Finalidades Personalizadas: Gestión del Consentimiento Más Allá de los Marcos de Privacidad Estándar

El Marco de Transparencia y Consentimiento de IAB (TCF) y la Plataforma Global de Privacidad de IAB (GPP) cubren una amplia gama de escenarios de publicidad y procesamiento de datos. Pero muchos sitios web recopilan y procesan datos para finalidades que no encajan en absoluto en estos marcos — seguimiento de newsletters, pruebas A/B, grabaciones de sesión, interacciones con chatbots o requisitos normativos específicos de la industria.

Finalidades Personalizadas: Gestión del Consentimiento Más Allá de los Marcos de Privacidad Estándar

Las Finalidades Personalizadas de UniConsent le permiten definir sus propias categorías de consentimiento, mostrarlas en el banner de consentimiento junto a las finalidades estándar y gestionarlas mediante la misma API de JavaScript y las mismas herramientas de carga de etiquetas que ya utiliza.

Por Qué las Finalidades Estándar No lo Cubren Todo

IAB TCF define finalidades como:

• Finalidad 1: Almacenar y/o acceder a información en un dispositivo
• Finalidad 2: Utilizar datos limitados para seleccionar publicidad
• Finalidad 3: Crear perfiles para publicidad personalizada
• Finalidad 7: Medir el rendimiento publicitario
• Finalidad 10: Desarrollar y mejorar servicios

Estas funcionan bien para la publicidad — segmentación de anuncios, medición, personalización de contenido. Pero si su sitio web ejecuta pruebas A/B, graba sesiones de usuario con Hotjar, envía newsletters con seguimiento de tasa de apertura u opera en un sector regulado como el juego o la salud, ninguna de esas actividades corresponde a una finalidad de TCF.

La misma brecha existe en el lado estadounidense. El marco IAB GPP gestiona señales de exclusión (opt-out) para las leyes de privacidad estatales como la CCPA, pero no proporciona un mecanismo para recopilar el consentimiento de inclusión (opt-in) para categorías de datos sensibles que ahora exigen muchas leyes estatales.

Las Finalidades Personalizadas cubren esa brecha.

Comercio Electrónico: Recomendaciones, Pruebas A/B y Precios Dinámicos

La mayoría de los sitios de comercio electrónico van mucho más allá de la publicidad básica. Construyen perfiles de compra a partir del historial de navegación y los patrones de compra para impulsar recomendaciones de productos. Ejecutan pruebas A/B en los flujos de compra, páginas de destino y precios. Algunos utilizan precios dinámicos según la ubicación, el dispositivo o el comportamiento de navegación.

Nada de esto corresponde a una finalidad de TCF. La elaboración de perfiles para recomendaciones de productos es más granular que la personalización de contenido de TCF. Las pruebas A/B rastrean sesiones a través de variantes experimentales para la optimización de conversiones, no para publicidad. Los precios dinámicos utilizan datos personales para ajustar lo que ve cada visitante — una práctica que atrae cada vez más atención regulatoria en toda la UE.

Ejemplos de finalidades personalizadas para un sitio de comercio electrónico:

• product_recommendations — Construcción de perfiles de compra para personalizar sugerencias
• ab_testing — Seguimiento de sesiones en experimentos de optimización del sitio web
• dynamic_pricing — Uso de datos de navegación para personalizar precios y ofertas
• post_purchase_tracking — Análisis de patrones de devolución y comportamiento de reseñas

Medios y Publicaciones: Muros de Pago, Newsletters y Perfiles de Lectores

Los editores europeos que operan modelos de consentimiento o pago — comunes desde las directrices sobre cookies de la CNIL en Francia en 2020 — necesitan una gestión del consentimiento que vaya más allá de la publicidad. Rastrean los hábitos de lectura para personalizar el contenido editorial, monitorizan los recorridos de los usuarios desde artículos gratuitos hasta la conversión del muro de pago, comparten datos de lectores entre cabeceras dentro de un grupo mediático y rastrean la interacción con las newsletters mediante tasas de apertura y datos de clics.

La Finalidad 6 de TCF (uso de perfiles para seleccionar contenido personalizado) está limitada al ecosistema de proveedores de TCF. No cubre la personalización editorial propia (first-party), el análisis de suscripciones ni los perfiles de lectores entre sitios dentro de un grupo mediático.

