Gravat obra d'Inocencio Medina Vera que acompanya l'article "La ruta del lazarillo" de José Martínez Ruiz "Azorín", publicat a l'almanac de 1907 de la revista Blanco y Negro.
El gener de 2024 la premsa espanyola va afegir, coordinadament i per sorpresa, un mur de cookies que passava a demanar als lectors un pagament a canvi de preservar les dades personals, el que es coneix com "pay or okay" (paga o accepta-ho). En aquesta crònica intento reunir les causes d'aquest canvi, la relació amb el Reglament Europeu de Protecció de Dades, i per què les institucions europees neguen a alguns serveis com Meta aquesta pràctica mentre ho permeten a la premsa.
Continguts §
Cronologia §
| Data | Esdeveniment |
|---|---|
| Març de 2016 | L'Autoritat Federal de Defensa de la Competència d'Alemanya obre una investigació a Facebook.[1] |
| 6 de febrer de 2019 | L'Autoritat Federal de Defensa de la Competència d'Alemanya ordena a Meta que faci modificacions en els termes del servei i en la recollida de dades.[1:1] |
| 11 de febrer de 2019 | Meta impugna la decisió de l'autoritat alemanya davant el Tribunal Superior Regional del Civil i el Penal de Düsseldorf.[2] |
| 9 d'agost de 2021 | El Tribunal Superior de Düsseldorf eleva al Tribunal de Justícia de la Unió Europea set qüestions prejudicials sobre el cas Meta contra Bundeskartellamt.[2:1] |
| 22 de març de 2023 | La Conferència de Protecció de Dades d'Alemanya permet el "pay or okay".[3] |
| 4 de juliol de 2023 | La sentència del TJUE inclou una valoració que obre la porta al "pay or okay".[2:2] |
| 11 de juliol de 2023 | L'AEPD actualitza la Guia de cookies permetent el "pay or okay".[4] |
| 30 d'octubre de 2023 | Meta anuncia una subscripció de pagament sense anuncis.[5] |
| 12 de gener de 2024 | La premsa espanyola posa em marxa un mur de pagament de manera coordinada.[6] [7] [8] |
| 17 d'abril de 2024 | El CEPD publica el dictamen 8/2024 sobre "pay or okay".[9] |
| 14 de maig de 2024 | L'AEPD actualitza la Guia de cookies mencionant el dictamen 8/2024 del CEPD, però sense modificar el criteri sobre "pay or okay". |
El cas Meta contra Bundeskartellamt §
El març de 2016 l'Autoritat Federal de Defensa de la Competència d'Alemanya, o Bundeskartellamt, va iniciar una investigació sobre la recopilació i ús de les dades privades que Facebook estava fent a Europa.[1:2] El que preocupava al Bundeskartellamt, que no és una agència de protecció de dades sinó de defensa de la competència, era que Facebook també és propietari d'Instagram i WhatsApp, el que el converteix en una empresa dominant en el mercat de les xarxes socials. Aquesta posició dominant era aprofitada per combinar les dades personals dels comptes dels diferents serveis com si es tractessin d'un sol compte unificat.
Obtenim informació seva de les empreses que són propietat de Facebook o que són operades per Facebook, d'acord amb les seves condicions i polítiques.
Facebook va incloure aquest ús de les dades de l'usuari en les condicions d'ús del servei, de manera que les alternatives que s'oferien als usuaris eren: o bé cedir les dades, o bé quedar-se sense accés a Facebook, WhatsApp i Instagram. La quota de mercat combinada d'aquests serveis suposava el 90% del mercat alemany[1:3], convertint aquesta elecció en impossible a ulls del Bundeskartellamt.
Tres anys més tard, el 6 de febrer de 2019, el Bundeskartellamt va publicar les conclusions del cas B6-22/16[1:4] i va ordenar a Facebook, aleshores ja Meta, que aturés aquestes pràctiques. A més, el Reglament General de Protecció de Dades (RGPD) feia un any que havia entrat en vigor, augmentant la base legal de l'informe.
Aquesta investigació a Alemanya no és un cas aïllat, ja que processos similars es van produir a altres estats. El que la fa interessant és que cinc dies més tard Meta va impugnar l'ordre del Bundeskartellamt davant del Tribunal Superior de Düsseldorf. Mentre jutjava el recurs de Meta, el 9 d'agost de 2021 aquest tribunal alemany va elevar una sèrie de qüestions prejudicials al Tribunal de Justícia de la Unió Europea (TJUE).
El TJUE obre la veda §
El 4 de juliol de 2023, un any i mig més tard del requeriment del tribunal alemany i set anys més tard de l'inici de la investigació a Facebook, el TJUE va dictar sentència[2:3] donant la raó en la majoria de les qüestions prejudicials al Bundeskartellamt. En resum, el TJUE assenta en jurisprudència la interpretació del Bundeskartellamt en considerar que Meta no pot condicionar l'accés o la qualitat del servei a l'acceptació del tractament de les dades personals.
Però el que fa especial aquesta sentència és el redactat del paràgraf 150 (èmfasi meu):
Així doncs, en el marc del procés contractual, aquests usuaris han de tenir la llibertat de negar-se individualment a prestar el seu consentiment per a operacions específiques de tractament de dades que no siguin necessàries per a l'execució del contracte, sense que per això es vegin obligats a renunciar completament a l'ús del servei ofert per l'operador de la xarxa social en línia. Això implica que se'ls ofereixi una alternativa equivalent no acompanyada d'aquestes operacions de tractament de dades, si escau, a canvi d'una remuneració adequada.[2:4]
Aquest afegitó al final del paràgraf posa per escrit que el "pay or okay" és un model compatible amb el RGPD, deslligant l'obligació de pagar de la consideració de "lliure consentiment". Si et sembla que amb aquest petit gest el tribunal dinamita les bases del RGPD, no ets l'únic[11]. Les més de 18.000 paraules de la sentència del TJUE tancaven la porta al model de 2016 de Meta, però una simple frase obria una finestra al "pay or okay" que Meta ràpidament va posar en pràctica tres mesos després:
L'opció que les persones comprin una subscripció sense anuncis equilibra els requisits dels reguladors europeus mentre ofereix als usuaris una elecció i permet que Meta continuï donant servei a totes les persones a la UE, l'EEE i Suïssa. En la seva sentència, el TJUE va reconèixer expressament que un model de subscripció, com el que estem anunciant, és una forma vàlida de consentiment per a un servei finançat per anuncis.[5:1]
Per què el TJUE va reconèixer la validesa del "pay or okay" en una sentència? Al cap i a la fi, l'opció de pagament no formava part del litigi entre Meta i el Bundeskartellamt, ni formava part de les set qüestions prejudicials que el Tribunal Superior de Düsseldorf va elevar al TJUE. Aquest obiter dictum era una ocurrència del tribunal europeu o tenia algun altre origen?
Els orígens del "pay or okay" §
El diari austríac Der Standard va ser dels primers a veure que el RGPD no prohibia expressament que l'opció sense cookies de la web fos de pagament. Quan les autoritats de protecció de dades d'Àustria[12] [13], Alemanya[14] i França[15] van permetre aquesta pràctica, es va estendre ràpidament a altres mitjans[16] [11:1].
És possible que aquesta doctrina hagi inspirat aquest fragment de la sentència del TJUE, que tot i que jurídicament potser no es pot considerar jurisprudència sí que té un efecte molt persuasiu quant a inspirar i coordinar les polítiques dels estats comunitaris.
Amb la benedicció de l'AEPD §
L'11 de juliol de 2023, tan sols set dies després que el TJUE publiqués la sentència, l'AEPD va publicar una nova versió de la "Guía sobre el uso de cookies"[4:1], afegint el següent fragment (èmfasi meu):
Podran existir determinats supòsits en els quals la no acceptació de la utilització de cookies impedeixi l'accés al lloc web o la utilització total o parcial del servei, sempre que s'informi adequadament al respecte a l'usuari i s'ofereixi una alternativa, no necessàriament gratuïta, d'accés al servei sense necessitat d'acceptar l'ús de cookies.[17]
En la notícia que anunciava aquest canvi, l'AEPD diu que s'ha adaptat la guia a la nova directiva 03/2022 del Comitè Europeu de Protecció de Dades, i breument i sense més explicació, que "la nova versió de la Guia aclareix que aquesta alternativa [sense cookies] no haurà de ser necessàriament gratuïta". No cal dir que la directiva 03/2022 no esmenta en cap moment res sobre alternatives de pagament,[18] ni l'AEPD justifica aquest canvi que possiblement prové de la sentència del TJUE.
