El RGPD y lo que significa para los afiliados
¿Qué es el RGPD?
El Reglamento General de Protección de Datos de la Unión Europea (RGPD) es el nuevo marco legal que rige el uso de datos personales en todos los mercados de la UE. Se debe pensar en ello como un nuevo conjunto normativo sobre datos adecuados para la era digital. Reemplaza las leyes nacionales actuales de protección de datos y el marco que existe actualmente en la UE. El RGPD está diseñado para dar a los consumidores un mayor control de su información personal y se aplica de manera idéntica en todo el territorio de la Unión.
El RGPD podría tener consecuencias de gran alcance para nuestra industria. Si bien muchos de los conceptos y principios que recoge son parecidos a la norma actual, el Reglamento introduce nuevos elementos, que suponen nuevas obligaciones para las empresas y organizaciones de la UE.
Conforme nos vamos acercando a la fecha límite, el cumplimiento con las nuevas normas se hace necesario, no solo por las importantes sanciones de hasta un 4% de la facturación global anual o 20 millones de euros que se establecen, sino por la relevancia de que para muchos negocios, por vez primera será necesario cumplir con las normas de protección de datos.
Las Nuevas Reglas
Hemos seleccionado las áreas del RGPD que creemos que son más relevantes en la actualidad para la industria de afiliados. Sin embargo, es importante familiarizarse con todos los detalles, ya que hay muchas más implicaciones que deben ser tenidas en cuenta. Además, hemos proporcionado enlaces útiles al final de esta comunicación.
1. Datos personales
Los datos personales de los consumidores se encuentran en el corazón del RGPD y la clasificación de dichos datos se amplía. Esto significa que la industria afiliada confía en datos que actualmente no se consideran datos personales, ahora clasificados como tales de acuerdo con el RGPD. Aunque no exista una lista definitiva de identificadores personales para los vendedores afiliados, podemos suponer con seguridad que se incluirá información como ID de cookies, números de clientes, direcciones IP, ID de dispositivos, etc. Estos son identificadores que muchas redes y plataformas capturan como parte de su seguimiento estándar.
Los editores que utilizan el seguimiento de afiliados tendrán, por lo tanto, la obligación de garantizar que cumplen con la nueva normativa.
2. Base legal para procesar datos personales
Las empresas necesitarán una base legal para procesar los datos personales. El Reglamento ofrece varias vías para aplicar una base legal sólida al tratamiento de datos. Las dos bases jurídicas más utilizadas en el entorno digital son el consentimiento y el interés legítimo.
El interés legítimo es distinto del consentimiento. El interés legítimo en el que se ampara el tratamiento de datos deberá constar de forma clara como base de legitimación que habilita el tratamiento de datos en la política de privacidad, cumpliendo así con el principio de transparencia, que en todo caso, el aviso deberá ser conciso, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Si una empresa elige el interés legítimo, debe confiar en demostrarlo como una base legal adecuada. El consentimiento, por otro lado, es reforzado por el RGPD y ha de ser libre, específico, informado e inequívoco, consistiendo en una declaración o una clara acción afirmativa, no admitiéndose el consentimiento tácito. Que el consentimiento se considere necesario, significa ofrecer a los individuos una elección y control real.
El «contrato» y su ejecución también son una base legal que puede ser aplicable en algunos casos. Se refiere a instancias donde existen acuerdos contractuales específicos establecidos entre una empresa y sus clientes que permiten a la empresa recopilar y procesar datos personales. Algunos editores (como las empresas de recobro) pueden tener tales acuerdos con sus usuarios.
Dada la naturaleza diversa del canal de afiliados y la variedad de canales digitales que utilizan para generar ventas, es difícil para las redes ofrecer recomendaciones.
3. La Directiva de ePrivacy
La Directiva de ePrivacy se asocia en gran medida con los banners y ventanas emergentes que se ven cuando se visitan sitios web que informan a los consumidores sobre el uso de cookies para rastrear la actividad en línea (la Directiva también se aplica al consentimiento por correo electrónico, SMS y llamadas comerciales, que son aplicables a algunas empresas que ejecutan campañas de afiliación).
El RGPD no reemplaza a la Directiva sobre privacidad, sino que se ejecuta simultáneamente. Esta Directiva se encuentra actualmente en revisión para garantizar que se alinee con el RGPD, una vez finalizada. Un enfoque de la revisión es mejorar la transparencia para los consumidores e introducir opt-ins más estrictos para las cookies (y tecnologías de seguimiento similares). Conforme a la Directiva vigente sobre privacidad, el consentimiento es necesario para «cookies y tecnologías similares». Por lo tanto, independientemente de qué base jurídica se utilice para procesar datos personales según las normas del RGPD, la Directiva de privacidad se mantiene vigente, lo que significa que se requiere un consentimiento inequívoco para el uso de cookies porque el RGPD solo considera que el consentimiento es suficiente si no es ambiguo. Esto significa que los editores deberían revisar sus mecanismos de consentimiento y realizar los cambios correspondientes.
4. Una solución de consentimiento de la industria
Dado el impacto potencialmente significativo en todas las formas de publicidad en línea, la industria afiliada ha colaborado para crear estándares y enfoques generales. En noviembre de 2017, IAB Europe anunció un estándar técnico para el consentimiento en línea para el que están construyendo una herramienta que pretende garantizar el cumplimiento del RGPD y la Directiva de privacidad a tiempo para la fecha límite de mayo.
Si elige presentar una solución de consentimiento en su sitio web, puede usar versiones gratuitas disponibles online. Varias empresas están desarrollando herramientas de consentimiento. Hay una gran variedad de opciones disponibles y aconsejamos que se evalúen las soluciones para garantizar que puedan implementarse para cumplir con la normativa.
5. Checklist de próximos pasos para editores
- Los editores deben evaluar el impacto del RGPD en su negocio y documentar los pasos dados para cumplir con las reglas.
- Los editores deben prestar especial atención a garantizar la transparencia a los consumidores y decidir la base legal adecuada para recopilar y procesar datos personales de los visitantes del sitio.
- Los editores deben evaluar y actualizar las políticas de privacidad y la política de cookies para proporcionar transparencia y actualizar la captación del consentimiento.
- Los editores deben buscar su propio asesoramiento legal. Esta comunicación no debe leerse como un consejo legal.
- Los editores deben referirse a sus redes y plataformas de afiliados individuales para cualquier orientación específica o requisitos para cumplir con el RGPD.
El RGPD trae consigo cambios que todas las empresas tendrán que implementar y el impacto que tendrá en la industria es incierto. Sin embargo, este impacto se puede mitigar con comprensión demostrable, esfuerzo y medidas para cumplir con las reglas. La fecha límite del 25 de mayo de 2018, marca la nueva era de privacidad de datos.
Es importante comprender cómo hacer negocios conforme al RGPD y cómo realizar las enmiendas necesarias para cumplir. Revise los enlaces a continuación para obtener más información y considere seguir nuestros consejos anteriores.
Enlaces útiles:
Tradedoubler compliance with GDPR
Documentación de IAB Europe:
Guías de implementacion en España:
AEPD guía al Nuevo Reglamento de Protección de Datos
AEPD guía para el cumplimiento del deber de informar
Esta comunicación ha sido desarrollada en el transcurso de una reunión del RGPD por las principales compañías afiliadas como Tradedoubler, Awin, Affilinet, CJ Affiliate, Performance Horizon y otros para garantizar una orientación clara y de toda la industria de cara a nuestros clientes.
