P3P

El Proyecto de Plataforma para Preferencias de Privacidad ( P3P ) es un protocolo obsoleto que permite a los sitios web declarar el uso previsto de la información que recopilan sobre los usuarios de navegadores web . Diseñado para dar a los usuarios más control sobre su información personal al navegar, P3P fue desarrollado por el Consorcio World Wide Web (W3C) y recomendado oficialmente el 16 de abril de 2002. El desarrollo cesó poco después y ha habido muy pocas implementaciones de P3P. Internet Explorer y Microsoft Edge Legacy fueron los únicos navegadores importantes que admitían P3P. Microsoft dejó de ofrecer soporte a partir de Windows 10. Internet Explorer y Edge [Legacy] en Windows 10 ya no admiten P3P desde 2016. ^{[ 3 ]} El W3C declaró oficialmente obsoleto P3P el 30 de agosto de 2018. ^{[ 4 ]} El presidente de TRUSTe ha declarado que P3P no se ha implementado ampliamente debido a su dificultad y falta de valor. ^{[ 5 ]}

A medida que la World Wide Web se consolidó como un medio eficaz para la venta de productos y servicios, los sitios web de comercio electrónico intentaron recopilar más información sobre sus clientes. Algunas empresas recurrieron a prácticas controvertidas, como las cookies de seguimiento, para obtener información demográfica y hábitos de compra de los usuarios , utilizando esta información para ofrecerles publicidad personalizada. Los usuarios que consideraban esto una invasión de la privacidad a veces desactivaban las cookies HTTP o utilizaban servidores proxy para proteger su información personal. El protocolo P3P se diseñó para brindar a los usuarios un control más preciso sobre la información que divulgan. Según el W3C, el objetivo principal del P3P es "aumentar la confianza de los usuarios en la Web mediante el empoderamiento técnico". ^{[ 6 ]}

P3P es un lenguaje legible por máquina que ayuda a expresar las prácticas de gestión de datos de un sitio web. P3P gestiona la información a través de políticas de privacidad. Cuando un sitio web utiliza P3P, establece un conjunto de políticas que le permiten indicar el uso previsto de la información personal que puede recopilar de sus visitantes. Cuando un usuario decide utilizar P3P, establece su propio conjunto de políticas e indica qué información personal permitirá que vean los sitios que visita. Luego, cuando un usuario visita un sitio, P3P compara la información personal que el usuario está dispuesto a divulgar con la información que el servidor desea obtener; si no coinciden, P3P informa al usuario y le pregunta si desea continuar en el sitio, arriesgándose a proporcionar más información personal. ^{[ 7 ]} Por ejemplo, un usuario puede almacenar en las preferencias del navegador que no se recopile información sobre sus hábitos de navegación. Si la política de un sitio web indica que se utiliza una cookie para este fin, el navegador la rechazará automáticamente. El contenido principal de una política de privacidad es el siguiente:

• qué información almacena el servidor:
  • qué tipo de información se recopila (identificativa o no);
  • qué información específica se recopila ( dirección IP , dirección de correo electrónico , nombre, etc.);
• Uso de la información recopilada:
  • cómo se utiliza esta información (para navegación habitual, seguimiento, personalización, telemarketing, etc.);
  • quién recibirá esta información (solo la empresa actual, un tercero, etc.);
• permanencia y visibilidad:
  • cuánto tiempo se almacena la información;
  • si el usuario puede acceder a la información almacenada y cómo puede hacerlo (solo lectura, consentimiento explícito, exclusión voluntaria).

