Consentimiento frente a interés legítimo: ¿cuál debería elegir para la comercialización?

El artículo 6 del RGPD le permite procesar los datos personales de sus usuarios bajo seis bases legales, incluido el consentimiento y los intereses legítimos:

Artículo 6 (1) (a) del RGPD: el consentimiento como base legal para el procesamiento de datos: el interesado ha dado su consentimiento para el procesamiento de sus datos personales para uno o más propósitos específicos;

Artículo 6 (1) (f) del RGPD: el procesamiento es necesario para los fines de los intereses legítimos perseguidos por el controlador o por un tercero, excepto cuando dichos intereses sean anulados por los intereses o los derechos y libertades fundamentales del interesado que requieren protección de datos personales, en particular cuando el interesado es un niño.

Estas dos son también las bases legales más discutidas para el procesamiento de datos personales con fines de marketing.

De estos, la base del consentimiento es bastante sencilla... ya que el usuario ha "consentido" en el procesamiento de sus datos.

Sin embargo, el problema con el consentimiento es que no siempre es adecuado para el proceso de marketing.

Lo que luego deja a los especialistas en marketing con la disposición de intereses legítimos.

A primera vista, Intereses legítimos parece un término general que puede permitir una gran cantidad de procesamiento de datos personales. Pero el uso de Intereses legítimos como base legal necesita una consideración cuidadosa, ya que solo pueden considerarse como una Base legal para el procesamiento de datos SI el procesamiento de datos es realmente NECESARIO.

Elección entre el consentimiento y los intereses legítimos con fines de marketing

El procesamiento de datos personales utilizando el consentimiento como base legal se considera bastante seguro, ya que el consentimiento es el "estándar de oro".

También es un terreno mucho más sólido para procesar datos que el terreno de los intereses legítimos porque no es ambiguo. Le preguntaste al usuario y te dijo "¡Sí!".

Pero obtener el consentimiento cada vez que desea procesar un determinado tipo de datos personales significa que sus usuarios opten por una gran cantidad de formularios de consentimiento diferentes.

El RGPD, de hecho, ofrece algunas directivas muy claras y estrictas sobre cómo puede solicitar el consentimiento de forma legítima:

[…] una indicación de consentimiento debe ser inequívoca e implicar una acción afirmativa clara (opt-in). Prohíbe específicamente las casillas de suscripción premarcadas. También requiere opciones de consentimiento diferenciadas ("granulares") para distintas operaciones de procesamiento. El consentimiento debe estar separado de otros términos y condiciones y, en general, no debe ser una condición previa para suscribirse a un servicio.

La base legal de los intereses legítimos, por otro lado, es bastante flexible.

En primer lugar, el RGPD permite a los comerciantes justificar el procesamiento de datos personales con fines de marketing directo bajo la base legal de los Intereses legítimos:

…El procesamiento de datos personales con fines de marketing directo puede considerarse realizado por un interés legítimo.

Además, ICO (Oficina del Comisionado de Información, una autoridad independiente con sede en el Reino Unido que orienta a las empresas sobre cómo aplicar las leyes de privacidad de datos del Reino Unido, como el RGPD) explica cómo un interés legítimo en el marketing (como el de "impulsar las ventas") puede hacer un propósito genuino para el procesamiento de datos:

[T]enemos un interés legítimo en comercializar nuestros productos a clientes existentes para aumentar las ventas.

ICO también explica cómo los intereses legítimos pueden ser la base más adecuada en múltiples instancias, como cuando:

• el procesamiento no es requerido por la ley pero es un claro beneficio para usted o para otros;
• hay un impacto de privacidad limitado en el individuo;
• la persona debe esperar razonablemente que use sus datos de esa manera; y
• no puede, o no quiere, darle a la persona un control completo por adelantado (es decir, consentimiento) o molestarla con solicitudes de consentimiento perturbadoras cuando es poco probable que se oponga al procesamiento.

Para cada necesidad (o propósito) de marketing que tenga a mano, un comercializador debe decidir cuidadosamente las diferentes bases legales a utilizar (de entre las seis bases legales bajo las cuales el RGPD permite el procesamiento de datos). De estos seis, el consentimiento y los Intereses legítimos son las dos bases legales que a menudo se utilizan para la personalización del sitio web para visitantes generales (o no registrados). (Este artículo se centra en cómo puede utilizar la base legal de intereses legítimos para personalizar las experiencias de su sitio web).