La notícia també diu que:
Els nous criteris s'hauran d'implementar, a tot tardar, l'11 de gener de 2024, establint així un període transitori de sis mesos per a l'adaptació.[4:2]
I justament, la premsa espanyola de manera coordinada va implementar murs de pagament exactament sis mesos després que es publiqués aquest canvi a la guia. Tot i ser un canvi radical, molt pocs mitjans en parlen, i pràcticament cap ho critica. Totes les notícies[6:1] [7:1] [8:1] es fan eco de l'explicació de l'AEPD a la seva notícia de l'11 de juliol de 2023, dient que els murs de pagament es deuen a l'adaptació a les directrius del CEPD. Com hem vist, ni la directiva 03/2022 diu res sobre murs de pagament, ni el CEPD ho havia discutit. Encara.
El Periódico va més lluny[7:2] i entra en una diatriba sobre Google i la iniciativa Privacy Sandbox[19]. Per no desviar-nos molt del tema, l'objectiu de Google era modificar els estàndards d'Internet perquè els navegadors espiïn creïn un perfil d'interessos del mateix usuari i n'informin a les webs a cada visita. Això permetria eliminar les cookies de seguiment, tot traslladant el camp de batalla a un nou escenari. Les organitzacions que defensen els drets dels usuaris ja van posar el crit al cel[20]. Tornant al que ens ocupa, El Periódico deia "el passat 4 de gener, Google va començar a eliminar les cookies de tercers", fet que als seus ulls justifica que la premsa espanyola ensemble cobri als usuaris si no volen cedir les seves dades personals. Uns mesos més tard, Google va fer marxa enrere i va descartar bloquejar les cookies de seguiment[21]. Per tant, ara continuem tenint cookies de seguiment i alhora murs de pagament.
La clara coordinació de la premsa espanyola (amb honroses excepcions) per establir murs de pagament, queixant-se que sense el tràfic de les dades personals dels usuaris el seu negoci no és viable, és un bany de realitat. Qui denunciarà el tràfic massiu de dades privades quan els mitjans de comunicació participen activament en l'erosió del RGPD? L'OCU feia una crítica molt ambigua a aquests murs de pagament, dient els usuaris no haurien de pagar per la seva privacitat, però alhora que cal valorar si el preu és just i proporcional[22]. Xnet va signar la carta que 28 organitzacions europees van enviar el febrer de 2024 al CEPD[23] en contra del model "pay or okay" de Meta, però no he trobat que fessin cap comunicat sobre la mateixa pràctica que apliquen aquí els mitjans de comunicació.
L'actuació de l'AEPD, a diferència de la d'altres autoritats europees, és més favorable al "pay or okay" i, per tant, actua per aprofundir aquesta escletxa en el RGPD en lloc de tancar-la.
El Comitè Europeu de Protecció de Dades reacciona §
Mentre a l'AEPD i els mitjans espanyols s'apuntaven cinc anys més tard al "pay or okay", a Europa la batalla contra aquest model es va concentrar en Meta, que l'havia adoptat després del revés jurídic del TJUE a Alemanya. El 26 de gener de 2024, les autoritats de protecció de dades de Països Baixos, Noruega i de l'estat d'Hamburg van demanar al CEPD que dictaminés si el model de "pay or okay" de les grans plataformes (llegir Meta) vulnerava la condició de "lliure consentiment" requerida pel RGPD[24]. Unes setmanes més tard, 28 organitzacions de defensa del dret a la privacitat van enviar una carta al CEPD per expressar la seva opinió sobre aquest afer[23:1].
Finalment, el 16 d'abril de 2024 el CEPD va publicar el dictamen 08/2024[9:1] que avalua si exigir als usuaris que consentin el seguiment publicitari o paguin per una versió sense anuncis d'un servei constitueix un consentiment vàlid segons el RGPD. En primer lloc, el text reiteradament aclareix que només fa referència a les "grans plataformes". Llavors passa a considerar que el model de "pay or okay" sovint no compleix el requisit de "lliure consentiment" exigit pel RGPD a causa dels desequilibris de poder i la manca d'alternatives reals, especialment quan els usuaris depenen del servei. La decisió subratlla que les plataformes haurien d'oferir una alternativa realment equivalent sense seguiment, i que el fet de proporcionar només una opció de pagament no justifica automàticament el consentiment. Tot i que el model "pay or okay" no està totalment prohibit, el CEPD adverteix que la majoria d'implementacions d'aquest sistema per part de grans plataformes probablement no compleixen el RGPD.
