El modelo dominante de publicidad online basado en el rastreo del comportamiento de los usuarios se tambalea en Europa. A raíz de dos decisiones judiciales recientes en Bélgica —una contra Meta y otra contra IAB Europe, organismo clave del sector publicitario digital— se refuerza el mensaje de que este tipo de prácticas no se ajusta al Reglamento General de Protección de Datos (RGPD). Ambas sentencias, dictadas por el Tribunal de Apelación y el Tribunal de Mercado respectivamente, declaran ilegales los sistemas que recogen datos personales sin un consentimiento claro, libre e informado.

En el caso de Meta, el tribunal belga considera que el uso de tecnologías como cookies, píxeles y botones sociales para crear perfiles publicitarios no puede justificarse bajo el interés legítimo, contraviniendo así el RGPD. Paralelamente, el fallo contra IAB Europe anula la supuesta legalidad del sistema TCF (Transparency and Consent Framework), utilizado por miles de sitios web para mostrar los conocidos banners de «consentimiento de cookies». La resolución subraya que los datos gestionados en este sistema son también datos personales y requieren, por tanto, un tratamiento conforme al RGPD.

Estas decisiones no afectan únicamente a grandes plataformas tecnológicas. También compañías de sectores como la automoción, la banca o incluso una conocida petrolera europea en su momento estudiaron técnicas similares para optimizar servicios en estaciones de servicio mediante geolocalización y personalización. El nuevo marco jurídico pone en jaque este tipo de iniciativas si no cuentan con una base legal sólida.

El caso Meta: rastreo sin consentimiento no tiene base legal

El Tribunal de Apelación de Bélgica ha confirmado la infracción del RGPD por parte de Meta, matriz de Facebook e Instagram. Según la sentencia, el rastreo de usuarios tanto dentro como fuera de sus plataformas —a través de cookies, píxeles y tecnologías similares— se realiza sin un consentimiento válido. El argumento del “interés legítimo” queda descartado por no cumplir con el principio de proporcionalidad.

El RGPD exige que el consentimiento sea libre, informado, específico e inequívoco. Meta, sin embargo, no ofrecía a los usuarios la posibilidad de rechazar el seguimiento sin dejar de usar sus servicios. Técnicamente, se recopilan datos como la IP, la localización estimada, las interacciones con anuncios, el historial de navegación y preferencias sociales, lo que permite una hipersegmentación que infringe los principios de minimización y finalidad del reglamento.

Aunque Meta ha intentado adaptarse ofreciendo suscripciones sin anuncios por unos 10 € mensuales, varias autoridades consideran que esta solución sigue sin garantizar un consentimiento verdaderamente libre.

El sistema TCF de IAB Europe también vulnera el RGPD

En paralelo, el Tribunal de Mercado belga ha resuelto que el sistema TCF de IAB Europe, ampliamente utilizado para obtener el consentimiento en sitios web, no cumple con el RGPD. Este marco generaba un “string de consentimiento” —una cadena de datos que codifica las preferencias del usuario— que luego compartía con múltiples actores del ecosistema publicitario. La sentencia confirma que este tratamiento también se considera procesamiento de datos personales y, por tanto, debe sujetarse a todas las garantías legales.

El tribunal remarca que IAB Europe actuó como responsable del tratamiento de esos datos, lo que implica deberes legales que no se estaban cumpliendo adecuadamente. Además, se cuestiona la validez del consentimiento obtenido a través de banners genéricos y poco claros, práctica habitual en la mayoría de webs europeas.

Con esta decisión, el modelo actual de gestión de consentimiento queda en entredicho, y es probable que se exijan nuevas herramientas que respeten de forma más estricta la transparencia y el control por parte del usuario.

Impacto en otras industrias: la tentación del rastreo geolocalizado

El uso de técnicas de perfilado y geolocalización no se limita a las redes sociales. Algunas empresas energéticas, incluyendo una gran petrolera europea, estudiaron en su momento la posibilidad de aplicar sistemas de localización para ofrecer servicios personalizados en estaciones de servicio. El objetivo sería detectar la presencia del usuario cerca de una estación, sugerir productos o promociones basadas en su historial de consumo o preferencias, e incluso automatizar el cobro o el repostaje.

Desde un punto de vista técnico, esto implica la recolección de coordenadas GPS, hábitos de consumo, matrícula del vehículo, patrones de movilidad e incluso datos de medios de pago. Sin un consentimiento claro y explícito, este tipo de iniciativas podría enfrentarse ahora a obstáculos legales similares a los de Meta o IAB Europe.

Esta advertencia legal anticipa una mayor fiscalización de todas las industrias que empleen tecnologías de seguimiento, incluso cuando se usen con fines aparentemente “útiles” para el cliente. La privacidad, reitera la legislación europea, no debe sacrificarse en nombre de la eficiencia comercial.

Alternativas al rastreo personalizado: ¿publicidad sin invadir la privacidad?

A medida que se cierra la puerta a la publicidad basada en rastreo, emergen alternativas más respetuosas con la privacidad. La publicidad contextual, que muestra anuncios basados en el contenido de la página y no en el perfil del usuario, se perfila como una opción viable. Aunque menos rentable a corto plazo, evita los problemas legales asociados al tratamiento de datos personales.

En el plano técnico, se están desarrollando soluciones basadas en anonimización reforzada, aprendizaje federado y privacidad diferencial. Estas tecnologías permiten obtener ciertos patrones sin identificar a los individuos de forma directa. Google, por ejemplo, trabaja en el sistema Privacy Sandbox, que busca reemplazar las cookies de terceros por mecanismos agrupados y más seguros.

También hay un crecimiento del enfoque de edge computing en marketing, que permite procesar información directamente en el dispositivo del usuario sin enviarla a servidores externos. Esto podría allanar el camino hacia un equilibrio entre personalización y privacidad, siempre que el consentimiento se respete.

Conclusión: hacia un ecosistema publicitario legal y sostenible

La doble sentencia contra Meta e IAB Europe establece una nueva referencia legal para el ecosistema digital europeo. El rastreo de usuarios ya no puede considerarse un recurso gratuito o una “zona gris” legal. Tanto las plataformas como las agencias, anunciantes y terceros implicados deberán revisar sus políticas de consentimiento, transparencia y tratamiento de datos.

Estas decisiones refuerzan la capacidad de las agencias nacionales de protección de datos y del poder judicial para hacer cumplir el RGPD, incluso frente a actores con recursos globales. Europa consolida así su posición como bloque regulador centrado en la defensa de los derechos digitales.

En este nuevo escenario, el reto será encontrar un equilibrio entre la innovación tecnológica, el modelo económico de internet y el respeto a la privacidad individual. Las reglas están cambiando y adaptarse ya no es una opción, sino una obligación legal.