Pese a que se ha vaticinado su final varias veces, las cookies siguen muy presentes y en uso en internet, la mayoría de páginas web, aplicaciones y plataformas online utilizan estos pequeños archivos de código para mejorar la experiencia de navegación y/o para recabar diferente tipo de información personal de los usuarios. Esto último hace especialmente importante saber gestionar el consentimiento de cookies.
En este artículo te explicamos todo lo que necesitas saber sobre la gestión del consentimiento de cookies.
Contenido del artículo
- ¿Qué es el consentimiento de cookies?
- ¿Cómo gestionar el consentimiento de cookies?
- ¿Hay cookies exentas de consentimiento?
- Sanciones por no gestionar el consentimiento de cookies de forma adecuada
- Comprueba la gestión del consentimiento de cookies de tu web con esta checklist
- Preguntas frecuentes
- Gestiona las cookies con ayuda de Atico34
- Te ayudamos a cumplir la Ley de Protección de Datos
El consentimiento de cookies es un requisito legal y consiste en la acción que llevan a cabo los usuarios para aceptar las cookies de una página web, su descarga e instalación en su navegador.
La aceptación de cookies puede ser total, e incluir a todas las cookies del sitio web o aplicación, propias y cookies de terceros (como pueden ser, por ejemplo, las cookies que emplea Google Analytics o las cookies de seguimiento), o parcial, ya que, cómo veremos más adelante, el titular del sitio web o aplicación debe permitir a los usuarios una gestión de consentimiento granular, es decir, que puedan configurar las cookies de manera individual, siendo posible agruparlas por categorías o tipos de cookies.
El consentimiento para el uso de cookies está regulado en el RGPD y la LSSI, donde se establece cómo debe ser ese consentimiento y cómo se tiene que gestionar por parte del responsable del tratamiento o titular del sitio web o aplicación (para saber más sobre cómo regula el uso de cookies la LSSI, podéis visitar nuestro artículo sobre cookies y LSSI).
Asimismo, la Guía sobre el uso de las cookies de la AEPD establece, especifica y desarrolla las directrices a seguir para gestionar el consentimiento de cookies en páginas web y aplicaciones, adoptando los criterios del CEPD y las últimas actualizaciones al respecto que son publicadas por este organismo europeo.
De acuerdo a las normativas citadas en el punto anterior y la guía de la AEPD, para gestionar el consentimiento de cookies, se deben cumplir con una serie de obligaciones, especialmente en lo que respecta al uso de cookies no exceptuadas (que son aquellas que no se consideran necesarias para el correcto funcionamiento de la web o aplicación y que, a diferencia de las cookies exceptuadas, siempre requieren del consentimiento explícito del usuario para ser usadas).
La primera obligación respecto a la gestión del consentimiento de cookies, es informar sobre el uso que hace de ellas la página web o aplicación, puesto que el consentimiento debe ser siempre informado en lo relativo al tratamiento de datos personales.
Para ello, podremos ofrecer la información sobre cookies a través de dos capas informativas (de manera que no se perjudique el diseño de la página). La primera capa es el denominado aviso de cookies obligatorio, que de manera breve y concisa informa al usuario de que la web o aplicación utiliza cookies y la finalidad de las mismas. Es el denominado «muro de cookies», especialmente cuando el aviso aparece ocupando toda o casi toda la pantalla.
Este aviso suele hacerse a través del banner de cookies, que debe colocarse en un sitio visible del sitio y aparecer siempre que acceda al mismo un nuevo usuario o un usuario que hubiese eliminado las cookies del navegador o que no haya dado aún su consentimiento para su uso.
La segunda capa informativa es la política de cookies, en la que se debe dar toda la información detallada sobre las mismas, en concreto:
- Definición y función genérica de las cookies.
- Información sobre el tipo de cookies que se usa en la web o aplicación y su finalidad.
- Identificar al titular de las cookies (tanto del titular del sitio o aplicación como de los terceros cuyas cookies se estén usando).
- Información sobre cómo aceptar o rechazar el uso de cookies y cómo revocar el consentimiento dado para su uso.
- Información sobre las transferencias de datos a terceros países (si procede).
- Información sobre la elaboración de perfiles para la toma de decisiones automatizadas (si procede).
- Período de conservación de las cookies.
