Analítica web y la ley alemana TTDSG

El artículo 25 regula el acceso al dispositivo del usuario. Las cookies son solo una forma de acceso; también abarca otras tecnologías, como leer variables del sistema en el navegador mediante JavaScript.

El TTDSG exige consentimiento para los accesos no necesarios, ya sea mediante cookies o leyendo una variable del sistema. El artículo 25.2 lo precisa con una redacción más larga y menos accesible para quienes no son juristas.

Antes, las normas de consentimiento de la ley alemana de telemedios afectaban a las cookies de marketing y creación de perfiles. El TTDSG hizo más exigente contar visitantes sin pedir consentimiento.

Seguimiento y recuento de visitantes

“Tracking” no tiene una definición única. Normalmente significa seguir a los usuarios entre sesiones y webs. Google Analytics es un ejemplo conocido de este seguimiento invasivo. Requiere consentimiento tanto por ello como por las cookies que utiliza. Eso implica mostrar una ventana de cookies a los visitantes. Estas ventanas no solo molestan: a menudo provocan incumplimientos, como explico en mi análisis del Cookiegeddon.

Para simplificar, aquí usamos “tracking” también para el mero recuento de visitantes. Hay que distinguir a unos usuarios de otros; de lo contrario, se cuentan visitas de más o de menos. Contar dos veces al mismo visitante único porque abre dos páginas seguidas falsea las estadísticas. Contar a dos personas como una porque visitan la misma página tampoco es preciso.

¿Cómo distinguimos a los usuarios? El protocolo HTTP, utilizado para cargar páginas, no mantiene un estado: no recuerda las peticiones anteriores. Por sí solo no reconoce a quien vuelve. Es como alguien sin memoria que cree ver a una persona distinta cada vez que pasa el mismo individuo.

Las cookies proporcionaban esa memoria. Según la interpretación del TTDSG expuesta aquí, requieren consentimiento incluso para contar visitantes. La ley habla de lo “estrictamente necesario”. Las cookies de recuento no lo son por dos motivos. Primero, un recuento exacto no es imprescindible: es discutible, pero considero más probable la interpretación estricta. Segundo, se pueden contar visitantes sin cookies. En eso nos centramos ahora.

¿Cómo distinguir a los usuarios?

Si quieres evitar la solicitud de consentimiento, las cookies no son una opción.

Puedes distinguir visitantes sin cookies mediante los metadatos que el navegador envía a la web con cada conexión HTTP.

Los técnicos suelen llamarlos datos de conexión o de tráfico. Los juristas pueden dar a esos términos otro significado, así que aquí usamos el término más general “metadatos”.

Los metadatos enviados con una petición web incluyen:

• Tipo de navegador y versión del navegador. Ejemplo: Mozilla Firefox versión 95.3, subversión 47.11
• Tipo y versión del sistema operativo. Ejemplo: Microsoft Windows 10, 64 bits
• Idioma preferido. Ejemplo: alemán
• Dirección de red (dirección IP)
• Configuración de la caché
• Página solicitada. Ejemplo: https://dr-dsgvo.de/
• La hora de la petición. No se envía directamente, pero el servidor sabe cuándo llega.

Usar estos metadatos para distinguir usuarios sin cookies se llama fingerprinting del navegador.

El fingerprinting puede afinarse recogiendo información adicional mediante JavaScript, por ejemplo:

• Resolución de pantalla. Ejemplo: 1920×1080
• Tamaño de la ventana del navegador. Ejemplo: 1788×910
• Ejemplo: 24 bits
• Zona horaria: Ejemplo: GMT+1

Estos datos de la huella deben solicitarse expresamente. Los metadatos anteriores llegan con la conexión y no necesitan una petición adicional. En mi opinión, la resolución de pantalla no está almacenada en el dispositivo, aunque el TTDSG puede interpretarse de otra manera. Pienso en la orientación vertical u horizontal del móvil: cambia continuamente y no necesita guardarse. Al encenderlo de nuevo, la orientación depende de cómo lo sujetas, no de su posición antes de apagarlo.

Técnicas como el canvas fingerprinting recogen más información para distinguir mejor a los usuarios. Sin embargo, apenas se discute que esta técnica constituye un acceso al dispositivo que requiere consentimiento.

