Herramientas de analytics y publicidad: ¿qué riesgos para tu privacidad?

Cuando navegas por la web o por una aplicación móvil, te rastrean numerosas empresas. He aquí un balance (parcial) de las distintas herramientas de analítica y publicidad y sus consecuencias para tu privacidad.

Las herramientas analíticas

Estas herramientas tienen como objetivo proporcionar estadísticas de uso de un sitio web o una aplicación; por ejemplo, permiten seguir:

• Indicadores como el número de visitantes, sesiones, páginas vistas o conversiones.
• Las páginas y pantallas consultadas.
• Las vías de entrada al sitio (directo, buscadores, redes sociales, sitios web).
• Las características de los visitantes: región, dispositivo, navegador, tamaño de pantalla, etc.

En la web, herramientas analíticas que funcionan con cookies propias (first-party)

La mayoría de las herramientas analíticas compartimentan los datos por cliente. Por ejemplo, tu recorrido de navegación en L'Équipe no tiene ningún interés a la hora de proporcionar estadísticas al sitio Le Monde. Por eso, en la web, esta separación se impone técnicamente mediante el uso de cookies propias (first-party): se te sigue a través de un seudónimo colocado en el dominio del cliente (ejemplo: lequipe.fr); técnicamente, ese seudónimo no puede ser leído por otro dominio (ejemplo: lemonde.fr). Estos son algunos ejemplos de herramientas que utilizan cookies propias:

• Google Analytics: la herramienta analítica de Google está presente en la mayoría de los sitios web y en muchas aplicaciones. De forma predeterminada, funciona con cookies propias.
• Adobe Analytics: gracias a la adquisición de Omniture en 2009, Adobe ofrece una herramienta analítica muy utilizada por las grandes cuentas.
• AT Internet: herramienta analítica francesa, todavía bastante popular en los sitios de medios franceses.
• Matomo: antes Piwik, herramienta analítica de código abierto que puede autoalojarse (como en este blog).

Las cookies propias tienen la «ventaja» de ser más duraderas que las cookies de terceros (third-party). Para proteger la privacidad de sus usuarios, los navegadores bloquean cada vez más las cookies de terceros (Safari, Firefox y Brave llevan la delantera; Chrome es el último de la clase, pero ha decidido bloquear las cookies de terceros dentro de dos años).

Ten en cuenta que, cuando te conectas a un sitio web, pierdes tu anonimato y el sitio podrá, potencialmente, combinar tu recorrido en él —sea cual sea el dispositivo que utilices— con datos de CRM ya registrados sobre ti (tu suscripción, tus compras, etc.). Sin enviar datos nominativos, algunos sitios se limitan a enviar tu identificador de cliente a la herramienta analítica y luego exportan los datos en bruto de esta a su herramienta de Business Intelligence para su análisis posterior.

¿Cómo evitar este seguimiento? Puedes instalar un bloqueador de anuncios como uBlock Origin.

En la web, otras herramientas analíticas funcionan con cookies de terceros (third-party)

Sin embargo, algunas herramientas analíticas web pueden rastrearte a través de varios sitios, mediante cookies de terceros (third-party): tu seudónimo se coloca en el dominio de la herramienta analítica, lo que le permite acceder a él sea cual sea el sitio que consultes. Evidentemente, el impacto sobre tu privacidad es peor: la herramienta puede entonces perfilarte a partir de tu navegación en cada uno de los sitios web donde está instalada. Podemos citar como ejemplos:

• Google Analytics: la herramienta analítica gratuita de Google está presente en la mayoría de los sitios web y en muchas aplicaciones. De forma predeterminada en la web, Google Analytics instala cookies propias, pero ofrece una opción opt-in para que sus clientes activen cookies de terceros (en el dominio doubleclick.net), además de las cookies propias. Esta opción permite al sitio web cliente habilitar ciertas funciones publicitarias, como el remarketing, pero también obtener información agregada sobre el perfil de los visitantes (datos demográficos e intereses). Activar esta función permite a Google, evidentemente, perfilarte todavía mejor.
• Quantcast: esta empresa publicitaria ofrece una herramienta analítica gratuita para los editores. Esta herramienta permite a los editores conocer mejor a su audiencia, pero sobre todo permite a Quantcast enriquecer su base de datos de perfiles de usuarios.

