Las prácticas opacas de Google para restringir la toma de huellas digitales crean confusión entre sus socios de tecnología publicitaria

Fingerprinting es un método que obtiene información para descifrar la identidad de alguien, practica que Google prohíbe actualmente. Sin embargo, los ejecutivos de las empresas de tecnología publicitaria que trabajan con la compañía dicen que necesitan su propia Piedra Rosetta para descifrar exactamente qué tipos de tecnología de fingerprinting podrían ser utilizados con Google. La falta de claridad en cuanto a las técnicas que Google permitirá o no permitirá podría afectar a la salud financiera de las empresas de tecnología publicitaria, dependiendo de la forma en que Google tome medidas contra esta práctica. No sólo es posible que otras empresas con las que trabajan empleen el malogrado método, sino que las propias empresas pueden proporcionar tecnología utilizando métodos probabilísticos -es decir, reuniendo diferentes tipos de información para identificar a un individuo- que podrían interpretarse como huella digital.

"Apoyamos las iniciativas que impiden la toma de huellas digitales” para proteger los datos de los editores y los usuarios. Sin embargo, creemos que las declaraciones de Google sobre la huella digital son confusas y están frenando a la industria en la adopción de soluciones escalables a prueba de futuro", dijo Mathieu Roche, CEO de la firma de tecnología de identidad ID5, que emplea técnicas probabilísticas para asignar y rastrear la identidad de las personas para la orientación y medición de anuncios.

Desde al menos 2019, Google ha centrado su justificación para restringir las huellas digitales en torno a la privacidad de los datos. "Creemos que los usuarios deben tener la transparencia y el control adecuados en cuanto a la publicidad digital. La huella digital no permite esto, por lo que va en contra de nuestras políticas", ha explicado un portavoz de la compañía a Digiday. "Seguimos trabajando con la industria en los estándares de anuncios que preservan la privacidad y el control del usuario al tiempo que permiten la medición y la prevención del fraude".

Sin embargo, Google se ha abstenido de revelar su definición de huella digital. La compañía no quiso proporcionar a Digiday detalles sobre cómo la define internamente, ni quiso explicar cómo supervisa el uso de la huella digital en la tecnología que opera en sus sistemas publicitarios. "Nos fijamos en una serie de señales cuando revisamos el cumplimiento de nuestras políticas, pero no hablamos de cómo las detectamos o las aplicamos para que los malos actores no puedan eludir nuestra detección o aplicación", dijo el portavoz.

A medida que los diferentes agentes de la publicidad digital analizan las declaraciones de Google sobre cómo tratará el uso de datos e identificadores cuando deje de aceptar cookies de terceros en su navegador Chrome, más empresas quieren probar formas de identificar a las personas para la publicidad sin cookies. Esto incluye la tecnología que podría entrar en la misteriosa definición de Google de huella digital. Un ejecutivo de tecnología publicitaria que habló bajo condición de anonimato dijo: "Cada vez más empresas necesitan confiar en la huella digital para tener realmente una identificación persistente con la que trabajar". El ejecutivo añadió que los identificadores probabilísticos "se basan en la tecnología de las fingerprinting, pero no lo llaman huellas digitales".

Hay interés en la tecnología de huellas para identificar un navegador y permitir el almacenamiento persistente de datos en ausencia de cookies. "El sector de la tecnología publicitaria tiene que idear algo que permita derivar un identificador para un navegador que sea capaz de hacer retargeting", afirma Bill Budington, tecnólogo senior del grupo de defensa de la privacidad Electronic Frontier Foundation, que ha rastreado el uso de las huellas digitales a lo largo de los años. 

Las empresas ya están probando métodos subrepticios de toma de huellas digitales para eludir las restrictivas medidas de Apple contra el rastreo de aplicaciones en su sistema operativo móvil.

Confiando en "lo que creemos que Google establece como aceptable

Empresas como Flashtalking han creado una tecnología de identidad que creen que satisface las normas de Google en materia de fingerprinting, aunque parezca más bien una lectura de los “posos del café”. La empresa, que está certificada para publicar anuncios de terceros en YouTube, propiedad de Google, utiliza más de 30 señales de datos -como la versión del navegador, el sistema operativo, los plugins instalados, la zona horaria u otros datos- para crear un identificador persistente que se utiliza para dirigir los anuncios a una persona y medir cómo responde esa persona a esos anuncios, por ejemplo, si visita el sitio del anunciante.

En lo que respecta a Flashtalking, Google no tendrá problemas con la última evolución de su tecnología, que conecta identificadores dispares para rastrear la identidad del usuario en la web, porque la empresa avisa de esta práctica y permite a los usuarios excluirse de ella a través de un pequeño icono que aparece en los anuncios que publica. "Nos guiamos por lo que Google ha publicado en su blog y elegimos cuidadosamente nuestra forma de actuar para mantenernos dentro de lo que creemos que Google considera aceptable", dijo el director general de Flashtalking, Joe Nardone.

Nardone se refiere a un post de enero de 2021 de Chetna Bindra, directora de productos del grupo de confianza y privacidad del usuario de Google. La publicación aborda el objetivo de Google de “anti fingerprinting", afirmando que la empresa está desarrollando formas de proteger a las personas de "técnicas opacas u ocultas que comparten datos sobre usuarios individuales", incluyendo la tecnología que utiliza "la dirección IP de un dispositivo para tratar de identificar a alguien sin su conocimiento o capacidad de optar por ello". La propia política de privacidad de Flashtalking establece que la empresa podría identificar a las personas "a través de la dirección IP desde la que se accede a los servicios y la cadena de agentes que interactúan  con navegador o dispositivo", pero la empresa cree que Google permitirá el uso de la IP u otros datos característicos del dispositivo para su identificación siempre que permita a las personas optar por ello. 

