Vídeos de YouTube pueden ser incorporados en sitios web mediante un script. Esto es problemático desde el punto de vista del derecho a la protección de datos, porque ya al cargar este script se realizan numerosas recopilaciones de datos. Así que sin siquiera reproducir el vídeo propiamente dicho, el conejo ya está asado.
El texto fuente traducido al español: Se proporciona el servicio de YouTube LLC, USA. Por lo tanto, ya está sujeto a la exigencia de consentimiento debido al traslado de datos a un tercer país inseguro según artículo 44 RGPD (ver sentencia del TJUE sobre Privacy Shield y el Cloud Act). Ignorando esto, no se hace nada mejor ([1]) :
Las condiciones de uso de Google requieren que se obtenga el consentimiento para servicios integrados como _YouTube _ para las siguientes actividades ([1]) ([2]) :
el uso de cookies u otras formas de almacenamiento local de información, en la medida en que la obtención del consentimiento para ello sea exigida por la ley; y la recogida, revelación y uso de datos personales para la personalización de anuncios.
Fuente: https://www.google.com/about/company/user-consent-policy/
La incorporación de videos de YouTube sin configuraciones de privacidad avanzadas no se considerará en este artículo, ya que se utilizan cookies obligatorias para la aprobación. Las condiciones de uso del propio conglomerado Google exigen especialmente esta aprobación debido a estas cookies: También la Directiva ePrivacy exige una aprobación y es una regulación vinculante para Alemania, como estableció el Tribunal Federal de Justicia en un fallo en 2020. La regulación alemana se concretiza en § 25 TTDSG a partir de diciembre de 2021. A partir de mayo de 2024 rige el TDDDG en lugar del TTDSG. Es, sin embargo, idéntico.
Al incorporar videos con configuración de privacidad extendida activada (youtube-nocookie.com) sucede lo siguiente:
- Escritas y otros archivos se cargan de las dominios youtube-nocookie.com, ytimg.com y _ggpht.com
- Fuentes de Google se cargan desde el dominio gstatic.com
- El rastreador de DoubleClick se carga desde el dominio doubleclick.net
- YouTube sendet wenige Sekunden nach dem Laden el Seite (or des Videos?) Daten an Google (Beispiel: Zieladresse: https://www.youtube-nocookie.com/youtubei/v1/log_event?alt=json&key=xxxaSyAO_xxxlqU8Q4STEHLGCilw_Y9_11xxxx, Inhalt: {"context":{"client":{"hl":"de","gl":"DE","clientName":50,"clientVersion":"20201110"}},"events":[{"eventTimeMs":1606215721310,"visualElementHidden":{"csn":"T-i8X5q6xxxxx_AP_bSxxxx","ve":{"veType":11123},"eventType":12},"context":{"lastActivityMs":"262"}},{"eventTimeMs":1316245761311,"screenCreated":{"csn":"MCxxxxE3OTAwNzc1NTMzxxxxODY.","pageVe":{"veType":12421},"implicitGesture":{"parentCsn":"T-ixxxx6CNiWx_AP_bS68yy","gesturedVe":{"veType":12211}}},"context":{"lastActivityMs":"263"}},{"eventTimeMs":1102345661336,"foregroundHeartbeatScreenAssociated":{"clientDocumentNonce":"tV2_xxxx-TExxxxs","clientScreenNonce":"MC4wNxxxxTAwNzc1NTxxxxcyxxx."},"context":{"lastActivityMs":"288"}}],"requestTimeMs":"1111111111142","serializedClientEventId":{"serializedEventId":"A-xxxxq6Cxxxx_AP_bSxxxx","clientCounter":"1"}}
- DoubleClick envía – aparentemente con y sin acción del usuario o eventualmente ya después de movimientos con el puntero del ratón – datos a Google en intervalos indeterminados
- A pesar de la dominio nocookie, se establece un cookie llamado CONSENT, y es así incluso si no se va a reproducir ningún video. Este cookie en sí mismo no es necesario y por lo tanto requiere una autorización.
Estas recolecciones de datos son evidentes no justifican con el interés legítimo. Por lo tanto, la procesamiento sin consentimiento no es legal. Vgl. aquí Artículo 6 RGPD (bases jurídicas) en conexión con Artículo 5 RGPD (minimización de datos), Artículo 25 RGPD (protección de datos mediante diseño tecnológico) y Artículo 32 RGPD (seguridad del procesamiento). También el cookie llamado CONSENT no es consentimiento libre, como § 25 TTDSG revela.
