El objetivo de la presente nota es informar sobre las claves de la primera resolución sancionadora (PS/32/2020, de 16 de octubre) impuesta a una entidad española por una cuantía de 30.000€, que, aunque aún basada en la guía de cookies de la AEPD de noviembre 2019, debe ser tenida en cuenta por cualquier editor de un sitio web dirigido a un público residente en España, en aplicación de la Guía de Cookies actualizada con fecha 28 de julio de 2020, y cuyo plazo de cumplimiento de los requisitos finalizó el pasado 31 de octubre.

• Otorgar el consentimiento debe ser tan sencillo como no hacerlo

En la citada Resolución, la AEPD señala con respecto a la configuración de las cookies de la entidad sancionada, que «si no se pulsa el botón de “aceptar” o el botón de “configuración de cookies”, no se permite seguir navegando, con lo que no se da la opción al usuario de rechazar el uso de cookies».

La AEPD parece sugerir, con este razonamiento, que el hecho de que el usuario no pueda seguir navegando sin realizar una acción específica en cualquier sentido –esto es, aceptarlas, configurarlas o rechazarlas expresamente– implica de facto que no se está dando a dicho usuario la posibilidad de rechazar el uso de cookies.

Esta afirmación es discutible, pues en el caso analizado la entidad sancionada incluía en su banner un botón de aceptación y un enlace a un panel de configuración en el que sí se permitía no solamente configurar las cookies y aceptarlas o rechazarlas de manera granular. Por tanto, el usuario efectivamente contaba con la posibilidad de rechazar las cookies, por mucho que no pudiese seguir navegando hasta que no especificara si las aceptaba o si prefería rechazar todas o algunas de ellas a través del configurador.

En esta línea, la configuración de las cookies, así como el modelo de rechazo de las mismas provisto por la sancionada en este procedimiento, tiene determinadas similitudes con ejemplos propuestos en la Guía sobre el uso de Cookies publicado en el mes de julio del 2020, por lo que en todo caso, esta resolución de la AEPD debe entenderse desde un análisis del caso concreto y no deberían generalizarse sus conclusiones para todos los supuestos.

En cualquier caso, esta resolución recuerda que, además de la obtención válida del consentimiento, el requisito de que resulte igual de fácil otorgar dicho consentimiento que retirarlo –o, más bien, que no otorgarlo– es fundamental, siendo su postura o interpretación hasta la fecha la más garantista para cumplir estos requisitos.

En este sentido, y a efectos clarificadores, la siguiente tabla sintetiza las diferentes opciones que la AEPD considera válidas y que ha ido incorporando como ejemplos en cada una de sus guías para que se cumpla este requisito mediante la primera capa y el panel configurador:

 

Guía sobre el uso de cookies de noviembre de 2019		Guía sobre el uso de cookies de julio de 2020
Banner	Panel de configuración	Banner	Panel de configuración
1. Incluir botones de «Aceptar cookies» y «Rechazar cookies» en el banner, y enlace a panel de configuración para configurar.	En el panel podrán implementarse dos botones, uno para aceptar todas las cookies y otro para rechazarlas todas, siendo esta opción recomendable cuanto mayor sea el número de consentimientos granulares solicitados.	1. Incluir botones de «Aceptar cookies» y «Rechazar cookie» en el banner, y enlace a panel de configuración para configurar.	En el panel podrán implementarse dos botones, uno para aceptar todas las cookies y otro para rechazarlas todas, siendo esta opción recomendable cuanto mayor sea el número de consentimientos solicitados.
2. Incluir botón de «Aceptar» y enlace a panel de configuración en el banner para configurar o rechazar.		2. Incluir botón de «Aceptar» y enlace a panel de configuración en el banner para configurar o rechazar.	Deberá incluirse en el panel un botón para rechazar todas las cookies, bien: (a) Incluyendo un botón de «Rechazar todas las cookies», o (b) Un botón para guardar la elección realizada, siempre que se indique expresamente que, si el usuario guarda su elección sin haber seleccionado ninguna cookie, equivaldrá al rechazo de todas.
3. Incluir en el banner un aviso especificando que seguir navegando implica la aceptación de las cookies, y enlace al panel de configuración para aceptar o rechazar.	En este caso, en el panel debe incluirse un botón para rechazar todas.	3. Incluir botones de «Configurar» y «Aceptar» en el banner.