La política de privacidad se puede recuperar como un archivo XML o se puede incluir, de forma compacta, en el encabezado HTTP . La ubicación del archivo de política XML que se aplica a un documento determinado puede ser:

1. especificado en el encabezado HTTP del documento
2. especificado en el encabezado HTML del documento
3. Si no se especifica ninguna de las anteriores, se utiliza la ubicación conocida (para una ubicación similar, consulte )./w3c/p3p.xml/favicon.ico

P3P permite especificar un archivo max-agepara el almacenamiento en caché. Un /w3c/p3p.xmlarchivo ficticio podría usar esta función:

<META xmlns= "http://www.w3.org/2002/01/P3Pv1" > <POLICY-REFERENCES> <EXPIRY max-age= "10000000" /> <!-- aproximadamente cuatro meses --> </POLICY-REFERENCES> </META>

Internet Explorer y Edge [Legacy] de Microsoft eran los únicos navegadores web populares que admitían P3P. ^{[ 8 ]} Otros navegadores no lo implementaron debido a que lo consideraban poco útil. IE permite visualizar las políticas de privacidad P3P y compararlas con la configuración del navegador para decidir si se permiten o no las cookies de un sitio web específico. Sin embargo, la funcionalidad P3P en Internet Explorer se limita al bloqueo de cookies y no alerta al usuario sobre un sitio web completo que infringe las preferencias de privacidad activas. Microsoft considera esta función obsoleta en sus navegadores y eliminó por completo la compatibilidad con P3P en Windows 10. ^{[ 8 ]}

Mozilla apoyó algunas características de P3P durante algunos años, pero todo el código fuente relacionado con P3P fue eliminado en 2007. ^{[ 9 ]}

El servicio Privacy Finder ^{[ 10 ]} también fue creado por el Laboratorio de Privacidad y Seguridad Usable de Carnegie Mellon . Se trata de un motor de búsqueda público habilitado para P3P. El usuario puede introducir un término de búsqueda junto con sus preferencias de privacidad, y se le presenta una lista de resultados ordenados según si los sitios cumplen o no con dichas preferencias. Esto funciona rastreando la web y manteniendo una caché P3P para cada sitio que aparece en una consulta de búsqueda. La caché se actualiza cada 24 horas para garantizar que cada política esté relativamente actualizada. El servicio también permite a los usuarios determinar rápidamente por qué un sitio no cumple con sus preferencias, así como visualizar una política de privacidad generada dinámicamente en lenguaje natural a partir de los datos P3P. Esto resulta ventajoso en comparación con la simple lectura de la política de privacidad original en lenguaje natural de un sitio web, ya que muchas políticas de privacidad están escritas en jerga legal y son extremadamente complejas. Además, en este caso, el usuario no tiene que visitar el sitio web para leer su política de privacidad.

P3P permite a los navegadores comprender sus políticas de privacidad de forma simplificada y organizada, en lugar de tener que buscarlas por todo el sitio web. Al configurar los ajustes de privacidad a un nivel determinado, el usuario permite que P3P bloquee automáticamente las cookies que no desee en su ordenador. Además, el W3C explica que P3P permitirá a los navegadores transferir datos de usuario a otros servicios, fomentando así una comunidad de intercambio en línea.

Además, la P3P Toolbox ^{[ 11 ],} desarrollada por la Internet Education Foundation, recomienda que quienes estén interesados ​​en aumentar la confianza y la privacidad de sus usuarios consideren implementar P3P. El sitio web de la P3P Toolbox explica cómo las empresas han utilizado los datos de los usuarios para promocionar nuevos productos o servicios. Asimismo, en los últimos años, las empresas han recopilado información personal y creado perfiles que luego utilizan para fines comerciales sin el consentimiento del usuario. Además, todos estos datos se utilizan indebidamente y nosotros, como consumidores, pagamos las consecuencias, preocupándonos por problemas como el correo basura, el robo de identidad y diversas formas de discriminación. Por lo tanto, la implementación del protocolo P3P resulta beneficiosa para los navegadores web.

