Puede que Microsoft Clarity te suene a chino si no tienes blog o plugin que te pide que configurarlo en WordPress, pero aquí tenemos otra maravillada solución de cookies. Parecía que todo estaba más calmado desde el boom de las de 1ª parte de Google y el organizarlo por “cohortes”, pero ahora nos viene Microsoft con un servicio que tiene alguna cosa que llama la atención. Uno que encajaría en el ámbito de empresas de análisis y medición con “cookies de tercero” (gestionadas, servidas y controladas por fuera del editor y su web) de la guía de cookies de la AEPD. Que nadie se emocione, que es otro claro caso de algo que no encaja en el fino y blanco supuesto de laboratorio de la guía paralela de analíticas sin consentimiento.
A lo que vamos: abres la página principal de postureo, pero te empiezas a encontrar red flags en rojo sangre: “listo para RGPD”, “Gratis para siempre”, “Desde clics hasta claridad: CON IA”, “RAGE CLICK” y sendo gato lila.
La mayor parte de estos banderines de pista roja son patrones engañosos de manual sin mucho más que decir que todo lo que las autoridades ya ponen sobre la mesa, pero lo de la IA y el click de enfado te dejan pensando.
Al seguir avanzando en pantalla sucesivas de típicos mapas de calor e integración con Analytics, llegas a las “grabaciones” de la sesión de cada usuario, al “ID Publicitario” y al punto en que esa IA ya cobra su nombra de la propia de la casa: Copilot. Y con ejemplo de acojoconsola/dashboard de muestra de la información en tiempo real de los usuarios.
Alguno pensaría que es a nivel agregado, pero no. Este Clarity te lo muestra individualizado por ese ID que le asigna a cada usuario. Obviamente, no aparece aquí mencionado este ID publicitario, pero es bien probable que sea el mismo que luego le permite a Microsoft el verdadero negocio de segmentación publicitaria. Y con vídeo generado por cada usuario, para que veas cómo va haciendo esos clicks de rabia y dónde.
Pinta todo muy bien. Y aunque esto se esté escribiendo a inicio de 2026, Clarity ya aplica desde octubre del año pasado como “mandatory” para EEE, UK y Suiza (nunca olvidar al único de la EFTA que no es parte del EEE). Veamos un poco.
Classic cookies: consentimiento, corresponsabilidad e información
Se podría pensar que con todo lo que ha llovido desde Fashion ID, Planet 49 y el ecosistema de IAB, se declararían como corresponsables junto con el editor de la web o plataformas que contratan a Micro. Nop, meros términos y condiciones que declaran responsabilidad independiente + que ya tú deberás cumplir con lo importante para ellos de tener una base legal y todo en regla.
“Base legal del tratamiento. En la medida en que las leyes de protección de datos le exijan tener una base legal para el tratamiento de datos personales, como el consentimiento o los intereses legítimos, su tratamiento de datos personales será coherente con dicha base legal. Si su base legal para el tratamiento es el consentimiento, deberá obtenerlo de conformidad con la ley de protección de datos aplicable, y el alcance del consentimiento que obtenga permitirá a Microsoft utilizar los datos personales que recopile para los fines descritos en esta sección. Por ejemplo, en el caso de las personas físicas de la Unión Europea, deberá obtener el consentimiento para el uso de cookies u otros medios de almacenamiento local, conservar los registros de consentimiento y proporcionar a las personas físicas un medio claro para revocar el consentimiento.”
Microsoft va sin pantalones al intentar no decir que es corresponsabilidad, pero no va sin ropa interior. No por nada tiene una estructura con esencia de contrato de corresponsabilidad. Muy asimétrico, pero con declaración de que el editor es el que tiene que poner a disposición la información de lo que aquí se dice para el interesado.
“Su aviso de privacidad revelará que terceros, como Microsoft, pueden recopilar Datos personales de las personas que visitan sus sitios web y ofrecerán opciones de exclusión voluntaria adecuadas, tal y como exige la Ley de Protección de Datos. Usted revelará en su aviso de privacidad el hecho de que Microsoft recopila o recibe datos personales de usted para proporcionar Microsoft Advertising, y proporcionará un enlace a las declaraciones de privacidad de Microsoft: https://privacy.microsoft.com/en-us/privacystatement.”
Podríamos dejar un literal de recordatorio de la necesaria corresponsabilidad en cookies, pero tenemos del mismito diciembre de 2025. Visto por Linkedin, del Tribunal de Frankfurt y con recordatorio de posible reclamación civil (100 euritos). Sobre la base de la LSSI germana:
- Quien participe en la prestación de los servicios de telecomunicación de un operador de página web mediante la instalación de cookies (de terceros) se considerará proveedor.
