El objetivo de la presente nota es informar sobre las claves de la primera resolución sancionadora (PS/32/2020, de 16 de octubre) impuesta a una entidad española por una cuantía de 30.000€, que, aunque aún basada en la guía de cookies de la AEPD de noviembre 2019, debe ser tenida en cuenta por cualquier editor de un sitio web dirigido a un público residente en España, en aplicación de la Guía de Cookies actualizada con fecha 28 de julio de 2020, y cuyo plazo de cumplimiento de los requisitos finalizó el pasado 31 de octubre.
-
Otorgar el consentimiento debe ser tan sencillo como no hacerlo
La AEPD parece sugerir, con este razonamiento, que el hecho de que el usuario no pueda seguir navegando sin realizar una acción específica en cualquier sentido –esto es, aceptarlas, configurarlas o rechazarlas expresamente– implica de facto que no se está dando a dicho usuario la posibilidad de rechazar el uso de cookies.
Esta afirmación es discutible, pues en el caso analizado la entidad sancionada incluía en su banner un botón de aceptación y un enlace a un panel de configuración en el que sí se permitía no solamente configurar las cookies y aceptarlas o rechazarlas de manera granular. Por tanto, el usuario efectivamente contaba con la posibilidad de rechazar las cookies, por mucho que no pudiese seguir navegando hasta que no especificara si las aceptaba o si prefería rechazar todas o algunas de ellas a través del configurador.
En esta línea, la configuración de las cookies, así como el modelo de rechazo de las mismas provisto por la sancionada en este procedimiento, tiene determinadas similitudes con ejemplos propuestos en la Guía sobre el uso de Cookies publicado en el mes de julio del 2020, por lo que en todo caso, esta resolución de la AEPD debe entenderse desde un análisis del caso concreto y no deberían generalizarse sus conclusiones para todos los supuestos.
En cualquier caso, esta resolución recuerda que, además de la obtención válida del consentimiento, el requisito de que resulte igual de fácil otorgar dicho consentimiento que retirarlo –o, más bien, que no otorgarlo– es fundamental, siendo su postura o interpretación hasta la fecha la más garantista para cumplir estos requisitos.
En este sentido, y a efectos clarificadores, la siguiente tabla sintetiza las diferentes opciones que la AEPD considera válidas y que ha ido incorporando como ejemplos en cada una de sus guías para que se cumpla este requisito mediante la primera capa y el panel configurador:
| Guía sobre el uso de cookies de noviembre de 2019 | Guía sobre el uso de cookies de julio de 2020 | ||
| Banner | Panel de configuración | Banner | Panel de configuración |
| 1. Incluir botones de «Aceptar cookies» y «Rechazar cookies» en el banner, y enlace a panel de configuración para configurar. | En el panel podrán implementarse dos botones, uno para aceptar todas las cookies y otro para rechazarlas todas, siendo esta opción recomendable cuanto mayor sea el número de consentimientos granulares solicitados.
| 1. Incluir botones de «Aceptar cookies» y «Rechazar cookie» en el banner, y enlace a panel de configuración para configurar. | En el panel podrán implementarse dos botones, uno para aceptar todas las cookies y otro para rechazarlas todas, siendo esta opción recomendable cuanto mayor sea el número de consentimientos solicitados. |
| 2. Incluir botón de «Aceptar» y enlace a panel de configuración en el banner para configurar o rechazar. | 2. Incluir botón de «Aceptar» y enlace a panel de configuración en el banner para configurar o rechazar.
| Deberá incluirse en el panel un botón para rechazar todas las cookies, bien:
(a) Incluyendo un botón de «Rechazar todas las cookies», o (b) Un botón para guardar la elección realizada, siempre que se indique expresamente que, si el usuario guarda su elección sin haber seleccionado ninguna cookie, equivaldrá al rechazo de todas. | |
| 3. Incluir en el banner un aviso especificando que seguir navegando implica la aceptación de las cookies, y enlace al panel de configuración para aceptar o rechazar. | En este caso, en el panel debe incluirse un botón para rechazar todas. | 3. Incluir botones de «Configurar» y «Aceptar» en el banner. | |
En todos los ejemplos anteriores, como se indica posteriormente, el banner debe incluir además el debido enlace a la segunda capa donde el usuario tenga disponible toda la información sobre cookies.
-
Las cookies de terceros deben ser identificadas
A pesar de que la AEPD no desarrolla en profundidad el alcance de este requisito, y considerando que la Guía sobre el uso de cookies establece que será suficiente con identificarlas por la marca con la que se identifican de cara al público, se genera la duda de si es necesario facilitar el nombre de cada cookie, así como el plazo de conservación de la misma, en lugar del nombre del proveedor y el plazo máximo con el que se utilizará el conjunto de cookies de dicho proveedor, especialmente para los casos en los que se utilice un mayor número de cookies, evitando así la denominada fatiga informativa.
Vista la Resolución, una opción recomendable para la información en segunda capa podría ser el uso de información resumida junto a desplegables que permitan la visualización de todas las cookies solo en los casos en los que el usuario tenga interés en conocerlas.
No obstante, y conforme indicado, un exceso de detalle en esta información pone en riesgo, no sólo la mencionada fatiga informativa, sino además y más importante, la veracidad o actualización de toda la información, cuestión esta que es posible mitigar mediante el uso de configuradores que entre sus funcionalidades incluyen el escaneo de las cookies utilizadas en cada momento e informen de las mismas. En estos casos, podría sustituirse el desplegable mencionado por un botón que permita abrir de nuevo el configurador en donde constaría toda la información requerida convenientemente actualizada.
-
Debe evitarse que el configurador sea percibido como una segunda capa
-
Otras cuestiones a tener en cuenta
- Las cookies no deben instalarse por el mero hecho de acceder al sitio web, sino que deben implementarse los medios técnicos necesarios para que las mismas únicamente se instalen en caso de que el usuario haya prestado su consentimiento;
- Debe evitarse el uso de la expresión «utilizamos cookies para mejorar su experiencia de usuario», ya que no define las finalidades para las que se utilizará la información recabada y por tanto no aporta información de valor;
- En caso de utilizar cookies con fines de publicidad comportamental, deben indicarse los datos empleados, p. ej., «utilizamos sus datos de navegaci ón (contenidos visualizados y clics para mostrarle publicidad personalizada»;
- Es necesario informar en la primera capa de si las cookies empleadas son propias y/o de terceros.
Área IT, Privacidad y Seguridad
- 34 91 781 61 60
info@ecija.com
