La Agencia Española de Protección de Datos (AEPD) ha presentado un informe revelador sobre los tratamientos de datos personales en plataformas digitales. Este documento, expuesto durante el curso «Nuevos retos para la protección de los derechos de las personas ante el impacto de Internet» en la Universidad Internacional Menéndez Pelayo (UIMP) de Santander, desvela cómo numerosos proveedores utilizan patrones de diseño adictivos para aumentar el tiempo de conexión de los usuarios y recoger más datos personales. Estas prácticas son especialmente perjudiciales para los menores, afectando su autonomía y su derecho al desarrollo.
Patrones adictivos y diseño engañoso
El informe de la AEPD detalla cómo las plataformas digitales implementan patrones de diseño engañosos para prolongar la permanencia de los usuarios en sus servicios. Estos patrones están diseñados para aumentar el nivel de compromiso de los usuarios y recopilar más datos personales. En el caso de menores y adolescentes, estos patrones pueden influir significativamente en sus preferencias e intereses, generando una dependencia perjudicial.
El Comité Europeo de Protección de Datos (CEPD) ya había abordado los patrones engañosos en sus Directrices 03/2022, enfocándose en cómo reconocerlos y evitarlos en redes sociales. La AEPD ha ampliado esta revisión a otras plataformas, incluyendo vídeo, música, contenido para adultos, juegos, entornos de aprendizaje, y aplicaciones de salud y bienestar. Esta perspectiva más amplia permite identificar nuevos casos de uso y evaluar el impacto de estas prácticas en diferentes contextos.
El Marco Legal: Digital Services Act
El Reglamento de Servicios Digitales (DSA), en su artículo 25, prohíbe que las plataformas online diseñen sus interfaces de manera que engañen o manipulen a los usuarios, obstaculizando su capacidad de tomar decisiones libres e informadas. La directora de la AEPD, Mar España, ha anunciado que promoverá la inclusión de patrones adictivos en las directrices del CEPD sobre la interrelación entre el Reglamento General de Protección de Datos (GDPR) y la DSA. Esto subraya la importancia de abordar el impacto de estas prácticas en la protección de datos en entornos digitales.
El informe de la AEPD clasifica los patrones adictivos en tres niveles: alto, medio y bajo. Los patrones de alto nivel incluyen estrategias generales aplicables en cualquier contexto y aplicación, identificando cuatro tipos: acción forzada, ingeniería social, interferencia en la interfaz y persistencia. Los patrones de nivel medio se centran en enfoques específicos que explotan vulnerabilidades psicológicas de los usuarios. Finalmente, los patrones de bajo nivel corresponden a la ejecución específica de estos enfoques en contextos o aplicaciones particulares.
Implicaciones para la Protección de Datos
La implementación de patrones adictivos en el tratamiento de datos personales plantea serias implicaciones para la protección de datos. Estos patrones afectan principios clave como la responsabilidad proactiva, la protección de datos desde el diseño y por defecto, la transparencia, la licitud, la lealtad, la limitación de la finalidad, y la minimización de datos. Además, representan un riesgo significativo para los derechos y libertades de los usuarios, especialmente para la integridad física y psíquica de menores y adolescentes.
La Comisión Europea ha iniciado procedimientos sancionadores por posible incumplimiento de la DSA contra TikTok y Meta. Estos procedimientos reflejan la creciente preocupación por las prácticas adictivas y su impacto en los usuarios. TikTok, por ejemplo, suspendió su aplicación TikTok Lite tras la intención de la Comisión de imponer medidas provisionales debido a su función que recompensaba económicamente el tiempo adicional frente a la pantalla.
En España, la AEPD seguirá colaborando con la Comisión Nacional de los Mercados y la Competencia (CNMC), el organismo designado como Coordinador de Servicios Digitales nacional. Esta colaboración es necesaria para abordar las prácticas adictivas y garantizar la protección de los datos personales de los usuarios.
