A propósito de los seguimientos en Twitter.

R. Martinez / 13 abril, 2015

Asisto a un interesantísimo debate en Twitter que lanza @Samuel_Parra cuando afirma: No comparto eso de que para que una empresa pueda seguir a un usuario en Twitter haya que pedirle consentimiento. Dicha afirmación se realiza a propósito del artículo publicado en @teknautas «Enviar un ‘mail’ sin copia oculta y otros usos comunes que violan la protección de datos». Y el tuit en concreto se centra en el siguiente párrafo:

«Cuando una empresa sigue a un usuario a través de Twitter suceden dos cosas: la primera es que se añade a esa persona a una lista pública de Siguiendo, pero también se le notifica que la compañía existe, además de su logo, página web y a veces incluso incorporan ofertas en la propia bio. Según la mayoría de juristas consultados, esto es ilegal ya que implica dos tipos de infracciones: una de la LOPD y otra de la Ley de Servicios de la Sociedad de la Información al tratarse de comunicaciones comerciales no consentidas por vía electrónica. Es decir, spam».

Este debate ilustra como ninguno hasta qué punto una concepción formalista y plana del derecho debe ser abandonada por los intérpretes y abordada por los reguladores. Lo primero que habría que preguntarse es cómo funciona la herramienta y cuáles son sus condiciones jurídicas. En este sentido resulta interesante la declaración de principios del segundo párrafo de la Política de Privacidad de Twitter y en sus Condiciones de servicio: «Nota Lo que se publica en Twitter puede verse en todo el mundo de manera instantánea». La política, escrita en un castellano bastante claro, indica que sus «Servicios están principalmente diseñados para ayudarlo a compartir información con el mundo. La mayoría de la información que usted nos facilita es información que nos está pidiendo que hagamos pública».

Desde un punto de vista material resulta que en la configuración de privacidad se puede marcar “Proteger mis Tweets”, lo que convierte lo que hace en un espacio privado. Además tenemos las opciones «Solo permitir que me añadan a sus equipos las personas que sigo», y «No permitir que alguien me agregue a su equipo». Por otra parte, hubo un tiempo con restricciones a mensajes directos a personas a las que no sigues, y ello operaba como barrera.

Este es el escenario, y lo cierto es que nos enfrentamos a un entorno particularmente complicado. No hace falta recordar con detalle la posición del Dictamen del Grupo de Trabajo del Artículo 29 sobre redes sociales así como la de la autoridad que consideran que el desembarco en un entorno de red social convierte a la empresa en responsable de un tratamiento. Esto, en protección de datos resuelve uno de los lados ya que si “nos siguen” y en nuestra bio tenemos referencia a políticas de privacidad, en apariencia todo resuelto.

Sin embargo, lo que no resuelve la norma, y mucho menos las posiciones de las autoridades, es que sucede cuando el seguido es la persona física, el afectado o titular de los datos. Si abordamos la cuestión desde un punto de vista formalista enfrentamos a “quien sigue” o a un sobreesfuerzo o a una probatio diabólica. Desde el punto de vista del juego de la información+el consentimiento Twitter desde un punto de vista formal sería una herramienta de uso imposible. El tratamiento se habrá producido siempre antes que la información, lo que nos conduce a un círculo imposible de nulidad en el consentimiento. Me explico, si agrego al usuario trato sus datos, si escribo al usuario, trato sus datos. Y en ninguno de esos caso le informé previamente.

Otra opción, a plantearse sería la del consentimiento por omisión. Si el usuario no se protegió, si está dispuesto a que lo siga cualquiera, de algún modo está aceptando que la empresa lo pueda seguir. Se habla de “omisión” y no de consentimiento tácito porque no es viable en Twitter la regla de los 30 días ya que el tratamiento de datos personales es inmediato. Así pues o nos sirve una teoría forzada del consentimiento basado en la configuración previa del perfil de usuario o hay que acudir a otra justificación. En tal caso, la legitimación habría que anclarla en la teoría del interés legítimo. Pero los portavoces de la Agencia Española de Protección de Datos han repetido hasta el hartazgo que no hay que confundir el interés legítimo con el mero interés empresarial. ¿Y que otro interés ampara a una empresa o corporación que quiere relacionarse con potenciales clientes en Twitter? Podemos ser hipócritas y decir que el legítimo ejercicio del derecho a la información, pero eso sólo sería cierto bajo ciertas condiciones y la relación en el mundo de la información suele ser de naturaleza pasiva, esto es “te leen”.