- Si se instala una cookie sin el consentimiento del visitante de la página, el instalador de la cookie será responsable como autor del delito, incluso si ha acordado contractualmente con el operador de la página que la solicitud automatizada de la cookie solo se realizará con el consentimiento del visitante de la página.
- La instalación de una cookie sin consentimiento puede dar lugar a una reclamación por daños y perjuicios (……). Esto justifica una reclamación por daños y perjuicios por un importe de 100 €.
Aplicación conjunta e-privacy y RGPD
Tampoco es nada nuevo el hecho de que tema de cookies siempre tenemos dos jugadores: el consentimiento neto por cookies, y la base de legitimación para el tratamiento de datos personales.
En el fragmento anterior de la base legal, Microsoft está astutamente colgando el muerto al editor de conseguir ambos: el consentimiento de cookies principal, junto con la discutible de los opt-out/ tener que meter mil finalidades a desmarcar por interés legítimo (lo que casi todo CPM de cookies te permite hacer). ¿Qué mil finalidades? Las que declara en esta misma sección, aunque no cumplan a nivel de los artículos 13 y 14 (ejemplo de ficción condensado de mucho de lo que la AEPD considera inadecuado): patada a la política de privacidad, finalidades no concretas de mejora, condicionales y ocultamiento táctico para no tener que mencionar aquí el interés legítimo que dicen en su política: el ocultamiento del opt-out. Luego está que tampoco sea la pera la política externa de Microsoft a la que se apunta. El intento es capa formal de invisibilidad + si le doy al interesado forma de oponerse en editor y Microsoft, parece que se cumple.
“cualquier fin de conformidad con la Declaración de privacidad de Microsoft, incluyendo proporcionar la Oferta; mejorar los productos y servicios de Microsoft, crear perfiles de usuario con fines que incluyen la publicidad, utilizar los datos no personales que recopila en relación con la Oferta para proporcionar y mejorar los productos y servicios de Microsoft, apoyar actividades de investigación y desarrollo, (…….)los datos no personales también pueden aprovecharse para promover la innovación, garantizar prácticas responsables de IA y mejorar la calidad, la fiabilidad y la seguridad generales de las tecnologías de Microsoft.”
El punto del interés legítimo que tanto gusta para cookies, ya nos quedo claro por el EDPB que tienes sus problemas. Máxime en un caso claro de segmentación publicitaria tan individualizada que hasta el editor tiene acceso a esta información.
- Directrices 8/2020 de focalización en redes: “el CEPD considera que el interés legítimo no puede aducirse como base jurídica adecuada, ya que la focalización se basa en el seguimiento del comportamiento de las personas en los sitios web y en las ubicaciones utilizando tecnologías de seguimiento”.
- Dictamen 5/2019 sobre el juego entre la Directiva e-privacy y el RGPD (se olvida, pero ahí está, haciendo mención a las antiguas directrices del 14 de interés legítimo): “En vez de ofrecer solamente la posibilidad de exclusión voluntaria de este tipo de publicidad dirigida y personalizada, sería necesario un consentimiento informado de conformidad con el artículo 7, letra a) y también en virtud del artículo 5, apartado 3, de la Directiva sobre intimidad y comunicaciones electrónicas. Como consecuencia de ello, el artículo 7, letra f), no deberá utilizarse como fundamento jurídico del tratamiento”.
- Directrices 1/2024 sobre interés legítimo (todavía en consulta pública) “Por lo tanto, es probable que el consentimiento constituya la base jurídica adecuada tanto para almacenar y acceder a la información ya almacenada en el dispositivo del usuario como para el posterior tratamiento de datos personales, lo que normalmente excluye la aplicación del artículo 6, apartado 1, letra f), en este contexto.”
Todo lo que ya vimos con META, TikTok y los demás intentando colarla, recogiendo cable cuando las autoridades levantaban la mano y turnándose unas a otras en el tema.
¿Cabe la paralela Scania?
La comidilla actual de si estaríamos hablando de dato personal o no según la valoración real de cada parte para poder reidentificar o no a la persona. Lo tenemos ahora encima de la mesa gracias a la línea del TJUE: Scania (C-319/22), SRB EDPS (C 413/23 P) o IAB Europa (C-341/22).
