Directiva sobre privacidad electrónica

La Directiva 2002/58/CE sobre privacidad y comunicaciones electrónicas, también conocida como Directiva ePrivacy (ePD), es una directiva de la UE sobre protección de datos y privacidad en la era digital. ^{[ 1 ]} Representa una continuación de esfuerzos anteriores, principalmente la Directiva de Protección de Datos . Aborda la regulación de una serie de cuestiones importantes, como la confidencialidad de la información, el tratamiento de los datos de tráfico, el spam y las cookies . Esta Directiva fue modificada por la Directiva 2009/136, que introduce varios cambios, especialmente en lo que respecta a las cookies, que ahora requieren consentimiento previo.

Existen algunas interacciones entre el Reglamento de privacidad electrónica (ePR) y el Reglamento General de Protección de Datos (RGPD). ^{[ 2 ]} Algunos legisladores de la UE esperaban que el Reglamento de privacidad electrónica (ePR) entrara en vigor al mismo tiempo que el Reglamento General de Protección de Datos (RGPD) en mayo de 2018. ^{[ 3 ]} De esta forma, derogaría la Directiva de privacidad electrónica 2002/58/CE y acompañaría al RGPD en la regulación de los requisitos de consentimiento para el uso de cookies y las opciones de exclusión. ^{[ 1 ] [ 4 ] [ 5 ]}

La Directiva sobre privacidad electrónica se elaboró ​​específicamente para abordar las exigencias de las nuevas tecnologías digitales y facilitar el avance de los servicios de comunicaciones electrónicas. ^{[ 6 ]} La Directiva complementa la Directiva de protección de datos y se aplica a todos los asuntos que no están específicamente cubiertos por dicha Directiva. ^{[ 7 ]} En particular, el objeto de la Directiva es el «derecho a la privacidad en el sector de las comunicaciones electrónicas» y la libre circulación de datos, equipos y servicios de comunicación.

La Directiva no se aplica a los Títulos V y VI ( Segundo y Tercer Pilar que constituyen la Unión Europea ). Del mismo modo, no se aplica a cuestiones relativas a la seguridad y defensa públicas, la seguridad del Estado y el derecho penal. ^{[ 8 ]} Sin embargo, la interceptación de datos estaba cubierta por la Directiva de la UE sobre retención de datos , antes de su anulación por el Tribunal de Justicia de la Unión Europea .

A diferencia de la Directiva de Protección de Datos, que se dirige específicamente solo a las personas físicas, el artículo 1(2) deja claro que la Directiva sobre privacidad electrónica también se aplica a las personas jurídicas.

La primera obligación general de la Directiva es garantizar la seguridad de los servicios. ^{[ 9 ]} Los destinatarios son los proveedores de servicios de comunicaciones electrónicas. Esta obligación también incluye el deber de informar a los abonados siempre que exista un riesgo particular, como un ataque de virus u otro software malicioso. ^{[ 10 ]}

La segunda obligación general es que se mantenga la confidencialidad de la información. ^{[ 11 ]} Los destinatarios son los Estados miembros , que deben prohibir la escucha, la interceptación, el almacenamiento u otros tipos de interceptación o vigilancia de las comunicaciones y el "tráfico relacionado", a menos que los usuarios hayan dado su consentimiento o se hayan cumplido las condiciones del artículo 15(1).

La directiva obliga a los proveedores de servicios a borrar o anonimizar los datos de tráfico procesados ​​cuando ya no sean necesarios, salvo que se cumplan las condiciones del artículo 15. ^{[ 12 ]} Se permite la retención para fines de facturación, pero solo mientras el plazo de prescripción permita reclamar legalmente el pago. Los datos pueden conservarse con el consentimiento del usuario para fines de marketing y servicios de valor añadido. Para ambos usos anteriores, se debe informar al interesado sobre el motivo y la duración del tratamiento de sus datos.

Los suscriptores tienen derecho a una facturación no detallada. ^{[ 13 ]} Asimismo, los usuarios deben poder optar por no ser identificados en la línea de llamada. ^{[ 14 ]}

Cuando se puedan procesar datos relativos a la ubicación de los usuarios u otro tráfico, el artículo 9 establece que esto solo se permitirá si dichos datos están anonimizados, si los usuarios han dado su consentimiento o para la prestación de servicios de valor añadido. Al igual que en el caso anterior, los usuarios deben ser informados previamente sobre la naturaleza de la información recopilada y tener la opción de oponerse. ^{[ 15 ]}

El artículo 13 prohíbe el uso de direcciones de correo electrónico con fines de marketing. ^{[ 16 ]} La Directiva establece el régimen de consentimiento explícito , según el cual los correos electrónicos no solicitados solo pueden enviarse con el consentimiento previo del destinatario. Una persona física o jurídica que inicialmente recopila datos de direcciones en el contexto de la venta de un producto o servicio, tiene derecho a utilizarlos con fines comerciales, siempre que los clientes tengan la oportunidad previa de rechazar dicha comunicación tanto en el momento de la recopilación inicial como posteriormente. Los Estados miembros tienen la obligación de garantizar que se prohíba la comunicación no solicitada, salvo en las circunstancias previstas en el artículo 13.