"Nuestra opinión es: seamos lo más literales posible y demos a los usuarios la posibilidad de excluirse en cada una de las impresiones", dijo Nardone.

Pero las declaraciones de Google al respecto son tan literales como un mural de Jackson Pollock. Una confusión similar ha surgido cuando las empresas de tecnología publicitaria han intentado interpretar la postura de Google sobre los identificadores que emplean correos electrónicos u otros datos personales para rastrear a las personas.

El enigma de la IAB de Google, envuelto en un misterio, dentro de un enigma

Incluso cuando Google se pone al día con su postura sobre las huellas digitales, hay quien se rasca la cabeza. Por ejemplo, la guía de la compañía destinada a los proveedores de tecnología publicitaria afirma que trabajará con las empresas que estén registradas para emplear los métodos definidos en el marco de transparencia y consentimiento de la Oficina de Publicidad Interactiva de Europa (TCF v2.0), concretamente la característica 3 y la característica especial 2, ambas de las cuales, según la propia IAB, podrían considerarse huellas digitales. Según la documentación de la IAB, la función 3 crea un identificador o reidentifica un dispositivo utilizando datos recogidos automáticamente de un dispositivo, como la dirección IP, mientras que la función especial 2 utiliza el escaneo activo de las características del dispositivo para crear identificadores o reidentificar un dispositivo. Las directrices de la IAB exigen que los proveedores de tecnología obtengan el consentimiento de los usuarios para utilizar la función especial 2.

"La huella digital suele definirse como un conjunto de elementos de información que identifican un dispositivo o una aplicación, por lo que tanto las operaciones de procesamiento de la función 3 como las de la función especial 2 podrían considerarse huella digital", dijo Helen Mussard, CMO de IAB Europe. Aunque dijo que IAB Europe no tiene ninguna orientación que desaconseje la toma de huellas digitales, sí exige que los proveedores que empleen esas características cumplan con la directiva de privacidad electrónica de la Unión Europea. 

Pero aquí es donde las cosas son más confusas para algunos. En sus directrices para proveedores, Google dice que trabajará con empresas que utilicen ambas funciones, pero añade: "Sin embargo, le recordamos que nuestras políticas prohíben la toma de huellas digitales para la identificación (por ejemplo, los requisitos para la publicación de anuncios de terceros), y le exigimos que se adhiera a nuestras políticas, que pueden ser más restrictivas que el TCF v2.0 en algunos casos, siempre que trabaje con nosotros." Traducción: Trabajaremos con usted si hace fingerprinting, pero no puede hacer fingerprinting cuando trabaje con nosotros".

El ejecutivo de tecnología publicitaria que habló bajo condición de anonimato dijo que han preguntado a Google si la empresa "tiene una excepción en este caso" o si Google puede proporcionar más información sobre sus políticas de toma de huellas digitales, pero se ha quedado con las manos vacías. Otro ejecutivo de tecnología publicitaria que habló bajo condición de anonimato calificó de "tortuosa" la redacción de Google en torno al TCF en relación con la toma de huellas digitales.

Cuando se le preguntó sobre la discrepancia percibida, el portavoz de Google dijo a Digiday: "Reconocemos que algunos proveedores tienen una perspectiva diferente a la nuestra sobre la toma de huellas digitales y pueden utilizarlas cuando trabajan con otros socios. Sin embargo, exigimos que los proveedores cumplan con nuestras políticas cuando trabajan con nosotros a través de nuestros productos y plataformas, independientemente de cómo se registren en el TCF de la IAB. Desde hace mucho tiempo tenemos políticas contra la toma de huellas digitales para la identificación de usuarios y seguimos prohibiéndola. Esto también se refleja en nuestra guía de integración del TCF y exigimos a los proveedores que la cumplan cuando interoperan con nuestros productos publicitarios". 

En medio de todas las perplejidades, algunos ejecutivos de la tecnología publicitaria han sacado algo de claridad. Según Ian Trider, vicepresidente de operaciones de la plataforma de licitación en tiempo real de la empresa de tecnología publicitaria Centro, Google no está confundiendo, sino que la empresa reconoce que incluso tiene límites en su poder.

"Las normas se refieren específicamente a cualquier escenario en el que intervengan los sistemas de Google. Esto no significa necesariamente que [Google] esté aceptando tácitamente la práctica en otros lugares, sino que hay límites a su control. Por lo demás, su posición sobre lo que debe o no debe ocurrir es clara: no tomar huellas digitales", dijo Trider. "Esto tiene sentido para mí, porque puede ser una exageración que Google ordene a las empresas que se abstengan de realizar una actividad cuando no tiene nada que ver con las plataformas o el inventario de Google”.

Sin embargo, cuando hay confusión, algunas empresas se muestran reticentes a comunicar públicamente a Google que les preocupa que sus socios se dediquen a tomar huellas digitales bajo su supervisión, ya que Google podría penalizar tanto a las empresas como a sus socios. El primer ejecutivo de tecnología publicitaria no identificado dijo: "Dado que dependemos de la capacidad de nuestros clientes para enviar etiquetas a las diferentes plataformas de Google, y luego para que Google sirva archivos alojados por nosotros y desde nuestros dominios, si nos eliminaran de esa lista [de proveedores aprobados] nos afectaría mucho".

Artículo original publicado en inglés en DIGIDAY