Enrique Cano

Liando la madeja: las cookies de terceros

Cuando visitamos una página web, nuestro navegador se la solicita al servidor y, como menciono en la primera parte de este artículo, Cookies y privacidad (I): ni tan malas ni tan prescindibles, al hacerlo le envía las cookies que el servidor previamente ha grabado.

Normalmente, las páginas web incluyen elementos insertados o complementarios al texto, como ficheros de tipografías, imágenes, u hojas de estilo, que el navegador también tiene que cargar. Todos estos elementos son, también, solicitados por el navegador, cada uno con sus correspondientes cookies, hasta que todos los componentes de la página se completan.

Cada vez más, las páginas que visitamos contienen elementos complementarios de terceros, es decir, de servidores web que son responsabilidad de otros. Al cargar estos elementos externos, el servidor web al que pertenezcan también podrá grabar cookies en el navegador del usuario.

Así, el tercero, por ejemplo un anunciante, sabrá qué páginas se visitan gracias a la presencia de sus anuncios; y además, podrá distinguir a unos usuarios de otros gracias a las cookies.

Imaginemos la tienda virtual ytienda.com, y el anunciante, zproductos.es. Las páginas de la tienda incluyen banners publicitarios de zproductos.es en forma de imagen en el margen. Cuando alguien visite una página de un producto que tenga dos fotos y un anuncio (por ejemplo ytienda.com/yphon7) su navegador pedirá en realidad los siguientes cuatro recursos, incluyendo en cada solicitud las cookies de cada dominio:

• ytienda.com/yphon7.html, la página web,
• ytienda.com/foto-frontal-yphon7.jpg, la foto frontal,
• ytienda.com/foto-lateral-yphon7.jpg, la foto lateral, y
• zpoductos.es/publicidad-lateral-fundas-yphon7.jpg, el anuncio.

Al cargar la imagen publicitaria lateral, el usuario de ytienda.com resultará, digamos, «cookieado» también por zproductos.es, servidor que conocerá todas las páginas que visite el navegante a partir de ese momento, que contengan publicidad de zproductos.es, aunque sean de otros sitios web distintos a ytienda.com.

Resumiendo: hasta este punto, tanto la tienda ytienda.com como el anunciante zpoductos.es tendrían información de los navegantes, pero seguiría siendo totalmente anónima.

Rompiendo el anonimato

Los primeros en descubrir la identidad de los navegantes probablemente no son las propias webs visitadas, sino las redes sociales. Se trata de unos terceros muy especiales porque, a diferencia de un anunciante cualquiera, ellas ya poseen nuestros datos personales más o menos auténticos, que nosotros, amablemente, les hemos proporcionado, es decir, sí conocen nuestras identidades.

Cuando cualquier web, por ejemplo un blog, incluye un widget social (el recuadro de caritas de Facebook, la insignia de Google Plus, los botones de Me gusta y +1, etc.), el widget se carga directamente de los servidores de la red social, es decir, es un elemento de terceros.

Widget social de Facebook: elemento cargado directamente desde facebook.com, con sus correspondientes cookies. Facebook sabe cuáles de sus usuarios han visitado esa página, así como cualquiera otra que contenga sus botones o sus widgets.

Si el navegante del blog está logueado en la red social, ésta puede vincular al momento la página visitada con la persona visitante, en vez de con un perfil anónimo. Sin embargo, curiosamente, el sitio web visitado seguirá ignorando la identidad de su usuario.

Así, las redes sociales pueden conocer la navegación del usuario en el sitio web y además su identidad, mientras que el sitio web sólo tendrá los datos de navegación.

Si eres un webmaster, quizá quieras replantearte qué aportan los widgets sociales a tu web y qué les aportan a tus usuarios. Si eres usuario de una red social, quizás quieras reconsiderar la idea de que «los usuarios de las redes sociales son en realidad su producto, mientras que sus clientes son los anunciantes».

Omnipresencia de las redes sociales y potencial de rastreo

Observemos que la capacidad de rastreo de los terceros está limitada a las páginas que incluyan contenido de ellos. Un anunciante individual recopilará información de pocos sitios, ya que es relativamente poco probable que el mismo usuario ya «cookieado» en una web, visite también otra web donde se publicite el mismo anunciante.

En cambio, para un navegante cualquiera es fácil encontrarse los botones de Me gusta y +1, y otros widgets, en una, y otra, y otra páginas. Eso significa que las redes sociales saben que ese usuario ha visitado todas esas páginas.

Respecto a los anunciantes, es poco frecuente que los anuncios los inserten directamente ellos mismos desde su servidor. En su lugar, los publican directamente las plataformas de publicidad como DoubleClick, Adwords o BingAds que, a diferencia de los anunciantes individuales a los que representan, sí tienen una presencia enorme y por tanto explotable, comparable a la de las redes sociales con sus widgets.