En el aviso de cookies deberá incluirse un enlace a la política de cookies. De acuerdo a la guía de cookies, la información siempre debe ser clara y concisa, redactada en un lenguaje comprensible, especialmente si el público objetivo del sitio o aplicación son menores de edad y menores de 14 años.
Cómo decíamos más arriba, para poder instalar las cookies no exceptuadas en el navegador de los usuarios, es necesario recabar su consentimiento explícito para ello, es decir, a través de una acción afirmativa por parte de este, siendo lo más habitual (y recomendado) habilitar un botón de «Acepto» en el banner de cookies.
Asimismo, debemos asegurarnos que el plugin, CMP (plataforma de gestión del consentimiento) o cualquier otro medio que estemos usando para recabar el consentimiento de uso de cookies, bloqueé la instalación de las mismas hasta que el usuario las acepte.
Cabe señalar que no ya es lícita la fórmula de «aceptar cookies al seguir navegando» ni el uso de muros de cookies que impidan, sin alternativa, el uso de una web o aplicación, si no se aceptan las cookies.
En cuanto al texto para solicitar el consentimiento de cookies, no hay una fórmula oficial o estandarizada, dejando cierta libertad a los titulares o editores del sitio decidir cómo presentar este texto.
Lo habitual es que se recurra a un texto breve, que informe con carácter general del uso de cookies y su finalidad, y habilitar dos o tres botones: «Aceptar todas las cookies», «Rechazar todas las cookies» y «Configurar cookies», para que los usuarios puedan dar o no su consentimiento o elegir qué cookies permiten que se usen (puesto que el consentimiento debe ser granular en función de la finalidad de las cookies, por ejemplo, un usuario puede aceptar el uso de cookies analíticas, pero no el uso de cookies publicitarias).
Cabe señalar que actualmente, la forma correcta para el banner de cookies debe mostrar dos botones, el de aceptar y rechazar todas las cookies, sin resaltar uno sobre el otro, como podéis ver en el ejemplo:
Ejemplo de aviso de cookies para recabar el consentimiento
Añadir el tercer botón de configurar cookies es opcional, si bien es recomendable incluirlo, porque se le da al usuario un mayor control sobre sus datos.
Asimismo, cabe recordar que el consentimiento del uso de cookies y la política de cookies deben estar separados claramente de la aceptación de términos y condiciones de la web o aplicación.
Es posible que si el editor o titular tiene más de un sitio web, deberá informar si el consentimiento dados para las cookies también es para esas otras páginas web (algo permitido por la normativa, siempre y cuando las características y la finalidad de las cookies sean similares).
Para poder probar que se ha obtenido el consentimiento para el uso de cookies, ese consentimiento deberá quedar registrado (también debe registrarse su revocación). Para hacer el registro del consentimiento de cookies, la mejor opción es utilizar un CMP o un plugin que disponga de esta función.
Recordad que el RGPD exige que los responsables del tratamiento sean proactivos y, por tanto, puedan probar que cumplen con las obligaciones del mismo. En lo que al consentimiento respecta, esto implica ser capaces de demostrar que se obtuvo para realizar el tratamiento de datos (el uso de cookies es un tratamiento de datos personales).
Por su parte, la LSSI también requiere del consentimiento para el uso de cookies, tal y como se establece en su artículo 22.2 (señalar que en esta ley, las cookies están dentro del término «dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios»).
La gestión del consentimiento de cookies también implica su revocación. Es decir, que deberemos facilitar a los usuarios una forma sencilla para revocar el consentimiento que dieron para el uso de cookies. Para ello informaremos en la política de cookies de cómo pueden retirar el consentimiento dado, así como eliminar las cookies de su navegador o activar la función do not track del navegador para evitar las cookies de seguimiento.
Se puede facilitar la revocación del consentimiento de cookies insertando un enlace que permita la gestión o configuración de las cookies en la página web, por ejemplo.
Finalmente, si bien, una vez obtenido el consentimiento para las cookies, no será necesario volver a recabarlo cada vez que el usuario visite la web o use la aplicación, si se produjeran cambios en la finalidad de las cookies o se emplearán cookies de otro titular, sí que sería necesario tanto actualizar la política de cookies como recabar nuevamente el consentimiento de cookies de los usuarios.
