Un clic, dos consentimientos

I. Introducción: un acto, dos efectos

Al registrarse en una plataforma el usuario pulsa un botón único. De ese acto se pretenden derivar dos efectos jurídicamente heterogéneos: perfecciona un contrato de adhesión y, simultáneamente, se invoca como autorización para tratar datos personales con fines que el contrato no necesita, desde la publicidad conductual hasta la cesión a terceros. La pregunta relevante no es si el usuario leyó. Es si un mismo acto puede soportar ambos efectos.

Este trabajo sostiene que los ordenamientos que más han legislado sobre contratación electrónica convergen, desde tradiciones distintas y sin instrumento común que lo imponga, en una respuesta negativa y que esa convergencia tiene una arquitectura reconocible de tres planos, cada uno con su propio estándar.

II. El punto de partida uniforme: equivalencia funcional

El Derecho uniforme resolvió temprano la cuestión formal. La Ley Modelo de la CNUDMI sobre Comercio Electrónico (1996) y la Convención de las Naciones Unidas sobre la Utilización de las Comunicaciones Electrónicas en los Contratos Internacionales (Nueva York, 2005; en vigor desde 2013) descansan sobre tres principios: no discriminación, neutralidad tecnológica y equivalencia funcional. El soporte electrónico no es un soporte disminuido. De ahí una consecuencia que conviene fijar antes de cualquier crítica: si el clic falla, no falla por el medio.

III. Primer plano: la formación del contrato

La convergencia aquí es notable. El Tribunal de Justicia de la Unión Europea resolvió en El Majdoub que la aceptación mediante clic satisface la exigencia de forma escrita del artículo 23.2 del Reglamento Bruselas I, y que basta la mera posibilidad de registrar de forma duradera el acuerdo, sin que las condiciones deban abrirse automáticamente. En los Estados Unidos, el Segundo Circuito había fijado el reverso del estándar: en Specht, la jueza Sotomayor sostuvo que pulsar un botón de descarga no comunica aceptación si la oferta no dejó claro que hacerlo la significaba; en Meyer v. Uber el mismo tribunal validó la pantalla de registro por ofrecer notificación razonablemente visible al usuario razonablemente prudente de teléfono inteligente. Lo que emerge a ambos lados del Atlántico no es una exigencia de lectura, sino la conjunción de notificación razonable y acto afirmativo. La ley chilena lo formula casi con esas palabras: el consentimiento no se entiende formado sin un acceso previo "claro, comprensible e inequívoco" a las condiciones generales, y la sola visita al sitio no obliga salvo aceptación "en forma inequívoca".

IV. Por qué nadie lee: la evidencia

La objeción no es normativa sino fáctica. Bakos, Marotta-Wurgler y Trossen rastrearon a 48.154 visitantes mensuales de noventa sitios de software y hallaron que solo uno o dos de cada mil acceden a la licencia. Obar y Oeldorf-Hirsch, sobre 543 participantes, midieron que el 74% escogió el atajo de aceptación rápida. En el consentimiento de datos, Nouwens y otros analizaron los cinco gestores más difundidos en los diez mil sitios más visitados del Reino Unido: solo el 11,8% satisfacía los requisitos mínimos europeos, y retirar el botón de rechazo de la primera pantalla elevaba la aceptación entre 22 y 23 puntos porcentuales. El SERNAC chileno replicó el hallazgo con más de setenta mil usuarios: cuando el aviso remite a la política de privacidad mediante un enlace, solo el 1,43% lo abre. El factor limitante no es el acceso, sino la comprensión y el diseño.

V. Segundo plano: el tratamiento de datos y la regla de desagregación

Cuatro ordenamientos han legislado la misma solución sin coordinarse. El RGPD exige que la solicitud de consentimiento inserta en una declaración escrita sea "claramente distinguible" (artículo 7.2) y define el consentimiento como específico (artículo 4.11); el Comité Europeo de Protección de Datos deriva de ahí un opt-in separado por finalidad. Brasil fue más explícito: el consentimiento escrito debe constar en cláusula destacada de las demás cláusulas contractuales y las autorizaciones genéricas son nulas (LGPD, artículo 8, §§ 1 y 4). California legisló la regla en su forma más pura: la aceptación de términos de uso generales o amplios que contengan descripciones del tratamiento junto a información no relacionada no constituye consentimiento. Chile se incorporó en 2024: el consentimiento debe ser específico en cuanto a su finalidad y se presume no libre cuando se recaba para ejecutar un contrato que no requiere ese tratamiento.

