Internet: Les cookies i la protecció de dades personals

En la era digital actual, las cookies (galletas) se han convertido en una herramienta fundamental para el funcionamiento de los sitios web. “Esta página web utiliza cookies” es el mensaje habitual que nos encontramos cuando navegamos por Internet y accedemos en alguna web.

Las cookies son pequeños ficheros que se almacenan en nuestro dispositivo cuando visitamos una página web, y que pueden ser necesarias para el correcto funcionamiento del lugar, pero no tenemos que olvidar que también se utilizan para recopilar información sobre la persona usuaria (qué páginas visita del web, preferencias de consumo, análisis de comportamientos, etc.) y, por lo tanto, afectan a la privacidad.

La entrada en vigor del Reglamento General de Protección de Datos (en adelante, RGPD), en 2018, introdujo novedades importantes relacionadas con el almacenamiento de datos sensibles, que obligan a los propietarios/administradores a adaptar sus sitios web a esta normativa para garantizar la privacidad y la protección de los datos de las personas usuarias. En concreto, el RGPD ha ampliado la protección regulada en la Directiva 2002/58/CE (más conocida como “Directiva ePrivacy”) y la Directiva 2009/136/CE (más conocida como “Ley de cookies”), estableciendo la obligación de informar debidamente el usuario sobre el uso de las cookies en su plataforma o sitio web, y de recabar su consentimiento expreso antes de instalarlas.

El octubre de 2019 lo TJUE (en el asunto C-673/17) se pronunció sobre el consentimiento de los usuarios en la instalación de cookies a sus equipos. El tribunal confirmó lo que determina el RGPD, remarcando en su sentencia que el consentimiento no puede ser “supuesto” (mediante una casilla marcada por defecto), sino que tiene que ser expreso y una vez el usuario/a ha sido informado/da sobre qué cookies se instalarán, con qué objetivo, los terceros que podrán acceder a estos ficheros, y durante cuánto de tiempos estarán activas en el equipo, para que, de acuerdo con esta información, decida de manera consciente, activa y explícita, consentir su instalación. De hecho, el TJUE no diferencia si estas cookies tienen acceso a datos personales o no, puesto que considera que todos los archivos contenidos en el equipo de un usuario pertenecen a su esfera privada y la normativa comunitaria los protege de cualquier injerencia en esta privacidad.

Por lo tanto, la resolución del TJUE determina que el consentimiento de la persona usuaria tiene que ser:

- Activo: tiene que marcar la casilla por sí misma.
- Voluntario: no se puede impedir la navegación si no se aprueba el uso de cookies.
- Basado en una información previa: el usuario/a tiene que saber qué está consintiendo, mediante una información con un lenguaje claro y que no genere confusiones.

Justo es decir que la Comisión Europea trabaja desde 2017 en un proyecto de Reglamento sobre Privacidad y Comunicaciones electrónicas (Reglamento ePrivacy), que pretende desarrollar y concretar mucho más la regulación del RGPD en cuanto al uso de las cookies (y que tiene que derogar la Directiva 2002/58/CE), si bien este texto todavía está pendiente de aprobación.

Últimas directrices europeas en el uso de las cookies y la Guía de la Agencia Española de Protección de Datos (AEPD).

La AEPD adaptó -en julio de 2023- su Guía sobre utilización de las cookies a las directrices 03/2022, sobre patrones engañosos en las redes sociales, del Comité Europeo de Protección de Datos (EDPB).

Con esta actualización de la guía de cookies una de las cuestiones más polémicas que quedó pendiente era la posibilidad de establecer mecanismos de pago por si el usuario no quería aceptar el uso de cookies. La Guía emitida por la AEPD el mayo de 2024 matiza esta cuestión de acuerdo con las directrices de la Comisión Europea de Protección de Datos. Para que el consentimiento se considere que se ha otorgado libremente, el acceso a los servicios y funcionalidades no puede depender de la aceptación por el usuario/a del uso de cookies, evitando así los denominados “muros de cookies”.

La implementación de estos nuevos criterios recogidos en la Guía de 2023 se tenía que efectuar antes del 11 de enero de 2024.

La AEPD incorpora en la nueva versión de la Guía el principal criterio del Comité Europeo, que determina que las acciones de aceptar o rechazar cookies se tienen que presentar en un lugar y formato destacados de la web, y que ambas acciones tienen que estar al mismo nivel, sin que sea más complicado rechazarlas que aceptarlas.

Las Directrices europeas también han obligado a otras modificaciones:

En el caso de las cookies de personalización, cuando es el propio usuario/a quien toma decisiones sobre ellas (por ejemplo, escoger el idioma de la web o la moneda en la cual desea realizar transacciones), se consideran cookies técnicas que no requieren de consentimiento, sin que puedan ser utilizadas para otras finalidades.

Cuando, en cambio, es el administrador de la web el que adopta decisiones sobre las cookies de personalización (basándose en la información que obtiene de la persona usuaria), tiene la obligación de informar sobre este extremo, ofreciendo de forma destacada la opción de aceptarlas o rechazarlas. En este caso, el propietario de la web tampoco puede utilizarlas para otras finalidades.

Finalmente, en cuanto a los muros de cookies -y como ya hemos apuntado- para que el consentimiento se considere otorgado libremente, el acceso al servicio y a sus funcionalidades no puede estar condicionado al hecho de que el usuario/a consienta el uso de las cookies. Por lo tanto, puede darse el caso que la no aceptación de la utilización de cookies impida el acceso al sitio web o bien la utilización total o parcial del servicio, siempre que se informe al usuario/a y que el editor ofrezca una alternativa de acceso sin necesidad de aceptar las cookies. La nueva versión de la Guía de la AEPD aclara que esta alternativa no tiene por qué ser necesariamente gratuita, es decir, si el usuario/a no acepta las cookies, el propietario tendrá derecho a exigirla -como alternativa- un pago porque pueda acceder a la web o aplicación y utilizar sus servicios.

Podéis encontrar más información a través del enlace siguiente:

https://www.aepd.es/guias/guia-cookies.pdf

Cordialmente,

SECRETARÍA TÉCNICA