Dos categorías de correos electrónicos (o comunicaciones en general) también quedarán excluidas del ámbito de la prohibición. La primera es la excepción para las relaciones existentes con los clientes y la segunda para la comercialización de productos y servicios similares. ^{[ 17 ]} El envío de mensajes de texto no solicitados, ya sea en forma de mensajes SMS, mensajes de correo electrónico push o cualquier formato similar diseñado para dispositivos portátiles de consumo (teléfonos móviles, PDA) también está comprendido en la prohibición del artículo 13. ^{[ 18 ]}

La disposición de la Directiva aplicable a las cookies es el artículo 5, apartado 3. El considerando 25 del preámbulo reconoce la importancia y utilidad de las cookies para el funcionamiento de Internet y las relaciona directamente con el artículo 5, apartado 3, pero el considerando 24 advierte también del peligro que tales instrumentos pueden suponer para la privacidad. El cambio en la ley no afecta a todos los tipos de cookies; quedan exentas aquellas que se consideran «estrictamente necesarias para la prestación de un servicio solicitado por el usuario», como por ejemplo, las cookies que registran el contenido del carrito de compra de un usuario en un servicio de compra en línea .

El artículo es tecnológicamente neutro, ya que no menciona ningún medio tecnológico específico que pueda utilizarse para almacenar datos, sino que se aplica a cualquier información que un sitio web almacene en el navegador del usuario. Esto refleja el deseo del legislador de la UE de que el marco de la directiva sea flexible ante futuros avances tecnológicos.

Los destinatarios de esta obligación son los Estados miembros, que deben garantizar que el uso de redes de comunicaciones electrónicas para almacenar información en el navegador de un visitante solo se permita si se proporciona al usuario "información clara y completa", de conformidad con la Directiva de Protección de Datos , sobre los fines del almacenamiento o el acceso a dicha información, y si este ha dado su consentimiento.

El sistema así establecido puede describirse como de consentimiento explícito , lo que significa que el consumidor debe dar su consentimiento antes de que se almacenen cookies o cualquier otro tipo de datos en su navegador. La normativa del Reino Unido permite que el consentimiento se manifieste mediante futuras configuraciones del navegador, que aún no se han implementado, pero que deben ser capaces de presentar información suficiente para que el usuario pueda dar su consentimiento informado e indicar al sitio web de destino que se ha obtenido dicho consentimiento. El consentimiento inicial puede mantenerse para las solicitudes de contenido posteriores a un sitio web. La Directiva no establece directrices sobre qué puede constituir una opción de exclusión voluntaria, pero exige que las cookies, salvo las "estrictamente necesarias para la prestación de un servicio solicitado por el usuario", no se instalen sin el consentimiento del usuario.

Los banners de consentimiento de cookies de la UE son ventanas emergentes o notificaciones en sitios web que preguntan a los usuarios si aceptan las cookies del navegador. La Directiva de privacidad electrónica exige que los sitios web obtengan el consentimiento explícito de los usuarios antes de almacenar cookies en sus dispositivos. A pesar de sus supuestos beneficios para la privacidad, los banners de consentimiento de cookies se consideran en general una molestia. ^{[ 19 ]} Los usuarios son bombardeados constantemente con estos banners en casi todos los sitios web que visitan, lo que interrumpe su experiencia de navegación. Los europeos pierden colectivamente aproximadamente 575 millones de horas al año haciendo clic en los banners de consentimiento de cookies exigidos por la legislación de la UE. ^{[ 20 ]}

1. Texto completo de la Directiva
2. Orientación de la ICO del Reino Unido
3. Orientación de la Autoridad Francesa de Protección de Datos, CNIL (Traducida al inglés)
4. Artículo 29. Dictamen del Grupo de Trabajo sobre Protección de Datos 2/2010.
5. Artículo 29, Dictamen 16/2011 del Grupo de Trabajo sobre Protección de Datos
6. Historia de la toma de decisiones
7. Sobre el spam: Asscher, L, Hoogcarspel, SA, Regulación del spam: una perspectiva europea tras la adopción de la Directiva sobre privacidad electrónica (TMC Asser Press 2006)
8. Edwards, L., «Artículos 6-7 de la CED; Directiva sobre privacidad y comunicaciones electrónicas de 2002» en Edwards, L. (ed.) El nuevo marco jurídico para el comercio electrónico en Europa (Hart, 2005)