Carlos B Fernández. La Agencia Española de Protección de Datos (AEPD), junto con las asociaciones ADIGITAL, Anunciantes, AUTOCONTROL e IAB Spain, han presentado la esperada versión de la Guía sobre el uso de las cookies, actualizada de acuerdo con el Reglamento General de Protección de Datos (LA LEY 6637/2016) (RGPD). Se trata de la primera guía en Europa sobre esta materia elaborada conjuntamente por la autoridad de protección de datos y los representantes de la industria.
Según han puesto de manifiesto sus autores, esta actualización era necesaria dado el papel esencial que juegan las cookies para la prestación de numerosos servicios en Internet y, a la vez, por las implicaciones que tienen en la privacidad de los usuarios.
Por ello, la Guía, cuya versión anterior acumula más de dos millones de descargas, recoge las orientaciones, garantías y obligaciones que la industria debe aplicar para utilizar tanto cookies como tecnologías similares (fingerprinting y otras), de acuerdo con la legislación vigente.
Estas orientaciones, subrayan sus autores, no pretenden ofrecer una solución general y uniforme para el cumplimiento de la ley, sino que deben servir de guía para que las entidades adopten decisiones sobre la solución más adecuada a sus intereses y modelo de negocio.
El problema de la normativa aplicable
Y es que, si bien, como explicó Mar España, directora de la AEPD en la presentación de la Guía, el RGPD no incorpora obligaciones adicionales a las establecidas por la Directiva 2000/31/CE (LA LEY 7081/2000), transpuesta a nuestro ordenamiento por la Ley 34/2002, de 11 de julio (LA LEY 1100/2002), de Servicios de la Sociedad de la Información (LSSI), sí aclara aspectos que habían quedado en zona dudosa.
En particular, pretende ofrecer orientaciones sobre cómo cumplir las obligaciones previstas en el apartado segundo del artículo 22 de la LSSI, en relación con el RGPD y la Ley Orgánica 3/2018 de Protección de Datos (LA LEY 19303/2018) y garantía de los derechos digitales (LOPDGDD (LA LEY 19303/2018)).
Y si bien hay que recordar que existen una serie de cookies exentas (cookies técnicas), que quedan excluidas del ámbito de aplicación del mencionado artículo 22.2 de la LSSI y sobre las que, por lo tanto, no es necesario informar ni obtener el consentimiento sobre su uso, por razones de transparencia, la Agencia recomienda informar de su utilización y recoge el siguiente ejemplo de cláusula informativa: “Este sitio web utiliza cookies que permiten el funcionamiento y la prestación de los servicios ofrecidos en el mismo”.
La importancia de la transparencia y el consentimiento informado
Según subrayó Mar España, la guía pone especial atención en dos aspectos: transparencia y consentimiento.
En cuanto a la transparencia a la hora de ofrecer información, la Guía, siguiendo las Directrices del Grupo de Trabajo del artículo 29 y del Comité Europeo de protección de datos, determina que la información debe ser concisa, transparente e inteligible, utilizando un lenguaje claro y sencillo.
En este sentido, explicó que debe evitarse el uso de frases confusas para referirse a cookies publicitarias que almacenan información sobre el comportamiento de los usuarios mediante el análisis de los hábitos de navegación, resaltando los siguientes ejemplos
| Expresiones que deben evitarse |
| “Usamos cookies para personalizar su contenido y crear una mejor experiencia para usted” |
| “Usamos cookies para mejorar su navegación”, |
| “Podemos utilizar sus datos personales para ofrecer servicios personalizados” |
En este sentido, la guía promueve un modelo de información por capas. Una primera que primero, por ejemplo, que contenga una explicación en términos comunes de lo que son las cookies y su contenido y significado básicos, que deberá mostrarse antes de instalar las cookies.
En la segunda capa, se añade la obligación de facilitar información sobre las transferencias de datos a terceros países realizadas por el editor; sobre la elaboración de perfiles, cuando implique la toma de decisiones automatizadas con efectos jurídicos para el usuario o que le afecten significativamente; y sobre el periodo de conservación de los datos, para que de este modo la información que se suministra contenga los extremos del artículo 13 del Reglamento General de Protección de Datos (LA LEY 6637/2016).