Asimismo, la AEPD recomienda que la validez del consentimiento de cookies no tenga una duración superior a 24 meses (hay cookies que tienen duraciones superiores), por lo que expirado ese plazo, debería volverse a recabar el consentimiento.
Sí, hay cookies exentas de consentimiento. Más arriba hemos hablado de las cookies no exceptuadas, de lo que se desprende que hay también cookies exceptuadas o exentas de consentimiento. Estas cookies son las denominadas cookies técnicas o funcionales y son aquellas que se entienden como necesarias para que el sitio online funcione adecuadamente, así como las que se encargan de recordar nuestras preferencias de idioma o tamaño de pantalla o de mantener los artículos en el carro de compra en un ecommerce.
Para estas cookies el consentimiento explícito de los usuarios no es necesario y pueden habilitarse sin él. Ahora bien, lo que sí sigue siendo obligatorio es informar sobre su finalidad y titularidad en la política de cookies.
No cumplir con las obligaciones que hemos descrito más arriba y gestionar de forma inadecuada el consentimiento de cookies es motivo de sanción por parte de la AEPD.
Las sanciones por incumplimiento de la ley de cookies están establecidas en la LSSI y su cuantía oscila entre los 3.000 y los 300.000 euros, en función de la gravedad, la duración en el tiempo y los datos personales afectados.
Cabe señalar que entre los motivos habituales de sanción por cookies está no identificar la finalidad de las cookies claramente, instalar cookies sin el consentimiento del usuario o mantener activas las cookies rechazadas por el usuario.
Os dejamos dos ejemplos de multas recientes por gestión inadecuada de las cookies:
- Multa al diario La Vanguardia con 10.000 euros por falta de transparencia y mala gestión del consentimiento de cookies no técnicas o necesarias.
- Multa SEAT de 20.000 euros por instalación de cookies no esenciales en el navegador del usuario sin su consentimiento.
| Requisito | Descripción | Cumple (SI/NO) |
|---|---|---|
| Aviso de cookies | Mostrar un banner con la finalidad y tipos de cookies utilizadas; incluir un enlace a la política de cookies. | |
| Política de cookies | Página dependiente del dominio principal donde se detalla toda la información respecto a las cookies que usa la web. | |
| Consentimiento |
|
|
| Registro del consentimiento | Se usa un sistema para registrar y almacenar el consentimiento otorgado por los usuarios. | |
| Revocación / Modificación | Los usuarios pueden revocar o modificar el consentimiento de cookies de forma sencilla. | |
| Actualización del consentimiento | El aviso de cookies vuelve a aparecer expirado el plazo de duración de las cookies o tras cambios significativos |
Preguntas frecuentes
Si los usuarios no dan su consentimiento explícito para el uso de cookies en tu sitio web, debes asegurarte de que esas cookies no se instalan en su navegador, utilizando, cómo ya dijimos más arriba, plugins de cookies que cuenten con esa característica.
Usar cookies sin el consentimiento de los usuarios es motivo de sanción, ya que es una vulneración del artículo 22.2 de la LSSI.
Sí, actualmente es obligatorio que aparezca un botón para rechazar todas las cookies, de la misma manera que existe uno para aceptarlas todas.
Cabe señalar, no obstante, que la configuración de cookies no es obligatoria, es decir, que no es necesario habilitar un botón para configurar las cookies de forma individual (aunque sí se recomienda tenerlo), puesto que está permitido aceptarlas o rechazarlas todas en bloque.
Se debe solicitar nuevamente el consentimiento de cookies:
- Cada vez que expire el plazo de duración de la cookie (la AEPD recomienda que la duración de las cookies no sea superior a 24 meses).
- Cuando cambie la finalidad de las cookies.
- Cuando se implementen nuevas cookies.
Gracias al software de gestión de protección de datos de Atico34, podrás tener un control total sobre las cookies que utiliza tu página web; podrás tener una lista de las cookies, su titular y su finalidad, así como su plazo de duración, de manera que podrás informar a tus usuarios sobre ellas en la política de cookies de la web, que te ayudamos a confeccionar de manera completamente personalizada.
Además, ante cualquier duda que tengas sobre el uso y el consentimiento de cookies, nuestro equipo de expertos te ayudará a solucionarla en el momento. No lo dudes y solicita más información.