La herramienta de construcción de audiencias de Google Analytics permite a los anunciantes definir objetivos muy precisos para luego recibirlos con publicidad:

También aquí un bloqueador de anuncios como uBlock Origin te protegerá.

Las herramientas analíticas en las aplicaciones

El grado de vigilancia de las herramientas analíticas en las aplicaciones es mayor. En primer lugar, estas herramientas acceden a identificadores de usuario más persistentes y accesibles para todas las aplicaciones: en particular, el IDFA de Apple y el AAID de Google. Los usuarios pueden desactivar estos identificadores, pero las opciones están bien escondidas (y tu vigilancia no termina ahí: otros identificadores «propios» toman entonces el relevo). En comparación, las cookies de terceros están cada vez más bloqueadas por los navegadores y por las extensiones que protegen la privacidad.

Además, las herramientas analíticas dedicadas a las aplicaciones (o que empezaron ofreciendo sus servicios a las aplicaciones) ofrecen funciones para seguir a los usuarios de forma individual, algo que todavía es poco frecuente en las herramientas analíticas especializadas en la web (por lo general, estas herramientas son más «antiguas» y van «con retraso» en cuanto a funciones). Además, estas herramientas suelen recopilar datos personales no anonimizados, como tu nombre o tu dirección de correo electrónico, lo que sigue siendo raro en las herramientas analíticas web. Por ejemplo, así es como Mixpanel vende su solución en su sitio:

Estas empresas pueden así combinar mucha información sobre ti. Algunas se especializan en analítica y no tienen motivos comerciales para combinar tus datos personales procedentes de distintas aplicaciones, pero otras empresas también prestan servicios publicitarios y se permiten así combinar tus datos personales. Estos son algunos ejemplos identificados durante las pruebas de aplicaciones en este blog:

• Mixpanel: herramienta puramente analítica que empezó con las aplicaciones.
• Amplitude: otra herramienta puramente analítica que empezó con las aplicaciones.
• Adjust: herramienta analítica para aplicaciones que también ofrece atribución (saber qué campañas publicitarias son eficaces), prevención del fraude, segmentación de audiencias y retargeting.
• AppsFlyer: otra herramienta analítica para aplicaciones que ofrece multitud de servicios, como análisis de marketing, prevención del fraude o atribución.

Protegerse resulta aquí más complicado, pues las aplicaciones rara vez te dan el control sobre estas herramientas. Tendrás que recurrir a aplicaciones como DNSCloak, AdGuard o NextDNS en iOS.

Las soluciones publicitarias

Como la publicidad suele basarse en tu comportamiento, estas soluciones no respetan tu privacidad. No obstante, el riesgo varía según la finalidad de cada tipo de empresa. A través del sitio Ad Ops Insider (más detalles aquí), este es el esquema que resume los intercambios entre los distintos actores implicados en entregarte un anuncio:

Veamos ahora las distintas herramientas implicadas y sus consecuencias para tu privacidad.

Las herramientas que operan por cuenta de un editor o un anunciante

Estas herramientas no necesitan combinar tus datos de comportamiento procedentes de varios clientes para funcionar bien. Estas son las principales herramientas del lado del editor (el sitio web en el que se muestran los anuncios):

• El adservidor del editor: el «director de orquesta», la herramienta que decide qué campañas publicitarias mostrar cuando consultas un sitio de medios y mide su difusión por cuenta del editor. Tendrá que arbitrar entre las ventas directas (campañas publicitarias vendidas directamente por el editor, a menudo con un número fijo de impresiones publicitarias) y las ventas indirectas (publicidad que el editor no controla, sino que delega en ad-networks y SSP). El adservidor del editor no necesita conocer tu navegación por la web para funcionar correctamente, «solo» conocer tu comportamiento en el sitio del editor.
• El SSP (Supply-Side Platform) o ad-exchange: el mercado del programático; su función es subastar las oportunidades publicitarias del editor. Está conectado a numerosos DSP (las plataformas de compra programática operadas por los anunciantes) y ad-networks (intermediarios que a menudo también han desarrollado plataformas de compra programática). Tampoco necesita conocer tu comportamiento en la web para funcionar correctamente. Conviene señalar que, a menudo, el editor pone en competencia varios SSP mediante un mecanismo llamado «header bidding».

