Publicidad personalizada y uso de perfiles de usuario: qué permisos necesitas

¿Tienes razón?

La legalidad del uso de perfiles de usuario para publicidad depende de cuatro cosas: 1) la naturaleza de los datos (si son sensibles se requiere especial cuidado); 2) la base jurídica para el tratamiento (consentimiento libre, informado y verificable o una otra base aplicable); 3) la información y medios de oposición que usted recibió en el momento de la recolección y en cada comunicación; y 4) la posibilidad de revocar el tratamiento y borrar datos. Si la empresa construyó perfiles sin informarle o sin una base legal adecuada, tiene motivos para reclamar.

En términos prácticos, no es lo mismo usar datos anónimos o agregados para medir una campaña que usar identificadores que permiten seguir a una persona entre sitios. Rastrear a un usuario con fines publicitarios exige transparencia y, muchas veces, consentimiento explícito. También influye quién es el responsable: una plataforma grande puede apoyarse en acuerdos contractuales; una pequeña web que combina proveedores sin control puede estar en incumplimiento.

Cómo se soluciona

1) Reúna pruebas. Guarde capturas de las configuraciones de privacidad, emails comerciales, capturas de la política de privacidad y cualquier banner de cookies. Si puede, recoja ejemplos de anuncios que cree dirigidos gracias al perfil (capturas).

2) Solicite información por escrito. Envíe un derecho de petición o una solicitud al responsable solicitando: la base legal del tratamiento, las finalidades, las categorías de datos, la identidad de encargados o proveedores, y el mecanismo para revocar consentimiento o oponerse al tratamiento.

3) Ejercite los derechos. Solicite la supresión, la rectificación o la revocación del consentimiento si se obtuvo de manera insuficiente. Pida que no se le incluya en segmentaciones para publicidad.

4) Valore la vía administrativa. Si la respuesta no es adecuada, puede acudir a la Superintendencia de Industria y Comercio para denunciar prácticas de tratamiento indebido de datos personales. Para efectos de protección inmediata de derechos fundamentales (por ejemplo, si la publicidad afecta su imagen o su salud), la acción de tutela puede ser una opción extraordinaria.

5) Para empresas: documente flujos de datos, tenga acuerdos con proveedores y un registro de tratamiento. Para usuarios: use herramientas de bloqueo de rastreadores y revise configuraciones de cuentas.

Actuaciones que puede hacer solo: solicitar información, revocar consentimientos y usar bloqueadores. Cuándo buscar abogado: cuando la empresa se niega a retirar datos, cuando hay perfiles sensibles o cuando la publicidad causa daño reputacional o económico.

Qué puede pasar

1) Se arregla con una carta o solicitud: en muchos casos, una petición formal y clara para que lo excluyan de segmentaciones funciona. Las empresas suelen ofrecer la exclusión para evitar sanciones o desgaste reputacional.

2) Acuerdo o conciliación: si hubo daño (por ejemplo, anuncios que revelan una condición de salud), las partes pueden acordar medidas de reparación y cambios en las prácticas de tratamiento. Un acuerdo evita el tiempo y la incertidumbre del procedimiento administrativo.

3) Procedimiento administrativo o judicial: la Superintendencia puede abrir investigación y ordenar medidas; una tutela puede ordenar ceses inmediatos si hay afectación a derechos fundamentales. Si pierde la acción, la autoridad puede no imponer remedios para el afectado más allá de medidas correctivas a la empresa.

¿Y si gana, cobra? Las decisiones administrativas pueden dar lugar a medidas y sanciones contra la empresa; la reparación económica al afectado depende de pruebas del daño y de la capacidad de la empresa para responder.

Errores que arruinan el caso

• No guardar capturas de pantalla o pruebas de los anuncios y la política de privacidad vigente en el momento.
• No revocar el consentimiento por escrito antes de acudir a la autoridad.
• Desactivar herramientas de privacidad antes de recolectar pruebas (por ejemplo, limpiar cookies sin guardar evidencia).
• Confundir anonimización con seudonimización; la primera impide reclamo y la segunda no.
• No exigir los responsables y encargados: sin identificar a los proveedores, la investigación se complica.