La ley de cookies ha evolucionado significativamente en los últimos años, a medida que su uso e impacto en la privacidad han aumentado. Con el objetivo de garantizar la transparencia y la protección de la privacidad de los usuarios, la nueva ley de cookies, en vigor desde 2024, establece requisitos más estrictos para las páginas web. Este artículo detalla los cambios clave, cómo implementar estos ajustes y las implicaciones legales de no cumplir con la ley.
Contenido del artículo
La ley de cookies son las normativas europeas y nacionales que regulan el uso de tecnologías de rastreo online, como cookies, píxeles y balizas web. Estas herramientas recopilan datos sobre la navegación de los usuarios, desde información técnica hasta comportamientos y preferencias.
La normativa principal en este ámbito es el Reglamento General de Protección de Datos (RGPD), complementado por la Directiva de ePrivacy (Directiva 2002/58/CE) y su transposición en la legislación española, la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
El principal objetivo de la ley de cookies es proteger la privacidad de los usuarios al garantizar que tengan un control efectivo sobre el uso de sus datos personales.
El 11 de enero de 2024 entraba en vigor la denominada nueva ley de cookies, una actualización de la Directiva ePrivacy para incluir las nuevas directrices del Comité Europeo de Protección de Datos (CEPD) sobre los patrones oscuros o engañosos, las consideraciones respecto a la información y el consentimiento para las cookies de personalización en función de quién tome las «decisiones» sobre ellas y la posibilidad de ofrecer alternativas, no necesariamente gratuitas, al consentimiento de cookies.
Con esta nueva normativa de cookies se complementan las obligaciones respecto a las cookies en el RGPD y, en el caso de España, respecto a la LSSI y las cookies, que deben cumplir responsables y encargados del tratamiento, con las que se quiere dar, además, una mayor transparencia y control de los interesados sobre los tipos de cookies en internet.
Así mismo, cabe señalar que la AEPD ha adoptado estos cambios en la ley de cookies y los ha incluido en su última versión de la guía sobre uso de cookies.
Los cambios más importantes en la nueva ley de cookies: más transparencia, obligatorio el botón de rechazar cookies y cobrar por rechazar cookies.
A continuación detallamos los cambios más importantes introducidos por las directrices del CEPD y recogidos en la guía de uso de cookies de la AEPD.
Mayor transparencia
En lo que respecta a la transparencia, los responsables de páginas web y aplicaciones deben proporcionar información más clara sobre las cookies, su finalidad, su duración y la identidad de los terceros que las instalan. Esta información debe darse tanto sobre las cookies no exceptuadas como las exceptuadas (las cookies técnicas).
En línea con lo anterior, el aviso o banner de cookies debe ser más claro y, sobre todo, ofrecer la opción de aceptar cookies y rechazar cookies al mismo nivel y sin utilizar patrones engañosos que conduzcan a los usuarios a aceptar las cookies. También debe ofrecer información básica sobre el uso de cookies del sitio web o aplicación.
Así mismo, el banner de cookies debe simplificar la opción de aceptar o rechazar, de manera que no se genere la denomina fatiga de cookies en los usuarios (ocurre, por ejemplo, si «obligamos» a los usuarios a ir activando o desactivando cada cookie).
Se abre la posibilidad de cobrar por no aceptar las cookies al acceder a servicios online, es decir, se permite usar lo que se ha denominado como «paywall» de cookies, siempre y cuando se informe de manera clara y transparente sobre ello y esta alternativa ofrezca las mismas características y funciones, es decir, el servicio debe ser equivalente al aceptar las cookies o al pagar para rechazarlas.
Ahora bien, aunque es legal cobrar por rechazar las cookies, es importante señalar que esta opción de recurrir al paywall o cookiewall no es aplicable para cualquier tipo de web. Actualmente, las que están haciendo uso de este cambio en la ley de cookies son las páginas de medios digitales (ya que pueden equipararlo a la venta de espacios publicitarios), sin embargo, en redes sociales el CEPD no permite este tipo de alternativa de pago para evitar el uso de cookies y el rastreo para ofrecer publicidad comportamental.
Para seguir cumpliendo con la ley de cookies en España, es necesario que, como responsables de una página web o aplicación, nos adaptemos a los cambios y obligaciones introducidos por la actualización del CEPD descritos en el punto anterior.
Para cumplir con las nuevas exigencias en cuanto a transparencia, debemos redactar una nueva política de cookies en la que se informe sobre las cookies que usa la página web o aplicación de forma comprensible, clara y sin uso de tecnicismos. Como segunda capa informativa, la política de cookies debe detallar:
- Información general sobre qué son las cookies y qué finalidad tienen.
- Qué cookies utiliza la web o la app, indicando el tipo (técnicas, de inicio de sesión, de marketing, de seguimiento, etc.).
- Qué finalidad tiene cada cookie.
- Titulares de las cookies, indicando cuándo son propias y cuándo de terceros.
- Instrucciones sobre cómo aceptar y rechazar las cookies.