Algunas soluciones combinan a la vez un adservidor de editor y un SSP: encontramos en particular Google Ad Manager (actor dominante), AppNexus (rebautizado Xandr desde su compra por AT&T), Freewheel (comprado por Comcast) o Smart AdServer (actor francés). Muchas soluciones ofrecen únicamente un SSP.

Del lado del anunciante, estas son las principales herramientas:

• El adservidor del anunciante: la herramienta encargada de difundir la publicidad y medir su eficacia por cuenta del anunciante. Mide el conjunto de las campañas del anunciante: compras directas e indirectas (a través de ad-networks y DSP). El adservidor del anunciante no necesita conocer tu navegación por la web para funcionar correctamente, «solo» recordar las distintas interacciones con los anuncios del anunciante.
• El DSP (Demand-Side Platform): la plataforma de compra del programático; su función es comprar publicidad por cuenta del anunciante, en los sitios adecuados, para el público adecuado (los usuarios más pertinentes) y al precio adecuado. Esta herramienta no necesita conocer tu comportamiento en la web para funcionar correctamente, pero podrá pujar de forma más inteligente si conoce tu historial con el anunciante. Conviene señalar que el anunciante puede utilizar varios DSP para ponerlos en competencia.

Algunas soluciones combinan a la vez el adservidor del anunciante y el DSP: encontramos de nuevo a Google a través de Display & Video 360 (actor dominante), pero también Adform. Muchas soluciones ofrecen únicamente un DSP.

Los editores y anunciantes también pueden utilizar DMP (Data Management Platforms): estas herramientas les permiten recopilar tus datos de navegación, combinarlos con tus datos personales procedentes de un CRM (suscripciones, compras, etc.) y transferirlos, si es necesario, a sus herramientas publicitarias. Ejemplos de aplicación:

• Un editor podrá vender una campaña publicitaria a Sony PlayStation, dirigida a los suscriptores de su newsletter de videojuegos. La DMP del editor recopila a los suscriptores de la newsletter de videojuegos y luego transfiere este «público objetivo» al adservidor del editor, lo que le permitirá difundir la campaña publicitaria al público adecuado.
• Un sitio de comercio electrónico quiere excluir de su campaña publicitaria de promoción de su aplicación a las personas que ya la han instalado. La DMP del anunciante recopila los perfiles de los usuarios que han instalado la aplicación y luego transfiere este «público objetivo» al DSP del anunciante, lo que le permitirá excluirlo de la campaña publicitaria.

Campañas publicitarias segmentadas que conllevan mecánicamente una fuga de tus datos personales hacia estos actores de la adtech.

Las principales empresas que ofrecen una DMP son gigantes del marketing como Oracle, Salesforce o Adobe. Estas empresas ofrecen muchas otras herramientas de marketing, como CRM, y son así capaces de cubrir la mayoría de las necesidades de gestión de clientes de un anunciante.

El programático, o la fuga generalizada de tus datos personales

Si bien, en teoría, estas herramientas no necesitan rastrearte con un único seudónimo por toda la web o por el conjunto de las aplicaciones para funcionar (sino solo dentro del perímetro de su cliente, igual que las herramientas analíticas que utilizan cookies propias), es no obstante lo que hacen (mediante cookies de terceros), y eso les permite, en particular, hacer funcionar las compras programáticas.

Los DSP y los ad-networks que compran el espacio publicitario en programático «necesitan» conocerte para pujar de forma inteligente. Solo que no tienen acceso directo a tu terminal (los llaman los SSP, que sí tienen acceso a tu terminal). En las aplicaciones, esto no es un problema, porque los SSP envían tu identificador publicitario (IDFA en Apple, AAID en Google).