El acceso a datos personales reales por parte de estas plataformas sería, en cambio, mucho más limitado, puesto que, a diferencia de las redes sociales, no tienen una excusa para pedir los datos a los usuarios finales (los destinatarios de la publicidad), ni les ofrecen un servicio-pretexto salvo, tal vez, sistemas de descuentos y cupones.

Cuando no queda más remedio que entregar los datos personales

Cuando realizamos una compra por Internet, necesariamente tendremos que indicar los datos personales. En ese momento, muchas webs incluyen unas casillas, opcionales o no, para marcar antes de continuar. Al hacerlo, entre otras cosas, permitimos que se usen los datos personales, no sólo para facturar y enviar los pedidos, sino también, según el sitio web, con fines estadísticos y de publicidad del propio sitio. Este uso de los datos es, desde mi punto de vista, totalmente legítimo, a diferencia del que hacen las redes sociales.

Así podría completar los perfiles personales una tienda tras el proceso de compra.

El problema de la privacidad

En mi opinión, la privacidad se ve comprometida cuando existe la posibilidad de vincular los datos de navegación con la identidad real de los navegantes. Sin embargo, por lo que he ido descubriendo al documentarme sobre el tema, el uso de las cookies proporciona a los sitios web una información fundamentalmente anónima: las webs sólo tienen la información que les dan sus usuarios.

Aunque, como se explica en la primera parte, por el mero hecho de navegar ya se comparte mucha información, ninguna web posee, en principio, datos personales que no le hayamos proporcionado voluntariamente. Queda fuera de este bienintencionado artículo el asunto de la compra y venta de datos, que nada tiene que ver con las cookies.

El riesgo más evidente que yo discierno para la privacidad estaría en la facilidad con que los servicios 2.0 (en especial las redes sociales) rastrean las visitas de otras webs sin ninguna relación con ellos, visitas de usuarios que les han confiado sus datos personales y sus conexiones con amigos, familiares y compañeros de trabajo. Que una web analice cómo navegan por ella sus usuarios, me parece legítimo y hasta deseable; que una red social analice cómo navegan sus usuarios por otras webs, inaceptable.

¿Son útiles los «avisos de cookies»?

Según la teoría de la información, un mensaje resulta más informativo cuantas menos probabilidades tenga de aparecer (de ahí que los periodistas digan aquello de que no es noticia que un perro muerda a un hombre, pero sí lo sería que un hombre muerda a un perro).

Los avisos de cookies que conquistan la web a partir de los cambios de 2012 en la LSSI ven anulado su propósito, víctimas de su propia enorme difusión. Los usuarios tenemos, con suerte, un concepto confuso sobre las cookies y su supuesta peligrosidad, que sólo podemos resolver tras una labor activa de documentación, y rara vez, leyendo un aviso de cookies de una web cualquiera.

Sobre la privacidad y la información personal, no creo que avisos de cookies sean muy preventivos. La Guía sobre el uso de las cookies parece cargar las tintas sobre la elaboración de perfiles para publicidad, cuya conexión con datos personales reales es poco probable, pero ignora totalmente la vinculación que los servicios 2.0 pueden hacer, y hacen, entre perfiles de navegación e identidades.

Los antivirus, por su parte, no han desperdiciado la posibilidad de inquietar a los usuarios un poco más, aunque ellos mismos explican que las cookies no suponen una amenaza de ningún tipo [en inglés], sino que la amenaza provendría de malware que accediera a los contenidos de las cookies y los utilizara.

Una propuesta modesta

La ley permite al usuario «negarse a aceptar las cookies». En fin, está bien, pero es como si le permitiese negarse a encender el monitor... ni le otorga una nueva posibilidad que no tuviera ni convierte en innecesarias las cookies en la Web 2.0.

Si la idea de fondo es evitar la grabación de cookies inesperadas, y permitirlas únicamente tras la autorización del usuario, yo promovería una modificación en los navegadores o en el protocolo HTTP, ¡pero no en los sitios web! Tal modificación, al estilo de Do not track (No rastrear), o de la más agresiva, y mucho más eficaz protección de rastreo de Firefox, evitaría de entrada cualquier cookie de terceros y mostraría un aviso del sitio que pretende acceder, dando la opción de ser rastreado, puntual o permanentemente.

La obsolescencia de las versiones antiguas de navegadores provocaría una actualización no forzada al nuevo estándar. La incorporación a los navegadores de esta nueva característica sin duda tendría un impacto económico general muy inferior al movilizado en cientos de miles de sitios web que, pese a sus esfuerzos, y por falta de asistencia técnica y claridad legal, en ocasiones implementan el sistema de consentimiento previo que exige la ley de forma defectuosa.

Primera parte:
Cookies y privacidad (I): ni tan malas ni tan prescindibles