VI. Tercer plano: el diseño como condición de validez

El desplazamiento más reciente es también el más profundo: el diseño manipulador ha dejado de tratarse como práctica comercial desleal para operar como defecto del consentimiento. California lo dice sin rodeos: el acuerdo obtenido mediante patrones oscuros no constituye consentimiento, y define el patrón oscuro como la interfaz diseñada o manipulada con el efecto sustancial de socavar la autonomía o la decisión del usuario. El Reglamento de Servicios Digitales prohíbe a las plataformas diseñar interfaces que engañen, manipulen o distorsionen sustancialmente la capacidad de decidir libremente (artículo 25). El Tribunal de Justicia había anulado la casilla premarcada en Planet49 y, en Meta Platforms, precisó que la posición dominante no excluye por sí sola un consentimiento válido, pero constituye un factor relevante para apreciar si fue libremente prestado, correspondiendo la prueba al responsable.

VII. Objeciones y posición

La objeción más seria no proviene de la industria sino de la academia. Ben-Shahar y Schneider documentaron el fracaso general de la divulgación obligada, y el primero añadió que no existe un universo alternativo en que los consumidores celebren contratos más simples y mejor informados. Radin, en el extremo opuesto, sostiene que el clausulado no negociado degrada la noción misma de consentimiento. Solove concluye que el consentimiento en privacidad es una ficción y que debería producir apenas una licencia débil y revisable.

La posición que aquí se defiende es intermedia y, sobre todo, diferenciada por planos. Ben-Shahar acierta en el primero: exigir lectura efectiva es inútil, y debilitar el clic tampoco es unívocamente protector, porque libera al proveedor de sus propias ofertas. Pero de ello no se sigue que el mismo acto pueda soportar el segundo efecto. Lo que muestra la convergencia comparada es que el remedio no pasa por informar más, la evidencia indica que informar más no cambia la conducta, sino por desagregar finalidades y regular la arquitectura de la decisión.

VIII. Conclusión

Un clic puede formar un contrato; no puede, por sí solo, licenciar todo lo que ese contrato dice sobre los datos del usuario. Esa distinción es Derecho vigente en la Unión Europea, Brasil y California, y lo será en Chile desde diciembre de 2026, sin que ningún tratado la haya impuesto. De lege ferenda quedan dos criterios todavía fragmentarios: la simetría entre las opciones de aceptar y rechazar, exigida en California y recomendada en Europa, pero ausente como regla general de contratación; y la trazabilidad verificable de la declaración, que las reglas sobre carga de la prueba insinúan sin desarrollar. Mientras tanto, la pregunta operativa para cualquier jurisdicción es más simple de lo que parece: si un mismo botón produce dos efectos, el ordenamiento debería exigir dos actos.

 

Referencias 

BAKOS, Yannis; MAROTTA-WURGLER, Florencia y TROSSEN, David R., "Does Anyone Read the Fine Print? Consumer Attention to Standard-Form Contracts", Journal of Legal Studies, vol. 43, N° 1, 2014, pp. 1-35. https://chicagounbound.uchicago.edu/jls/vol43/iss1/2

BEN-SHAHAR, Omri y SCHNEIDER, Carl E., "The Failure of Mandated Disclosure", University of Pennsylvania Law Review, vol. 159, N° 3, 2011, pp. 647-749. https://scholarship.law.upenn.edu/cgi/viewcontent.cgi?article=1091&context=penn_law_review

BEN-SHAHAR, Omri, "Regulation Through Boilerplate: An Apologia", Michigan Law Review, vol. 112, 2014, pp. 883 y ss. https://chicagounbound.uchicago.edu/journal_articles/4272

Brasil, Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), art. 8, §§ 1º y 4º. https://www2.camara.leg.br/legin/fed/lei/2018/lei-13709-14-agosto-2018-787077-publicacaooriginal-156212-pl.html

California Privacy Protection Agency, Enforcement Advisory No. 2024-02, Avoiding Dark Patterns: Clear and Understandable Language, Symmetry in Choice, 4 de septiembre de 2024. https://www.cppa.ca.gov/pdf/enfadvisory202402.pdf

Chile, Ley N° 19.496, sobre protección de los derechos de los consumidores, art. 12 A. https://www.bcn.cl/leychile/navegar?idNorma=61438

