Datos propios

Durante la mayor parte de las dos últimas décadas, la segmentación y la medición funcionaron con identificadores que la empresa no poseía: cookies de terceros, identificadores de dispositivo, datos comprados a intermediarios. Esa capa se ha desmontado por una combinación de regulación, políticas de los navegadores y decisiones de las plataformas, y no va a volver.

Lo que queda es lo que una empresa ha recogido ella misma, de personas que han tratado directamente con ella. Es un conjunto de datos más pequeño y mejor: describe a clientes reales y no segmentos deducidos, y no depende de una tecnología que alguien pueda desactivar.

Los usos prácticos son concretos. Audiencias emparejadas para segmentar y para excluir, audiencias similares creadas a partir de clientes reales, importación de conversiones offline para que la plataforma publicitaria aprenda qué leads merecían la pena y una medición que sobrevive a la pérdida del seguimiento en el navegador.

Eso los convierte en el activo de marketing más duradero del cliente, y es la razón por la que la gestión que los rodea importa más que las tácticas que los usan.

Las interfaces hacen que parezca un paso de configuración. Eliges un archivo, asignas las columnas y le pones nombre a la audiencia. No es un paso de configuración: es enviar datos personales de personas identificadas a un tercero, y necesita una base legal como cualquier otra comunicación de datos.

La trampa concreta es la finalidad. El consentimiento recogido para una newsletter cubre el envío de una newsletter. No cubre automáticamente pasar esa misma dirección a una plataforma publicitaria para crear una audiencia, salvo que la política de privacidad que leyó la persona lo dijera.

A veces se defiende el interés legítimo como base, y a veces con razón, pero exige una evaluación de ponderación y no una suposición, y en la UE la normativa ePrivacy se aplica junto al RGPD y no queda sustituida por él.

Para una agencia, la cuestión es más concreta que la ley: hay que hacer la pregunta antes de subir la lista, a alguien del cliente que pueda responderla. Una agencia que sube una lista porque el responsable de la cuenta le ha mandado una hoja de cálculo ha tomado una decisión que no le correspondía.

Las plataformas exigen que los identificadores se cifren con un hash antes de subirlos, normalmente SHA-256, y las interfaces lo presentan como la protección de la privacidad. Es una protección real, y más limitada de lo que parece.

Lo que hace es impedir que la plataforma lea en claro las direcciones de las personas que todavía no son sus usuarios. Lo que no hace es impedir el emparejamiento, porque la plataforma cifra su propia lista de usuarios de la misma forma y las compara. El emparejamiento es precisamente el objetivo, así que un mecanismo que lo impidiera no serviría de nada.

Tampoco cambia la naturaleza legal de la transferencia. Los datos personales cifrados con hash siguen siendo datos personales cuando se pueden emparejar con una persona, que es exactamente lo que ocurre aquí. El RGPD trata la seudonimización como una garantía, no como una exención.

Así que el hash tiene su lugar en la conversación como motivo de que la transferencia sea proporcionada, no como motivo de que no necesite una base legal. La diferencia importa, porque lo primero se puede defender y lo segundo no.

Tres cosas, acordadas por escrito, antes de que cualquier lista vaya a ningún sitio. Quién es el responsable del tratamiento y quién el encargado, que en una agencia casi siempre son el cliente y la agencia, respectivamente. Qué puede hacer la agencia con los datos. Y qué pasa con ellos el día que termina la relación.

Lo tercero es lo que nadie plantea al empezar y todo el mundo necesita al final. Las audiencias creadas dentro de las cuentas publicitarias del cliente se quedan con el cliente. Las listas guardadas en una herramienta de la agencia, en una carpeta compartida o en el portátil de alguien no, y una agencia que conserva la lista de clientes de un antiguo cliente sin ningún acuerdo al respecto es un problema esperando a un abogado.

Un contrato de encargo del tratamiento cubre la mayor parte de esto y existe precisamente para ello. No es papeleo exótico; es el instrumento normal, y es mucho más fácil firmarlo la primera semana que negociarlo durante una salida.

La otra costumbre que conviene tener es crear las audiencias dentro de las cuentas del propio cliente y no en las de la agencia. Es mejor para el cliente, elimina por completo la cuestión de la salida y no cuesta nada, salvo la posibilidad de reutilizar el trabajo en un sitio donde de todas formas no debería reutilizarse.