Además, dado el aumento en el número de navegadores, hay más usuarios en riesgo de sufrir problemas de privacidad. Sin embargo, la Internet Education Foundation señala que «P3P se ha desarrollado para ayudar a impulsar la tecnología un paso más allá, hacia la comunicación automática de las prácticas de gestión de datos y las preferencias de privacidad individuales». ^{[ 11 ]}

El Centro de Información sobre Privacidad Electrónica (EPIC) ha criticado P3P y cree que dificulta demasiado a los usuarios la protección de su privacidad. ^{[ 12 ]} En 2002 evaluó P3P y se refirió a la tecnología como una "Política bastante deficiente". ^{[ 12 ]} Según EPIC, algunos programas P3P son demasiado complejos y difíciles de entender para la persona promedio, y muchos usuarios de Internet no están familiarizados con el uso del software P3P predeterminado en sus computadoras ni con la instalación de software P3P adicional. Otra preocupación es que ni los sitios web ni los usuarios de Internet están obligados a usar P3P. Además, el sitio web de EPIC afirma que el protocolo P3P resultaría engorroso para el navegador y no tan beneficioso ni eficiente como se pretendía.

Un problema clave que surge con el uso de P3P es la falta de cumplimiento. Por lo tanto, las promesas hechas a los usuarios de P3P pueden quedar sin cumplir. Si bien al usar P3P una empresa o sitio web se compromete a proteger la privacidad y el uso de los datos recopilados para sus usuarios, no existen consecuencias legales reales si la empresa decide usar la información para otros fines. Actualmente, no existen leyes aprobadas en Estados Unidos sobre protección de datos. Aunque, idealmente, las empresas deberían ser honestas respecto al uso de la información personal de sus clientes, no existe ninguna obligación legal de que cumplan con las normas que afirman seguir. Si bien el uso de P3P técnicamente califica como un contrato, la falta de regulación federal minimiza la necesidad de que las empresas lo cumplan. ^{[ 13 ]}

El acuerdo para usar P3P no solo establece promesas inaplicables, sino que también retrasa la adopción de leyes federales que, de hecho, limitarían el acceso y la capacidad de usar información privada. Si el gobierno interviniera e intentara proteger a los usuarios de Internet con leyes federales sobre qué información se puede consultar y regulaciones específicas sobre cómo se puede usar la información del usuario, las empresas no mantendrían la libertad que tienen ahora para usar la información a su antojo, independientemente de lo que les digan a los usuarios. En 2002, Chris Hoofnagle, entonces empleado de EPIC, argumentó que P3P estaba eliminando las posibilidades de que el gobierno regulara la privacidad. ^{[ 14 ]}

Los críticos de P3P también argumentan que los sitios que no cumplen con los estándares quedan excluidos. Según un estudio realizado por CyLab Privacy Interest Group en la Universidad Carnegie Mellon ^{[ 15 ]} , solo el 15 % de los 5000 sitios web más importantes incorporan P3P. Por lo tanto, muchos sitios que no incluyen el código, pero que sí aplican altos estándares de privacidad, no serán accesibles para los usuarios que utilizan P3P como su única guía de privacidad en línea.

EPIC también habla sobre cómo el desarrollo e implementación de P3P puede generar un monopolio de la información privada. Dado que suelen ser solo las grandes empresas las que implementan P3P en sus sitios web, solo estas grandes empresas tienden a recopilar esta información, ya que solo sus políticas de privacidad pueden compararse con las preferencias de privacidad de los usuarios. El sitio web de EPIC afirma: "La increíble complejidad de P3P, combinada con la forma en que los navegadores populares probablemente implementen el protocolo, parece descartarlo como una tecnología de protección de la privacidad". EPIC continúa afirmando: "Más bien, P3P podría fortalecer la posición de monopolio sobre la información personal que actualmente disfrutan los comercializadores de datos estadounidenses". ^{[ 12 ]}

El fracaso de su adopción inmediata puede estar relacionado con la idea de que es un enfoque de notificación y elección que no cumple con las Prácticas Justas de Información. Según el Presidente de la FTC, ^{[ 16 ]} las leyes de privacidad son clave en la sociedad actual para proteger al consumidor de proporcionar demasiada información personal en beneficio de terceros. Algunos creen que debería haber un límite a la recopilación y el uso de los datos personales del consumidor en línea. Actualmente, los sitios no están obligados por ninguna ley de los Estados Unidos a cumplir con las políticas de privacidad que publican, por lo que P3P genera cierta controversia entre los consumidores que están preocupados por la divulgación de su información personal y solo pueden confiar en el protocolo de P3P para proteger su privacidad.