La opción jurídicamente más prudente es no leer activamente metadatos adicionales del dispositivo.

El reto es mantener suficiente calidad de datos para contar bien a los visitantes.

Contar visitantes sin consentimiento

Trackboxx demuestra que un seguimiento mínimo puede funcionar sin cookies ni acceso al dispositivo y, por tanto, sin consentimiento.

Trackboxx solo utiliza los metadatos que ya acompañan cada petición de página. No realiza accesos adicionales al navegador. Según una interpretación estricta del TTDSG, esos accesos adicionales requerirían consentimiento.

Trackboxx no utiliza cookies, ni siquiera de sesión, salvo que el cliente lo configure de otra manera. Una cookie que dura una sesión es menos intrusiva que otra que permanece un mes: esa es su vida útil. Pero jurídicamente el TTDSG no distingue entre cookies de sesión y persistentes, sino entre cookies o accesos necesarios y no necesarios.

Como Trackboxx no accede al dispositivo en el sentido del TTDSG, su uso no requiere consentimiento conforme a esa ley.

RGPD y TTDSG

También se aplica el RGPD. Sus requisitos deben analizarse después de los del TTDSG sobre cookies y otros accesos. RGPD significa Reglamento General de Protección de Datos. En alemán se abrevia DS-GVO, aunque en textos para el público general suele escribirse DSGVO, sin guion.

El RGPD abarca los datos personales, incluidos los que pueden vincularse a una persona. Poder distinguir a un usuario de los demás puede bastar. El Tribunal de Justicia de la UE reconoció en 2016 que las direcciones IP pueden constituir datos personales; el Tribunal Supremo Federal alemán confirmó la sentencia en 2017.

Por tanto, no se puede guardar sin más la IP para mejorar el recuento. Según esta interpretación del artículo 6 del RGPD, almacenarla sin cifrar probablemente requeriría consentimiento.

Para evitar esa obligación, Trackboxx no almacena las direcciones IP como tales. Las seudonimiza combinándolas con otros valores.

Se aplica una clave de duración limitada a la combinación de IP, versión del navegador, versión del sistema operativo y día actual. Por eso, la base de Trackboxx no contiene direcciones IP. En teoría, solo podría recuperarse una IP de los datos cifrados si el usuario volviera ese mismo día. No hace falta: la nueva petición vuelve a proporcionar la IP. Este enfoque cumple los requisitos del RGPD descritos aquí y basa el almacenamiento seudonimizado en el interés legítimo, una de las bases jurídicas previstas además del consentimiento.

A diferencia del consentimiento, el interés legítimo no exige una molesta ventana de cookies. Evitarla también ofrece mayor seguridad jurídica: estas ventanas están sujetas a numerosos requisitos, entre ellos los artículos 7 y 13 del RGPD. La solicitud debe explicar dónde y cómo retirar el consentimiento. Esa información obligatoria falta en muchas ventanas.

Las IP suelen cambiar con el tiempo, aparentemente menos en conexiones por cable que por DSL. No cambian precisamente al abrir una web, por lo que es muy probable reconocer al visitante durante un día. En redes empresariales resulta más difícil si las actualizaciones centralizadas igualan las versiones de navegadores y sistemas. En la práctica, esa imprecisión tiene poco efecto.

Conclusión

Puedes medir visitas y mejorar contenidos sin cookies ni ventanas intrusivas y propensas a errores. Herramientas como Trackboxx ofrecen una solución respetuosa con la privacidad que cumple los requisitos del TTDSG y del RGPD descritos aquí.

La calidad de los datos no tiene por qué empeorar frente al recuento con cookies. Además de la incertidumbre jurídica, esos sistemas tienen otro punto débil: cualquiera puede borrar las cookies, manualmente o con utilidades como CCleaner y antivirus. Al borrarlas se elimina la memoria del rastreador, que no funciona mejor que Trackboxx pero sigue necesitando consentimiento. Las redes empresariales tampoco ofrecen ventaja: las grandes organizaciones borran periódicamente las cookies de los equipos siguiendo sus políticas de seguridad.