Resumen

  • En 1998 la FTC alegó que GeoCities había descrito usos de información más limitados que los que atribuyó a las divulgaciones del sitio a anunciantes y otros terceros.
  • La orden final de 1999 convirtió esas declaraciones en tareas operativas: identificar a quienes recogían y recibían los datos, establecer consentimiento parental, permitir acceso y eliminación, y pedir a los terceros que borraran sus copias.

La página y el fichero tenían responsables distintos

GeoCities llamaba “Enchanted Forest” a su espacio para niños. El GeoKidz Club y los concursos vivían allí, bajo la misma apariencia que el resto de la comunidad. Para participar en el club, había que ser miembro y completar un formulario con nombre, edad, correo electrónico, dirección de la página personal y género. La FTC alegó que los Community Leaders que organizaban el club y los concursos eran quienes recogían y mantenían esos datos.

La diferencia no estaba en la pantalla. Estaba en la cadena que seguía el formulario después de pulsar enviar. Una familia veía un club de GeoCities; la queja decía que terceros alojados en esa comunidad conservaban parte de la información.

La denuncia de agosto de 1998 describía más de 1,8 millones de miembros en 40 barrios temáticos y calculaba que unos 50.000 tenían menos de 13 años el 18 de mayo de ese año. La solicitud de membresía pedía datos obligatorios y marcaba como opcionales el nivel educativo, los ingresos, el estado civil, la ocupación y los intereses. También ofrecía mensajes comerciales por tema; la opción de recibir ofertas estaba activada por defecto.

El formulario ya anunciaba que habría publicidad. GeoCities vendía anuncios y proponía segmentar ofertas según el barrio y los intereses de sus miembros, según el expediente. La FTC discutió otra cosa: qué decía la empresa sobre el uso posterior. La queja alegó que las declaraciones de privacidad limitaban el uso a los productos y ofertas que cada persona había pedido y prometían que los datos opcionales no se compartirían sin permiso. La Comisión alegó que GeoCities había vendido, alquilado o comunicado información a terceros para otros fines, incluidas ofertas no solicitadas dirigidas a partir del barrio escogido.

En el GeoKidz Club se sumó un problema de identidad. La promoción daba a entender que el club y los concursos eran actividades de GeoCities. La FTC alegó que los Community Leaders los administraban y conservaban los datos. La marca del anfitrión y la mano que recogía la información no coincidían.

El acuerdo tuvo una ventana pública

El 13 de agosto de 1998, la FTC anunció un acuerdo propuesto para resolver el caso y abrió un periodo de comentarios públicos de 60 días. GeoCities admitió los hechos que daban jurisdicción a la Comisión y aceptó la vía del acuerdo. El documento aclaró que el arreglo no suponía admitir las infracciones legales alegadas ni los otros hechos de la denuncia. La orden surgió de un consentimiento negociado, no de una sentencia tras juicio.

La Comisión emitió su decisión y orden el 5 de febrero de 1999. El 12 de febrero, la FTC anunció que la había aprobado de forma definitiva tras los comentarios; la votación fue 4-0. El texto final añadió una cláusula para permitir la recogida o el uso de información infantil en la medida admitida por la ley estadounidense de protección de la privacidad infantil en línea de 1998.

La orden trató el aviso de privacidad como parte del funcionamiento del sitio. GeoCities debía mostrar información clara en la página de inicio y en cada lugar donde se recogieran datos. El aviso tenía que indicar qué información se pedía, para qué se usaría, quiénes la recibirían, cómo podía consultarla la persona, cómo pedir su retirada y qué límites tenía la eliminación. El formulario y el aviso debían quedar conectados.

Para niños de 12 años o menos, GeoCities debía contar con un procedimiento de consentimiento parental expreso antes de recoger y usar información personal. Podía pedir unos pocos datos de verificación para identificar al niño y contactar a su familia. Si el consentimiento no llegaba en 20 días, debía retirar los datos del niño, salvo el mínimo necesario para bloquear otro registro sin autorización.

La orden también se ocupó de los datos que ya circulaban. Estableció una notificación y una vía de retirada para adultos mayores de 12 años cuya información se hubiera enviado a CMG Information Services, y una vía distinta para padres de niños cuyos datos se habían recogido antes del 20 de mayo de 1998. Si el padre o la madre no daba consentimiento expreso a conservar y divulgar los datos dentro de 20 días, GeoCities debía dejar de usarlos y retirarlos en los 10 días siguientes. Eso incluía la página personal y la cuenta de correo del niño.

También tenía que contactar a los terceros y pedirles que dejaran de divulgar la información y borraran sus copias.

La tarea no terminaba en el servidor de GeoCities. La orden exigía compromisos escritos de los terceros y los Community Leaders. En los supuestos previstos, el sitio debía dejar de hacer negocios con un tercero incumplidor o retirar la condición de Community Leader. En pocas palabras: alojar una actividad también obligaba a saber quién recogía sus datos.

Los documentos de la FTC detallan lo que GeoCities debía solicitar; no siguen si cada destinatario borró después su copia. Los registros de cumplimiento de esos destinatarios permitirían establecerlo.

La eliminación tenía límites definidos. GeoCities podía conservar información en copias de seguridad externas para mantenimiento, respaldo, bloqueo de nuevos registros infantiles no consentidos o procesos legales. Tenía que describir esa retención, y no podía comunicar los datos archivados salvo ante una solicitud policial o judicial. La orden exigía un camino de retirada y una descripción visible de lo que seguía en la copia de seguridad.

La política dejó de ser una página suelta

La FTC llamó al asunto su primer caso de privacidad en Internet. La orden convirtió una promesa en preguntas concretas: qué se recoge, para qué, quién lo recibe y dónde se puede pedir acceso o retirada. El recorrido ya no acababa en el formulario ni en la política de privacidad.

El comisionado Orson Swindle apoyó la orden para este caso y señaló que su voto no suponía apoyar las mismas exigencias para todos los sitios comerciales mediante una ley o regulación general. La Comisión ató a GeoCities a un acuerdo concreto; la disputa sobre una norma para todo Internet seguía abierta.

GeoCities tuvo que responder por la experiencia que los usuarios encontraban bajo su nombre. El barrio era la puerta de entrada; la orden siguió el fichero por las habitaciones que había detrás. Si la plataforma aportaba público, alojamiento y marca, también tenía que identificar las otras manos que tocaban los datos y obtener respuesta de ellas.

Fuentes