 

En todos los ejemplos anteriores, como se indica posteriormente, el banner debe incluir además el debido enlace a la segunda capa donde el usuario tenga disponible toda la información sobre cookies.

• Las cookies de terceros deben ser identificadas

La AEPD especifica que el editor debe identificar en la segunda capa de información las cookies de terceros empleadas, así como los plazos de conservación de las mismas.

A pesar de que la AEPD no desarrolla en profundidad el alcance de este requisito, y considerando que la Guía sobre el uso de cookies establece que será suficiente con identificarlas por la marca con la que se identifican de cara al público, se genera la duda de si es necesario facilitar el nombre de cada cookie, así como el plazo de conservación de la misma, en lugar del nombre del proveedor y el plazo máximo con el que se utilizará el conjunto de cookies de dicho proveedor, especialmente para los casos en los que se utilice un mayor número de cookies, evitando así la denominada fatiga informativa.

Vista la Resolución, una opción recomendable para la información en segunda capa podría ser el uso de información resumida junto a desplegables que permitan la visualización de todas las cookies solo en los casos en los que el usuario tenga interés en conocerlas.

No obstante, y conforme indicado, un exceso de detalle en esta información pone en riesgo, no sólo la mencionada fatiga informativa, sino además y más importante, la veracidad o actualización de toda la información, cuestión esta que es posible mitigar mediante el uso de configuradores que entre sus funcionalidades incluyen el escaneo de las cookies utilizadas en cada momento e informen de las mismas. En estos casos, podría sustituirse el desplegable mencionado por un botón que permita abrir de nuevo el configurador en donde constaría toda la información requerida convenientemente actualizada.

• Debe evitarse que el configurador sea percibido como una segunda capa

La AEPD analiza los requisitos de la segunda capa tanto en la información facilitada a través del configurador como en la información de la política de cookies. En este sentido, hay que tener en cuenta que en una segunda capa deben facilitarse todos los detalles a los que obliga el RGPD, así como los que recomienda la AEPD en su guía. En caso de que a través del configurador se vaya a ofrecer información adicional, debe quedar claro a través del mismo que no se pretende recoger toda la información de segunda capa, debiendo facilitarse, en todos los casos, enlace a la política de cookies completa o segunda capa.

• Otras cuestiones a tener en cuenta

A pesar de no constituir una novedad en tanto la guía de la AEPD ya preveía estos requisitos, debemos hacer hincapié en aquellos que han sido tenidos especialmente en consideración por la AEPD en la Resolución sancionadora analizada, y que por tanto, han de ser tenidos en cuenta por las entidades en la regulación de las cookies en sus páginas web, , Apps, y demás plataformas electrónicas que utilice este tipo de dispositivos:

• Las cookies no deben instalarse por el mero hecho de acceder al sitio web, sino que deben implementarse los medios técnicos necesarios para que las mismas únicamente se instalen en caso de que el usuario haya prestado su consentimiento;
• Debe evitarse el uso de la expresión «utilizamos cookies para mejorar su experiencia de usuario», ya que no define las finalidades para las que se utilizará la información recabada y por tanto no aporta información de valor;
• En caso de utilizar cookies con fines de publicidad comportamental, deben indicarse los datos empleados, p. ej., «utilizamos sus datos de navegación (contenidos visualizados y clics para mostrarle publicidad personalizada»;
• Es necesario informar en la primera capa de si las cookies empleadas son propias y/o de terceros.

__________________

Área IT, Privacidad y Seguridad

+ 34 91 781 61 60

info@ecija.com