Ejemplos de finalidades personalizadas para un sitio de publicaciones:

• editorial_personalization — Seguimiento de hábitos de lectura para personalizar el contenido editorial
• subscription_analytics — Análisis de la conversión del muro de pago y el comportamiento de suscripción
• cross_site_sharing — Compartir perfiles de lectores entre sitios web del grupo mediático
• newsletter_tracking — Seguimiento de la interacción dentro de las newsletters por correo electrónico

Plataformas SaaS: Grabaciones de Sesión, Chatbots y Análisis de Producto

Las plataformas SaaS y las aplicaciones web procesan datos de interacción que no tienen nada que ver con la publicidad. Herramientas como Hotjar, FullStory y Microsoft Clarity capturan movimientos del ratón, clics e interacciones con la página. Los chatbots impulsados por IA almacenan y analizan datos de conversación. Los equipos de producto rastrean la adopción de funciones, la finalización de flujos de trabajo y los patrones de interacción.

Todo esto queda fuera de IAB TCF. Una grabación de sesión es análisis de producto, no medición publicitaria. Un registro de conversación de chatbot son datos de atención al cliente, no un perfil publicitario.

Ejemplos de finalidades personalizadas para una plataforma SaaS:

• session_recording — Grabación y análisis de las interacciones de los usuarios en el sitio web
• ai_chatbot — Almacenamiento y análisis de datos de conversación del chatbot
• product_analytics — Seguimiento del uso de funciones y patrones de interacción
• user_feedback — Recopilación y vinculación de datos de encuestas y comentarios dentro de la app

Juego Online: Perfiles de Jugadores Más Allá del Juego Responsable

Los sitios web de juego en mercados regulados como los Países Bajos enfrentan una división entre el procesamiento de datos obligatorio y opcional. La Autoridad de Juego holandesa (Kansspelautoriteit, o KSA) exige a los operadores realizar verificación de edad, monitorizar el comportamiento de los jugadores para el juego responsable e informar a los reguladores. Estas son obligaciones legales — los operadores no necesitan consentimiento para ellas.

Pero los sitios de juego también hacen cosas que van más allá de esas obligaciones: recomendaciones de juegos personalizadas basadas en el historial de juego, elaboración de perfiles entre productos en casino, apuestas deportivas y póker, compartir datos de jugadores con socios de afiliación y marketing, y ejecutar análisis conductuales para inteligencia de negocio. Estas actividades opcionales requieren consentimiento, y ninguna de ellas encaja en TCF.

Ejemplos de finalidades personalizadas para un sitio de juego:

• gaming_recommendations — Uso del historial de juego para personalizar sugerencias de juegos y promociones
• cross_platform_profiling — Combinación de datos de jugadores entre productos de juego
• marketing_data_sharing — Compartir datos de jugadores con socios de marketing y afiliación
• enhanced_analytics — Análisis conductual más allá del juego responsable obligatorio

Salud y Bienestar: Datos Sensibles Fuera de HIPAA

En Estados Unidos, HIPAA cubre a hospitales y sus asociados comerciales, pero muchos sitios web de información sanitaria, portales de bienestar y plataformas de telemedicina quedan fuera de su alcance. La FTC ha actuado contra sitios web de salud que compartieron datos de navegación con plataformas publicitarias — el acuerdo de BetterHelp en 2023 es un ejemplo destacado.

Los sitios web de salud que rastrean búsquedas de síntomas, vistas de páginas de afecciones o resultados de cuestionarios de bienestar a menudo comparten esos datos con plataformas de análisis. Algunos construyen segmentos de audiencia basados en la navegación relacionada con la salud para publicidad. Otros comparten patrones de navegación anonimizados con empresas farmacéuticas o instituciones de investigación. Todo esto requiere un consentimiento claro, y los marcos publicitarios estándar no lo abordan.

Ejemplos de finalidades personalizadas para un sitio web de salud:

• health_analytics — Procesamiento de datos de navegación relacionados con la salud con análisis de terceros
• health_interest_ads — Uso de datos de navegación relacionados con la salud para publicidad
• health_profile — Construcción de un perfil de interés en salud a través de propiedades web conectadas
• research_sharing — Compartir datos de navegación de salud anonimizados con socios de investigación

Leyes de Privacidad Estatales de EE. UU.: Datos Sensibles que Requieren Opt-In

La creciente lista de leyes de privacidad estatales de EE. UU. — CCPA en California, CPA en Colorado, CTDPA en Connecticut, VCDPA en Virginia, TDPSA en Texas y otras — define categorías de datos sensibles que requieren consentimiento de inclusión (opt-in) antes del procesamiento. El marco IAB GPP gestiona las señales de exclusión, pero no proporciona un mecanismo para estos requisitos de opt-in.

