Consentimiento de cookies: qué exigen las normas ePrivacy

Los banners de cookies son la parte más visible del derecho europeo de la privacidad y la que con más frecuencia se aplica mal. Las normas proceden de dos instrumentos que funcionan conjuntamente: la Directiva ePrivacy 2002/58/CE decide cuándo se necesita consentimiento, y el RGPD define qué se considera consentimiento.

La norma en una frase

El artículo 5, apartado 3, de la Directiva ePrivacy, en su versión modificada en 2009, solo permite almacenar información en el dispositivo de un usuario, o acceder a información ya almacenada en él, si el usuario ha dado su consentimiento tras recibir información clara y completa, salvo que el almacenamiento o el acceso sean necesarios únicamente para transmitir una comunicación o estrictamente necesarios para prestar un servicio expresamente solicitado por el usuario. En España, esta norma se recoge en el art. 22.2 de la LSSI (Ley 34/2002).

De ello se derivan tres consecuencias:

• Es tecnológicamente neutra. Las cookies, el almacenamiento local, los píxeles de seguimiento, la huella digital del dispositivo y técnicas similares quedan todos cubiertos. Las Directrices 2/2023 del CEPD explican la amplitud con que se interpretan «almacenamiento» y «acceso».
• No se limita a los datos personales. En Planet49 (C-673/17), el Tribunal de Justicia confirmó que el artículo 5, apartado 3, se aplica tanto si la información almacenada es un dato personal como si no.
• El consentimiento va primero. Los scripts no esenciales no deben ejecutarse antes de que el visitante decida.

Qué hace válido el consentimiento

Como la Directiva ePrivacy toma la definición de consentimiento del derecho de protección de datos, se aplica el estándar del RGPD (artículo 4, punto 11, artículo 7 y artículo 94, apartado 2, que remite al RGPD las referencias a la antigua Directiva 95/46/CE). El consentimiento debe ser:

1. Libre: rechazar no debe dar lugar a peores condiciones que aceptar, más allá de lo estrictamente necesario. Los muros de cookies que bloquean el acceso si el visitante no acepta se consideran ampliamente incompatibles con este requisito por las autoridades de control de la UE.
2. Específico: los fines diferentes (analítica, publicidad, personalización) requieren elecciones diferentes.
3. Informado: el visitante debe saber quién recoge qué, con qué fin y durante cuánto tiempo. Planet49 estableció que la información sobre la duración de las cookies y sobre si terceros pueden acceder a ellas forma parte de ello.
4. Inequívoco: una acción afirmativa clara. Planet49 descartó las casillas premarcadas; desplazarse por la página o «seguir navegando» tampoco es consentimiento (Directrices 05/2020 del CEPD).

El RGPD añade dos obligaciones operativas: el responsable del tratamiento debe poder demostrar el consentimiento (artículo 7, apartado 1), y retirar el consentimiento debe ser tan fácil como darlo (artículo 7, apartado 3). En la práctica, eso supone un registro del consentimiento almacenado y una forma permanente de volver a abrir el banner.

Diseño del banner: lo que han objetado las autoridades

En enero de 2023, el CEPD publicó el informe de su grupo de trabajo sobre banners de cookies, que resume las posiciones comunes de las autoridades nacionales. Entre las prácticas que la mayoría de las autoridades consideraron problemáticas figuran:

• la ausencia de un botón «rechazar» en la primera capa cuando en ella hay un botón «aceptar»;
• casillas de fines o de proveedores premarcadas en la segunda capa;
• un diseño de enlace engañoso en lugar de un botón para la opción de rechazo;
• colores y contrastes de botones engañosos que hacen de «aceptar» la única opción evidente;
• invocar el «interés legítimo» para un seguimiento que requiere consentimiento;
• clasificar cookies no esenciales como «esenciales»;
• la falta de una forma sencilla de retirar el consentimiento posteriormente.

Las actuaciones nacionales siguen la misma línea. La CNIL francesa, por ejemplo, sancionó a Google y Facebook a finales de 2021 (con anuncio en enero de 2022) porque rechazar las cookies requería más clics que aceptarlas.

Qué está exento

La excepción de lo «estrictamente necesario» es estrecha y se valora desde la perspectiva del visitante: un almacenamiento sin el cual el servicio no puede funcionar. Ejemplos típicos son una cookie de carrito de compra, una cookie de sesión tras iniciar sesión, una cookie de equilibrio de carga o la cookie que recuerda la propia elección de consentimiento. La analítica, las pruebas A/B, la publicidad y los píxeles de redes sociales no son, en general, estrictamente necesarios, aunque sean propios o estén «anonimizados». Algunas autoridades nacionales aceptan sin consentimiento una medición de audiencia configurada de forma restrictiva; compruebe las normas del país al que se dirige antes de confiar en ello.

Marcos de consentimiento y gestores de etiquetas

Las plataformas de gestión del consentimiento (CMP) y el IAB Transparency & Consent Framework normalizan la forma en que las elecciones se transmiten a los anunciantes. En IAB Europe (C-604/22), el Tribunal de Justicia declaró que la «TC String» que codifica las preferencias de un usuario puede ser un dato personal y que la organización que gestiona un marco de este tipo puede ser corresponsable del tratamiento. Una CMP es una herramienta, no una garantía: si está mal configurada, sigue cargando rastreadores antes de tiempo. Del mismo modo, los «modos de consentimiento» del lado del navegador que ajustan el comportamiento de las etiquetas no sustituyen al consentimiento; solo cambian lo que se envía después de la decisión.

Cómo probar su propio banner en diez minutos

1. Abra una ventana privada, abra las herramientas para desarrolladores en las pestañas Red y Aplicación y cargue la página de inicio. No haga clic en nada.
2. Anote cada cookie, entrada de almacenamiento y solicitud a terceros. Todo lo que vaya más allá de lo estrictamente necesario es un hallazgo.
3. Haga clic en «rechazar». Navegue a otras dos páginas. Las solicitudes no esenciales deben seguir desactivadas.
4. Bórrelo todo, recargue y haga clic en «aceptar». Compare: la diferencia es lo que su banner controla realmente.
5. Busque la forma de volver atrás: un enlace o icono que vuelva a abrir el banner en cada página.

Los escáneres automatizados hacen exactamente esto a gran escala y lo repiten tras cada publicación; ahí es donde justifican su precio. Compare los servicios que evaluamos en la página de comparación.