¿Marketing inteligente o ilegal?

Extracto del libro de Bruno DUMAY: DESCRIPCIÓN DEL RGPD – Para directivos, departamentos estratégicos y empleados de empresas y organizaciones – Prólogo de Gaëlle MONTEILLER

Seamos claros: durante los últimos quince años, el buen marketing se ha basado en gran medida en el uso inteligente de los datos personales. Levanten la mano quienes nunca hayan compartido información de un producto con una persona específica sin preguntarle. ¿Por favor? No levante la mano, pensé. Arrojemos la primera piedra si nunca han guardado un nombre, número de teléfono o dirección de correo electrónico sin notificar a la persona en cuestión. Bueno, nada de piedras. Arrojemos la primera piedra si... Creo que ya me entienden.

Claro que algunos han ido mucho más allá, atrayendo, recuperando, desviando o transfiriendo perfiles, interesantes por ser consumidores, de personas inocentes que tuvieron la debilidad de abrir un sitio web, seguir un enlace o expresarse registrándose, uniéndose, comentando… ¿Y quién, por supuesto, se apresuró a aceptar las condiciones generales de venta? ¿Leerlas? No lo crees. Por lo tanto, la responsabilidad es compartida.

Últimamente, hay que reconocerlo, las trampas se han multiplicado. Ciertamente, el frenesí consumista, la adicción a las redes, la necesidad de reconocimiento —"¡Existo, hago clic!"— no han contribuido en vano a la creación de gigantescas bases de datos, con cientos de millones de personas entregándose sin vacilar a cualquiera que quiera acosarlas.

Entonces, ¿por qué privarnos? Era hermoso: la nueva economía, la horizontalidad, la uberización, la inteligencia artificial. ¡Los datos, qué afición! ¡Y todos nos lanzamos a por ello, hasta el final! ¿La crisis? ¡Qué asco! No es para todos, ni para todo. Nunca los hombres pequeños fabricaron, vendieron y compraron tanto. Para evitar la ruina, vendemos. Aunque eso signifique desplomarnos. Cada nombre, y cada dato asociado a ese nombre, merecía ser guardado, probado, perfilado. Todos necesitamos algo, algún día. Solo hay que crearla, esta necesidad, perdón por revelarla. ¿Satisfacerla? Sí, pero no demasiado, al menos. Para que la máquina siga girando.

Lo sabíamos. Lo aceptamos. Sí, pero ahí está. Fuimos demasiado lejos. ¿Somos adultos? No, los adultos no existen. Solo los niños crecen. Así que, como los niños, siempre queríamos más y fuimos demasiado lejos. O casi fuimos demasiado lejos. Antes de que fuera demasiado tarde, las autoridades actuaron. La CNIL no nos había dejado ir, pero, benévola y confinada en su propio territorio, se vio desbordada. Así que Europa intervino. Varias veces. Primero en 1995, y luego en 2016, con efecto hoy.

¿Qué es este efecto? Ilegalidad. Lo que antes era marketing inteligente ahora es marketing ilegal. A partir de ahora, si usas tus archivos de clientes o usuarios como antes, estás actuando ilegalmente. Y sí. ¿Pero? No. ¿Cómo? Porque sí.

Se trata de comprender qué son los datos personales y cómo deben tratarse. Hay mucho en juego, los riesgos son altos. Multas millonarias, responsabilidad personal, justicia, tribunales... ¿les suena? Ya no bromeamos. Mark, Larry, Serguei, Jeff, ¿me oyen? No se rían, ustedes también. Aunque los gigantes digitales sean los principales objetivos del RGPD, todas las organizaciones se ven afectadas, independientemente de su tamaño. Grandes empresas, startups, fontaneros, el ayuntamiento de Triffouillis y asociaciones de todo tipo: ya no pueden usar sus archivos como les parezca.

Claro, ya existían normas y sanciones. ¿En serio? Sí. Así, en enero de 2018, antes de la entrada en vigor del reglamento, Darty fue sancionada por la CNIL por no haber protegido suficientemente los datos de sus clientes. El uso controvertido provino, en realidad, de un subcontratista, pero fue la empresa la que recibió la multa. Una multa de 100.000 €. Así que no es poca cosa, pero es un pequeño descuido comparado con lo que te puede pasar a partir de ahora si tú también no estás lo suficientemente alerta.

Estamos soñando. No, en absoluto. La legislación europea estipula que los datos pertenecen a los ciudadanos y que ninguna organización puede apropiarse de ellos para usarlos como le parezca. Ah... Las empresas deben indicar de forma clara y precisa cómo recopilan, procesan y almacenan datos personales. Es una cuestión de lealtad, transparencia, fines específicos, legítimos, adecuados y limitados... ¿Eh? Estas palabras nos habrían hecho reír antes. Pero los tiempos han cambiado. Las autoridades europeas están reaccionando, y entendemos por qué.

Debe realizar una evaluación de impacto antes de procesar sus datos, adherirse a un código de conducta que regule las prácticas en su sector y designar un delegado de protección de datos que informará de cualquier incidente a la autoridad de control, la CNIL en Francia. Se prevén diversas sanciones por el incumplimiento de estas regulaciones, que van desde una advertencia hasta una multa de 20 millones de euros o 4000 millones de euros de la facturación global de la empresa. Um... ¡Vaya!

Es duro. Incluso brutal. Pero es por nuestro bien. Aun así... Vale, vale. Es cierto que había que hacer algo. Que nosotros, las empresas, tendíamos a despojarnos a nosotros, los individuos. Las primeras le quitan a las segundas un nombre, luego una dirección, luego un gusto, luego un hábito, luego un perfil, y luego, sin que nos demos cuenta, nos arrebatan su libre albedrío. Libertad. La mayoría de las empresas no quieren hacer daño. Solo marketing. Pero al final... Ya basta.

Con la Web 2.0, nos dimos cuenta de que la riqueza reside en los datos, lo que dio lugar al poderío del big data actual. Este poder es tal que algunos se preguntan si la noción de una frontera entre la vida pública y la privada aún tiene sentido. ¿No es demasiado tarde?, se preguntan otros. Los impulsores del RGPD no lo creen, o al menos no lo dicen. Para ellos, podemos y debemos intervenir para que los centros de datos y sus propietarios no nos desposean ni nos aniquilen.

Esta oscilación del péndulo es incierta. Un estudio de Pégasystems, realizado en la primavera de 2017 entre 7.000 consumidores en siete países de la Unión Europea, muestra que el 82 % de los ciudadanos ha decidido hacer valer sus derechos bajo el RGPD. Y los franceses, junto con los españoles e italianos, parecen ser los más sensibles con sus datos personales. Así, el 96 % de los encuestados franceses desea saber qué información sobre ellos poseen las empresas. Dada la creciente preocupación de los ciudadanos por el reconocimiento de sus derechos, estas cifras no deben tomarse a la ligera.

Generar confianza, combinando protección y libre circulación

Por lo tanto, el RGPD no es un texto que pueda olvidarse fácilmente tras su fecha de entrada en vigor. Su objetivo es frenar el robo de información confidencial y la intrusión en la vida privada. La protección de las personas es, por lo tanto, el objetivo principal del RGPD.

Desde el comienzo de los considerandos (nada menos que 173), el tono está marcado: «La protección de las personas físicas en lo que respecta al tratamiento de datos personales es un derecho fundamental» (1^er considerando). E incluso "El tratamiento de datos personales debe estar diseñado para servir a la humanidad" (4^mi en vista de).

Si se siente la necesidad de protección, es porque los miembros del Parlamento Europeo y del Consejo, representantes de los ciudadanos de la UE, consideraron que las empresas, y en algunos casos incluso las administraciones, habían ido demasiado lejos en la explotación de los datos personales. De hecho, el RGPD forma parte de una evolución socioeconómica, como se recuerda en el 6.^mi Considerando que: «Los rápidos avances tecnológicos y la globalización han creado nuevos desafíos para la protección de datos personales. La recopilación y el intercambio de datos personales han aumentado significativamente. Las tecnologías permiten tanto a las empresas privadas como a las autoridades públicas utilizar datos personales en sus actividades comerciales como nunca antes. Las personas hacen pública y globalmente accesible cada vez más la información sobre sí mismas. Las tecnologías han transformado las relaciones económicas y sociales y deberían facilitar aún más la libre circulación de datos personales dentro de la Unión y su transferencia a terceros países y organizaciones internacionales, garantizando al mismo tiempo un alto nivel de protección de los datos personales».

Está claro que la UE no está culpando a una parte más que a la otra, sino que está mostrando las responsabilidades compartidas de las empresas, las autoridades públicas, la tecnología y los propios individuos.

Europa tampoco está exenta, ya que el siglo 9^mi Considerando que, si bien sigue siendo satisfactoria en cuanto a sus objetivos y principios, la Directiva 95/46/CE (el primer texto de referencia europeo en la materia) no ha evitado la fragmentación en la aplicación de la protección de datos en la Unión, la inseguridad jurídica ni la sensación generalizada entre el público de que siguen existiendo riesgos significativos para la protección de las personas, en particular en el entorno en línea.

El principal problema identificado es la diferencia en los niveles de protección entre países. Por lo tanto, la unidad, para todas las empresas de la UE, e incluso para sus subcontratistas fuera de ella, parece ser una condición indispensable para una política eficaz en este ámbito. «Para garantizar un nivel de protección uniforme y elevado de las personas físicas y eliminar los obstáculos al flujo de datos personales dentro de la Unión, el nivel de protección de los derechos y libertades de las personas físicas con respecto al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Por consiguiente, conviene garantizar la aplicación coherente y uniforme de las normas de protección de los derechos y libertades fundamentales de las personas físicas con respecto al tratamiento de datos personales en toda la Unión» (10).^mi en vista de).

El texto, aunque muy restrictivo como veremos, pretende sin embargo tener un objetivo económico positivo: «Estos avances exigen un marco de protección de datos sólido y más coherente en la Unión, acompañado de una aplicación rigurosa de las normas, porque es importante generar la confianza que permitirá que la economía digital se desarrolle en todo el mercado interior» (7^mi en vista de).

«Confianza». En nuestra opinión, esta es la palabra más importante. Si el RGPD pretende garantizar, restaurar o infundir la confianza de los ciudadanos en los actores públicos y privados del mercado único europeo, lo apoyamos plenamente. Es fundamental que quienes compran en línea, utilizan un servicio, consultan ofertas o expresan su opinión puedan realizar estas acciones sin temor a verse privados de parte de su privacidad.

Sin miedo a ser desposeídos, o incluso acosados, por usar una expresión de moda desde finales de 2017 que podría aplicarse a la tecnología digital. ¿Cuántas veces al día recibimos información que nunca solicitamos, supuestamente porque nos suscribimos a algo que desconocíamos? Hoy en día, tenemos que darnos de baja aunque nunca nos hayamos suscrito. Si el RGPD se aplica correctamente, esto ya no será necesario: ahora está prohibido enviar boletines informativos sin el consentimiento expreso del destinatario.

Este nuevo respeto es positivo. Los intercambios económicos nunca son tan fructíferos como cuando las partes confían mutuamente.

Estos intercambios fluidos se fomentan claramente: «Para garantizar un nivel uniforme de protección de las personas físicas en toda la Unión y evitar divergencias que obstaculicen la libre circulación de datos personales en el mercado interior, es necesario un reglamento que proporcione seguridad jurídica y transparencia a los operadores económicos, incluidas las microempresas y las pequeñas y medianas empresas, que otorgue a las personas físicas en todos los Estados miembros el mismo nivel de derechos, obligaciones y responsabilidades exigibles para los responsables y encargados del tratamiento, y que garantice una supervisión uniforme del tratamiento de datos personales y sanciones equivalentes en todos los Estados miembros, así como una cooperación eficaz entre las autoridades de control de los diferentes Estados miembros. Para el correcto funcionamiento del mercado interior, es necesario que la libre circulación de datos personales dentro de la Unión no se restrinja ni se prohíba por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales» (13).^mi en vista de).

Como podemos ver, la protección de datos no debería ser un obstáculo, sino un activo para el correcto funcionamiento del mercado interior. El artículo 1 del RGPD incorpora esta combinación de ambos objetivos. Citemos simplemente el primer párrafo: «El presente Reglamento establece normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y normas relativas a la libre circulación de dichos datos». La protección y la libre circulación, los dos pilares de la Unión Europea, no podrían haberse expresado de forma más explícita.  

Los considerandos siguientes a veces anuncian palabra por palabra los artículos que vienen, excepto que la mayoría de las veces están escritos en condicional, para mostrar el deseo, la intención, mientras que los artículos están en indicativo, es decir, que son legalmente vinculantes.

Establecida la filosofía del texto, observemos ahora sus disposiciones principales.