¿Cómo influye la entrada en aplicación del RGPD en la normativa sobre cookies?

Con la entrada en aplicación del RGPD (Reglamento General de Protección de Datos), se deben de tener en cuenta una serie de cambios; que afectan a la forma en que se debe de aplicar la normativa sobre cookies.

A continuación, procederemos a efectuar un breve resumen de los cambios más significativos:

(I) Nuevo RGPD – Información por capas.

En el nuevo RGPD, el formato de información por capas se continúa considerando válido.

¿Qué información es necesario establecer en cada una de las capas?

En la primera capa también denominada “aviso de cookies” o “banner informativo” es necesario:

• Identificar al titular de la página web que utiliza las cookies e informar, en su caso, si se utilizan cookies de terceros. Los terceros cuyas cookies se vayan a utilizar; deberán ser debidamente identificados por su marca o nombre comercial, uno por uno, en la segunda capa de información:
• Informar de forma clara y explícita sobre las finalidades para las que usan las cookies como, por ejemplo: finalidades analíticas, publicitarias o, en su caso, para la elaboración de perfiles.
• Informar explícitamente, en su caso, de que se monitorizan los hábitos de navegación de los usuarios.
  A este respecto, cabe poner de manifiesto; que no deben utilizarse expresiones que desvirtúen la claridad del aviso contenido en esta primera capa.

(II) El consentimiento.

Nuevo RGPD (Reglamento General de Protección de Datos). Se determina, que continúa siendo válida la fórmula habitual de “seguir navegando”; siempre que se refuercen los mecanismos para la toma de decisiones sobre las cookies. Como mecanismos para permitir una mayor capacidad de decisión sobre la instalación o no de cookies; la AEPD plantea dos opciones, a modo de ejemplo, a incluir en la primera capa:

• Un botón (o mecanismo que se asemeje) para aceptar todas las cookies, otro para rechazarlas y un tercero para configurarlas (este último botón podría ser también un enlace dentro del texto de la primera capa, que permitiría acceder a un panel de configuración en el que el usuario podría optar entre habilitar o no las cookies de forma granular); y
• Un botón para aceptar todas las cookies y otro para configurarlas, informando en esta primera capa que la opción de configurar las cookies sirve también para rechazarlas.

Es muy importante remarcar que: NO se considera válido incluir en la primera capa un botón de “Aceptar”; e informar de que si el usuario sigue navegando, se entiende que acepta las cookies. Y ello debido a que la inclusión del botón y la información de “seguir navegando”, son incompatibles, puesto que inducen a error en la manifestación del consentimiento. Asimismo, se establece que el hecho de que el usuario acceda a la segunda capa; a través de las opciones establecidas en la primera capa, para informarse sobre las cookies o para gestionarlas a través del panel de configuración (global o granularmente), no puede considerarse como prestación de consentimiento basado en la acción de “seguir navegando”.

(III) Panel de configuración.

Nuevo RGPD. Se debe incluir en la segunda capa un panel de configuración de cookies; y el usuario debe tener acceso directo al mismo desde la primera capa, a través de un botón o enlace, sin que tenga que navegar dentro de la segunda capa para localizarlo.

Para facilitar la configuración de las cookies, debe incluirse en el panel un botón que permita habilitar las cookies y otro para deshabilitarlas todas; siendo esta opción recomendable cuanto mayor sea el número cookies que se utilicen.

El grado de granularidad a la hora de permitir la selección de cookies debe ser valorado por el editor del sitio web. En principio:

• Como mínimo deben agruparse las cookies por su finalidad (por ejemplo, el usuario debería poder elegir habilitar por separado las cookies analíticas de las publicitarias); y
• Dentro de cada finalidad, y a elección del editor del sitio web, pueden agruparse las cookies en función de la empresa o tercero que las instala.

No obstante, también es importante tener en consideración; que debe evitarse llevar la granularidad a su máxima expresión (selección cookie a cookie), ya que el exceso de información dificulta la toma de decisiones.

(IV) Cookies de terceros.

Nuevo RGPD. Por lo que confiere a las cookies instaladas por otras empresas, cuando el usuario accede a la web; además de informar de ello de forma genérica en la primera capa, es necesario identificar a cada una de las empresas por su nombre o marca comercial, y no por la denominación social completa.

Fuentes:

• adigital: “Novedades sobre la regulación de las cookies“
• Agencia española de protección de datos: “10ª sesión anual abierta de la AEPD”

Si aún no ha adaptado su web al RGPD, contacte con nuestro Departamento TIC: