Enlaces cortos, estadísticas de clics y RGPD: lo que debes saber

¿Un clic en un enlace es un dato personal?

No por sí solo, pero lo que lo acompaña puede serlo. Cuando alguien hace clic, el servicio recibe su dirección IP e información sobre su navegador. El Tribunal de Justicia de la Unión Europea dictaminó en el caso Breyer (2016) que una dirección IP, incluso dinámica, puede ser un dato personal. Por tanto, el RGPD se aplica en cuanto una herramienta conserva ese tipo de información sobre visitantes situados en la Unión Europea.

En la práctica, la cuestión no es prohibirlo todo, sino recoger poco, conservarlo poco tiempo y explicarlo con sencillez. Esta guía describe el contexto francés y de la UE, donde opera Qlynk. Si tus visitantes están en otros países, pueden aplicarse otras normas.

¿Quién es responsable: tú o el servicio?

En general, eres tú quien decide crear un enlace y medir sus clics, es decir, quien decide la finalidad del tratamiento. El servicio que lo ejecuta por ti actúa por tu cuenta. Los papeles exactos dependen de las condiciones de cada herramienta, así que hay que leerlas.

En la práctica, esto lleva a dos pasos: elegir un proveedor que explique con claridad qué hace con los datos y mencionar los enlaces con estadísticas en tu propia política de privacidad.

¿Hace falta un banner de cookies para medir clics?

Todo depende de lo que haga la herramienta. Las normas sobre cookies y otros rastreadores se refieren a guardar o leer información en el dispositivo del visitante. Si el servicio no instala ninguna cookie y no lee nada del dispositivo, esas normas no entran en juego para un simple recuento de clics.

La CNIL, la autoridad francesa de protección de datos, también admite que cierta medición de audiencia puede hacerse sin consentimiento, con condiciones estrictas: una finalidad limitada a la medición de audiencia, datos anónimos en forma de estadísticas, ningún seguimiento global de la navegación, ningún cruce con otros tratamientos ni comunicación a terceros, y datos de los rastreadores conservados un máximo de 25 meses. Si falta una sola condición, hace falta el consentimiento. Con una herramienta como Google Analytics, en principio debes contar con recoger el consentimiento, salvo que lo hayas comprobado de otro modo con la CNIL.

¿Qué revisar en un acortador de enlaces?

Hazte estas preguntas al leer la política de privacidad del servicio:

• ¿Se guarda la dirección IP completa, truncada o nunca?
• ¿Se instala una cookie en los visitantes que hacen clic?
• ¿Cuánto tiempo se conserva el detalle de cada visita y qué queda después?
• ¿Dónde se alojan los datos y con quién se comparten?
• ¿Se cargan herramientas de terceros (análisis, publicidad, fuentes tipográficas) en las páginas?
• ¿Tienen los visitantes una forma sencilla de ejercer sus derechos (acceso, oposición, supresión)?

¿Qué hace Qlynk con los datos de los visitantes?

Según su política de privacidad, Qlynk no instala ninguna cookie en las personas que abren un enlace y no carga contenido de ningún servicio de terceros. La dirección IP nunca se guarda completa: solo se conservan los tres primeros bloques. Los visitantes únicos se cuentan con una huella calculada a partir de un secreto que cambia cada día, lo que impide reconocer a alguien de un día para otro. El detalle de cada visita se conserva 13 meses, y después solo quedan los totales diarios, sin datos personales. Los miembros nunca ven una dirección IP. El servicio está alojado en Francia, con o2switch.

La base jurídica indicada es el interés legítimo de medir la audiencia de los enlaces, con datos reducidos al mínimo estricto. Esto no exime al miembro de informar a sus propios visitantes. Estos puntos reflejan la política vigente: vuelve a leerla, porque puede cambiar.

¿Qué debes hacer por tu parte?

Menciona en tu política de privacidad que tus enlaces pasan por un servicio de links cortos con estadísticas, con el nombre del servicio, la finalidad (medir el interés por tus contenidos) y un enlace a su política. No pongas datos personales en las direcciones (por ejemplo, un correo electrónico en el link de una newsletter). Y si añades una herramienta de análisis en tus propias páginas, trátala aparte, con su propio consentimiento si hace falta. Si dudas sobre tu situación, consulta a un abogado o a tu autoridad de protección de datos (la CNIL en Francia, la AEPD en España).

¿Y las estadísticas por país y dispositivo?

Las estadísticas más comunes (país, dispositivo, navegador, idioma) son datos agregados: se cuenta cuántas visitas vienen de Francia o de un móvil, sin guardar la identidad de nadie. Es la forma de medición más respetuosa con la privacidad, porque sirve para entender una audiencia, no para seguir a una persona.

El punto sensible es el nivel de detalle. Cuantos más detalles guarda una herramienta por visita, más fácil resulta cruzarlos para identificar a alguien. La ubicación de un visitante a nivel de país no pesa igual que su ubicación hasta la calle. Una herramienta sobria se limita a lo que responde a una pregunta útil para ti.

Pregúntate siempre: ¿necesito de verdad este dato para decidir algo? Si la respuesta es no, no actives la opción. Es el principio de minimización de datos del RGPD. Piensa también en lo que prometes a tus visitantes, y cúmplelo.