El pasado mes de mayo la Agencia Española de Protección de Datos actualizó la guía de cookies adaptando este documento a las directrices sobre consentimiento revisadas por el Comité Europeo de Protección de Datos de fecha 4 de mayo del presente año, introduciendo cambios cuyo cumplimiento será obligatorio a partir del 31 de octubre de 2020.
En este artículo comentaremos cuáles son las novedades normativas en materia de política de cookies que deberán tener en cuenta todas las empresas del sector de cosmética y perfumería que sean titulares de una página web por medio de la cual hagan uso de cookies como técnica de publicidad online. Este tema cobra una gran importancia, especialmente en la actualidad, teniendo en cuenta que la pandemia mundial del COVID-19 ha conllevado y está impulsando el crecimiento del consumo online de los productos del sector.
Antes de destacar cuáles son las novedades incorporadas en la Guía de Cookies de la Agencia Española de Protección de Datos, recordemos brevemente qué son las cookies y cuáles son las obligaciones legalmente exigidas para su uso válido.
¿Qué son las cookies y cuáles son sus requisitos?
Cuando nos referimos a las cookies, de manera general, nos referimos a cualquier tipo de dispositivo de almacenamiento y recuperación de datos que se utilice en el equipo terminal de un usuario, y que pueden tener la interesante finalidad de almacenar información y recuperar la información ya almacenada. El uso de esta tecnología es interesante porque ofrece, a quien recupere esta información almacenada, la posibilidad de estudiar los datos recopilados por las cookies, y así hacer lo necesario para, por ejemplo, facilitar la navegación del usuario en la página web, u ofrecerle una publicidad basada en sus hábitos de navegación.
¿Cuáles son los requisitos exigidos legalmente para poder emplear dichos instrumentos de recopilación de información? Encontramos la respuesta en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, la “LSSI”) que hay que poner en relación con el Reglamento Europeo 2016/679 General de Protección de Datos (en adelante, el “RGPD”) y la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos y Garantía de los Derechos Digitales.
El artículo 22.2 de la LSSI establece que “los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal”.
Según dicho artículo, interpretado y desarrollado por la Guía de Cookies de la Agencia Española de Protección de Datos, podemos resumir que las obligaciones en materia de cookies son dos: transparencia y consentimiento. Sin embargo, es importante resaltar que según el tercer apartado del mencionado artículo 22.2, dichas obligaciones no se exigen para la utilización de cookies que tengan como finalidad (i) permitir únicamente la comunicación entre el equipo del usuario y la red, o (ii) estrictamente prestar un servicio expresamente solicitado por el usuario.
Por lo que respecta a la transparencia, la premisa a seguir para cumplir con esta obligación es que el usuario de la página web debe haber sido informado de manera clara y completa sobre la utilización de cookies y sus fines, con especial hincapié en que dicha información debe haber sido facilitada al usuario antes de que este último dé su consentimiento a la utilización de cookies.
Para tratar de dar cumplimiento a este principio general de transparencia, la Guía de Cookies de la Agencia Española de Protección de Datos especifica qué información debe aparecer obligatoriamente en la política de cookies de la página web, y de qué manera debe aparecer esta información para entenderse como clara y completa.
Contenido mínimo obligatorio
De acuerdo con la Guía de Cookies de la Agencia Española de Protección de Datos, como contenido mínimo obligatorio, la política de cookies debe incluir y describir las siguientes menciones:
● Definición y función genérica de las cookies.
● Información sobre el tipo de cookies que se utilizan y su finalidad.
● Identificación de quién utiliza las cookies.
● Información sobre la forma de aceptar, denegar o revocar el consentimiento para el uso de las cookies.
● En su caso, información sobre las transferencias de datos a terceros países realizadas por el editor.
● Cuando la elaboración de perfiles implique la toma de decisiones automatizadas con efectos jurídicos para el usuario o que le afecten signicativamente de modo similar, será necesario que se informe sobre la lógica utilizada, así como la importancia y las consecuencias previstas de dicho tratamiento para el usuario en los términos establecidos en el artículo 13.2 f) del RGPD.
● Periodo de conservación de los datos para los diferentes fines en los términos establecidos en el artículo 13.2 a) del RGPD
Información por capas
Por lo que respecta a la manera en la que dicha información debe ser facilitada al usuario, si bien la Guía de Cookies describe detalladamente este apartado, nos centraremos sobre el sistema denominado “información por capas”, al ser relevante para describir las novedades normativas objeto del presente artículo.
