Publicidad personalizada a partir de datos sensibles

Que un anuncio parezca relacionado con su salud, creencias o vida íntima no demuestra por sí solo qué datos utilizó la plataforma. Puede responder a contexto, búsquedas, inferencias o información recibida de terceros. Para actuar conviene conservar el anuncio y pedir una explicación sobre sus parámetros y datos. Si existe elaboración de perfiles basada en categorías especiales, se aplican límites particularmente estrictos, además de las reglas generales de publicidad y cookies. 1 3

Datos declarados e inferencias

Las categorías especiales del artículo 9 del RGPD incluyen salud, origen étnico o racial, opiniones políticas, religión, afiliación sindical, genética, biometría identificativa, vida sexual y orientación sexual. No es necesario que haya escrito literalmente un diagnóstico para que un tratamiento pueda revelar información sensible: la combinación e interpretación de datos puede ser relevante. 1

Una visita aislada a una página tampoco acredita siempre una condición personal. Importa qué información se deduce, con qué finalidad y cómo se utiliza. La etiqueta comercial de “interés” no elimina automáticamente la protección si el sistema identifica o revela una categoría especialmente protegida.

Si el perfil es erróneo, eso no vuelve lícito el tratamiento. Puede existir información personal inexacta y una necesidad de rectificación o de cuestionar la base del perfil.

Qué prohíbe el Reglamento de Servicios Digitales

El artículo 26.3 del DSA impide a las plataformas comprendidas en esa obligación presentar anuncios basados en perfiles que utilicen categorías especiales del artículo 9.1 del RGPD. La prohibición tiene su propio ámbito y no desaparece simplemente porque se haya pulsado aceptar cookies. Deben revisarse también las exclusiones por tamaño previstas en el Reglamento. 3

El artículo 28.2 añade límites a publicidad basada en perfiles cuando la plataforma sabe con seguridad razonable que la persona destinataria es menor. Esa regla no convierte en obligatorio recabar nuevos datos personales únicamente para determinar la edad. La publicidad contextual y la basada en perfil requieren distinguirse. 3

Fuera de ese ámbito, el RGPD continúa exigiendo una base general y una excepción válida para tratar categorías especiales. En España, el artículo 9.1 de la LOPDGDD limita además el consentimiento como única base cuando la finalidad principal es identificar determinadas categorías que enumera. No basta con una aceptación genérica de condiciones. 1 2

Un dato público no autoriza cualquier seguimiento

En Schrems, C-446/21, de 4 de octubre de 2024, el TJUE rechazó agregar y analizar todos los datos disponibles para publicidad sin límite temporal ni distinción de naturaleza. También explicó que hacer pública la orientación sexual en una mesa redonda no autorizaba a la red a combinar otros datos sobre ella obtenidos fuera de la plataforma para publicidad personalizada. 4

El caso no afirma que toda publicidad personalizada sea ilícita. Su utilidad es mostrar que minimización, finalidad y categorías especiales siguen aplicándose aunque una persona haya divulgado alguna información sobre sí misma. Una publicación ajena o una deducción del proveedor tampoco equivalen sin más a que el interesado haya hecho manifiestamente público el dato.

Qué conservar antes de cambiar ajustes

Guarde captura del anuncio, fecha, cuenta y sección que explica por qué lo ve. Anote anunciante, patrocinador y parámetros que muestra la plataforma. Si el anuncio abre una página, conserve su dirección sin introducir información adicional innecesaria.

Revise preferencias y descargue, cuando sea posible, información sobre intereses y actividad publicitaria. Diferencie datos comprobados de sospechas. Un historial propio permite formular una solicitud precisa; no necesita demostrar técnicamente todo el sistema para ejercer derechos.

Si se trata de un menor, preserve la evidencia con especial cuidado y evite difundir datos que permitan identificarlo. La reclamación puede describir la edad y relación con el servicio sin publicar documentación del menor en redes.

Derechos que puede ejercer

Puede pedir acceso a datos, perfiles, fuentes disponibles y destinatarios. Cuando corresponda, solicite información sobre decisiones automatizadas. La oposición a mercadotecnia directa comprende la elaboración de perfiles vinculada a ella; la retirada del consentimiento también puede ser relevante según la base utilizada. 1

Pida concretamente que cese el uso publicitario cuestionado y que se explique qué información se conserva para otras finalidades. Suprimir datos no siempre significa borrar toda relación contractual ni obliga a eliminar registros necesarios para cumplir obligaciones legales. Puede solicitar limitación en los supuestos previstos si discute exactitud o licitud y necesita preservar información.

Como regla, el responsable dispone de un mes para contestar los derechos del RGPD, con ampliación motivada bajo sus condiciones. Cambiar un interruptor publicitario no equivale necesariamente a obtener respuesta sobre lo que ocurrió antes. 1

Reclamación y responsabilidades

La AEPD o autoridad competente puede examinar el tratamiento. Para obligaciones del DSA existen mecanismos y autoridades distintos según el servicio. La transparencia publicitaria del artículo 26 exige que el anuncio permita identificar su naturaleza, por cuenta de quién se presenta, quién lo paga cuando sea distinto y los principales parámetros de selección. 3

Si un negocio contrata campañas, debe revisar qué audiencias entrega y qué instrucciones da. Subir una lista de pacientes o clientes de un servicio especialmente sensible no queda legitimado por aceptar una plataforma el archivo. Debe analizarse el papel de cada interviniente, la información al interesado y la finalidad. 1

La indemnización por daños exige sus propios requisitos. Una infracción o una publicidad inquietante no determina una cantidad automática, aunque el daño inmaterial pueda ser relevante.

Ejemplo ficticio

Una usuaria ve anuncios asociados a una enfermedad que nunca declaró en su perfil. Conserva el anuncio y pide datos e inferencias utilizadas. Descubre que se empleó una audiencia creada a partir de visitas a un portal. Habrá que examinar si revela salud, qué actores intervinieron, bases y ámbito del DSA. La sospecha inicial orienta la investigación, pero no sustituye esa comprobación.

Preguntas frecuentes

¿Aceptar cookies permite anuncios basados en cualquier dato? No. El consentimiento debe cumplir requisitos y no elimina prohibiciones específicas, minimización ni límites de categorías especiales.

¿Si el perfil se equivoca tengo menos derechos? No. Puede cuestionar exactitud, origen y licitud del tratamiento, aunque la inferencia no describa realmente su situación.

¿Dejar de ver un anuncio prueba que borraron mi perfil? No necesariamente. Pida información sobre conservación y tratamientos si necesita conocer el alcance real del cambio.