En general, incluir un caso bajo la disposición de Intereses legítimos requiere mucha reflexión. Para que esto sea un poco más fácil, ICO ha diseñado una prueba de tres partes para ayudarlo a identificar si el propósito que tiene entre manos realmente cumple con los requisitos para ser una base legal bajo la disposición de Intereses legítimos.

Aquí está la prueba de tres partes de ICO para determinar los intereses legítimos bajo el RGPD:

1. Prueba de propósito: ¿existe un interés legítimo detrás del procesamiento?
   Para utilizar los intereses legítimos como base legal para el procesamiento de datos personales, primero debe explicar su necesidad de procesar los datos personales en cuestión. Necesita un propósito claramente articulado detrás de querer procesarlo.
2. Prueba de necesidad: ¿es necesario el procesamiento para ese propósito?
   Para utilizar los intereses legítimos como base legal para el procesamiento de datos personales, debe demostrar que no existe otra forma menos invasiva de lograr su propósito y que su procesamiento es " proporcionado y adecuadamente dirigido para cumplir sus objetivos... "
3. Prueba de equilibrio: ¿el interés legítimo está anulado por los intereses, derechos o libertades del individuo?
   Después de que su caso califique en las dos primeras pruebas, debe asegurarse de que el procesamiento de los datos personales en cuestión no infrinja los derechos y libertades de la persona cuyos datos personales se procesarán.

Con eso, veamos ahora algunos ejemplos de procesamiento de datos personales muy comunes que podrían estar incluidos en la disposición de Intereses legítimos de GDPR.

10 ejemplos de motivos para el procesamiento de datos personales utilizando intereses legítimos

Antes de que veamos los ejemplos reales, comprenda que cada ejemplo que se enumera a continuación tiene una gran lista de advertencias. Estos ejemplos solo pretenden brindarle algunas sugerencias de fines de marketing que podrían explorarse en virtud de la disposición de Intereses legítimos.

Aquí va …

1. Procesamiento de datos de direcciones IP

Dependiendo de la cantidad de datos que capture, una dirección IP puede decir mucho. Por ejemplo, puede usarlo para encontrar la ubicación de un visitante, o también puede usarlo para averiguar para qué empresa trabaja (lea más sobre esto en nuestro artículo ABM 101).

Los intereses legítimos son una de las bases legales que se pueden utilizar para procesar los datos de la dirección IP de un usuario (clasificados como datos personales). Un ejemplo de un propósito de marketing bajo la disposición de Intereses legítimos que utiliza la dirección IP podría ser ofrecer ofertas localizadas.

Por ejemplo, una tienda de comercio electrónico puede promocionar un impermeable a alguien que navega desde un área donde es la temporada del monzón. Alternativamente, una tienda en línea podría usar los datos de ubicación de un visitante para ofrecer una oferta de envío gratuito por tiempo limitado al área del visitante.

Del mismo modo, una empresa B2B puede utilizar la empresa de un visitante (identificada a partir de su dirección IP) para mostrarle alguna personalización dinámica en forma de una imagen o contenido personalizado con, por ejemplo, el nombre o la industria de la empresa.

Nota: si utiliza las direcciones IP de sus visitantes para personalizar sus experiencias en el sitio web, es mejor no almacenarlas nunca en su base de datos si las ha utilizado para servicios meteorológicos o de ubicación. De esta manera, estos datos no supondrán un problema al recopilar varios puntos de datos sobre una persona en el mismo lugar.

2. Procesamiento de datos analíticos del sitio web

La mayoría de los sitios web recopilan los datos de navegación de sus visitantes con el fin de optimizar el rendimiento. Esto generalmente está cubierto por la disposición de Intereses legítimos. En general, dichos datos no representan un problema, ya que a menudo se anonimizan y la mayoría de las herramientas de análisis como Google Analytics prohíben el procesamiento/almacenamiento de PII (información de identificación personal).

Las tendencias de dicho procesamiento de datos se pueden utilizar para formar la base de una amplia gama de experiencias personalizadas en el sitio web.

Por ejemplo, al usar Google Analytics, puede identificar las páginas de su sitio web donde pierde la mayoría de sus clientes potenciales. También puede usar algunas de las opciones de segmentación avanzada en Google Analytics para identificar los segmentos de audiencia que abandonan. Dicho procesamiento de datos puede generar muchas ideas para usted sobre la demografía y más sobre el tráfico que está perdiendo.