Este sistema tiene como finalidad evitar la fatiga informativa del usuario, facilitando la información de mayor importancia en una primera capa, cuando el usuario accede a la página web, y completarla en una segunda capa, que suele incluirse como un link que lleve directamente al usuario a información más detallada y específica sobre las cookies. Las formas más comunes que suele cobrar la primera capa de información son los denominados banner (un anuncio con forma de rectángulo horizontal ubicado en la parte superior de las páginas web y que puede incluir diverso contenido tecnológico) y pop-up (un formato que aparece como una ventana emergente sobre una ventana del navegador abierta).
Consentimiento del usuario
Una vez informado, el usuario debe prestar su consentimiento para la utilización de las cookies no exceptuadas del cumplimiento de las obligaciones legales descritas más arriba.
Se considera que el consentimiento del usuario prestado para utilizar cookies es válido cuando se otorga en relación con fines específicos, de manera libre e informada. Una de las dos novedades introducidas en la Guía de Cookies objeto de este artículo consiste en la nueva interpretación de lo que se considera el consentimiento libre. El Comité Europeo de Protección de Datos considera que “para que el consentimiento pueda considerarse otorgado libremente, el acceso al servicio y a sus funcionalidades no debe estar condicionado a que el usuario consienta el uso de cookies”. Así, se prohíbe el uso de los denominados “muros de cookies”, que permitían el acceso a una página web exclusivamente a los usuarios que prestaran su consentimiento a la utilización de cookies, por medio de pop-ups por ejemplo.
Eso sí, la Guía de Cookies establece unos supuestos de “muros de cookies” exceptuados a la prohibición anterior, especificando que “podrán existir determinados supuestos en los que la no aceptación de la utilización de cookies impida el acceso al sitio web o la utilización total o parcial del servicio, siempre que se informe adecuadamente al respecto al usuario y se ofrezca una alternativa de acceso al servicio sin necesidad de aceptar el uso de cookies”. Insiste además en que “los servicios de ambas alternativas deberán ser genuinamente equivalentes, y además no será válido que el servicio equivalente lo ofrezca una entidad ajena al editor”.
Invalidez de la fórmula “seguir navegando”
Además de ser prestado libremente y de manera informada, para que el consentimiento del usuario se considere válido, el usuario deberá haber realizado una clara acción afirmativa, siendo evidente e inequívoco para él que, al realizar dicha acción, consiente la utilización de cookies. Al infringir estas características, la segunda novedad introducida en materia de cookies consiste en la invalidez del consentimiento prestado por el usuario por medio de la modalidad “Seguir navegando”. Un ejemplo de lo que se considera la opción de recabar el consentimiento del usuario para el uso de cookies por medio de la modalidad “Seguir navegando” es la aparición de un banner en la primera visita de la página web incluyendo el siguiente texto:
“Utilizamos cookies propias y de terceros para analizar nuestros servicios y mostrarte publicidad relacionada con tus preferencias, en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Si continúas navegando, consideraremos que aceptas su uso. Puedes configurar o rechazar la utilización de cookies u obtener más información AQUÍ"
Pues bien, este texto ya no es válido en la actualidad. El Comité Europeo de Protección de Datos considera que la opción “Seguir navegando” es ambigua y lejos de ser inequívoca para el usuario del que se trata de recopilar sus datos, ya que esta acción puede ser difícil de distinguir de otras actividades o interacciones del usuario.
Es esencial tener en cuenta que la Agencia de Protección de Datos ha establecido un plazo de tres meses para introducir los cambios necesarios en los mecanismos de obtención del consentimiento para la utilización de cookies que se estén utilizando hoy en día, de conformidad con los nuevos criterios descritos en este artículo, que finaliza el 31 de octubre de 2020.
Conviene asimismo recordar que, de acuerdo con la LSSI, las infracciones en materia de cookies pueden traducirse en multas que se elevan hasta 150.000 euros.
Por lo tanto, además de adaptarse a la “nueva normalidad” que estamos viviendo causada por la pandemia mundial del COVID-19, las empresas del sector deberían también tratar de revisar la política de cookies de sus páginas web para adaptarlas cuanto antes a estos cambios normativos, si bien es recomendable, de todas formas, revisarla periódicamente al tratarse de un documento dinámico que responde al funcionamiento del sitio web.
