El pasado mes de noviembre, la AEPD publicaba por primera vez desde hacía varios años una nueva Guía de Cookies. Una de las grandes incógnitas que más quebraderos de cabeza había generado hasta entonces era si la AEPD aceptaría, bajo el RGPD, la opción de "seguir navegando" como vía para obtener el consentimiento.
Por aquel entonces la AEPD confirmaba la validez de dicha fórmula. Sin embargo, esta ilusión no ha durado mucho "tras las aclaraciones realizadas por el CEPD, sobre la condicionalidad del consentimiento y el consentimiento inequívoco, en sus Directrices 05/2020". En consecuencia, la AEPD ha revisado y actualizado hace unos días la Guía de Cookies (la "Guía"), quedando dicha fórmula invalidada.
Aprovechando el cambio de criterio, destacamos a continuación los aspectos más interesantes de la Guía y de la situación actual de las cookies en España:
Consentimiento
Se invalida el "seguir navegando". La AEPD, tomando como referencia las mencionadas Directrices 05/2020 del CEPD (disponibles aquí, en inglés), reconoce que la opción de "seguir navegando" no puede considerarse como una clara acción afirmativa.
Por lo tanto, acciones como usar la barra de desplazamiento o navegar por el sitio web ya no pueden hacer las veces del consentimiento.
La AEPD aclara que:
- Los muros de cookies (cookie walls) no pueden utilizarse salvo que el editor ofrezca una alternativa al consentimiento; y
- Los accesos al sitio web pueden estar condicionados al consentimiento a las cookies siempre y cuando: (i) los usuarios sean informados y (ii) exista una alternativa a los servicios/sitio web para aquellos usuarios que no aceptan las cookies. Dicha alternativa debe ser "genuinamente equivalente, y además no será válido que el servicio equivalente lo ofrezca una entidad ajena al editor".
Deberes de información
La Guía identifica sobre qué se debe informar a los usuarios en relación con las cookies (con numerosos ejemplos al respecto):
|
Primera Capa
|
Segunda Capa / Política de Cookies
|
|
1. Identificación del editor responsable del sitio web [no siempre resulta necesario].
2. Finalidad de las cookies.
3. Si las cookies son propias o de terceros.
4. Información genérica sobre el tipo de datos que se recopilan y utilizan en caso de elaboración de perfiles.
5. Modo de aceptación, configuración y rechazo de cookies; con la advertencia, en su caso, de que si se realiza una determinada acción, se entenderá que el usuario acepta el uso de las cookies.
6. Enlace claramente visible a la segunda capa / panel de configuración de cookies.
|
1. Definición y función genérica de las cookies.
2. Información sobre el tipo de cookies que se utilizan y su finalidad.
3. Identificación de quién utiliza las cookies [propias / terceros —identificándolos—].
4. Información sobre la forma de aceptar, denegar o revocar el consentimiento.
5. Información sobre transferencias de datos a terceros países.
6. Información sobre la elaboración de perfiles que implique la toma de decisiones automatizadas con efectos jurídicos o afecten significativamente de modo similar (en los términos del art. 13.2(f) RGPD).
7. Periodo de conservación de los datos.
8. Resto de información de protección de datos [se puede hacer mediante referencia a la política de privacidad].
|
Transparencia
La Guía recalca la importancia de usar un lenguaje sencillo y rechaza el uso de frases que induzcan a error o sean ambiguas:
“No serían válidas, por ejemplo, frases como “usamos cookies para personalizar su contenido y crear una mejor experiencia para usted” o “para mejorar su navegación”, o frases como “podemos utilizar sus datos personales para ofrecer servicios personalizados” para referirse a cookies publicitarias comportamentales. También deben evitarse términos como “puede”, “podría”, “algún”, “a menudo”, y “posible””.
Además, la información debe ser de fácil y permanente acceso en caso de la segunda capa. La Guía también analiza otras formas de cumplir con este deber de información (e.g., informando al solicitar el alta en un servicio).
Tipos de cookies
- Cookies exceptuadas. La Guía se refiere a las cookies exceptuadas del ámbito de aplicación del 22.2 LSSI y sobre las que no es necesario informar ni obtener el consentimiento. Dicho esto, y por motivos de transparencia, la AEPD recomienda informar de su uso “al menos con carácter genérico”; y
- Tipología de cookies. Se definen las cookies y se diferencian según quién las gestione (propias / terceros); su finalidad (técnicas / preferencias o personalización / análisis o medición / publicidad comportamental); y el plazo de tiempo que permanecen activadas (de sesión / persistentes).
Responsabilidad de las partes involucradas en las cookies
Es interesante en este punto cómo la AEPD señala la figura no solo del encargado del tratamiento, sino del corresponsable.
Procesos de publicidad programática
Se incluye un interesante Anexo identificando a los principales intervinientes en estos procesos.
Finalmente, y dadas las implicaciones prácticas que los nuevos criterios de la Guía presenta para las empresas, la AEPD ha otorgado un periodo de "gracia" de tres meses (hasta el 31 de octubre) para que éstas adapten su página web, apps, etc., con respecto a los nuevos criterios relativos al consentimiento.
Escrito por Santiago de Ampuero y Víctor Mella