Con estos conocimientos, también puede probar ofreciendo a estos segmentos experiencias de sitio web más personalizadas.

Por ejemplo, si una tienda de comercio electrónico descubre que una determinada página de productos tiene una alta tasa de abandono, puede usar la información demográfica de su audiencia para ajustar los mensajes de su página de productos.

Dicha personalización no solo es sutil y significativa, sino que los datos personales procesados ​​tampoco se sienten intrusivos.

3. Tratamiento de datos de comunicaciones

La ejecución de comunicaciones de marketing personalizadas a través de correos electrónicos o SMS siempre requiere un consentimiento explícito.

Además, publicar el RGPD, agregar el correo electrónico de una persona a su CRM y enviarle correos electrónicos de marketing solo porque se comunicaron con usted a través de su formulario de contacto con su correo electrónico no es legal. Debe usar cuadros de consentimiento debajo de su formulario de contacto que buscan explícitamente el permiso del visitante para hacerlo.

Además, el RGPD no funciona de forma aislada. Por lo tanto, sus campañas de marketing por correo electrónico (o SMS) deben cumplir con las normas legales pertinentes, como ofrecer a los usuarios un enlace para darse de baja y más.

Dicho esto, si obtuvo el consentimiento para tales comunicaciones de un suscriptor, puede personalizar la experiencia de su sitio web para dicho suscriptor en función de su interacción con sus correos electrónicos o SMS de marketing. Esto debería estar razonablemente cubierto por la disposición de Intereses legítimos.

Por ejemplo, una empresa de viajes puede utilizar su historial de comunicaciones con sus suscriptores para mostrarles páginas personalizadas. Por ejemplo, a un suscriptor que ha mostrado interés (por ejemplo, haciendo clic en un enlace) en viajes de lujo se le puede mostrar una página que promociona un paquete de estadía en un hotel de lujo. Alternativamente, a un viajero con poco presupuesto se le pueden mostrar algunas ofertas seleccionadas en hoteles económicos.

4. Tratamiento de datos de comportamiento a través de cookies, web beacons, etc.

El procesamiento de datos de comportamiento es muy similar al procesamiento de datos de análisis de sitios web. Al igual que los datos de análisis de sitios web, los datos personales utilizados para impulsar campañas basadas en información de comportamiento también se anonimizan. Y el RGPD es bastante flexible con el procesamiento de datos anónimos.

La información de la interacción de los visitantes con un sitio web (por ejemplo, las páginas que vieron y los datos de sus clics) se puede utilizar para ofrecer experiencias de sitios web ricas en contexto.

Por ejemplo, una empresa de software de nivel empresarial puede realizar un seguimiento de los datos de comportamiento de sus visitantes y ofrecerles experiencias más personalizadas en sus próximas visitas. Por ejemplo, a un visitante que parece estar explorando una determinada solución se le puede mostrar la página de prueba de la misma solución o el formulario de registro en su próxima visita al sitio web.

5. Procesamiento de datos de perfil

Al igual que el análisis de sitios web y el procesamiento de datos de comportamiento, una empresa puede utilizar la base de intereses legítimos para utilizar datos personales anónimos para crear perfiles de usuario (elaboración de perfiles).

Por ejemplo, un sitio web de comparación de dispositivos podría usar los datos personales anónimos de sus usuarios para identificar sus tipos de audiencia clave. A continuación, puede ofrecer ofertas personalizadas y campañas promocionales a cada uno (por ejemplo, sugerir móviles de gama alta a su segmento de audiencia de gama alta y mostrar descuentos en móviles económicos a su segmento económico).

El documento sobre la orientación del uso de Intereses legítimos no solo sugiere tal base como una base legal para procesar datos personales bajo Intereses legítimos, sino que también admite la creación de perfiles de usuarios utilizando datos de redes sociales. El documento establece que una empresa puede usar:

… [Un] algoritmo proporcionado por el proveedor de redes sociales para orientar mejor su publicidad a 'parecidos', es decir, otras personas que tienen características similares a los propios clientes de esa empresa. La empresa carga los datos personales mínimos requeridos sobre sus clientes para habilitar la orientación de las redes sociales, pero excluye a aquellos que se han opuesto al marketing. La elaboración de perfiles se lleva a cabo dentro de la plataforma de redes sociales para permitir la orientación, sin embargo, es puramente con fines de marketing y la empresa ha evaluado que no tiene ningún efecto legal o similar significativo sobre esas personas.