Ese elemento que parecía que venía a romper el concepto de dato personal (sin perjuicio de que la líen por el Digital Omnibus con el cambio de concepto pretendido), pero no dejaría de ser una aplicación lógica de la definición que siempre estuvo en el artículo 4: la información que permita, por sí misma o en combinación con otra, identificar a una persona física. Con el elemento añadido, de no tener que acudir a esfuerzos desproporcionados.
Cambiamos el hobbesianismo datero de que todo puede ser dato personales por si acaso, por la paranoia más racionalizada de tener que valorar si para cada parte es dato reidentificable o no, ahora y en el futuro. Esta paranoia ya se supone que la teníamos de base: el análisis de riesgos o la PIA no son algo a realizar en piedra sólo en el momento en que se pone a andar el tratamiento.
En este caso concreto, no sería muy interesante valorarlo sobre la base de Microsoft. Al hecho de que sería un proveedor con una capacidad media tan grande como altura tiene Cthulhu, se suma que literalmente asigna un ID publicitario a cada usuario para permitirle rastrearlo por la web del editor y por el resto de los mares de internet.
Hasta aquí, parecido con el resto de grandes del sector que te podían rastrear por doquier. Siempre Google tuvo toda la información que te agregaba en el visto para editor. El tema es que aquí, ya no está tan claro que el editor de web, pequeña, grande o mediopensionista, no puede identificar a la personal detrás del usuario.
Esa individualización con ID, unido a datos de país, detalle técnico y grabación en tiempo real o diferido de qué miras, pulsas y +, puede hacer que no sea ni difícil esa combinación para reidentificar. Por ejemplo, ese perfilado de usuario exhaustivo que va siempre a determinados productos y zonas + todos los datos del mismo en una transacción x que haga. Te puede salir una relación 1/1 en un cliente recurrente. Recuerden que la cuenta no siempre es tratamiento cubierto por contrato (EDPB dixit no hace tanto).
El punto del perfilado de encabronamiento y el de Copilot
Ese perfilado tan preciso, que mide cuando te enfadas y que lo genera Copilot, plantea la duda de si estaríamos antes dos de las áreas del RGPD con puerta acorazada: tratamiento del artículo 22 y RIA de alto riesgo (la faltante sería la de dato de categoría especial). Especialmente, centrándolo en el supuesto concreto de que parametriza y categorías en tres tipos el modo de cabreo que lleves. Que no se note el fantasma de la medición de estado de ánimo con el emoji de cara enfadada de la 1ª categoría de “clicks continuos”.
¿Aplicaría el 22?
Seguro que habría que gente que diría que ni de coña, pero tiene determinadas papeletas por el componente de comportamental pasado de vueltas. Como casi siempre, la duda existencial estaría en el último de los grandes requisitos cumulativos: el de efectos jurídico y equivalentes. ¿Decisión/perfil y totalmente automatizado? Sip.
- Elaboración de un perfil del usuario: la monitorización del usuario seudonimizado de la manera comentada, va a dejar constancia del comportamiento del mismo dentro y fuera de la web. El perfilado comportamental que Microsoft se monta, dejándote como editor ver en video generado por IA qué le gusta o gusta a tu público en tu web.
- Existencia de una decisión: es el maravilloso Copilot el que va a determinar de manera automática si estás enfadado y dónde.
- Realizada por medios totalmente automatizados y sin intervención humana: Copilot haciendo cosas.
Yendo al problemático, la batalla estaría en la parte más líquida de efectos significativamente similares a los jurídicos (que aquí no podría proclamarse directamente). Seguro que algún lector está negando con la cabeza ahora mismo con esta posibilidad de ni siquiera plantearlo, pero el EDPB siempre dejó la puerta entreverada en caso de perfilado comportamental (en las directrices de decisiones automatizadas):
“En muchos casos típicos, la decisión de presentar publicidad dirigida basada en la elaboración de perfiles no tendrá un efecto significativamente similar en las personas, por ejemplo, un anuncio de una popular tienda de moda en línea basado en un sencillo perfil demográfico: «mujeres de la región de Bruselas con edades comprendidas entre los 25 y los 35 años que probablemente estén interesadas en la moda y en determinadas prendas de vestir.
No obstante, es posible que puedan tenerlo, dependiendo de las características particulares del caso, como: el nivel de intrusismo del proceso de elaboración de perfiles, incluido el seguimiento de las personas en diferentes sitios web, dispositivos y servicios; las expectativas y deseos de las personas afectadas; la forma en que se presenta el anuncio; o el uso de conocimientos sobre las vulnerabilidades de los interesados”
Puerta por la que se puede colar el gato llamado «brand agent» que guía el comportamiento económico de tus usuarios. Casi mejor no pedirles más info.