En el caso de que un usuario preste su consentimiento para el uso de cookies, la información debe seguir siendo fácilmente accesible, promoviendo la información por capas.
La Guía clarifica también que esta información se debe facilitar antes del uso o instalación de las cookies mediante un formato visible, y que deberá mantenerse hasta que el usuario realice la acción requerida para otorgar el consentimiento o rechazar la instalación.
Exigencia de una clara acción afirmativa para entender prestado el consentimiento
Como ejemplo de modalidad válida para recabar el consentimiento, la Guía incluye las opciones de aceptar, rechazar o configurar las cookies.
Se admite la opción de “seguir navegando” como fórmula válida para obtener el consentimiento tras haber informado de ello, reforzando las garantías para que pueda ser considerada como una clara acción afirmativa e incorporando procedimientos para que denegar el consentimiento pueda ser tan sencillo como prestarlo.
En este sentido, la Guía indica que será necesario que el usuario realice una acción que pueda calificarse como una clara acción afirmativa, y propone como ejemplos al respecto:
| ES una clara acción afirmativa | NO ES una clara acción afirmativa |
| Navegar a una sección distinta del sitio web (que no sea la segunda capa informativa sobre cookies ni la política de privacidad) | Permanecer visualizando la pantalla |
| Deslizar la barra de desplazamiento | Mover el ratón |
| Cerrar el aviso de la primera capa | Pulsar una tecla del teclado |
| Pulsar sobre algún contenido del servicio | |
El enlace o botón para administrar las preferencias debe llevar al usuario directamente al panel de configuración y podrá integrarse en la segunda capa informativa.
La Guía recoge que en el panel podrán implementarse dos botones: uno para aceptar todas las cookies y otro para rechazarlas todas. Estas posibilidades se admiten con el fin de facilitar la navegación del usuario evitando que tenga que ir marcando una por una las cookies que acepta o rechaza, partiendo de la premisa de que se le ha ofrecido una información granular que le permita tomar decisiones de forma selectiva.
Por otro lado, la Guía también incluye un apartado sobre “actualización del consentimiento” en el que se destaca como buena práctica que la validez del mismo para el uso de una determinada cookie no tenga una duración superior a 24 meses y, que durante este tiempo, se conserve la selección realizada por el usuario sobre sus preferencias, sin que se le solicite un nuevo consentimiento cada vez que visite la página en cuestión.
Una guía referente para la industria
Según manifestaron los representantes de las entidades que han colaborado con la Agencia en la elaboración de esta Guía, el director general de AUTOCONTROL, José Domingo Gómez Castallo, la directora general de IAB Spain, Reyes Justribó, el director general de ADIGITAL, José Luis Zimmermann, y la directora general de la Asociación Española de Anunciantes (AEA), Lidia Sanz, esta Guía va a convertirse en un estándar de enorme utilidad para ayudar a las empresas a que cumplan con la normativa y respeten los derechos de los usuarios, a la vez que les sea una herramienta útil para poder trabajar.
Y es, subrayaron, la publicidad digital es un sector en claro crecimiento, destinado a ser uno de los motores de la economía, pero que se desenvuelve en un entorno muy cambiante en el que no es fácil implementar la ley y cumplir con ella.
Los intervinientes destacaron igualmente la excelente colaboración que han mantenido y que les ha permitido elaborar un documento que incorpora las mejores prácticas del sector.
Responsabilidades
Finalmente Mar España subrayó que no se ha modificado el marco sancionador en esta materia. Por lo que las responsabilidades se van a determinar en función de la actividad que realice cada parte interviniente, de acuerdo con la ley, sin que queda desplazar esa responsabilidad por vía contractual.
En todo caso, subrayó, en caso de denuncia de un particular, el primer paso a adoptar por parte de la Agencia será enviar un requerimiento de mediación a la empresa afectada, especialmente por medio de su delegado de protección de datos.