6. Tratamiento de datos por cuenta propia y ajena

Además de los datos de origen (es decir, los datos que una empresa recopila por sí misma, por ejemplo, los datos de su cuenta de Google Analytics), bastantes empresas también utilizan datos de terceros y de terceros.

Estos datos, provenientes de socios e intercambios de datos, brindan a los especialistas en marketing información valiosa sobre la psicografía, la tecnología y la demografía de sus audiencias. Por lo general, se utiliza para crear perfiles de clientes detallados. Los cuales, a su vez, se utilizan para crear contenido y mensajes más relevantes y para entregarlos a los segmentos clave de la audiencia general.

Por ejemplo, una empresa B2B puede usar dichos datos para identificar los segmentos clave de su audiencia y orientar cada segmento con recomendaciones de contenido personalizadas.

Si necesita utilizar dichos datos de origen, asegúrese de asociarse únicamente con proveedores de datos e intercambios que sigan prácticas justas y legales de recopilación y procesamiento de datos.

7. Procesamiento de datos del historial de compras

Una tienda de comercio electrónico puede ofrecer recomendaciones de productos personalizadas a sus visitantes en función de su historial de transacciones.

DPN (Red de Protección de Datos, un organismo con sede en el Reino Unido que ofrece asesoramiento experto sobre Protección de Datos y Privacidad) ofrece mucha orientación sobre el uso de Intereses Legítimos. Sugiere que el uso por parte de una tienda en línea del historial de compras de un usuario para hacer recomendaciones personalizadas de productos puede ser una buena base para una base legal para el procesamiento de datos personales:

Un minorista con una amplia gama de productos realiza un procesamiento automatizado que se basa en el historial de transacciones de un cliente, con el fin de predecir qué otros productos y servicios pueden interesarle.

8. Procesamiento de datos del historial de la cuenta

El procesamiento de datos de cuenta se puede considerar como el equivalente del procesamiento de datos del historial de compras, pero para una configuración B2B.

Una empresa B2B puede utilizar los datos del historial de la cuenta de su usuario para ofrecer experiencias de contenido contextual más ricas. Por ejemplo, una empresa B2B puede utilizar los datos de sus clientes para ofrecerles ofertas de actualización o venta cruzada más relevantes y mejores.

9. Tratamiento de datos de cookies

Hay muchas maneras en que los datos de las cookies pueden ayudar a ofrecer experiencias personalizadas en el sitio web que no sean intrusivas y sean relevantes. La mayoría de los tipos de cookies que pueden impulsar experiencias efectivas ni siquiera necesitan el consentimiento explícito del usuario, ya que sus instrucciones de uso y exclusión se pueden explicar en las páginas de privacidad de un sitio web.

Por ejemplo, un sitio web comercial puede usar datos de cookies para determinar qué contenido entregar a un cliente potencial para avanzar más en el embudo de ventas. Hay infinitas formas en que los datos de las cookies se pueden usar, incluso de manera respetuosa con la privacidad. De hecho, todos los datos de los ejemplos anteriores se recopilan y almacenan principalmente en algunas formas de cookies.

Para obtener más ejemplos sobre el procesamiento de datos en virtud de la cláusula de intereses legítimos, consulte la Guía sobre el uso de intereses legítimos en virtud del Reglamento general de protección de datos de la UE.

Envolviendolo …

La elección de cualquiera de las dos opciones, Intereses legítimos o Consentimiento, para sus fines de marketing debe tenerse en cuenta caso por caso. Si bien los intereses legítimos pueden ser (y son) los motivos legales más comunes para procesar datos personales para la mayoría de los vendedores, deben usarse con cuidado.

Además, si bien la disposición de intereses legítimos puede cubrir muchas tácticas de personalización de sitios web, aún debe realizar la evaluación de intereses legítimos y buscar ayuda de un profesional legal de privacidad en línea para estar doblemente seguro antes de recurrir a ella.

En Convert Experiences, capacitamos a los especialistas en marketing como usted para que ofrezcan a sus usuarios experiencias personalizadas en el sitio web que respetan el RGPD y respetan la privacidad. También llevamos a cabo un LIA exhaustivo de todos los datos que usamos bajo la disposición de Intereses legítimos para impulsar dichas personalizaciones. Compruébalo aquí. Y si está buscando ofrecer personalizaciones de sitios web que ofrezcan privacidad por diseño y privacidad de forma predeterminada, consulte Convert Experiences.