Huella digital de los dispositivos o ‘Fingerprinting’: estas son las recomendaciones de la Agencia de Protección de Datos

El pasado 7 de febrero, la Agencia Española de Protección de Datos (en adelante, ‘AEPD’) publicó un estudio sobre cómo la huella digital de los dispositivos afecta a la privacidad de los ciudadanos. En el citado estudio, la AEPD analiza las distintas técnicas de seguimiento que permiten identificar a los usuarios, esencialmente en servicios web gratuitos a cambio de la monetización de los datos recopilados de sus usuarios. Los datos recopilados se rentabilizan mediante servicios de marketing con campañas de publicidad personalizada. Para optimizar al máximo la eficacia de la publicidad que se ofrece, además de identificar al usuario y recopilar datos, es necesario un perfilado.

La técnica más habitual para realizar el seguimiento del usuario es mediante el uso de cookies, que como sabemos, el destinatario puede configurar su navegador para rechazarlas, prestar o denegar su consentimiento, con carácter previo a su instalación.

Frente a esta limitación y/o facultad de borrado de cookies y otras herramientas, cobran relevancia otras técnicas de seguimiento que recopilan información específica del navegador web y/o del dispositivo utilizado con el objetivo de identificarlo y singularizarlo, obteniendo un identificador único que permite hacer un seguimiento de la actividad del usuario con la finalidad de perfilarlo.

Partiendo de esta técnica de identificación, el Informe de la AEPD, profundiza en el concepto de huella digital del dispositivo o ‘fingerprinting’, las técnicas más habituales, cómo se identifica el dispositivo utilizado por el usuario y, finalmente, formula recomendaciones para que los usuarios puedan proteger su privacidad y también recomendaciones para la industria.

Huella digital del dispositivo

Establezcamos primero qué se entiende por huella digital del dispositivo: Conjunto de datos e información obtenidos del dispositivo o terminal del usuario que permiten individualizar de forma unívoca dicho terminal. De esta forma, esta técnica permite que, identificando el terminal se identifique al usuario.

La tendencia actual de este tipo de seguimiento no es un mero perfilado de captura de información, hábitos de navegación, o búsquedas realizadas en servidores, sino que recaba información relativa a los movimientos que realiza el usuario en la página visitada, duración de la visualización, además del navegador utilizado, sistema operativo, resolución de la pantalla, clics efectuados, memoria del dispositivo, listado de aplicaciones instaladas…

Confluyen por tanto la combinación de la información obtenida de los tratamientos que realiza el navegador, sin el conocimiento del usuario, cuando accede a una página web, y que transmite al servidor que las almacena para un uso posterior, con la que recibe el servidor desde el navegador del usuario, que inicialmente puede ser técnica, pero que reutiliza con fines de identificación.

Además, en el caso de que el usuario elimine las cookies de identidad, mediante el uso de técnicas de identificación de la huella digital, se consigue restituir dichas cookies y volver a asignar al mismo usuario la información previamente vinculada, sin perder la trazabilidad sobre los datos de navegación o permitir realizar el seguimiento en base únicamente a la huella digital.

Requisito del deber de información y consentimiento para el uso de huella digital del dispositivo

El uso de técnicas de seguimiento basadas en huella digital, debe cumplir con los requisitos del deber de información del art. 13 RGPD, con el principio de minimización, informar de la finalidad del uso para para realizar un perfilado, y facilitar mecanismos para que el usuario pueda decidir libremente acerca de su instalación.

El informe de la AEPD, destaca del estudio realizado sobre distintas técnicas de huella digital que éstas:

Recogen datos del equipo del usuario sin su conocimiento ni su consentimiento, tratan información de las características del terminal con finalidades distintas a las inicialmente previstas y trasmiten datos a terceros.
No dan cumplimiento al principio de minimización de datos exigido por el RGPD, a la vista del volumen y tipología de datos que permiten recopilar, para identificar de forma unívoca al usuario. Tampoco cumplen con el período durante el cual son conservados.
No proporcionan mecanismos para que el usuario pueda rechazar la recogida de datos, ya que ésta se produce en el momento de iniciar el acceso a la página.
Existen numerosos supuestos en los que no se permite al usuario desactivar la recogida de la huella digital a pesar de tener configurada para ello la herramienta Do Not Track “DNT”.
No ofrecen mecanismos exigidos para que el usuario pueda ejercer sus derechos ante la recogida y tratamiento de sus datos.

Concluye finalmente el Informe de la AEPD que los responsables del tratamiento de datos realizado mediante técnicas de huella del dispositivo, no han analizado el impacto que tiene el uso de estas técnicas sobre los derechos y libertades, no han informado de las medidas establecidas para mitigar el riesgo ni para evitar los potenciales daños que podría provocar una brecha de seguridad.

¿Qué recomienda la AEPD?

1. A los usuarios:

Con el objetivo de proteger la intimidad de los usuarios, la AEPD propone una serie de recomendaciones, que en cualquier caso, advierte de antemano que tienen una efectividad limitada, Algunas de ellas son:

Utilizar la opción Do Not Track (que en algunos casos como hemos visto no será efectiva), para expresar las preferencias de seguimiento.
Instalación de bloqueadores para eludir la publicidad y el seguimiento del usuario, que ofrecen mejores resultados que la activación de las opciones de privacidad que incluyen los navegadores.
Deshabilitar el uso de Javascript.
Alternar el uso de navegadores, de esta forma no se consolidará bajo un mismo identificador, toda la actividad de información sobre la navegación.
Navegar bajo la opción de navegación privada que permiten algunos navegadores, o la utilización de redes de anonimización.

2. A los fabricantes y desarrolladores

Incluir en sus productos las opciones necesarias para que el usuario tenga la posibilidad de denegar o aceptar, de forma total o parcial, el uso de estas tecnologías de seguimiento.
Proporcionar al consumidor dispositivos que de forma predeterminada tengan activadas las máximas opciones de privacidad, dejando a discreción del usuario la reducción de dichas opciones, y por ejemplo tener activada por defecto la opción DNT.

3. A las entidades que explotan datos obtenidos a partir de huellas digitales:

Proporcionar información clara y completa sobre la utilización de sus datos y, en particular, de los fines del tratamiento.
Obtener el consentimiento del usuario para el tratamiento de sus datos, así como la posibilidad de retirarlo posteriormente. En los supuestos en que el usuario tenga habilitada la opción DNT, las entidades deberán interpretarlo como una negativa a la obtención del consentimiento.
Establecer procedimientos para permitir el ejercicio de derechos por parte de los usuarios.
Llevar a cabo un registro de actividades de tratamiento en el que se incluyan los tratamientos que utilicen la huella digital y evaluar la necesidad de contar con un Delegado de Protección de Datos.
Realizar un análisis de riesgos de protección de datos relativos a los derechos y libertades de los interesados y evaluar la necesidad de una posterior Evaluación de Impacto que contemple, al menos impacto de: