Un nuevo informe ha encontrado que los sitios web en todo el internet podrían estar fallando en cumplir con la ley de privacidad de California, ignorando el requisito de no rastrear a los visitantes que establecen un control de privacidad.
El informe, de investigadores de webXray, una empresa liderada por un ex ingeniero de privacidad de Google, señaló que los hallazgos sugieren que las grandes empresas podrían simplemente estar ignorando la ley, lo que podría indicar un incumplimiento a gran escala de los requisitos de California.
Las apuestas son potencialmente altas. WebXray estima que si la Agencia de Protección de la Privacidad de California multara a todos los sitios web que encontró que no cumplen con la ley, podría resultar en miles de millones de dólares en multas.
«Mientras no tenemos comentarios sobre los hallazgos de este informe específico», dijo en un comunicado Tom Kemp, director ejecutivo de la agencia de protección de la privacidad, «apreciamos que el informe visibilice la importancia de los derechos de exclusión».
Según la ley de California, las empresas deben respetar una señal llamada Control Global de Privacidad. Si los usuarios navegan por la web con el control activado, ya sea a través de una configuración en el navegador o una herramienta de terceros, indica a los sitios web que no vendan ni compartan su información personal.
La Ley de Privacidad del Consumidor de California exige a las empresas que reconozcan el control y que no rastreen a las personas que lo utilizan. La agencia estatal de privacidad ha multado a empresas por millones de dólares por no cumplir con el control, entre otras violaciones.
Para comprender si la ley está siendo realmente respetada, los investigadores visitaron más de 7,000 sitios web populares desde una dirección de internet de California. Según el informe, las principales empresas tecnológicas continuaron rastreando a los usuarios, incluso con la señal activada.
Google continuó rastreando a los usuarios en el 86% de los casos a pesar de recibir la señal, según el informe. Cuando los visitantes se dirigieron a los sitios web con la señal activada, los sitios aún frecuentemente configuraban una cookie de Google para seguir a esos visitantes.
Del mismo modo, según el informe, Microsoft no cumplió con la señal en el 50% de los casos.
El informe descubrió que los rastreadores de la empresa matriz de Facebook, Meta, no solo ignoran la señal, sino que tampoco la verifican en absoluto, lo que lleva al seguimiento el 69% del tiempo a pesar de la señal.
Todas esas fallas podrían solucionarse con pequeños cambios en el código de seguimiento para respetar la señal, dijeron los ingenieros en el informe.
«No hacen ningún esfuerzo sustantivo para cumplir», dijo Tim Libert, fundador y director ejecutivo de webXray.
El informe también encontró que las herramientas de terceros que supuestamente ayudan a las empresas a colocar anuncios que cumplen con la ley con frecuencia no respetan la señal de anti-rastreo. En un caso, un producto no respetó esas solicitudes más del 90% del tiempo, según el informe.
Las empresas tecnológicas refutan la idea de que no están cumpliendo con la ley.
«Según se describe en nuestro comunicado de privacidad, cuando recibimos una señal GPC, excluimos al usuario de compartir datos personales con terceros para publicidad personalizada, y nuestros sistemas publicitarios están diseñados para reflejar esa elección», dijo en un comunicado Courtney Ramirez, portavoz de Microsoft. «Ciertas cookies de Microsoft son necesarias para fines operativos y, por lo tanto, pueden colocarse y leerse aunque se detecte una señal GPC».
Jackie Bertényi, portavoz de Google, dijo que la empresa cumple con la ley y que la auditoría se basa en «un malentendido fundamental sobre cómo funcionan nuestros productos».
Un portavoz de Meta no respondió de inmediato a una solicitud de comentarios.
«La idea de que malinterpreto algo es una falsedad demostrable», dijo Libert, señalando su trabajo en la política de cookies en Google.
«Afirmaría que, cuando estaba allí, sabía más al respecto que cualquier otra persona», agregó.
