Art. 4 Directiva 2019/790: qué ocurre cuando el opt-out no está bien gestionado

El Art. 4 de la Directiva (UE) 2019/790 reconoce el derecho de cualquier persona física o jurídica a realizar Text and Data Mining sobre fuentes de acceso legal. Es una excepción amplia: no requiere acuerdo previo con el titular del contenido, no exige propósito científico, no distingue entre entidades con o sin ánimo de lucro. Basta con que el acceso a la fuente sea legítimo.

Pero el artículo incluye una cláusula que muchas organizaciones infravaloran: el mecanismo de opt-out. Los titulares de derechos pueden reservarse expresamente la posibilidad de excluir sus contenidos del TDM. Cuando ese opt-out existe y está correctamente expresado, cambia la ecuación legal de forma inmediata. Ignorarlo no es un error técnico: es un riesgo jurídico real.

El problema no es que las organizaciones desconozcan la existencia del opt-out. El problema es que no han construido procesos para detectarlo de forma sistemática, validarlo y documentar qué decisiones se tomaron y cuándo.

Qué dice exactamente el opt-out y qué no dice

El Art. 4.3 de la Directiva establece que los titulares de derechos pueden reservarse el uso de sus contenidos para TDM "de manera apropiada, como el uso de medios legibles por máquina en el caso de contenidos puestos a disposición en línea". La transposición española en el Art. 67 bis LPI recoge el mismo principio.

La clave está en la expresión "de manera apropiada". El estándar emergente en entornos web es la directiva robots.txt combinada con metatags específicos o cabeceras HTTP. Pero la norma no cierra la lista. Un opt-out comunicado de forma suficientemente clara en los términos de uso puede ser válido, aunque no sea legible por máquina.

Esto crea un escenario asimétrico: la organización que hace TDM tiene la carga de verificar si el opt-out existe, mientras que el titular puede expresarlo de múltiples formas. No hay un registro centralizado de opt-outs. No hay un formato único obligatorio. La diligencia debida recae sobre quien procesa.

Por qué los flujos automáticos crean puntos ciegos

Una organización que procesa miles de fuentes simultáneamente no puede revisar manualmente cada una. Los flujos automáticos son necesarios. Pero si esos flujos no incorporan lógica de verificación de restricciones, la escala se convierte en un amplificador de riesgo.

Los puntos ciegos más habituales son tres:

Primero, la ausencia de revisión periódica. Una fuente que hoy no tiene opt-out puede incorporarlo mañana. Si el sistema no vuelve a verificar esa condición con una cadencia razonable, puede estar procesando contenidos excluidos durante semanas o meses sin saberlo.

Segundo, la fragmentación entre equipos. El equipo técnico configura los conectores y las rutas de procesamiento. El equipo legal o de cumplimiento rara vez tiene visibilidad en tiempo real sobre qué fuentes están activas. Cuando surgen cambios en las condiciones de uso de una fuente, la información no siempre llega al lugar correcto antes de que el procesamiento continúe.

Tercero, la ambigüedad en los términos de uso. Algunas fuentes no usan mecanismos legibles por máquina, pero incluyen cláusulas en sus condiciones de servicio que restringen el uso automatizado de sus contenidos. Interpretar si esa cláusula constituye un opt-out válido bajo el Art. 4.3 requiere criterio jurídico, no solo técnico.

Documentación: el elemento que más se descuida

Demostrar que se actúa dentro del marco del Art. 4 no es solo una cuestión de no infringir: es también una cuestión de poder acreditarlo. Si un titular de derechos reclamara, la organización necesita demostrar que verificó la ausencia de opt-out en el momento en que comenzó el procesamiento, y que tiene un proceso razonable para mantener esa verificación actualizada.

La documentación mínima que debería existir incluye: un registro de las fuentes activas con la fecha de última verificación de condiciones, el criterio aplicado para determinar si hay o no opt-out, y el responsable interno de esa decisión. No es burocracia: es la diferencia entre una posición defensible y una exposición innecesaria.

En la práctica, pocas organizaciones mantienen ese registro de forma estructurada. Lo habitual es que las decisiones sobre fuentes se tomen de forma informal, sin trazabilidad. Cuando llega una reclamación, reconstruir el proceso resulta costoso o directamente imposible.

El opt-out como señal operativa, no solo legal

Hay una lectura menos obvia del opt-out que vale la pena considerar: cuando un titular activa ese mecanismo, está enviando una señal sobre cómo valora sus contenidos y qué uso quiere controlar. Para una organización que hace TDM, esa señal tiene valor operativo más allá de la obligación de cumplimiento.

Fuentes que restringen activamente el TDM a menudo son fuentes con contenidos de alto valor percibido. Saber qué sectores o tipos de publicación están adoptando el opt-out de forma creciente permite anticipar dónde van a aparecer fricciones en el ecosistema de datos públicos en los próximos años.

Desde TrawlingWeb, el análisis del universo público de Internet incorpora esta dimensión: no solo qué fuentes están disponibles, sino bajo qué condiciones y con qué estabilidad a lo largo del tiempo.

Antes de escalar, revisar la base

Cuando una organización decide ampliar el alcance de su programa de TDM —más fuentes, más volumen, nuevas geografías— el impulso natural es optimizar la infraestructura técnica. Más capacidad de procesamiento, mejores pipelines, mayor velocidad de ingesta.

Ese esfuerzo tiene sentido. Pero si la base legal no escala en paralelo, el crecimiento acumula riesgo de forma silenciosa. Un opt-out ignorado en una fuente de bajo tráfico tiene consecuencias manejables. El mismo opt-out ignorado en una fuente de alto volumen, durante meses, es un problema de otra magnitud.

La pregunta que toda organización debería hacerse antes de escalar no es solo "¿tenemos capacidad técnica?". Es también: "¿nuestros procesos de verificación de condiciones escalan con la misma velocidad que nuestros pipelines de datos?"

Si la respuesta es no, el siguiente paso no es más infraestructura. Es revisar la base.