Los videos de YouTube se integran con Cookies y establecen varias cookies de terceros en la dominio youtube.com (con una duración más larga) y por eso están sujetas a la obligación de consentimiento. Esto ya solo se desprende de el artículo 5, apartado 3 de la Directiva ePrivacy, que en esencia también es aplicable en Alemania, como estableció el Tribunal Federal de Justicia (BGH).
Por lo general, Google lo deja claro en su política de privacidad:
Recopilamos datos […} como […} vídeos de YouTube que le parecen interesantes." y "Si ha iniciado sesión en una cuenta de Google, también recopilamos datos que almacenamos en su cuenta de Google y que consideramos datos personales
Así que siempre hay una procesamiento de datos personales cuando una página web incorpora un video de YouTube y el visitante está registrado en su cuenta de Google. Dado que el propietario de la página web no puede obligar al visitante a salir de su cuenta de Google antes, siempre es necesario obtener consentimiento!
Conclusión:
Videos de YouTube, incluso sin utilizar cookies, requieren una autorización antes de ser incorporados a través de un script de YouTube en una página web.
Conclusión desde la perspectiva del RGPD y las condiciones de uso de Google
Incrustar vídeo de YouTube mediante IFRAME
Hasta ahora sólo he examinado brevemente este caso, ya que las diferencias con la integración de scripts sólo me han quedado claras recientemente. Pronto trataré este tema con más detalle. Hasta aquí por ahora:
Por IFRAME se pueden incorporar videos de YouTube de manera más amigable con la privacidad que mediante un script de YouTube. Al utilizar como dirección youtube-nocookie.com, durante el cargado del IFRAME ocurren varios intercambios de datos que solo van a dicha dirección. Aunque todavía hay muchos intercambios, no se dirigen a otras direcciones. Sin embargo, también existen eventos de seguimiento después del cargado del IFRAMES, sin que el usuario haga clic en nada. Estos eventos incluso ocurren con frecuencia (periódicamente?).
Además, se realiza el traslado de un cookie llamado CONSENT con el valor PENDING+107 (o similar) a pesar de la configuración nocookie. En LocalStorage se almacenan numerosos valores adicionales:
Además de la LocalStorage, también se utiliza extensivamente la Session Storage y la Indexed DB. Estas designaciones de almacenamiento las he tomado de la consola del desarrollador de Firefox, que se puede abrir pulsando la tecla F12. En el menú Web-Speicher se pueden ver los mencionados almacenes.
La LocalStorage también es un almacenamiento de cookies! En la directiva ePrivacy, no se menciona el término cookie, sino que allí se habla de informaciones almacenadas en el dispositivo del usuario. Por lo tanto, también es aplicable a la LocalStorage la directiva ePrivacy en Alemania!
Si se reproduce el video, seguirán transferencias de datos a la dirección googlevideo.com
En definitiva, esto dista mucho de facilitar la protección de datos, pero es mejor que la integración mediante un script.
Alternativas para los vídeos de YouTube
Vimeo Videos no son una buena alternativa para YouTube Videos, porque también generan problemas de privacidad. Aquí hay una selección de opciones amigables con la privacidad, para incorporar videos en su propia página web:
- HTML estándar, por ejemplo, mi contribución al Google Tag Manager y el video incorporado allí. Funciona sobre todo cuando el video no es demasiado grande. Las capacidades de los servidores modernos y las cuotas de red son suficientes para un funcionamiento autónomo de videos más pequeños para la mayoría de las páginas web.
- Antecedente con enlace a plataforma de video.
- No hay video: A menudo el beneficio de los videos es cuestionable, ¿por qué no simplemente eliminarlos, especialmente si son de terceros?
- Otra plataforma de video (vale la pena ver plataformas como Peertube que están asociadas con el Fediverso)
Vídeos subidos
Si desea absolutamente subir un vídeo a YouTube, independientemente de que vaya a integrarse o no en un sitio web, tiene derecho a que se active el vídeo.
Hay un acuerdo del Tribunal Superior de Dresde del 29.06.2021, Az. 4 W 396/21. El tribunal demandó a Google Ireland Ltd. una multa de 100.000 euros por la demora en liberar un video. El video contenía información sobre el coronavirus. Anteriormente, un tribunal había ordenado a Google que liberara el video. A esto no se atuvo Google y dijo que iba a revisarlo él mismo para ver si era necesario liberarlo.
Me llamo Klaus Meffert. Soy doctor en informática y llevo más de 30 años dedicándome profesional y prácticamente a las tecnologías de la información. También trabajo como experto en informática y protección de datos. Obtengo mis resultados analizando la tecnología y el Derecho. Esto me parece absolutamente esencial cuando se trata de protección de datos digitales.
