LSSI

El pasado mes de julio de 2023, la Agencia Española de Protección de Datos (AEPD) publicó una nueva versión de su Guía sobre el uso de las cookies (en adelante, la Guía de Cookies 2023) en la que se incluyen nuevos criterios sobre el uso de cookies que deberán implementarse, como tarde, el 11 de enero de 2024 para evitar posibles sanciones. 

En esta entrada vamos a repasar lo más importante de la Guía de Cookies 2023. Pero antes ten en cuenta que, debido a la complejidad del tema, es aconsejable que contactes con un experto, ¡como nosotros!, para que puedas recibir ayuda personalizada, aplicar medidas que se adapten a las necesidades de tu negocio y te permitan cumplir con todas las obligaciones legales sobre el uso de cookies.

¿Qué son las cookies?

Las cookies son dispositivos de almacenamiento y recuperación de datos que se instalan en tu terminal cuando navegas. Sus funciones pueden ser muy diversas, por ejemplo, reconocerte como usuario, guardar tus preferencias de navegación (idioma, moneda, etc.), personalizar la forma en la que ves el contenido y guardar tus hábitos de navegación, entre otras. Existen otras tecnologías similares a las cookies, como los web beacons, los bugs y los píxels, por mencionar algunas, que también permiten almacenar y recuperar determinada información. A partir de ahora, cuando os hablemos de cookies nos estaremos refiriendo a las cookies en sí y a estas otras tecnologías similares.  

Tipos de cookies

Las cookies pueden clasificarse de muchas formas, no existe una lista cerrada como tal. A continuación, te detallamos las categorías de cookies más habituales. 

Según la entidad que las gestione:

• Cookies propias
• Cookies de terceros 

Según su finalidad:

• Cookies técnicas
• Cookies de preferencias o personalización
• Cookies de análisis o medición
• Cookies de publicidad comportamental

Según el plazo de tiempo que permanecen activadas:

• Cookies de sesión
• Cookies persistentes

Obligaciones sobre el uso de cookies

La Guía de Cookies 2023 nos recuerda que para el uso de cookies la ley establece dos obligaciones principales, por un lado, la obligación de transparencia y, por otro lado, la obligación de obtener el consentimiento del usuario antes de utilizarlas. Esto quiere decir que a la hora de solicitar el consentimiento de los usuarios para el tratamiento de sus datos mediante cookies se les debe ofrecer información clara y lo suficientemente completa como para permitir que éstos entiendan las finalidades y el uso que se le dará a las cookies y a la información que éstas recopilan.  

Pese a lo anterior, tal y como se menciona en la Guía de Cookies 2023, quedan exceptuadas de estas obligaciones aquellas cookies que se utilicen para alguna de las siguientes finalidades:

• Permitir únicamente la comunicación entre el equipo del usuario y la red.
• Permitir prestar un servicio que haya sido solicitado expresamente por el usuario, siempre y cuando sean estrictamente necesarias para ello.

Aquí os dejamos varios ejemplos de tipos de cookies que por su finalidad podrían considerarse como cookies exceptuadas:

• Cookies de entrada del usuario.
• Cookies de autenticación o identificación de usuario (únicamente las de sesión).
• Cookies de seguridad del usuario.
• Cookies de sesión de reproductor multimedia.
• Cookies de sesión para equilibrar la carga.
• Cookies de personalización de la interfaz de usuario.
• Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales (solo si el usuario ha decidido mantener la sesión abierta).

Aunque solo utilices cookies exceptuadas, lo más recomendable, por razones de transparencia, es que aun así en el banner de cookies y en la política de cookies informes a los usuarios sobre el uso de cookies exceptuadas. Echa un vistazo al siguiente ejemplo para entenderlo mejor:

Aspectos clave para cumplir con la obligación de transparencia

Tal y como mencionábamos anteriormente, debes informar a los usuarios sobre el uso de cookies no exceptuadas de una forma clara, transparente, inteligible y completa. Además, debes asegurarte de que la información sea de fácil acceso, esto quiere decir que el usuario no debe buscar la información, sino que debe ser evidente para él dónde y cómo acceder a ella (que no se encuentre a más de dos clics, como recomienda el GT29 en sus directrices sobre la transparencia). 