En la web no tienes un identificador único para el conjunto de los sitios que consultas, así que los SSP deben sincronizar tu identificador con los DSP conectados (así, por ejemplo, el DSP 1, que te reconoce mediante el identificador «123», sabe que tienes el identificador «xyz» en el SSP A, lo que le permite reconocerte cuando el SSP A le envía la oportunidad publicitaria). Si quieres profundizar, el mecanismo de sincronización de cookies está muy bien explicado en el sitio Ad Ops Insider, de donde procede el siguiente esquema:

Resumamos la fuga de tus datos personales:

• En las aplicaciones, los SSP filtran tus datos personales a numerosos DSP y ad-networks (a veces cientos) sin sincronización previa de identificadores. La fuga de tus datos personales está totalmente oculta (se produce entre los servidores de los SSP y los servidores de los DSP); solo podrás ver el anuncio del DSP que ganó la subasta (pero cada uno de los DSP llamados habrá podido enriquecer tu perfil de usuario).
• En la web, como los SSP deben sincronizar previamente tus identificadores con los DSP conectados, es posible ver pasar estos «píxeles de sincronización de identificadores», lo que además provoca lentitudes adicionales.

Estas fugas de tus datos personales no se limitan a las interacciones entre SSP y DSP —eso es una simplificación—, sino que también se producen con otros actores de la cadena publicitaria, como (lista no exhaustiva):

• Las soluciones que detectan el fraude (la publicidad atrae a las mafias porque es un mercado lucrativo; una parte importante de los anuncios difundidos nunca los ven seres humanos, sino simplemente bots).
• Las soluciones de medición de la visibilidad (a los editores poco escrupulosos les gusta colocar anuncios al final de la página, que nunca verás).
• Las soluciones que venden datos de usuarios: por ejemplo, las herramientas para compartir en redes sociales como ShareThis recopilan tus datos de navegación para revenderlos.
• Las soluciones de atribución, que medirán cada una de tus interacciones publicitarias para evaluar qué campañas publicitarias son las más eficaces.

A este respecto, puedes leer aquí los elementos de la denuncia de Brave contra Google y el IAB (Interactive Advertising Bureau, el grupo de presión de las empresas de la adtech) sobre la vulneración del RGPD por el RTB (Real-Time Bidding: publicidad programática). La denuncia se presentó en septiembre de 2018; la ICO (la CNIL británica) ha puesto la investigación en pausa a causa del coronavirus, así que no hay que tener prisa.

Este es un panorama de los principales actores (de nuevo, lista no exhaustiva) implicados en la cadena publicitaria:

¿Qué puedes hacer? Si sigues las recomendaciones de estos actores, puedes instalar cookies de exclusión (opt-out) para cada uno de ellos, lo cual no resulta muy práctico. Además, estos actores construyeron conjuntamente el Transparency & Consent Framework (TCF), un protocolo para transmitirse la información relativa a tu consentimiento. Pero el TCF no funciona correctamente:

• Como ya hemos visto, los banners de consentimiento en los que se basa el TCF utilizan dark patterns para dificultar el rechazo del seguimiento, sin contar con que no funcionan correctamente.
• El TCF es un protocolo de comunicación entre actores de la adtech; nada les obliga después a respetar la señal recibida.
• En particular, no dar tu consentimiento no impide a estos actores recopilar tus datos personales, ni siquiera perfilarte. Algunos consideran simplemente que deben desactivar la publicidad personalizada.
• Los controles —y, por tanto, las sanciones— son casi inexistentes; la industria publicitaria pretende que la autorregulación basta.

Consecuencias de este ecosistema ultracomplejo, en el que todo vale:

• Tus datos personales se filtran a cientos de herramientas distintas, sin que sea posible un control real.
• Los editores reciben solo la mitad del dinero gastado por los anunciantes, ya que cada intermediario se lleva una comisión.

Estudio sobre la transparencia del programático; ten en cuenta que el estudio no consigue explicar el 15 % del dinero gastado.

Los ad-networks, intermediarios que trabajan a la vez con los editores y con los anunciantes

Los SSP y los DSP son herramientas sobre las que los editores y anunciantes tienen el control (herramientas «de autoservicio»):

• La comisión se fija en el contrato (entre el 5 % y el 15 % en general).
• La configuración del SSP corre a cargo del editor (precio mínimo de venta, anunciantes aceptados, formatos publicitarios aceptados, acuerdos preferentes para determinadas marcas).
• La configuración de las campañas publicitarias corre a cargo del anunciante (o de la agencia que opera el DSP, con la validación del anunciante): elección de los sitios de difusión, de la segmentación, de los formatos publicitarios o de la estrategia de pujas para alcanzar el objetivo.

