La Agencia Española de Protección de Datos (en adelante, la “AEPD”) ha publicado una nueva “Guía sobre el Uso de las Cookies [1]” (en adelante, “Guía”) adaptada a la normativa vigente en materia de protección de datos.

El objetivo de la Guía es ofrecer a los prestadores de servicios de la sociedad de la información orientaciones sobre cómo utilizar los dispositivos de almacenamiento y recuperación de datos en equipos terminales de los usuarios cumpliendo con las obligaciones previstas en la legislación vigente y, en concreto, con:

• La Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico (en adelante, la “LSSI”). En especial, el apartado segundo del artículo 22.

•  El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, “RGPD”).

• La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”).  

Las orientaciones recogidas en la Guía se pueden clasificar en dos grandes bloques, correspondientes cada uno a las principales obligaciones que debe cumplir el prestador del servicio.  Estas obligaciones son:

Transparencia

La AEPD analiza la información que debe proporcionarse a los usuarios:

(i) Definición y función de las cookies, tipo de cookies que se utilizan y su finalidad.

(ii) Identificación de quién utiliza las cookies.

(iii) Información sobre la forma de aceptar, denegar, revocar el consentimiento o eliminar las cookies.

(iv) Información sobre las transferencias internaciones de datos.

(v) Información sobre la lógica utilizada cuando se elaboren perfiles que impliquen la toma de decisiones automatizadas.

(vi) Período de conservaciones de los datos.

Asimismo, la AEPD establece que la información ha de ser de fácil acceso y debe ser concisa, transparente e inteligible, utilizándose un lenguaje claro y sencillo, evitando el uso de frases que induzcan a confusión o desvirtúen la claridad del mensaje.

La Guía recomienda que la información se facilite a través de declaraciones o avisos de privacidad por niveles, es decir, que contengan la información en capas, de modo que se permita al usuario ir a aquellos aspectos de la declaración o aviso que sean de mayor interés para él.

Consentimiento

La Guía establece que el consentimiento podrá obtenerse mediante fórmulas expresas, como haciendo clic en un apartado que indique “consiento”, “acepto”, u otros términos similares. Además, la AEPD también admite recabar el consentimiento infiriéndolo de una inequívoca acción realizada por el usuario. Esta opción, dentro de la que se enmarca el aviso comúnmente conocido como “seguir navegando”, resulta por tanto una fórmula válida para obtener el consentimiento tras haber informado de ello.

La AEPD establece que, para recabar el consentimiento a través de una acción inequívoca del usuario, será necesario que este realice una acción que pueda calificarse como una clara acción afirmativa. La Guía indica como ejemplos de ello las acciones de navegar a una sección distinta del sitio web, deslizar la barra de desplazamiento, cerrar el aviso de la primera capa o pulsar sobre algún contenido del servicio.

Sin perjuicio de lo anterior, en esta última opción el prestador de servicios debe cumplir también con la obligación de información. En tales casos, la primera capa (que será el aviso de “seguir navegando”) se debe completar con un sistema panel de configuración en el que el usuario pueda optar entre aceptar o no las cookies de forma granular (puede integrarse tanto en la primera capa como en la segunda) y, además, se deberá incluir un botón para rechazar todas las cookies para respetar el requisito de que sea tan fácil retirar el consentimiento como darlo.

Por otro lado, resulta también de interés la inclusión en la Guía de un apartado sobre “consentimiento de menores de 14 años” para los casos de sitios web o servicios en línea específicamente dirigidos a menores.

Ramón y Cajal Abogados, con motivo de la publicación de la Guía, ha analizado las principales sanciones de la AEPD en relación con el uso de cookies desde el año 2015 hasta la actualidad. Puede consultar dicho documento pinchando aquí [2]