Para cumplir con la obligación anterior se recomienda presentar la información por capas, ya que de esta forma se evita la fatiga informativa del usuario, permitiéndole consultar directamente aquellos aspectos que le sean de mayor interés. A continuación, te detallamos cómo podrías repartir la información en dos capas.

En la primera capa (por ejemplo, en el banner de cookies):

• El nombre de tu empresa o marca (cuando sea evidente no será necesario incluirlo); 
• Las finalidades de las cookies que se utilizan, indicando qué cookies son propias y cuales son de terceros;
• Si van a elaborarse perfiles de los usuarios, el tipo de datos que se van a recopilar y utilizar;
• La forma en la que el usuario puede aceptar, configurar y rechazar la utilización de cookies; 
• Un enlace claramente visible que dirija a una segunda capa informativa donde se incluya información mucho más detallada. 

En la segunda capa (por ejemplo, en la política de cookies) deberías incluir toda la información sobre uso de cookies, ya que en este caso sería la última capa. 

• Definición y función genérica de las cookies.
• Información sobre el tipo de cookies que se utilizan y su finalidad. 
• Identificación de quién utiliza las cookies. 
• Información sobre la forma de aceptar, denegar o revocar el consentimiento para el uso de cookies.
• Información sobre las transferencias de datos a terceros países, en caso de que se realicen.
• Información sobre elaboración de perfiles y decisiones automatizadas 
• Periodo de conservación de los datos para los diferentes fines.

Aspectos clave para cumplir con la obligación de obtención del consentimiento 

Los usuarios deben consentir el uso de cookies de forma libre e informada para que su consentimiento se considere válido. Por ello es importante asegurarse, entre otras cosas, que el usuario sea consciente de que está otorgando su consentimiento y de qué está consintiendo. 

La Guía de Cookies 2023, insiste en que cuando el usuario decida seguir navegando en el sitio web, app o plataforma sin aceptar, configurar o rechazar las cookies no podrá darse por hecho que el usuario ha aceptado el uso de cookies.

También es importante que la información que otorgues al usuario para que pueda consentir el uso de cookies no se mezcle con información sobre otros asuntos, debe ir por separado. La aceptación de las cookies también debe ir por separado, no es válido que en una misma acción el usuario acepte el uso de cookies y los términos y condiciones de uso, por poner un ejemplo.  

Importante:

• No se puede dar la impresión al usuario de que tiene que aceptar obligatoriamente las cookies para navegar por el sitio web.
• No se puede empujar claramente al usuario a aceptar las cookies.
• El color o contraste del texto de los botones no podrá llevar a un consentimiento involuntario. 

La opción para rechazar las cookies debe aparecer en la misma capa y al mismo nivel que la opción para aceptarlas.  El mecanismo empleado para rechazar las cookies (botón u otro) debe ser similar al que se utilice para aceptarlas.

Principales errores a la hora de configurar un banner de cookies

A continuación, podrás ver un ejemplo de un banner de cookies que incumple con las obligaciones y recomendaciones recogidas en la Guía de Cookies 2023.

Primera capa

Errores:

• La información no se está presentando de forma clara y, además, se da la impresión de que obligatoriamente se tienen que aceptar las cookies. 
• El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “configurar” debería estar en un color que resalte más y facilite su lectura.
• No hay un botón que permita rechazar las cookies. Este botón tiene que estar al mismo nivel que el botón de aceptar. 

Segunda capa

Errores:

• Falta añadir información sobre las cookies que se utilizan. También falta un enlace que dirija a algún apartado con más información sobre el uso de cookies o directamente a la Política de Cookies.
• El color del texto de los botones puede inducir a un consentimiento involuntario. Además, el texto del botón “guardar preferencias” debería estar en un color que resalte más y facilite su lectura.
• Las cookies no exceptuadas (las de análisis o medición y las de publicidad comportamental) aparecen pre aceptadas.
• No hay un botón que permita rechazar todas las cookies a la vez. Este botón tiene que estar al mismo nivel que el botón de aceptar. 

Cómo configurar un banner de cookies

A continuación, podrás ver un ejemplo de un banner de cookies con dos capas informativas que ha sido configurado siguiendo las directrices establecidas en la Guía de Cookies 2023.

Primera capa

Segunda capa