OBA, exigiendo a las empresas que ofrezcan a los consumidores un mecanismo “sólido, claro y visible” de exclusión voluntaria del uso de su información personal identificable por parte de terceros “para publicidad o marketing conductual”. ^[35]

El proyecto de ley exige que la FTC cree regulaciones que exijan a las empresas que recopilan información de identificación personal, como nombres y direcciones de correo electrónico, que proporcionen un “aviso claro, conciso y oportuno” de la recopilación, uso y transferencia de datos, junto con “un mecanismo claro y visible para el consentimiento de exclusión voluntaria para cualquier uso no autorizado de la información de identificación personal [de los consumidores]”. ^[35]

El proyecto de ley contiene una disposición que exigiría el consentimiento expreso para la “recopilación, uso o transferencia de información personal identificable sensible”. La información personal identificable sensible se define como “información personal identificable que, si se pierde, se ve comprometida o se divulga sin autorización, ya sea sola o con otra información, conlleva un riesgo significativo de daño económico o físico” o está relacionada con una condición médica particular, un historial de salud o la afiliación religiosa de una persona. ^[33]

El proyecto de ley también encarga a la FTC establecer un programa voluntario de puerto seguro para revisar, aprobar y monitorear los programas de autorregulación que ofrecen a los consumidores una opción de exclusión “clara, visible, persistente y efectiva” de no participar en la publicidad basada en el comportamiento o la publicidad basada en la ubicación en línea . ^[36] Una vez que la FTC aprueba un programa de autorregulación y los miembros de ese programa están cubiertos por el puerto seguro, esos miembros estarían exentos de algunas de las disposiciones del proyecto de ley. ^[36]

El proyecto de ley no incluye el mecanismo de No Rastreo propuesto por la FTC, que el senador McCain declaró en la conferencia de prensa que “no parecía encajar en nuestra capacidad de lograr un equilibrio entre el apoyo a los consumidores y la industria”. ^[36]

El proyecto de ley tampoco incluye un derecho de acción privado, dejando la aplicación de la ley en manos de la FTC y los fiscales generales estatales. ^[36]

Los defensores de los consumidores y de la privacidad han declarado que el proyecto de ley no es lo suficientemente contundente y debería contener la propuesta de la FTC de no rastrear. ^[36]