Chile, Ley N° 21.719, que modifica la Ley N° 19.628 sobre protección de la vida privada, art. 12. Vigencia general: 1 de diciembre de 2026. https://www.bcn.cl/leychile/navegar?idNorma=1209272

CNUDMI, Ley Modelo sobre Comercio Electrónico (1996), y Ley Modelo sobre las Firmas Electrónicas (2001). https://uncitral.un.org/en/texts/ecommerce

Comité Europeo de Protección de Datos, Guidelines 05/2020 on consent under Regulation 2016/679, versión 1.1, adoptadas el 4 de mayo de 2020. https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en

Comité Europeo de Protección de Datos, Guidelines 03/2022 on deceptive design patterns in social media platform interfaces, versión 2.0, adoptadas el 14 de febrero de 2023. https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-032022-deceptive-design-patterns-social-media_en

Convención de las Naciones Unidas sobre la Utilización de las Comunicaciones Electrónicas en los Contratos Internacionales (Nueva York, 23 de noviembre de 2005; en vigor desde el 1 de marzo de 2013). https://uncitral.un.org/en/texts/ecommerce/conventions/electronic_communications

Estados Unidos (California), California Consumer Privacy Act, Civil Code §§ 1798.140(h) y 1798.140(l); reglamento 11 CCR § 7004(a). https://www.cppa.ca.gov/pdf/enfadvisory202402.pdf

Federal Trade Commission, Bureau of Consumer Protection, Bringing Dark Patterns to Light. Staff Report, septiembre de 2022. https://www.ftc.gov/reports/bringing-dark-patterns-light

Meyer v. Uber Technologies, Inc., 868 F.3d 66 (2d Cir. 2017). 

NOUWENS, Midas; LICCARDI, Ilaria; VEALE, Michael; KARGER, David y KAGAL, Lalana, "Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence", Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems. DOI: 10.1145/3313831.3376321. https://arxiv.org/abs/2001.02479

OBAR, Jonathan A. y OELDORF-HIRSCH, Anne, "The biggest lie on the Internet: ignoring the privacy policies and terms of service policies of social networking services", Information, Communication & Society, vol. 23, N° 1, 2020, pp. 128-147. DOI: 10.1080/1369118X.2018.1486870. https://www.tandfonline.com/doi/abs/10.1080/1369118X.2018.1486870

RADIN, Margaret Jane, Boilerplate: The Fine Print, Vanishing Rights, and the Rule of Law, Princeton University Press, 2013. https://press.princeton.edu/books/ebook/9781400844838/boilerplate-pdf

Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), arts. 4.11 y 7.2. DO L 119 de 4 de mayo de 2016. https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=es

Reglamento (UE) 2022/2065, de Servicios Digitales, art. 25. DO L 277 de 27 de octubre de 2022. https://eur-lex.europa.eu/eli/reg/2022/2065/oj?locale=es

SERNAC (Chile), Consentimiento en el uso de las cookies: evidencia experimental sobre el impacto de la privacidad por defecto y los patrones oscuros en las decisiones de los consumidores, marzo de 2022. https://www.sernac.cl/portal/619/w3-article-64969.html

SOLOVE, Daniel J., "Murky Consent: An Approach to the Fictions of Consent in Privacy Law", Boston University Law Review, vol. 104, 2024, pp. 593 y ss. https://www.bu.edu/bulawreview/files/2024/04/SOLOVE.pdf

Specht v. Netscape Communications Corp., 306 F.3d 17 (2d Cir. 2002). 

TJUE (Sala Tercera), Jaouad El Majdoub c. CarsOnTheWeb.Deutschland GmbH, sentencia de 21 de mayo de 2015, asunto C-322/14. https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?num=C-322%2F14&language=EN

TJUE (Gran Sala), Bundesverband der Verbraucherzentralen c. Planet49 GmbH, sentencia de 1 de octubre de 2019, asunto C-673/17. https://eur-lex.europa.eu/legal-content/ES/ALL/?uri=CELEX%3A62017CJ0673_RES

TJUE (Gran Sala), Meta Platforms Inc. y otros c. Bundeskartellamt, sentencia de 4 de julio de 2023, asunto C-252/21, ECLI:EU:C:2023:537, ap. 149. 

 

Elaborado por: Johnatan Esteban Alvarado Cerda