Resumen

  • La FTC anunció una indagación sobre DoubleClick el 16 de febrero de 2000. En su carta de 22 de enero de 2001, el personal dijo que no parecía haberse combinado la información personal de Abacus Direct con los datos de navegación no identificativos y cerró la investigación.
  • La misma carta señaló que la exclusión de DoubleClick se guardaba en una cookie. En determinados navegadores, seleccionar el rechazo general de cookies borraba también esa cookie. La empresa se comprometió a explicar que, si el usuario volvía a aceptarlas, debía excluirse de nuevo.
  • DoubleClick acordó describir sus imágenes transparentes de seguimiento y corregir una declaración sobre listas de correo. Su formulario 10-K de 2002 describió el bloqueo de cookies como un riesgo comercial para la publicidad dirigida y su medición.

La negativa también necesitaba almacenamiento

Un navegador puede guardar una cookie que ayuda a reconocerlo para mostrar anuncios y otra que indica que ese navegador se ha excluido. El usuario, cansado de ambas, activa el rechazo general de cookies. En los navegadores descritos por la FTC, se pierden las dos. Mientras el bloqueo sigue activo, la vía normal de seguimiento mediante cookies también está cerrada. El problema llega después: para usar un sitio, el usuario permite otra vez las cookies. La antigua instrucción de exclusión ya no está, y el servicio publicitario necesita recibirla de nuevo.

La carta de cierre de la FTC nombró exactamente esa secuencia. DoubleClick ofrecía a los consumidores una «opt out cookie» para impedir que continuara recopilando información. Con ciertos navegadores, elegir la opción general de no aceptar ni enviar cookies eliminaba también la cookie de exclusión. La compañía aceptó explicar que quien volviera a permitir cookies más adelante tendría que excluirse de DoubleClick otra vez. Una decisión presentada como permanente tenía un punto de caducidad escondido en los ajustes del navegador.

La carta no ofrece una cifra de usuarios afectados ni un registro de anuncios mostrados después de que alguien recuperase la aceptación de cookies. El mecanismo sí queda definido. Primero se borra la señal especial; luego se vuelve a abrir el canal que la necesitaba. No se trata de afirmar que rechazar todas las cookies activara el seguimiento de inmediato. La pérdida de memoria importaba cuando el bloqueo se levantaba.

El expediente Abacus terminó con detalles incómodos

La declaración pública de febrero de 2000 dijo que el personal de la FTC examinaba si DoubleClick había incurrido en prácticas injustas o engañosas y que la empresa cooperaba. La carta de enero de 2001 explicó la pregunta más llamativa. DoubleClick había comprado Abacus Direct, con información personal procedente del marketing directo fuera de Internet. Su red de anuncios reunía datos de navegación no identificativos en los sitios clientes. La investigación quiso saber si se habían unido ambos conjuntos y si se habían usado datos sensibles en contra de las promesas publicadas.

El personal de la agencia indicó que parecía no haberse realizado esa unión de datos personales de Abacus con los clics recogidos en los sitios clientes. También señaló que no apreciaba usos o revelaciones de información personal ajenos a la política de privacidad ni usos indebidos de datos sensibles para el marketing de preferencias. Cerró la investigación y la Comisión se reservó futuras actuaciones. El cierre de la gran pregunta sobre las bases de datos dejó a la vista asuntos menores en tamaño, pero decisivos para el funcionamiento del servicio.

DoubleClick usaba imágenes transparentes, los llamados GIF invisibles o «web bugs», para seguir el movimiento de visitantes dentro de sitios y recoger información. Se comprometió a explicar su uso en la siguiente versión de la política. En Internet Address Finder, su aviso decía que no vendía listas de nombres, direcciones o correos, aunque una lista promocional voluntaria gestionada por un socio abría una excepción. La empresa aceptó precisar esa frase. Las correcciones tenían objetos reconocibles: una imagen, una lista y una cookie de exclusión.

La FTC describió además Boomerang, producto que llevaba datos de un sitio a la selección de anuncios para el mismo usuario en otros. Según la carta, sus perfiles de segmentación contenían sólo información no identificativa. Para nuevos clientes, DoubleClick exigía por contrato que el sitio informara del uso del servicio antes de ponerlo en marcha. También aceptó avisar a la FTC antes del lanzamiento comercial de futuros productos cubiertos por los principios de la Network Advertising Initiative. El problema del consentimiento se repartía entre el navegador, el intermediario publicitario y cada sitio participante.

La herramienta que vendía anuncios guardaba también la salida

En su informe anual de 2002, DoubleClick escribió que los programas que filtraban publicidad y los navegadores configurados para bloquear cookies podían restar eficacia a sus productos y reducir la demanda. Las cookies servían para dirigir y medir anuncios. Así, el bloqueo general golpeaba una función que la compañía vendía. Al mismo tiempo, el mecanismo elegido para conservar una excepción a esa función era otra cookie.

Un servidor puede reconocer la marca que significa «no me incluyas». Pero si se borran todas las marcas, deja de recibir tanto el identificador habitual como la excepción. Al permitir cookies más tarde, la maquinaria de anuncios puede volver a funcionar; la marca de exclusión no reaparece por sí sola. La modificación prometida a la FTC informaba al consumidor de esa dependencia. No reemplazaba el almacenamiento de la preferencia por otro canal más duradero.

Cada actor podía señalar al siguiente. El navegador controlaba cuándo se eliminaban los datos locales. DoubleClick había diseñado la cookie de exclusión y decidía cómo interpretarla en sus servidores. Los sitios clientes alojaban el servicio y publicaban sus propias políticas. La FTC examinaba la relación entre las prácticas y esas declaraciones. El usuario manejaba el interruptor local, pero no podía hacer que un servidor recordase una señal que acababa de ser eliminada. La promesa de elección atravesaba una cadena de controles repartidos.

Se cerró la investigación; quedó la pregunta sobre el diseño

La carta de 2001 cerró una investigación y recogió compromisos de información. No impuso una multa ni sustituyó el sistema de cookies por una preferencia guardada en otro sitio. Su enseñanza más concreta está en la aparente pequeñez del fallo. Una declaración de privacidad puede ofrecer una opción, pero la capacidad de mantenerla depende de cómo viaja y dónde se almacena la señal de rechazo.

Para demostrar qué anuncios recibió una persona tras cambiar de configuración harían falta el historial del navegador, el estado de sus cookies y los registros de entrega de anuncios. La carta no aporta esos datos. Aporta el recorrido técnico que obligaba a repetir la decisión en ciertos navegadores. El «no» tenía una dirección dentro del equipo; el botón de bloqueo podía derribar esa dirección.

DoubleClick podía decir que ofrecía una salida. El navegador podía ofrecer un bloqueo más amplio. El usuario podía creer que el segundo conservaba la primera. En los casos descritos por la FTC, el bloqueo borraba precisamente la señal que haría visible la exclusión después. La corrección anunciada consistía en avisar que había que volver a decir no. La tarea de recordar quedaba a cargo de quien había intentado cerrar la puerta.