¿Aplicaría el RIA?
La pregunta es un poco falaz, porque tenemos senda IA de “copiloto”. La buena sería si aquí estaríamos hablando de un sistema de alto riesgo o no. Es obvio que no encaja en el concepto de sistema de reconocimiento de emociones que del RIA (“destinado a distinguir o inferir las emociones o las intenciones de las personas físicas a partir de sus datos biométricos”, ni en el supuesto concreto de alto riesgo por aplicarlo en el ámbito laboral.
Aún con todo, ese mismo punto anterior que podría hacerlo caer en el lado del 22, puede jugar aquí para que sí sea un sistema de IA de alto riesgo. Antes hemos usado de coartada al GT29-EDPB para que nos lo diga, y aquí tenemos a la Comisión Europea en sus directrices sobre finalidades prohibidas:
“Los sistemas de reconocimiento de emociones utilizados en un contexto comercial para dirigirse a los clientes no entran en el ámbito de aplicación de la prohibición del artículo 5, apartado 1, letra f), del Reglamento de Inteligencia Artificial, tanto si se basan en datos biométricos como si no. Por lo tanto, la prohibición no se aplica a, por ejemplo, los sistemas de IA que permiten el reconocimiento de emociones a partir de la pulsación de tecla o de los mensajes de voz de los clientes (como mensajes de chat, el uso de asistentes de voz virtuales), utilizados en la comercialización en línea de aplicaciones para mostrar mensajes personalizados y con fines publicitarios, incluso en los entornos inteligentes («vallas publicitarias inteligentes»).
No obstante, dichas prácticas pueden estar contempladas en las prohibiciones de manipulación y explotación perjudiciales establecidas en el artículo 5, apartado 1, letras a) y b), del Reglamento de Inteligencia Artificial si se cumplen todas las condiciones para que se apliquen dichas prohibiciones.”
¿Alguien ya lo tiene en activo y declarado?
Para cerrar, vamos a ver si alguien lo tiene por Internet. Da la casualidad que sí salta un resultado: la página del Gobierno de Canarias. Hay que reconocerles que no intentan ocultar que este Clarity es un Analytics vitaminado que graba tus sesiones de usuarios, genera mapas de calor de lo que hace por la web, aunque sin separación de políticas, más claridad es las finalidades o la obligada información por la corresponsabilidad que existen. Es cierto que de poner lo que debería ser sin el amparo de una Microsoft que te siga el juego en declararse como corresponsable no ayuda mucho, pero todo pueden ser miguitas para reducir algo la sanción de la AEPD si viene. Lean ustedes para ver si se reconocen en el intento de capa de invisibilidad, porque siempre hay un pobre del sector que está más condicionado de lo que su conocimiento y aptitudes alcanzan.
“Utilizamos herramientas de análisis web, como Microsoft Clarity, para recopilar y analizar información sobre cómo los usuarios interactúan con nuestro portal web. Clarity nos permite obtener grabaciones de sesiones de usuario, mapas de calor y otros datos sobre las acciones realizadas por los usuarios en el portal (como clics, desplazamiento, interacciones, etc.). Estos datos nos ayudan a comprender mejor la experiencia de los usuarios en el sitio y a identificar áreas de mejora.
La información recopilada mediante Microsoft Clarity se utiliza exclusivamente para fines analíticos, de manera agregada y no identificativa. No recopilamos datos personales que puedan identificar a los usuarios de forma individual. Clarity utiliza cookies y tecnologías similares para recoger información sobre la interacción con el sitio web. La información generada por estas cookies es transmitida y almacenada en servidores de Microsoft, y está sujeta a su política de privacidad.
Para más detalles sobre cómo Microsoft maneja los datos, puede consultar la Política de Privacidad de Microsoft Clarity.”
Y hasta aquí. Veremos si Clarity recibe algún día una visita o no. Nunca olviden en materia de cookies la máxima que la AEPD no deja como último párrafo antes de anexos (aplicable a cualquier tratamiento divertidos:
“En cualquier caso, la responsabilidad administrativa exigible ante las autoridades de control por el cumplimiento de las obligaciones derivadas del uso de cookies corresponde a cada parte obligada y no es desplazable contractualmente.”
P.D. Efectivamente, la imagen de ilustración es la del extinto Messenger. Parece algo de lejano de otra época, pero ahí estábamos ya todos en pie.