En materia de LSSI la cosa se complica. Ya que se requiere consentimiento expreso. No ofrecen dudas las campañas contratadas con el proveedor. ¿Pero y las realizadas por ti? Si aplicamos de nuevo la Ley en sentido formal nos enfrentamos a dos opciones. La primera es la de la compañía que “me sigue” pero a la que yo no sigo. Su publicidad no me afecta ya que no la veo. Y si decido seguirla cómo cumplir la Ley dependerá del estándar de diligencia que me exige el regulador. Esto es muy variable, igual envías un correo sin copia oculta y te multan, que reenvías una lista con datos especialmente protegidos y te exoneran porque no la habías leído. Por ello, caben dos opciones que se entienda que si un usuario sigue a la empresa en twitter y la información sobre la naturaleza es clara consideremos que hay un opt-in. Que obliguemos al comunity manager a suspender cualquier operación publicitaria hasta asegurarse de que envío un privado con cada nuevo suscriptor y este aceptó expresamente. Y esta segunda solución, es inviable para los dos extremos del abanico. Una compañía con decenas de nuevos seguidores cada minuto no podría remitir publicidad, y una PYME carecerá de los recursos para requerir consentimientos individuales si por alguna razón comienza a ser seguida con cierta intensidad. De lo que desde luego hay que abstenerse es de enviar publicidad individualizada a no seguidores mediante el uso de su usuario, vaya no se les ocurra un “@ricardmm has sido seleccionado para…”.

Así que, llegados a este extremo sólo nos cabe explorar dos posibilidades. La primera, entender que habida cuenta de la naturaleza de Twitter el usuario que posee un perfil público, y que decide seguir a una empresa, se expone a interacciones sujetas a la LOPD o a la LSSI y está consintiendo en ellas. Este planteamiento, debe ser completado con la exigencia ineludible de transparencia, de un enlace desde su bio a unas políticas de privacidad claras y entendibles. También podría completarse con tuits cíclicos del tipo “nos encanta contar contigo te recordamos nuestras políticas de privacidad” La segunda conduce a una espiral procedimental arriesgada y de prueba casi imposible.

Y la cuestión nuclear es si nuestra tarea consiste en decir “no se puede”. O si somos capaces de encontrar una interpretación del Derecho que sin renunciar a su función tuitiva, sea funcional al mundo digital y permita el normal desenvolvimiento de la actividad en red. Porque los tiempos del legislador son otros y la respuesta nos hace falta ahora.

27/05/2015 Coda final con redoble de tambor.

La realidad siempre supera a la ficción y quien iba a decir que existiría la modalidad de “ataque directo al usuario”. Que apuntaba en un párrafo anterior de este artículo se iba a producir y efectivamente alguien me remitiría publicidad individualizada a no seguidores mediante el uso de su usuario. Pues sí, querido lector como puede verse vaya ya tengo en mi histórico un “@ricardmm te vendo…”.

No es algo que resulte especialmente molesto, porquesólo es uno, pero obliga a compartir una reflexión adicional de orden práctico. Aparte de lo obvio, no parece una opción inteligente “spamtuitear” a un experto en privacidad, cabe plantearse el como hacerlo. Y honestamente, más allá del sentido común no tengo una respuesta certera. La opción razonable, podría y debería ser usar la educación algo del tipo “@ricardmm me gustaría remitirle información sobre nuestros productos sígame para mensaje privado. Vea políticas de privacidad ______” Lo que da 126 caracteres+enlace.

El problema es que humildemente uno no sabe si acierta. En todo caso les prometo que mañana me levanto al amanecer, me bajo al Jardín del Turia y a ver si el primer pájaro me llega volando por el Este y confirma el criterio.