Nueva normativa europea sobre el uso de las cookies

El pasado 28 de julio la Agencia Española de Protección de Datos (AEPD) publicó la nueva versión de la Guía sobre el uso de las cookies en páginas webs. Este documento, recoge una actualización de tal guía para adaptarla a las Directrices sobre consentimiento modificadas en mayo de 2020 por el Comité Europeo de Protección de Datos (CEPD).

Siguiendo directrices europeas en la materia, la AEPD establece nuevas exigencias sobre las cookies, especialmente sobre el consentimiento de las mismas; por parte del usuario. Asimismo, en dicho documento se contempla que las organizaciones deberán implantar las modificaciones estipuladas para cumplir con la nueva normativa con un plazo máximo hasta el próximo 31 de octubre.

Antes de ver en detalle qué nuevos cambios son necesarios, queremos recordarte qué son las cookies. Se trata de fragmentos de datos que se incluyen en un fichero web y que tienen como finalidad el almacenamiento y recuperación de información enviada por el terminal o dispositivo del usuario. Esa información es muy variada y depende de la finalidad con la que queramos recopilar dicha información.

Debemos recordar que las medidas establecidas en esta nueva modificación presentada por la AEPD son de obligado cumplimiento y, además, otorgan al usuario mayor poder de decisión en cuanto a la aceptación de cookies en sus dispositivos.

Aceptación de las cookies

Todas las organizaciones emisoras (en este caso, nos estamos refiriendo a la empresa o entidad propietaria de la web) tienen la obligación de informar al usuario sobre el uso de las cookies y pedir y recibir su consentimiento, para su incorporación y navegación web. Es muy importante que el usuario facilite dicho consentimiento, de lo contrario, no se podrán instalar las cookies en su dispositivo y se estaría incumpliendo la normativa.

Sin embargo, hay una excepción. Existe un grupo de cookies que no necesitan el consentimiento del usuario. Desde este punto de vista y según lo establecido por la AEPD, existen dos tipos de cookies:

1. Cookies necesarias. Son aquellas que se necesitan obligatoriamente para el funcionamiento de la web en el dispositivo del usuario. Aquí encontramos cookies que permiten la comunicación del usuario con internet: de entrada, de sesión y de seguridad. Pero también cookies necesarias para prestar el servicio solicitado, como cookies de sesión de reproductor multimedia, de sesión para equilibrar la carga, de personalización de interfaz y cookies de complementos.

Todas ellas, no necesitan el consentimiento expreso del usuario, ya que son necesarias para navegar por la web. Aun así, la normativa recomienda informar al usuario sobre el uso de dicha tipología de cookies, en nuestra famosa “Política de Cookies”.

2. Cookies no necesarias. Estas no son estrictamente necesarias para que el usuario navegue por el sitio web. Por tanto, sí necesitan el consentimiento de la persona obligatoriamente. En este caso, hablamos de algunas como cookies sobre preferencias, para estadísticas, destinadas al marketing, etc.

El Comité Europeo de Protección de Datos (CEPD) revisaba el pasado  en mayo de 2020 las Directrices 05/2020 sobre consentimiento con el fin de aclarar su posición en relación con dos cuestiones: la validez de la opción “seguir navegando” como forma de prestar el consentimiento por parte de los usuarios y la posibilidad de utilizar los conocidos como “muros de cookies”, es decir, de limitar el acceso a determinados servicios o contenidos sólo a los usuarios que acepten el uso de cookies.

Puesto que la modificación de la ley se centra en el consentimiento mucho más expreso del usuario, nos vamos a centrar en el segundo tipo de cookies existentes ya que, como hemos comentado, son aquellas que van a requerir de esa aceptación intencionada por parte del usuario.

Hasta ahora, si el usuario pulsaba la opción de “Seguir navegando” o cerraba el mensaje sobre las cookies, se consideraba que daba su consentimiento para la instalación de este tipo de cookies. Sin embargo, a partir del 31 de octubre este funcionamiento ya no será válido. El usuario debe dar su consentimiento de manera activa, es decir, siendo consciente de ello.

En el mensaje que ven los usuarios sobre las cookies, generalmente en un banner al entrar en una web, debe aparecer con una opción clara de consentimiento. Por ejemplo, “Aceptar” o “Estoy de acuerdo”. Con la nueva normativa, queda prohibido considerar la opción de “Seguir navegando” como consentimiento del usuario, algo que se venía haciendo hasta el momento.

Otra práctica muy común has sido no facilitar la posibilidad de navegar al usuario si no acepta las cookies, lo que se conoce como el muro de cookies. En muchas ocasiones, si el usuario rechaza las cookies no puede acceder al sitio web. Esta acción ya no se contempla como posibilidad según las indicaciones señaladas por la AEPD. De esta forma, se debe ofrecer la navegación por la web, aunque el usuario no haya aceptado este segundo tipo de cookies.

¿Cómo debe ser el banner sobre el uso de las cookies?

El mensaje para obtener el consentimiento del usuario aparece generalmente, al visitar un sitio web por primera vez y lo hace en un banner o barra informativa en la zona inferior de la misma.

Con el nuevo protocolo a implementar, se establece que ese banner debe tener necesariamente la siguiente información:

• Responsable del sitio web.
• Finalidad de esas cookies.
• Si son cookies propias o son de terceros.
• La información genérica sobre los datos que se recogerán del usuario.
• El método de aceptación, configuración y rechazo.
• Un enlace hacia la Política de cookies de la web.

Una de las acciones que se deben llevar a cabo es la de describir en el banner todos los tipos de cookies que utiliza la página web y se detalle según su finalidad incluido las necesarias, aunque éstas estén marcadas como aceptadas y no necesiten consentimiento. De esta forma, el usuario puede ver las cookies utilizadas en esa página y aceptar las que considere oportuno.

En lo referido a menores de 14 años, es obligatorio el consentimiento de los padres o tutores legales. Para ello, se debe contar con un sistema de verificación implementado que ayude a saber si efectivamente, fue el adulto el que dio su consentimiento para la navegación web.

El sistema de verificación será más complejo cuantos más datos del usuario se busque recabar. Por ejemplo, si se trata de cookies de fines analíticos, se pedirá al menor que avise a su padre, madre o tutor legal para que acepte las cookies. Si, por el contrario, la información que se pretende obtener del usuario es más detallada, es necesario asegurar que el consentimiento ha sido dado por los padres o tutores, mediante alguna confirmación de otra índole ofreciendo seguridad a la hora de comprobar que el acceso a la web es autorizado por un adulto.

Recuerda que además de implantar los cambios necesarios para cumplir con la normativa, debes recoger toda la información relacionada en la “Política de Cookies” de tu sitio web.

Ahora cuéntanos, ¿cumple tu web con todo lo establecido en materia de política de cookies? Recuerda que, para cualquier duda, puedes contactar con nosotros y nuestros especialistas en Derecho Digital, podrán ayudar a que tu web se adapte a estos nuevos requisitos establecidos por la AEPD y que muy pronto, deberán encontrarse aplicados en todas las webs.