Las categorías sensibles que los sitios web encuentran comúnmente incluyen la geolocalización precisa (datos a nivel de GPS, definidos como dentro de 1.750 pies según muchas leyes estatales), identificadores biométricos como el reconocimiento facial o el inicio de sesión por huella dactilar, datos de visitantes menores de 16 años (o 13 en algunos estados) y características sensibles inferidas, como afecciones de salud o creencias religiosas derivadas de patrones de navegación.

Estados como Illinois (BIPA), Texas y Washington tienen requisitos de consentimiento específicos para datos biométricos, además de sus leyes generales de privacidad.

Ejemplos de finalidades personalizadas para un sitio web estadounidense:

• precise_geolocation — Recopilación de datos de ubicación a nivel de GPS para personalización y análisis
• biometric_data — Recopilación y procesamiento de identificadores biométricos
• minor_data_processing — Procesamiento de datos de visitantes menores de 16 años
• sensitive_inference — Procesamiento que puede inferir características personales sensibles

EdTech: Datos de Estudiantes Más Allá de la Educación Básica

Las plataformas de aprendizaje online se sitúan en la intersección de múltiples normativas de privacidad. En EE. UU., FERPA y COPPA establecen la base, pero estados como California (SOPIPA) y Nueva York (Ley de Educación 2-d) añaden requisitos específicos de privacidad de datos estudiantiles. En la UE, procesar datos de estudiantes para finalidades más allá de la impartición educativa requiere un consentimiento separado.

Los sitios web de EdTech a menudo analizan el comportamiento de los estudiantes — tiempo dedicado a la tarea, patrones de clics, tasas de finalización de cursos — para construir perfiles de interacción que van más allá de lo necesario para impartir el curso. Ejecutan personalización basada en IA para ajustar las rutas de aprendizaje. Rastrean la interacción con correos electrónicos y notificaciones para marketing. Y comparten datos de interacción de estudiantes con proveedores de contenido de terceros, herramientas de evaluación o servicios de tutoría.

Ejemplos de finalidades personalizadas para un sitio web de EdTech:

• student_analytics — Análisis del comportamiento de los estudiantes más allá de la impartición educativa básica
• ai_personalization — Personalización impulsada por IA del contenido y las rutas de aprendizaje
• communication_tracking — Monitorización de la interacción con las comunicaciones de la plataforma
• third_party_content — Compartir datos de interacción con socios de contenido educativo

Cómo Funciona

Las Finalidades Personalizadas funcionan junto a su configuración de consentimiento existente — no reemplazan a TCF ni a ningún otro marco. El consentimiento se almacena por separado de la cadena de consentimiento de TCF, por lo que su cumplimiento de TCF se mantiene intacto. Las finalidades personalizadas aparecen en el mismo banner de consentimiento, responden a las acciones "Aceptar Todo" y "Rechazar Todo", y los usuarios pueden activar o desactivar cada una individualmente.

Funcionan en todos los marcos legales que UniConsent admite: GDPR, TCF Canadá, CCPA, Privacidad Estatal de EE. UU., LGPD, PIPL, POPIA y Modo Simple. En el aspecto técnico, las finalidades personalizadas se integran con la API de JavaScript, el dataLayer de Google Tag Manager y la carga condicional de etiquetas de UnicScript.

Para instrucciones de configuración y detalles técnicos, consulte la documentación de Finalidades Personalizadas.

Conclusión

Los marcos de privacidad estándar cubren bien la publicidad, pero la mayoría de los sitios web hacen más que servir anuncios. Si su sitio ejecuta pruebas A/B, graba sesiones, rastrea la interacción con newsletters, procesa datos sensibles u opera en un sector regulado, es probable que tenga requisitos de consentimiento que TCF y GPP no fueron diseñados para gestionar.

Las Finalidades Personalizadas le brindan una forma de gestionar esos requisitos dentro de la misma infraestructura de consentimiento — sin ventanas emergentes separadas, sin soluciones a medida, con plena compatibilidad con todos los marcos de privacidad principales.