La nueva “Guía sobre el uso de las cookies”, actualizada conforme al Reglamento 2016/679, ha sido elaborada por la Agencia Española de Protección de Datos (AEPD) en colaboración con Adigital, Autocontrol, IAB Spain y la Asociación Española de Anunciantes. Esta guía incluye una serie de ejemplos prácticos de avisos legales sobre cookies redactados para dar cumplimiento a la normativa de cookies y al Reglamento de Protección de Datos. Unos ejemplos que, como agencia de publicidad, debemos tomar buena nota de ellos.
Las soluciones propuestas en la presente guía pretenden ofrecer orientaciones sobre cómo cumplir las obligaciones previstas en el apartado segundo del artículo 22 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSI), en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos (en adelante, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales (en adelante, LOPDGDD).
Dadas las múltiples complejidades que plantea el uso de las cookies, las orientaciones aquí recogidas no pretenden ofrecer una solución general y uniforme para el cumplimiento de la ley, sino que deben servir de guía para que las entidades afectadas reflexionen y adopten decisiones sobre la solución más adecuada a sus intereses y modelo de negocio.
Alcance de las normas
El apartado segundo del artículo 22 de la LSSI establece:
“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”
Las siguientes cookies quedan excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso.
- Cookies de “entrada del usuario”.
- Cookies de autenticación o identificación de usuario (únicamente de sesión).
- Cookies de seguridad del usuario.
- Cookies de sesión de reproductor multimedia.
- Cookies de sesión para equilibrar la carga.
- Cookies de personalización de la interfaz de usuario.
- Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales.
Tipos de cookies
Según la entidad que las gestione
- a) Cookies propias: son aquellas que se envían al equipo terminal del usuario desde un equipo o dominio gestionado por el propio editor y desde el que se presta el servicio solicitado por el usuario.
- b) Cookies de tercero: son aquellas que se envían al equipo terminal del usuario desde un equipo o dominio que no es gestionado por el editor, sino por otra entidad que trata los datos obtenidos través de las cookies.
Según su finalidad
- a) Cookies técnicas: son aquellas que permiten al usuario la navegación a través de una página web, plataforma o aplicación y la utilización de las diferentes opciones o servicios que en ella existan.
- b) Cookies de preferencias o personalización: son aquellas que permiten recordar información para que el usuario acceda al servicio con determinadas características que pueden diferenciar su experiencia de la de otros usuarios.
- c) Cookies de análisis o medición: son aquellas que permiten al responsable de las mismas el seguimiento y análisis del comportamiento de los usuarios de los sitios web a los que están vinculadas.
- d) Cookies de publicidad comportamental: son aquellas que almacenan información del comportamiento de los usuarios obtenida a través de la observación continuada de sus hábitos de navegación.
Según el plazo de tiempo que permanecen activadas
- a) Cookies de sesión: son aquellas diseñadas para recabar y almacenar datos mientras el usuario accede a una página web.
- b) Cookies persistentes: son aquellas en las que los datos siguen almacenados en el terminal y pueden ser accedidos y tratados durante un periodo definido por el responsable de la cookie, y que puede ir de unos minutos a varios años.
A este respecto debe valorarse específicamente si es necesaria la utilización de cookies persistentes, puesto que los riesgos para la privacidad podrían reducirse mediante la utilización de cookies de sesión.
Obligaciones
Las obligaciones legales impuestas por la normativa son dos, a saber: la obligación de transparencia y la obligación de obtención del consentimiento.
Transparencia
La información sobre las cookies facilitada en el momento de solicitar el consentimiento debe ser suficientemente completa para permitir a los usuarios entender sus finalidades y el uso que se les dará.
En la política de cookies deberá incluirse la siguiente información:
- Definición y función genérica de las cookies.
- Información sobre el tipo de cookies que se utilizan y su finalidad.
- Identificación de quién utiliza las cookies
- Información sobre la forma de aceptar, denegar, revocar el consentimiento o eliminar las cookies
- En su caso, información sobre las transferencias de datos a terceros países realizadas por el editor
- Cuando la elaboración de perfiles
Consentimiento
Para la utilización de las cookies no exceptuadas será necesario en todo caso obtener el consentimiento del usuario. Este consentimiento podrá obtenerse mediante fórmulas expresas, como haciendo clic en un apartado que indique “consiento”, “acepto”, u otros términos similares.
Para que dicho consentimiento sea válido será necesario que el consentimiento haya sido otorgado de forma libre e informada. Por tanto, es necesario tener en cuenta:
- Que las modalidades de prestación del consentimiento pueden ser variadas.
- Que el usuario deberá haber realizado algún tipo de acción.
- Que el usuario tendrá que haber sido informado previamente y con claridad con qué concreta acción suya acepta la utilización de las cookies.
- Que el usuario, en todo caso, podrá negarse a aceptar las cookies.
- Que la información que se otorgue al usuario para que pueda consentir la utilización de las cookies se encuentre separada de la información que se le ofrezca sobre otros asuntos.
- Que la aceptación de los términos o condiciones de uso de la página web o servicio se separe de la aceptación de la política de privacidad o cookies.
- Que, aunque las cookies no suelen utilizarse en escenarios en los que el RGPD exige el consentimiento explícito de los interesados, cuando este consentimiento explícito sea necesario.
Responsabilidad de las partes en la utilización de las cookies
La LSSI no define quién es el responsable de cumplir con la obligación de facilitar información sobre las cookies y obtener el consentimiento para su uso.
Se hace necesario que los sujetos que participan en la utilización de las cookies colaboren para asegurar el cumplimiento de las exigencias legales establecidas.
Existen dos situaciones para la que se tratan los datos que se obtienen a través de la utilización de las cookies en función de su finalidad:
- El editor o los terceros utilizan las cookies para finalidades exceptuadas de las obligaciones de informar y de obtener el consentimiento.
- El editor o los terceros utilizan las cookies para finalidades no exceptuadas de las obligaciones de informar y obtener el consentimiento.
Existen múltiples casos en los que puedes verte en una situación la cual te requiera el conocimiento de estas normas. En la guía aparecen explicados detalladamente todos estos puntos anteriores con ejemplos reales.
Puedes consultar toda esta información en la “Guía sobre el uso de las cookies”, elaborada por la Agencia Española de Protección de Datos (AEPD) en colaboración con Adigital, Autocontrol, IAB Spain y la Asociación Española de Anunciantes.
Arturo, departamento digital
