Lo que debes saber sobre las cookies si tienes una web

La adecuación legal de un sitio web depende de varios factores. Por un lado están los textos legales que debes implementar en cualquier página web o blog personal. Pero también están las cookies, en las que nos vamos a centrar en la entrada de hoy. Seguro que has escuchado hablar de ellas, pero ¿sabes lo que es una cookie? ¿para qué sirven?

¿Qué es una cookie?

Una cookie es un bloque de código que usan los sitios web para hacer que un sitio funcione o para recopilar o almacenar información de los visitantes. Ese código se instala en el navegador del dispositivo con el que el usuario está accediendo al sitio web.

Una vez visto lo anterior, veamos las normativas que aplican a las cookies:

• Normativa de protección de datos: Reglamento General de protección de datos 2016/ 679 y L.O. de Protección de datos y Garantía de Derechos digitales 3/2018 de 5 de Diciembre.
• Ley 34/2002 de Servicios de Sociedad de la Información y de Comercio Electrónico (en adelante LSSI)
• Además, la AEPD, sacó en Julio de 2020 la “Guía Técnica de Cookies”, que al final es el padrenuestro de todos los que queremos hacer cumplir la normativa en nuestras webs.

Tipos de Cookies

Antes de profundizar en la materia, debes saber que existen varios tipos de cookies. Se pueden clasificar en los siguientes tipos:

• Según su finalidad: En dos grandes grupos, aquí encontramos las cookies técnicas o necesarias, y las cookies no técnicas o no necesarias. En definitiva, las necesarias para que un sitio web funcione y las que tienen una finalidad diferente. Entre otras, encontramos las cookies analíticas, las publicitarias, las sociales y las comportamentales entre otras.
• Según el plazo de conservación: Son las cookies de sesión y las cookies permanentes.
• Según la propiedad: Son las cookies propias y las de terceros.

¿Qué dice la normativa?

Una vez que hemos visto qué es una cookie y los tipos de cookies que existen, puede que te preguntes: ¿y por qué tanto revuelo? ¿Por qué ahora nos bombardean con las cookies y con tanto cartelito?

La cuestión de todo está en el consentimiento. Repasando la definición de lo que es una cookie, recordemos que:

Una cookie es un programa o herramienta que usan los sitios web para hacer que funcione o para recopilar o almacenar información de los visitantes. Estas herramientas, se instalan en el dispositivo del usuario que está accediendo a ese sitio web.

Como la cookie debe instalarse en un dispositivo que no es propiedad del sitio web, sino en un dispositivo personal, es necesario el consentimiento del usuario. Por eso, cada vez que entramos en un sitio web, nos aparece un “cartelito” pidiéndonos el consentimiento sobre el uso de cookies.

Pero como en casi todas las normas, hay excepciones. ¿Es necesario pedir siempre el consentimiento? No, no siempre.

¿Y entonces? Cuando el sitio web solo use cookies técnicas o necesarias para su funcionamiento, no será necesario pedir el consentimiento y aceptar las cookies, ya que son cookies necesarias. Pero si el sitio web usara otro tipo de cookie no necesaria, sería obligatorio recabar el consentimiento del usuario que navega por el sitio web.

¿Y los avisos legales?

Aunque una página web use solo cookies técnicas y no sea necesario recabar el consentimiento, sí será necesario indicar una política de cookies. Deberá contener información sobre qué es una cookie, los tipos de cookies que existen, así como indicar los tipos de cookies que usa la web (aunque solo sean técnicas). Si no se usara ninguna, deberás indicarlo también. Tampoco puedes olvidar, un apartado de ejercicio de derechos en protección de datos, entre otros textos legales.

Por supuesto, tampoco debemos olvidarnos de los otros avisos legales (política de privacidad y aviso legal).

¿Cómo debo recoger el consentimiento?

Según la normativa de protección de datos, el Responsable debe ser capaz de demostrar que obtuvo el consentimiento expreso del usuario, por lo que los consentimientos tácitos no sirven.

Olvidémonos de aquellos “Cartelitos” que nos salen:

Si continúa navegando, entendemos que acepta las cookies. “ACEPTAR”.

El consentimiento debe de ser expreso, de tal manera que el usuario acepte o rechace el uso de las cookies. Por ello, a la hora de usar un plugin de cookies en nuestro sitio web, debemos escoger uno que permita al usuario aceptar o rechazar las cookies Pero, además, la guía técnica de cookies nos indica que el usuario debe poder configurar las cookies, así como a poder revocar su consentimiento.

