Mi web/app rastrea usuarios sin aviso de privacidad o cookies

¿Tienes razón?

No toda recopilación de datos es ilegal: lo que importa es la naturaleza de los datos (personales, sensibles), la finalidad del tratamiento y si hay una base que lo justifique (consentimiento, contrato, interés legítimo, etc.). Usted tiene razón para preocuparse cuando la web o la app recopila identificadores que permiten seguir su actividad, vende o comparte perfiles con terceros, o no le informa sobre la finalidad y derechos. Las tres preguntas que determinan si hay incumplimiento son: 1) ¿qué tipo de datos recogen? (correo, dispositivo, IP, localización precisa, hábitos); 2) ¿para qué fines los usan? (publicidad, venta de bases, análisis); y 3) ¿cómo se informó al usuario? Si no hay un aviso claro y accesible y mecanismos para oponerse o revocar el tratamiento, la práctica es reprochable.

También influye si la recolección incluye datos sensibles (salud, filiación sindical, creencias) o si enlaza comportamientos en distintos sitios para construir perfiles comerciales. En esos casos la exigencia de transparencia y de bases jurídicas es mayor. Si la aplicación pertenece a una empresa grande que procesa datos a escala, la probabilidad de obligación formal de cumplir con estándares y medidas de seguridad es alta.

Cómo se soluciona

1. Identifica la conducta: use herramientas del navegador o apps que muestren las solicitudes de red y las cookies instaladas. Haga capturas de las cookies, los scripts y las peticiones a dominios externos. Si la app tiene permiso de localización o acceso a contactos, capture esas pantallas de permisos.

1. Reúna documentación: guarde la URL, la versión de la app, la fecha y hora y ejemplos de la actividad rastreada (publicidad dirigida, sugerencias basadas en navegación previa). Anote si la web no tiene un aviso visible de privacidad o si el aviso no explica compartición con terceros.

1. Solicita información al responsable. Pida por escrito: a) qué datos suponen sobre usted; b) la finalidad; c) terceros con quienes se comparte; d) cómo ejercer derechos; e) medidas de seguridad. Exija constancia de recepción.

1. Exija corrección o cesación. Si el tratamiento es inadecuado, solicite la eliminación de sus datos o que se limite el perfilado. Para empresas que no responden o niegan el acceso, la próxima fase es la reclamación ante la autoridad de protección de datos competente o el recurso legal para evitar el seguimiento.

1. Si es propietario de la web o app: implemente un aviso de privacidad claro y mecanismos de consentimiento para cookies y rastreo; revise contratos con proveedores y configure medidas técnicas que permitan minimizar datos.

Qué puede hacer usted hoy: recopilar pruebas técnicas y pedir información por escrito. Qué hace un abogado: analizar si la conducta constituye ilícito en términos de protección de datos, preparar la reclamación ante la autoridad y, si procede, medidas cautelares para impedir el tratamiento.

Qué puede pasar

1) Se arregla con una carta. En muchos casos una comunicación formal y la amenaza de infracción lleva al responsable a publicar un aviso correcto, ofrecer mecanismos de desacoplamiento del rastreo y comprometerse a no compartir datos con terceros.

2) Acuerdo o sanción administrativa. Si hay buena voluntad, puede pactarse la remediación (ajuste de cookies, borrado de datos). La autoridad también puede imponer medidas, que varían según la gravedad del incumplimiento y la escala del tratamiento.

3) Procedimiento legal. Si la empresa ignora la reclamación, puede iniciarse un procedimiento administrativo o una acción civil para proteger derechos. Si pierde la empresa, puede estar obligada a cesar el tratamiento y, en casos graves, reparar daños. Si la empresa no tiene activos o está fuera del país, la ejecución de medidas puede complicarse.

Errores que arruinan el caso

• No conservar evidencia técnica: borrar historiales o no tomar capturas impide demostrar el rastreo.
• Confundir consentimiento implícito con consentimiento válido: captar consentimientos generales en avisos incomprensibles no sustituye al consentimiento informado para perfilado.
• No identificar correctamente al responsable: reclamar a la plataforma equivocada o a un proveedor tercerizado complica la defensa.
• Eliminar la app sin antes capturar pruebas: se pierde información sobre permisos y versiones.
• Creer que la eliminación de la cuenta borra todos los rastreos: algunos datos se conservan en terceros y es necesario pedir su eliminación específica.