Según se informa, Michael Kaply de IBM dijo lo siguiente cuando la Fundación Mozilla estaba considerando la eliminación del soporte P3P de su línea de navegadores en 2004: ^{[ 17 ]}

Ah, los recuerdos.

Nosotros (IBM) desarrollamos la implementación original de P3P y luego Netscape desarrolló la suya. Así que ambas compañías perdimos muchísimo tiempo con una propuesta que, desde el principio, todos consideraron pésima.

Quítalo.

Live Leer, gerente de relaciones públicas de Opera Software , explicó en 2001 la deliberada falta de soporte P3P en su navegador: ^{[ 18 ]}

Por el momento, no estamos seguros de si P3P es la mejor solución. P3P es una de las especificaciones que estamos considerando para su futura implementación. Han surgido algunos problemas con respecto a la protección de la privacidad que ofrece P3P, por lo que hemos decidido esperar a que se resuelvan.

Los agentes de usuario P3P no son la única opción disponible para los usuarios de Internet que desean garantizar su privacidad . Algunas de las principales alternativas a P3P incluyen el uso del modo privado de los navegadores web , los servicios de correo electrónico anónimo y los servidores proxy anónimos .

La principal alternativa a P3P podría no ser estas tecnologías, sino leyes más estrictas que regulen qué tipo de información de los usuarios de Internet pueden recopilar y conservar los sitios web. Por ejemplo, en Europa, el Reglamento General de Protección de Datos ( RGPD) establece una serie de principios sobre cómo se recopila la información personal y los derechos de las personas a proteger sus datos personales. ^{[ 19 ]} Esta ley permite a las personas controlar el tipo de información que se recopila sobre ellas. Incluye varios principios, como el derecho de las personas a recuperar los datos recopilados sobre ellas en cualquier momento, bajo ciertas condiciones. Además, la información personal no puede conservarse más tiempo del necesario ni utilizarse para fines distintos de los acordados inicialmente.

Actualmente, Estados Unidos no cuenta con una ley federal que proteja la privacidad de la información personal compartida en línea. Sin embargo, existen algunas leyes sectoriales a nivel federal y estatal que ofrecen cierta protección para determinados tipos de información recopilada sobre las personas. ^{[ 20 ]} Por ejemplo, la Ley de Informes de Crédito Justos (FCRA, por sus siglas en inglés) de 1970 permite a las agencias de informes de crédito divulgar información personal únicamente en tres circunstancias específicas: evaluación de crédito, empleo o seguros; concesión o licencia gubernamental; o una “necesidad comercial legítima” que involucre al consumidor. Puede consultarse una lista de otras leyes sectoriales de privacidad en Estados Unidos en el sitio web de la Guía de Privacidad del Consumidor. ^{[ 20 ]}

• Privacidad en Internet
• Gestión de identidades
• Política de privacidad
• No rastrear , un encabezado HTTP anteriormente oficial que permitía a los usuarios optar por no ser rastreados.
• Control de privacidad global

• Sitio P3P del W3C
  • Especificación W3C P3P 1.0 , publicada como recomendación en 2002.
  • Especificación W3C P3P 1.1 , publicada como nota en 2006.
• P3P en Internet Explorer 6 ( Versión archivada de marzo de 2014 )
• Centro para la Democracia y la Tecnología: Privacidad P3P
• Declaración de Facebook sobre P3P archivada el 8 de junio de 2022 en Wayback Machine.
• Declaración de Google sobre P3P