Menos conocidas por el usuario medio de internet, las denominadas supercookies pueden suponer un riesgo para nuestra privacidad, ¿pero qué es una supercookie exactamente?, ¿es legal el uso de las supercookies?, ¿para qué sirven? En este artículo respondemos a estas y otras cuestiones relativas a las supercookies (o super cookies).
Contenido del artículo
Las supercookies son un identificador único que nos asigna nuestro ISP (proveedor de servicios de internet) y que sirve para rastrearnos mientras navegamos por la Red. En concreto, se trata de un «Encabezado de Identificador Único» o UIDH (por sus siglas en inglés), una pieza de código que funciona como una suerte de matrícula, que permite nuestro seguimiento.
Como veis, aunque se la llama supercookie, en realidad no es una cookie al uso, ya que, cómo veremos más adelante, no se trata de un pequeño archivo que se aloja a en nuestro navegador, sino que es una pieza de código que se nos asocia directamente, asignada por nuestro propio operador de internet y sobre la que no tenemos ningún control.
Cómo ya hemos adelantado, las super cookies en internet sirven para rastrearnos, por lo que su uso más habitual está relacionado con la publicidad, ya que permiten elaborar un perfil de los intereses y hábitos de navegación del usuario.
Con la supercookie se puede saber qué sitios visitamos, cuánto tiempo pasamos en ellos, en qué contenidos nos detenemos y nos resultan de interés, si hemos estado mirando determinados productos en tiendas online, etc. Gracias a esta información se pueden vender espacios de publicidad programática o personalizada a los anunciantes.
Cómo os podéis imaginar, es este uso con fines comerciales, así como lo invasiva que resulta la supercookie, lo que plantea las dudas sobre su legalidad, especialmente teniendo en cuenta la regulación de las cookies en el RGPD y, en España, en lo relativo a la LSSI y las cookies, en concreto sobre el consentimiento explícito y la transparencia.
Aunque estamos ante lo que podríamos catalogar como cookies de terceros, las diferencias entre las supercookies y otros tipos de cookies, como las cookies analíticas o las cookies publicitarias, son evidentes.
Cómo hemos dicho, las supercookies no son cookies al uso y, a diferencia de estas, no se instalan en el navegador del usuario, sino que es una pieza de código que queda asociada al propio usuario. Dependiendo, además, de la clase de supercookie, este código puede alojarse en diferentes partes del dispositivo del usuario (como en la caché o el historial de navegación), lo que impediría su eliminación completa (es lo que se conoce como cookie zombi).
Hablando de eliminación, otra de las diferencias también la encontramos aquí, mientras que al borrar las cookies del navegador, las eliminamos del equipo, no podemos eliminar supercookies de esta forma. Tampoco se eliminan al cerrar sesión, si hemos marcado esta opción en la configuración de nuestro equipo ni podemos evitarlas navegando en modo incógnito.
Además, en este enfrentamiento de supercookies vs. cookies, también juega un papel la legalidad, mientras que el uso de cookies normales, siempre que se cumpla el RGPD y la LSSI, es legal, las supercookies generan más dudas, ya que, cómo veremos en los siguientes puntos, para su uso no se solicita el consentimiento del usuario y lo normal es que se desplieguen sin el conocimiento de este.
Puesto que hablamos de la instalación de un código que funciona como identificador del usuario y que puede usarse para rastrearlo mientras navega por internet, es evidente que estamos ante una invasión de la privacidad, que es también uno de los peligros de las cookies más habituales, pero que con las supercookies parece ir un paso más allá.
La supercookie es, además, un rastreador permanente, que no se elimina al cerrar sesión el navegador ni al apagar el equipo, por lo que en todo momento nuestro ISP puede saber qué sitios visitamos, qué servicios online usamos, cuánto tiempo pasamos en una página web o qué productos han llamado nuestra atención, a qué hora nos conectamos habitualmente, qué páginas visitamos con más frecuencia o qué temas son los que más llaman nuestra atención en la Red.