Les contradiccions inherents del "pay or okay" §
El concepte de "grans plataformes" no és una categoria del RGPD, però el CEPD aplica una supervisió més estricta a serveis digitals dominants on l'elecció de l'usuari és limitada. Tot i ser difícil d'assegurar, podria ser un equilibri que fa el CEPD per mantenir la integritat del RGPD sense prohibir directament el "pay or okay", establint uns requisits més específics que els que va determinar el TJUE el 2023. El que podria significar per la doctrina del "pay or okay" és que es consideraria contrari al "lliure consentiment" del RGPD si, a la pràctica, l'usuari no té cap alternativa en termes de mercat. Això es donaria en casos com el de Meta, que té consideració de "plataforma molt gran" segons la recent Llei de Serveis Digitals de la Unió Europea (DSA, en anglès), però obre la porta al fet que el "pay or okay" sigui legítim per a plataformes petites.
El 14 de maig de 2024 l'AEPD va recollir els canvis a la seva guia amb una pàgina més on alertava del nou dictamen, fent especial èmfasi que es referia únicament a "grans plataformes". Així, la premsa espanyola és una més de les que se suma al "pay or okay" juntament amb Àustria[12:1] [13:1], Alemanya[14:1] França[15:1] o el Regne Unit[25] [26]. Es tracta, per tant, de l'atac més exitós fins ara al RGPD.
Encara no és clar quin serà el resultat, però podem avançar què passaria si es permet el model de "pay or okay" per a plataformes petites, com s'està observant en els països on ja s'ha implementat. Recordem que el RGPD estableix clarament que sempre hi ha d'haver una alternativa a l'ús de dades personals per a finalitats no essencials, com la publicitat. La teoria del "pay or consent" és que aquesta alternativa no necessàriament ha de ser gratuïta, amb la condició que existeixin en el mercat alternatives que sí que ho siguin. Per tant, Meta, en la seva condició de "plataforma molt gran", a la pràctica imposa el "pay or okay". En canvi, un mitjà de comunicació sí que ho pot fer, ja que l'usuari sempre pot consultar un altre mitjà de la competència.
Però, com hem vist, què passa quan la majoria dels mitjans apliquen la mateixa pràctica de manera coordinada? En el cas de la premsa espanyola, a la pràctica podria tenir el mateix efecte que el d'una "gran plataforma digital". Per comprovar aquesta hipòtesi, a tall d'estudi podem agafar els mitjans catalans. La DSA defineix com a "plataforma molt gran" aquells serveis que tenen més de 45 milions d'usuaris a la Unió Europea[27]. Com que la població de la Unió Europea és de 449 milions de persones, la definició de la DSA s'aplicaria a tot servei que tingui com a usuaris el 10% de la població o més.
Després de revisar les dades de lectors en línia dels mitjans catalans publicades per OJD el gener de 2025, he estimat que com a mínim un 56% d'usuaris inclosos en l'estudi són a mitjans que apliquen el "pay or okay":
Per tant ens trobem que només a Catalunya la pràctica del "pay or okay", si es considera agregada, supera de sobres la consideració de "plataforma molt gran".
Dit això, cal fer algunes consideracions sobre aquest petit estudi. Primer, que la proporció que he aplicat per estimar el que seria una "plataforma molt gran" a Catalunya és una simplificació, ja que no es pot extrapolar una relació directa entre població i usuaris, o tan sols entre usuaris i persones. A més, la consideració de "plataforma molt gran" va més enllà de la quota en un sol mercat, pel fet que Meta o Google transvasen les dades d'un servei cap a un altre per obtenir avantatge competitiu. Segon, que l'estudi d'audiència d'OJD no inclou des de fa anys alguns dels mitjans més grans, com El Nacional o Nació Digital, i per tant el percentatge real de mercat que aplica el "pay or okay" és probablement molt més alt del 56%, potser acostant-se al 70% o 80%. Però crec que les dades que s'obtenen indiquen una tendència molt clara, a pesar d'aquestes consideracions.
Podem dir, en conseqüència, que els usuaris a Catalunya tenim una alternativa real per consultar l'actualitat sense pagar o regalar les nostres dades personals?
En últim lloc, cal parlar de si el "pay or okay" ofereix una alternativa real als usuaris. Com indica NOYB[28], el "pay or okay" fa que els usuaris que accepten les cookies passi del 3% al 99,9%. Es pot considerar encara una decisió consentida i lliure? I si els usuaris decideixen pagar per evitar les cookies, de quines quantitats estem parlant? Segons NOYB[29], el cost de les subscripcions als principals serveis d'Espanya per evitar les cookies podria suposar, de mitjana, uns 121 € al mes, o 1460 € a l'any.