Los ad-networks, en cambio, no dejan el control al anunciante ni al editor:

• El editor tiene un control mínimo a través de su SSP si el ad-network compra en programático.
• El anunciante, por su parte, no puede decidir de antemano en qué sitios o aplicaciones difundirá.
• A menudo no tiene acceso a un informe detallado de su campaña publicitaria.
• No elige él mismo su estrategia de pujas, sino que delega las decisiones en el ad-network.
• A cambio, el esfuerzo exigido es mínimo.
• La comisión del ad-network suele ser opaca, pero alcanza fácilmente el 30 % (Google AdSense) e incluso el 50 % (Criteo).

¿Por qué recurrir entonces a un ad-network? Por dos razones principales:

• La campaña será menos costosa de operar (no hace falta una configuración compleja en un DSP).
• Los resultados suelen ser mejores (estos ad-networks te vigilan muy ampliamente; tus datos personales les permiten ser más eficaces).

Podría pensarse que los ad-networks son minoritarios frente a los DSP y SSP, operados directamente por los anunciantes y los editores, pero no es así:

• En la web, Google AdSense representa una parte considerable de los ingresos de los editores.
• También en la web, intermediarios como Criteo tienen asimismo un peso muy importante. Compran en programático, pero también pueden comprar directamente a los editores para evitar la comisión del SSP.
• En las aplicaciones, los ad-networks de Google y Facebook son muy potentes: Google AdMob y Facebook Audience Network.
• También en las aplicaciones, el programático se impone con más dificultad porque los formatos publicitarios suelen estar personalizados y encajan peor en el molde de la estandarización programática. Los ad-networks siguen siendo muy potentes.

Para tu privacidad, estos ad-networks son una catástrofe, porque, para ganar más dinero, deben perfilarte mejor. Este es «su» círculo virtuoso:

• Captación de tus datos personales mediante la difusión de anuncios segmentados (o simplemente mediante la «escucha» de las oportunidades publicitarias en programático).
• Para algunos (Google, Facebook, Twitter, Pinterest, LinkedIn), captación adicional de tus datos personales a través de servicios B2C ineludibles (buscador, redes sociales, red profesional, etc.).
• Para algunos (Google, Facebook, Quantcast, etc.), captación adicional de tus datos personales mediante herramientas analíticas.
• Mejora de los algoritmos de «perfilado» y de «fijación de precios» gracias a la masa de datos personales recopilados y a la medición del rendimiento de las campañas publicitarias.
• Mejora de la eficacia de las campañas publicitarias: los anunciantes están dispuestos a gastar más dinero.
• Los editores aumentan sus ingresos y están dispuestos a abrir aún más sus inventarios publicitarios.
• Captación todavía más amplia de tus datos personales.

En este jueguecito, las siguientes empresas se las arreglan muy bien, pero casi no te dejan ningún control, ya que sus modelos económicos están en contradicción con el respeto a tu privacidad:

• Google: el gigante de Mountain View lo sabe todo sobre tus aspiraciones, lo que beneficia a su ad-network, dominante en la web (Google AdSense) y muy bien implantado en las aplicaciones (Google AdMob). Tu control sobre esta captación de tus datos personales es muy limitado: Google no te permite rechazar la recopilación de tus datos personales, solo rechazar la publicidad personalizada y la asociación de tus datos personales a tu perfil de Google.
• Facebook: el gigante de Menlo Park también te conoce íntimamente, lo que permite que su ad-network Facebook Audience Network funcione muy bien en las aplicaciones. Facebook no te da ningún control sobre su captación de tus datos personales.
• Criteo: el gigante de la adtech francesa, líder mundial del retargeting (los anuncios que te siguen a todas partes tras consultar un producto), no te permite rechazar la recopilación, solo rechazar la publicidad personalizada.

¿Qué hacer? Se presentó una denuncia de Privacy International contra Criteo, Quantcast y Tapad en noviembre de 2018; la CNIL inició la instrucción de Criteo en marzo de 2020, así que no hay que tener prisa.

La única solución por ahora sigue siendo técnica y, por tanto, no accesible al conjunto de los usuarios: la instalación de un bloqueador de anuncios como uBlock Origin en la web, o de aplicaciones como DNSCloak, AdGuard o NextDNS en iOS.