Carlos B Fernández. El consentimiento que el usuario de un sitio de Internet debe dar para la colocación de cookies en su equipo terminal y para permitir su consulta, debe ser específico, en el sentido de que debe tener concretamente por objeto el tratamiento de datos de que se trate, sin que pueda deducirse de una manifestación de voluntad que tenga un objeto distinto.
Por lo tanto, no se presta de manera válida ese consentimiento mediante una casilla marcada por defecto de la que el usuario debe retirar la marca si no desea dar su consentimiento, ni por el hecho de que ese usuario active el botón de participación en el juego organizado con fines promocionales.
Con esta finalidad, el proveedor de servicios debe facilitar al usuario una información clara y completa que le permita determinar fácilmente las consecuencias del consentimiento que preste, lo cual incluye informarle del tiempo durante el cual las cookies estarán activas y la posibilidad de que terceros tengan acceso a ellas.
Y a estos efectos resulta irrelevante que la información almacenada o consultada en el equipo del usuario esté o no constituida por datos personales, pues el Derecho de la Unión persigue proteger al usuario de toda injerencia en su esfera privada, en particular, contra el riesgo de que identificadores ocultos u otros dispositivos similares puedan introducirse en su equipo sin su conocimiento.
Así lo ha declarado el Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia de 1 de octubre de 2019 (asunto C-673/17, Planet49), en la que resuelve las cuestiones prejudiciales planteadas tanto sobre la base de la Directiva 95/46 (LA LEY 5793/1995) como del RGPD.
Recordemos que las cookies son ficheros que el proveedor de un sitio de Internet coloca en el ordenador de los usuarios de dicho sitio y a los que puede acceder nuevamente, cuando estos vuelven a visitar el sitio, con el fin de facilitar la navegación en Internet o las transacciones o de obtener información sobre el comportamiento de dichos usuarios.
El litigio principal
La decisión prejudicial que resuelve esta sentencia tiene su origen en un litigio entre la Federación de Organizaciones y Asociaciones de Consumidores de Alemania y una sociedad (Planet49), que ofrece juegos en línea.
Planet49 organizó un juego con fines promocionales en un sitio de Internet. Los internautas que deseaban participar en el juego debían introducir su código postal, tras lo cual accedían a una página web en la que debían introducir su nombre y dirección. Debajo de los campos reservados para facilitar la dirección figuraban dos menciones acompañadas de casillas. La primera casilla no estaba marcada por defecto y servía para que los usuarios prestasen su consentimiento “para que determinados patrocinadores y empresas colaboradoras puedan informarme por correo, teléfono, correo electrónico o SMS sobre ofertas de su respectivo ámbito de actividad”.
El enlace electrónico que figuraba en la mención que acompañaba a esta primera casilla, vinculado a las palabras “patrocinadores y empresas colaboradoras”, conducía a una lista en la que constaban 57 empresas, sus direcciones, el sector de actividad publicitado y el medio de comunicación utilizado para la publicidad (correo electrónico, correo ordinario o teléfono). A continuación del nombre de cada empresa figuraba la expresión “dar de baja”.
La segunda casilla estaba marcada por defecto y mediante la misma el usuario presta su consentimiento para que el organizador del juego instalara cookies en el equipo del usuario para observar su comportamiento de navegación y el uso de páginas web de socios publicitarios, así como para el envío de publicidad específica conforme a sus intereses.
La participación en el juego solo era posible si se marcaba, al menos, la primera casilla.
El Tribunal Supremo alemán que conoció finalmente del caso, consideró que la solución del litigio depende de la interpretación de las disposiciones de los artículos 5, apartado 3, y 2, letra f), de la Directiva 2002/58 (LA LEY 9590/2002), del artículo 2, letra h), de la Directiva 95/46 (LA LEY 5793/1995), y del artículo 6, apartado 1, letra a), del Reglamento 2016/679 (LA LEY 6637/2016), por lo que decidió suspender el procedimiento y plantear al Tribunal de Justicia dos cuestiones prejudiciales relativas al alcance de la exigencia del consentimiento del usuario para la instalación de cookies en su equipo y sobre la información que se le debe facilitar a estos efectos.
Interpretación del caso a la luz del RGPD
El TJUE responde a estas cuestiones tanto sobre la base de la Directiva 95/46 (LA LEY 5793/1995) como del RGPD, pues “no puede excluirse que, en la medida en que el procedimiento iniciado por la Federación persigue el cese del comportamiento de Planet49 para el futuro, el Reglamento 2016/679 (LA LEY 6637/2016) resulte aplicable ratione temporis en el marco del litigio principal”, habida cuenta de que, “en virtud del artículo 94, apartado 2, del RGPD, las referencias contenidas en la Directiva 2002/58 (LA LEY 9590/2002) a la Directiva 95/46 (LA LEY 5793/1995) han de entenderse realizadas a dicho Reglamento”, por lo que “no cabe excluir, en el presente asunto, que la Directiva 2002/58 (LA LEY 9590/2002) se aplique conjuntamente con las disposiciones o bien de la Directiva 95/46 (LA LEY 5793/1995) o bien del Reglamento 2016/679 (LA LEY 6637/2016) en función de la naturaleza de las pretensiones de la Federación y del período de que se trate”.