La meva conclusió és que la distinció basada en la definició de "plataformes molt grans" de la DSA provoca un efecte oligopoli, el qual priva als usuaris d'una alternativa real. Permetre aquesta pràctica suposaria un cop mortal al RGPD. Per contra, prohibir-la tancaria aquesta escletxa i faria que la indústria de la publicitat es plantegés un cop més abandonar el tràfic de dades personals.
Referències §
B6-22/16. Facebook, Exploitative business terms pursuant to Section 19(1) GWB for inadequate data processing, Bundeskartellamt, 15 de febrer de 2019 (en línia). ↩︎ ↩︎ ↩︎ ↩︎ ↩︎
Sentencia del Tribunal de Justicia (Gran Sala) de 4 de julio de 2023. Meta Platforms Inc. y otros contra Bundeskartellamt, TJUE, juliol de 2023 (en línia). ↩︎ ↩︎ ↩︎ ↩︎ ↩︎
Bewertung von Pur-Abo-Modellen auf Websites, DSK, març de 2023 (en línia). ↩︎
La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del Comité Europeo de Protección de Datos, AEPD, 11 de juliol de 2023 (en línia). ↩︎ ↩︎ ↩︎
Facebook and Instagram to Offer Subscription for No Ads in Europe, Meta, octubre de 2023 (en línia). ↩︎ ↩︎
És legal fer pagar si no s'accepten les cookies? El canvi que indigna els usuaris, 324, febrer de 2024 (en línia). ↩︎ ↩︎
Los medios de comunicación españoles ya cobran a los usuarios que no acepten las cookies de rastreo, El Periódico, gener de 2024 (en línia). ↩︎ ↩︎ ↩︎
Por qué pedimos la aceptación de las 'cookies', El Correo, gener de 2024 (en línia). ↩︎ ↩︎
Dictamen 8/2024 sobre el consentimiento válido en el contexto de los modelos de consentimiento o pago aplicados por las plataformas en línea de gran tamaño, CEPD, abril de 2024 (en línia). ↩︎ ↩︎
Meta (Facebook / Instagram) to move to a "Pay for your Rights" approach, NOYB, 2023 (en línia). ↩︎ ↩︎
Lukas A. vs Standard Verlagsgesellschaft m. b. H., DSB, 2018 (en línia). ↩︎ ↩︎
“Pay or Okay” bei derStandard.at?, NOYB, 2018 (en línia). ↩︎ ↩︎
„Pay or Okay“ on tech news site heise.de illegal, decides German DPA, NOYB, 14 de juliol de 2023 (en línia). ↩︎ ↩︎
Cookie walls : la CNIL publie des premiers critères d’évaluation, CNIL (en línia). ↩︎ ↩︎
News Sites: Readers need to "buy back" their own data at an exorbitant price?!, NOYB, 2021 (en línia). ↩︎
Guidelines 03/2022 on deceptive design patterns in social media platform interfaces, CEPD, febrer de 2023 (en línia). ↩︎
Don't Play in Google's Privacy Sandbox, EFF, 30 d'agost de 2019 (en línia). ↩︎
A new path for Privacy Sandbox on the web, Google, 22 de juliol de 2024 (en línia). ↩︎
Rechazar cookies, todo un lujo, OCU, 26 de gener de 2024 (en línia). ↩︎
28 NGOs urge EU DPAs to reject “Pay or Okay” on Meta, NOYB, 16 de febrer de 2024 (en línia). ↩︎ ↩︎
Request for an EDPB opinion on “consent or pay”, Datatilsynet, 26 de gener de 2024 (en línia). ↩︎
‘Consent or pay’: Why UK news websites are getting tough with readers over data, PressGazette, 12 de setembre de 2024 (en línia). ↩︎
Guardian, GB News and Newsquest among latest publishers to tell readers: ‘consent or pay’, PressGazette, 14 de març de 2025 (en línia). ↩︎
DSA: Very large online platforms and search engines, Comissió Europea, 12 de febrer de 2025 (en línia). ↩︎
EDPB Opinion: Meta cannot rely on "Pay or Okay", NOYB, 17 d'abril de 2024 (en línia). ↩︎
"Pay or Okay": 1,500 € a year for your online privacy?, NOYB, 19 de març de 2024 (en línia). ↩︎