Toda esa información puede, cómo ya dijimos, usarse para elaborar perfiles de usuarios y venderse con fines comerciales. Es decir, que las supercookies son como las cookies publicitarias, pero supervitaminadas, y sobre las que, además, los usuarios no tenemos ninguna clase de control.
Esta carencia de control se deriva especialmente del hecho de que no sabemos si nuestro ISP nos ha asignado o no una supercookie, porque, a diferencia de las cookies normales, no se nos avisa mediante un banner de cookies si queremos aceptarla o rechazarla, ni tampoco se nos indica cómo podemos revocarla o desactivarla o eliminarla.
Afortunadamente, los navegadores han ido reforzando sus defensas contra las supercookies (por ejemplo, desde la actualización 85, podemos tener un mayor control de las supercookies en Firefox) y estas, además, no funcionan en páginas https.
Dada la invasión de la privacidad que suponen, el cero control que tenemos los usuarios sobre las supercookies y que estas pueden instalarse sin nuestro conocimiento y nuestro consentimiento, es evidente que en lo que respecta al RGPD y la LSSI, el uso de supercookies no es legal.
Distinto sería si, antes de instalar la supercookie, nuestro ISP nos avisa de ello y nos pide el consentimiento para hacerlo, además, en ese proceso nos suministra información clara y comprensible sobre qué es una supercookie, cómo funciona, qué datos va a recopilar y con qué finalidad y si estos serán cedidos a terceros y con qué fines, además de indicar un plazo de duración. Así mismo, también nos ofrece un mecanismo para revocar el consentimiento dado y nos explica, en su caso, cómo podemos eliminar la supercookie. En este supuesto, cabría pensar que la supercookie en cuestión cumple con los requisitos de la normativa vigente.
Encontrar ejemplos de supercookies relativamente legales no es complicado, de hecho, los botones «Me gusta» de Facebook que encontramos en diferentes páginas web, funcionan como supercookies.
Otro ejemplo es la supercookie creada para el servicio Utiq, que operan de manera conjunta las telecos Deutsche Telekom, Orange, Telefónica y Vodafone, y que comenzó su andadura como TrustPid. Este servicio busca crear un perfil publicitario de aquellos usuarios que den su consentimiento para ello, de hecho, funciona de manera muy similar al aviso de cookies, pero utilizando su propio banner, en el que se detallan las condiciones del servicio y se pide el consentimiento para recopilar datos.
Actualmente, solo funciona con líneas de internet móvil que pertenezcan a dichas operadoras y en páginas asociadas, donde nos aparecerá este banner propio. Cabe señalar que por defecto, Utiq está desactivado y que solo se activará si aceptamos su uso, momento en que nuestra operadora nos asignará un identificador digital único, seudonimizado y cifrado. Este identificador irá recopilando los sitios y contenidos que visitamos, para ofrecernos publicidad o contenidos personalizados.
La duración de esta recopilación de datos es de 90 días, por lo que una vez finalizados, se vuelve a solicitar el consentimiento para su uso a través del banner. Así mismo, Utiq permite revocar el consentimiento dado en cualquier página o sitio online en cualquier momento, accediendo a nuestro perfil publicitario desde Utiq Consenthub.
Otra de las características que hacen a Utiq legal de cara al RGPD (de hecho, la Comisión Europea dio luz verde a este proyecto) es que no se recopilan datos personales, más allá de sitios visitados e intereses, que se van añadiendo a ese identificador único. La finalidad de Utiq es dar al usuario un mayor control sobre la creación de su perfil publicitario.
En definitiva, si bien en principio las supercookies no son legales, es posible que si otras empresas siguen los pasos de Utiq, veamos surgir otras supercookies de uso legal de cara al RGPD, especialmente ahora que los navegadores han comenzado a bloquear por defecto las cookies de terceros.