Necesidad de un consentimiento específico para un tratamiento concreto
Según el número 1 del fallo:
“El consentimiento al que se hace referencia en los artículos 2, letra f), y 5, apartado 3, de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002 (LA LEY 9590/2002), no se presta de manera válida cuando el almacenamiento de información o el acceso a la información ya almacenada en el equipo terminal del usuario de un sitio de Internet a través de cookies se autoriza mediante una casilla marcada por defecto de la que el usuario debe retirar la marca en caso de que no desee prestar su consentimiento”.
Según explica el Tribunal en el apartado 52 de la sentencia, acogiendo la opinión del Abogado General en sus conclusiones, “la exigencia de una «manifestación» de voluntad del interesado sugiere claramente un comportamiento activo y no pasivo” y en este sentido, “el consentimiento dado mediante una casilla marcada por defecto no implica un comportamiento activo por parte del usuario de un sitio de Internet”, ya que “parece prácticamente imposible determinar de manera objetiva si el usuario de un sitio de Internet ha dado efectivamente su consentimiento para el tratamiento de sus datos personales al no quitar la marca de una casilla marcada por defecto y si dicho consentimiento ha sido dado, en todo caso, de manera informada”, pues “no puede descartarse que dicho usuario no haya leído la información que acompaña a la casilla marcada por defecto, o que ni tan siquiera la haya visto, antes de proseguir con su actividad en el sitio de Internet que visita” (apartado 55).
Por todo ello, “la manifestación de voluntad a que se hace referencia en el artículo 2, letra h), de la Directiva 95/46 (LA LEY 5793/1995) debe ser, en particular, «específica», en el sentido de que debe tener concretamente por objeto el tratamiento de datos de que se trate y no puede deducirse de una manifestación de voluntad que tenga un objeto distinto” (apartado 58).
La anterior interpretación se impone, con mayor motivo, a la luz del Reglamento 2016/679 (LA LEY 6637/2016), cuyo artículo 4, punto 11, “es todavía más estricto que el del artículo 2, letra h), de la Directiva 95/46 (LA LEY 5793/1995), puesto que requiere una manifestación de voluntad «libre, específica, informada e inequívoca» del interesado, que ha de adoptar la forma de una declaración o de una «clara acción afirmativa» que marque su aceptación del tratamiento de datos personales que le conciernen”.
De ello se sigue que el consentimiento al que se hace referencia en los artículos 2, letra f), y 5, apartado 3, de la Directiva 2002/58 (LA LEY 9590/2002), en relación con los artículos 4, punto 11, y 6, apartado 1, letra a), del RGPD, no se presta de manera válida cuando el almacenamiento de información o el acceso a la información ya almacenada en el equipo terminal del usuario de un sitio de Internet se autoriza mediante una casilla marcada por defecto de la que el usuario debe retirar la marca en caso de que no desee prestar su consentimiento.
Independencia de que se traten o no datos personales
En segundo lugar, añade el Tribunal en el número 2 del fallo, a estos efectos “resulta indiferente que la información almacenada o consultada en el equipo terminal del usuario de un sitio de Internet sean o no datos personales en el sentido de la Directiva 95/46 (LA LEY 5793/1995) y del Reglamento 2016/679 (LA LEY 6637/2016)”.
Y es que si bien “la colocación de cookies controvertida en el litigio principal constituye un tratamiento de datos personales”, “el artículo 5, apartado 3, de la Directiva 2002/58 (LA LEY 9590/2002) hace referencia al «almacenamiento de información» y a la «obtención de acceso a la información ya almacenada», sin calificar dicha información ni precisar si esta ha de consistir en datos personales” (apartados 67 y 68).
Información que se debe facilitar al usuario
Finalmente, respondiendo a la segunda cuestión prejudicial planteada, relativa a la información que según el artículo 5, apartado 3, de la Directiva 2002/58 (LA LEY 9590/2002), el proveedor de servicios debe facilitar al usuario de un sitio de Internet, el Tribunal declara en el número 3 de su fallo, que esta “incluye el tiempo durante el cual las cookies estarán activas y la posibilidad de que terceros tengan acceso a ellas”.
Y ello porque, según se desprende del apartado 46 de esta sentencia, “el artículo 5, apartado 3, de la Directiva 2002/58 (LA LEY 9590/2002) requiere que el usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, «con arreglo a lo dispuesto en la Directiva [95/46 (LA LEY 5793/1995)]»” y esta información clara y completa “debe permitir al usuario determinar fácilmente las consecuencias de cualquier consentimiento que pueda dar y garantizar que dicho consentimiento se otorgue con pleno conocimiento de causa. Debe ser claramente comprensible y suficientemente detallada para que el usuario pueda comprender el funcionamiento de las cookies empleadas”, lo cual, en casos como el de autos, incluye “la información acerca del tiempo durante el cual las cookies estarán activas y la posibilidad de que terceros tengan acceso a ellas” (apartados 73, 74 y 75).
En particular, la información relativa al tiempo durante el cual las cookies estarán activas “responde a la exigencia [establecida en el artículo 10 de la Directiva], de que el tratamiento de los datos sea leal, puesto que, en una situación como la controvertida en el litigio principal, un período de tiempo largo, o incluso ilimitado, implica la recogida de numerosos datos sobre los hábitos de navegación y la frecuencia de las eventuales visitas del usuario a los sitios de los socios publicitarios del organizador del juego con fines promocionales”. Interpretación que “queda corroborada” por el artículo 13, apartado 2, letra a), del RGPD, que prevé que, para garantizar un tratamiento de datos leal y transparente, el responsable del tratamiento debe facilitar al interesado información, entre otras cosas, sobre el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, sobre los criterios utilizados para determinar este plazo” (apartados 78 y 79).