La Agencia Española de Protección de Datos (AEPD) presenta una guía actualizada sobre el uso de las cookies en Internet teniendo en cuenta la nueva normativa europea, en colaboración con la autoridad de protección de datos y los representantes de la industria.
Esta guía recoge las orientaciones, garantías y obligaciones que la industria debe aplicar para utilizar tanto cookies como tecnologías similares, como fingerprinting, cumpliendo la ley. Las cookies tienen el objetivo de prestar numerosos servicios en internet y, a su vez, las implicaciones que tienen en la privacidad de los usuarios han determinado la necesidad de implantar un sistema en el que el usuario sea consciente de quién, cómo y para qué utilizan sus datos.
El documento analiza la necesidad de obtener el consentimiento informado del usuario antes de instalar las cookies, recogiendo tanto la obligación de transparencia en la información como el consentimiento en sí mismo, teniendo en cuenta que la nueva normativa de protección de datos establece unos requisitos más estrictos. Además, la Guía se complementa con ejemplos prácticos de fórmulas válidas para recabar el consentimiento de los usuarios.
En cuanto a la transparencia a la hora de ofrecer información, la Guía determina que la información debe ser concisa, transparente e inteligible, utilizando un lenguaje claro y sencillo. Por tanto, debe evitarse el uso de frases confusas como «usamos cookies para personalizar su contenido y crear una mejor experiencia para usted» o frases como «podemos utilizar sus datos personales para ofrecer servicios personalizados» para referirse a cookies publicitarias que almacenan información sobre el comportamiento de los usuarios.
En el caso de que un usuario preste su consentimiento para el uso de cookies, la información debe seguir siendo fácilmente accesible, promoviendo la información por capas. La Guía clarifica también que esta información se debe facilitar antes del uso o instalación de las cookies mediante un formato visible.
Modalidades de consentimiento
Como ejemplo de modalidad válida para recabar el consentimiento, la Guía incluye las opciones de aceptar, rechazar o configurar las cookies. Se admite la opción de «seguir navegando» como fórmula válida para obtener el consentimiento tras haber informado de ello, reforzando las garantías para que pueda ser considerada como una clara acción afirmativa e incorporando procedimientos para que denegar el consentimiento pueda ser tan sencillo como prestarlo.
El enlace o botón para administrar las preferencias debe llevar al usuario directamente al panel de configuración y podrá integrarse en la segunda capa informativa. La Guía recoge que en el panel podrán implementarse dos botones: uno para aceptar todas las cookies y otro para rechazarlas todas. Estas posibilidades se admiten con el fin de facilitar la navegación del usuario evitando que tenga que ir marcando una por una las cookies que acepta o rechaza.
En la segunda capa, se añade la obligación de facilitar información sobre las transferencias de datos a terceros países realizadas por el editor; sobre la elaboración de perfiles, cuando implique la toma de decisiones automatizadas con efectos jurídicos para el usuario o que le afecten significativamente; y sobre el periodo de conservación de los datos, para que de este modo la información que se suministra contenga los extremos del artículo 13 del Reglamento General de Protección de Datos.
Por otro lado, la Guía también incluye un apartado sobre «actualización del consentimiento» en el que se destaca como buena práctica que la validez del mismo para el uso de una determinada cookies no tenga una duración superior a 24 meses y, que durante este tiempo, se conserve la selección realizada por el usuario sobre sus preferencias.
Normativa aplicable
Las soluciones propuestas en la presente guía pretenden ofrecer orientaciones sobre cómo cumplir las obligaciones previstas en el apartado segundo del artículo 22 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), en relación con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD).
Dadas las múltiples complejidades que plantea el uso de las cookies, estas orientaciones no pretenden ofrecer una solución general y uniforme para el cumplimiento de la ley, sino que deben servir de guía para que las entidades adopten decisiones sobre la solución más adecuada a sus intereses y modelo de negocio.
Por último, hay que recordar que existen una serie de cookies exentas (cookies técnicas), que quedan excluidas del ámbito de aplicación del artículo 22.2 de la LSSI y sobre las que, por lo tanto, no es necesario informar ni obtener el consentimiento sobre su uso. No obstante, por razones de transparencia, la Agencia recomienda informar de su utilización.