- Instrucciones para revocar el consentimiento de cookies.
- Si al aceptar cookies se producen transferencias internacionales de datos.
- Si las cookies se emplearán para elaborar perfiles y tomar decisiones automatizadas e informar sobre la lógica utilizada y las consecuencias de las mismas.
El banner o aviso de cookies también debe actualizarse si no contaba con un botón de rechazar las cookies (por ejemplo, si solo tienen la opción de aceptar y configurar cookies) y si las cookies no exceptuadas vienen activadas por defecto, ya que las únicas cookies que pueden estar activadas (es decir, no requieren del consentimiento del usuario) son las cookies técnicas o necesarias para el buen funcionamiento del sitio o servicio online.
Así mismo, los botones de aceptar y rechazar cookies deben estar al mismo nivel y tener el mismo diseño.
Se pueden usar banners de cookies más o menos detallados, siempre que cumplan con esas condiciones, por ejemplo:
Ejemplo de banner de cookies.
Este banner de cookies sería adecuado para cumplir con la nueva ley de cookies. Pero también se puede recurrir a avisos de cookies más detallados, por ejemplo, que incluyan información básica sobre cada tipo de cookie y enlace al sitio de su titular, que puedan activarse (aceptarse) desde el propio banner y revocarse de forma sencilla habilitando la opción directamente desde una zona de la web.
Nuestro consejo para estar seguros de que se cumple con los cambios introducidos en la última actualización de la ley de cookies, es usar avisos de cookies más detallados y habilitar siempre una función de preferencias de consentimiento de cookies disponible desde la propia web (si os fijáis, algunas páginas tienen un pequeño icono en la esquina inferior derecha o izquierda que permite volver a configurar las preferencias de cookies en cualquier momento).
Evidentemente, el banner y gestor de cookies utilizado en la web debe cumplir con su función de bloquear la descarga de cookies en el navegador del usuario hasta que este dé su consentimiento explícito.
Si se va a usar un paywall de cookies, se debe informar debidamente al usuario de sus opciones y de lo que implica pagar por rechazar las cookies o aceptarlas (como usuario, si debo aceptar las cookies para poder acceder a un servicio, como un periódico digital, debo conocer toda la información sobre qué cookies, tanto las propias como las de terceros).
Las cookies de personalización han sufrido una modificación en lo que al consentimiento se refiere en la nueva ley de cookies.
Cuando es el propio usuario quien toma decisiones sobre las cookies de personalización (idioma, moneda, etc.), estas cookies serán cookies técnicas y no requerirán de consentimiento para su uso.
Si quien adopta las decisiones sobre las cookies de personalización es el editor basándose en la información obtenida del usuario, deberá informar sobre ello y permitir que esta opción sea aceptada o rechazada por el usuario. Es decir, no se considerarán cookies exceptuadas.
En ambos casos, las cookies de personalización no podrán usarse con otras finalidades por parte del editor.
No cumplir la ley de cookies y no implementar los cambios necesarios para adaptarse a su última actualización, es motivo de sanción.
Las multas de la AEPD relativa al mal uso o gestión de las cookies oscilan entre los 3.000 y los 300.000 euros (sin descartar que en los casos más graves se pudiera pasar la horquilla de los 300.001 a los 20 millones de euros).
Las «reglas» sobre el uso de cookies están en constante evolución por la propia naturaleza de la tecnología y los avances y nuevos usos que van creándose. Por lo tanto, la ley de cookies seguirá actualizándose en el futuro.
De esas actualizaciones, la más relevante es la aprobación final del Reglamento ePrivacy, que busca unificar y fortalecer aún más las normas sobre privacidad en las comunicaciones electrónicas en toda la Unión Europea.
Mantenerse al tanto de estos cambios es fundamental para seguir cumpliendo con la ley.
Si tienes una página web u ofreces servicios online a través de página o aplicación móvil, y no tienes claro cómo cumplir con los requisitos actuales de la ley de cookies, Atico34 puede ayudarte gracias a su software para la gestión de la protección de datos, que incluye la gestión de cookies, y a su equipo de expertos, que te ayudarán a resolver cualquier duda relativa a la ley de cookies actual y cualquier cambio o modificación futura.
Preguntas frecuentes
Las cookies de personalización (cuando la decisión no sea del usuario), analíticas y de publicidad requieren el consentimiento explícito del usuario.
Sí, las cookies técnicas necesarias para el funcionamiento básico del sitio web, como las de inicio de sesión o configuración de idioma, no requieren consentimiento previo. Por eso son denominadas como «cookies exceptuadas».
Sí, la normativa actual exige que el banner de cookies incluya un botón de rechazo tan visible y accesible como el botón de aceptación.
Es posible, pero siempre que se respeten las condiciones legales para garantizar que el consentimiento del usuario sea libre y no condicionado de manera indebida.
Buenas tardes Silvia, esto puedes denunciarlo ante la AEPD
Citar Comentario
Citar Comentario