- IAB Tech Lab propuso cambios al Global Privacy Protocol y finalizó la versión 2.0 de su marco para transmitir solicitudes de eliminación de datos.
- La actualización simplifica las señales de consentimiento y crea una cadena verificable para comunicar solicitudes entre publishers, plataformas y proveedores.
- El estándar mejora la trazabilidad, pero no garantiza por sí mismo que cada empresa elimine la información: esa responsabilidad permanece en cada participante.
Durante años, buena parte de la conversación sobre privacidad digital se concentró en el banner de consentimiento. Aceptar, rechazar, administrar preferencias. Pero ese momento visible es apenas el comienzo: después, la decisión del usuario debe recorrer una cadena integrada por publishers, plataformas de gestión de consentimiento, servidores de anuncios, SSP, DSP, proveedores de identidad, medición y datos.
El problema es que una preferencia correctamente capturada puede perder claridad conforme pasa de una empresa a otra. Y una solicitud para borrar información resulta todavía más compleja cuando los datos ya fueron compartidos con varios intermediarios.
La privacidad ya forma parte de la infraestructura publicitaria. Únete a las membresías de Adtech y accede al análisis que convierte los cambios técnicos en decisiones de negocio.
IAB Tech Lab quiere ordenar esa parte menos visible de la infraestructura. El organismo presentó este 11 de agosto una actualización de su cartera de estándares de privacidad, que incluye cambios propuestos al Global Privacy Protocol (GPP) y la versión final 2.0 del Data Deletion Request Framework (DDRF).
La noticia toca uno de los puntos más delicados de MadTech: demostrar que una decisión de privacidad no solamente fue registrada, sino comunicada de manera confiable a quienes participaron en el tratamiento de los datos.
GPP: menos señales, pero una instrucción más clara
El Global Privacy Protocol funciona como una capa de transporte. No obtiene el consentimiento ni decide qué tratamiento es legal; su tarea consiste en llevar las preferencias del usuario desde un sitio o una aplicación hacia los proveedores que operan detrás de la experiencia publicitaria.
La documentación oficial del GPP explica que el protocolo permite comunicar señales de consentimiento y elección a través de la cadena digital, incluyendo los marcos utilizados en Estados Unidos, Europa y Canadá.
La nueva propuesta busca alinearlo con la quinta versión del Multi-State Privacy Agreement (MSPA), vigente desde el 4 de junio. Entre los cambios están la eliminación de los modos Service Provider y Opt-Out Option, el retiro de consentimientos relacionados con usos secundarios y la simplificación de algunos campos de aviso y elección. La consulta pública permanecerá abierta hasta el 11 de septiembre, de acuerdo con IAB Tech Lab.
En términos prácticos, el organismo está intentando sustituir parte de la lógica fragmentada que exigía interpretar múltiples configuraciones estatales por una señal más consistente. No desaparecen las diferencias legales entre jurisdicciones; lo que se busca simplificar es la forma en que esas obligaciones se traducen y transmiten dentro del stack publicitario.
Anthony Katsur, CEO de IAB Tech Lab, explica que los cambios recogen la experiencia de las empresas que ya operan estos estándares. El objetivo, asegura, es hacer la implementación más consistente y práctica sin añadir todavía más complejidad al cumplimiento.
Aquí está el primer impacto para publishers y plataformas: actualizar el protocolo no equivale a modificar únicamente un aviso de privacidad. Puede implicar revisar la configuración del CMP, las integraciones con socios, las cadenas almacenadas y la forma en que cada proveedor interpreta las preferencias.
Julieta Ruiz
DDRF 2.0: una solicitud de eliminación que puede seguirse
La otra pieza del anuncio es más ambiciosa. DDRF 2.0 crea un procedimiento estandarizado para que una solicitud de eliminación viaje desde la empresa que tiene relación directa con el usuario hacia sus proveedores y, posteriormente, a los socios de esos proveedores.
Cada participante deberá publicar un archivo denominado dsrdelete.json, donde indicará qué identificadores puede procesar, cuál es su endpoint para recibir solicitudes y qué llaves públicas utiliza. Las comunicaciones se realizan mediante JSON Web Tokens firmados criptográficamente, según la especificación técnica de DDRF 2.0.
El sistema contempla tres tokens:
- Uno acredita quién originó la solicitud.
- Otro transporta la petición y el identificador que debe localizarse.
- Un tercero confirma si la comunicación fue recibida correctamente o produjo un error.
Esto crea una especie de comprobante verificable para cada paso. Si un publisher comunica una solicitud a un proveedor y este debe trasladarla a otros socios, la petición conserva información sobre su origen y cada participante genera su propia confirmación.
Para un ecosistema donde un mismo identificador puede pasar por diferentes plataformas, esa trazabilidad representa un avance. Permite separar una solicitud legítima de un mensaje manipulado y ofrece evidencia sobre qué empresas recibieron la instrucción.
Julieta Ruiz
El impacto para México y Latinoamérica no depende de copiar la regulación estadounidense
Los cambios responden principalmente a la expansión de las leyes estatales en Estados Unidos y al MSPA. Por ello, no deben presentarse como una nueva obligación legal para todas las empresas mexicanas.
Sin embargo, la publicidad programática no respeta fronteras operativas. Un publisher latinoamericano puede monetizar audiencia estadounidense, trabajar con una plataforma global o integrarse con proveedores que utilizan GPP como señal común. De hecho, el MSPA establece que los publishers participantes utilizan el acuerdo junto con GPP, mientras que su adopción es opcional para los anunciantes.
México, además, cuenta con su propio marco. La vigente Ley Federal de Protección de Datos Personales en Posesión de los Particulares reconoce los derechos de acceso, rectificación, cancelación y oposición. El país atraviesa también una reorganización institucional después de que las facultades del INAI pasaran, en el sector privado, a la Secretaría Anticorrupción y Buen Gobierno.
La International Association of Privacy Professionals ha advertido que la transición mantiene abiertas preguntas sobre la tutela de los derechos ARCO, la supervisión y los procedimientos sancionadores.
En este contexto, GPP y DDRF no sustituyen el cumplimiento mexicano, pero sí ofrecen una referencia para resolver un problema que la legislación por sí sola no contesta: cómo comunicar técnicamente una cancelación cuando la información está distribuida entre varias compañías.
Julieta Ruiz
El nuevo costo oculto del stack publicitario
Hasta ahora, la evaluación de proveedores MadTech solía concentrarse en cobertura, calidad de datos, atribución, interoperabilidad y precio. La actualización de IAB agrega una pregunta menos cómoda: ¿puede el proveedor demostrar qué hizo cuando recibió una solicitud de privacidad?
Para publishers y marcas, esto obliga a revisar el mapa completo de socios. Para las plataformas, implica mantener endpoints, llaves criptográficas, traducción de identificadores, registros de recepción y procedimientos internos de eliminación. Para las agencias, supone incluir la capacidad de responder a derechos de privacidad dentro de la evaluación de medios y tecnología.
IAB Tech Lab está simplificando el lenguaje con el que la industria transmite las decisiones del usuario. El siguiente paso será demostrar que las empresas no solo saben escucharlas, sino obedecerlas.
No basta con conocer el anuncio: hay que entender cómo cambia el mercado. Forma parte de la Comunidad y mantente un paso adelante de la transformación MadTech.