Consentimiento en capas

La información sobre uso y consentimiento de las cookies debe realizarse en “dos capas”. Esto es:

Primera capa: Plugin o banner de cookies

El plugin debe permitir aceptar rechazar y configurar las cookies (esto puede hacerse con varios formatos). Además, deberá ofrecerse un enlace con información ampliada a la política de cookies. Si el sitio web no usa cookies o no usa cookies “no necesarias”, no será obligatorio poner un banner de cookies: queda a elección del propietario web.
A continuación te dejamos varios ejemplos, algunos más correctos que otros, y todo sujeto a investigación de la segunda capa:

Ejemplo 1:

Ejemplo 2:

Segunda Capa: Ampliación información

En la segunda capa, debemos ofrecer información ampliada de la primera. En función del plugin instalado, esta información podrá ofrecer uno u otro formato (ya depende de los desarrolladores). Pero en definitiva esto es indicar en mayor grado las cookies que usa la web y poder elegir si aceptar o rechazar las cookies no necesarias que queremos mantener y las que no. Recuerda que las cookies necesarias no hay que aceptarlas, ya que sin ellas la página no funcionaría. No sería necesario añadir esta opción.

Ejemplo 1:

Ejemplo 2:

Si el plugin usado no tuviera una opción para rechazar en el apartado de configuración, se podría elegir rechazar todas las cookies “no necesarias”.

Nota importante: Las dos capas anteriores están relacionadas con el cumplimiento visual que debemos realizar en nuestro sitio web (o aplicación móvil) cuando se usan cookies.

Pero hay una cuestión que se suele tener poco en cuenta, aunque parece de las más obvias: ¡que el plugin funcione! No basta solo con cumplir con la normativa desde la perspectiva visual. Al instalar el plugin debemos verificar que funcione (nosotros o el diseñador que nos elabore nuestro sitio web o app).

Me encuentro multitud de sitios que tienen instalado un plugin que aparentemente cumple la normativa y las directrices de la Agencia Española de Protección de datos (AEPD), pero que al analizarlos en profundidad, resulta que sí cargan cookies no necesarias en la web, sin haber prestado el consentimiento.

¿Qué debe tener en cuenta el desarrollador web?

Aparte del cumplimiento visual anterior (las directrices del consultor de protección de datos son imprescindibles), el técnico (lo que suele recaer sobre el profesional que desarrolla la web) debe verificar que ese plugin funcione. Si bien a la hora de revisar el cumplimiento visual se puede solicitar la ayuda del consultor de privacidad, este apartado deberá verificarlo el desarrollador.

Mi consejo: No todos los plugins gratuitos funcionan, y no siempre lo hacen bien. Tenlo en cuenta en tu presupuesto y en tus condiciones generales de contratación.

Aspectos especiales a tener en cuenta

Hay casos específicos que requieren un tratamiento diferente en lo que a la política de cookies se refiere:

• Consentimiento de menores de 14 años: Cuando un sitio web que se dirija a menores de 14 años, este deberá hacer esfuerzos razonables para verificar que el consentimiento de datos personales, se hizo por su tutor legal o poseedor de patria potestad y tutela. Además, deberá considerarse el nivel de riesgo asociado a la utilización de las cookies (por ejemplo, teniendo en cuenta la naturaleza de los datos que se recopilan) y atender especialmente al principio de minimización de datos. Veamos a continuación unos ejemplos:

• Cambios en el uso de las cookies: Si cambia la finalidad de las cookies utilizadas, habrá que volver a solicitar el consentimiento. En el ámbito de la protección de datos, si la finalidad cambia, el consentimiento (cuando prime), habrá que volver a solicitarlo (recordemos que no en todos los casos la base de legitimación es el consentimiento, aunque sí lo es en el caso de las cookies).

En Resumen

Son varios los aspectos a tener en cuenta a la hora de realizar la adecuación legal de una web. Si estás realizando una página web profesional, con las debidas medidas de seguridad, hazla también con el asesoramiento de un profesional legal que te cubra todos estos aspectos. Recuerda que tanto el cumplimiento visual como el técnico es necesario.

Qué hay de tu web, ¿cumple con todos los requisitos exigidos por la normativa en cuanto a cookies y textos legales?