En Julio de este año la Agencia Española de Protección de Datos, la AEPD, actualizó su “Guía sobre el uso de las cookies” para adaptarla a las Directrices sobre consentimiento modificadas en mayo de 2020 por el Comité Europeo de Protección de Datos (CEPD).
Esta actualización trae cambios muy importantes en los avisos de cookies de las páginas web, que hacen que la mayoría de los aviso y plugins actuales que los producen no sean válidos. Os contamos dichos cambios.
PD: sólo para ponernos en contexto, en el 2019 se sancionó a Vueling con 30.000€ por obligar a los usuarios a aceptar las cookies.
Obligaciones de la nueva actualización de la Guía sobre el uso de las Cookies.
Si no queréis leer el resto del artículo, esto es con lo que tenéis que quedaros. Los cambios más relevantes son:
- “Seguir navegando” no puede considerarse una aceptación de las cookies. Tampoco consultar la segunda capa ni acceder a las preferencias. El usuario debe aceptar las cookies activamente.
- “Muros de cookies“. Se llamaban muros de cookies a los avisos que salían en una web y que te decían que o aceptabas las cookies o no podías seguir navegando. Si lo hacías, se suponía que las aceptabas, si no, no tenías acceso al contenido. Sin opción.
Esto ya no es válido. “no podrán utilizarse los denominados “muros de cookies” que no ofrezcan una alternativa al consentimiento“. Hay que dar opciones al usuario para entrar sin unas u otras cookies (o sin cookies).
En algunos supuestos, se puede impedir el acceso al contenido si no se aceptan las cookies si se informa y se da una alternativa “genuinamente equivalentes” y “no será válido que el servicio equivalente lo ofrezca una entidad ajena al editor“. - Debemos separar la política de cookies de las páginas de política de privacidad y aviso legal. No puede incluirse en ellas. Y tanto la política de cookies como la configuración (pueden estar juntas), deben estar accesibles en todo momento.
- Debe existir una forma de aceptar o no cookies en grupo de manera granular. Es decir seleccionarlas agrupadas, como mínimo, por funcionalidad. El usuario tiene que poder elegir qué grupo de cookies aceptar.
- Obviamente sólo puede estar premarcada la opción de cookies técnicas. El usuario tiene que, activamente, elegir las otras (o elegir “Aceptar todas” o configurarlo a su gusto).
- Todo esto debe estar activo desde el 31 de Octubre del 2020.
Hay por lo tanto que:
Aplicar información por capas.
Esto se refiere a informar al cliente por niveles. Una primera capa que el cliente ve al acceder a la página (el famoso aviso de cookies) con un resumen. Y una segunda capa, a la que el cliente puede acceder (normalmente la página de cookies) donde viene toda la información de manera detallada.
Información en la primera capa.
- Identificación del editor responsable del sitio web.
- Identificación de las finalidades de las cookies que se utilizarán.
- Información sobre si las cookies son propias o también de terceros asociados a él.
- Información genérica sobre el tipo de datos que se van a recopilar.
- Modo en el que el usuario puede aceptar, configurar y rechazar la utilización de cookies.
Será necesario que la información de la primera capa se complete con un sistema o panel de configuración en el que el usuario pueda optar entre aceptar o no las cookies de forma granular. Es decir tenemos que dejar al usuario configurar las cookies.
No se aceptan casillas premarcadas de aceptación. - Un enlace claramente visible dirigido a una segunda capa informativa en la que se incluya una información más detallada. La configuración puede estar en la segunda capa mientras no tenga que navegar para llegar a ella.
La AEPD deja algunos ejemplos válidos para que entendamos las opciones.
Esta opción es válida porque:
– SI no se pincha en Aceptar no se aceptan las cookies. Requiere una aceptación activa.
– Tiene una segunda capa con más información y configuración de las mismas.
– Rechazar las cookies las rechaza pero permite acceso al contenido.
De nuevo esta primera capa es válida porque:
– Se pueden aceptar pinchando en Aceptar (hasta entonces no se cargan).
– Hay acceso a una segunda capa con más información.
– Hay acceso a un apartado para configurarlas o rechazarlas y, de nuevo, esto no impide el uso de la página.
Otra opción válida, por las mismas razones, es la siguiente:
En la configuración de las cookies permiten algo de flexibilidad pero con las siguientes indicaciones:
- Como mínimo habría que agruparlas por finalidad (analíticas, publicitarias etc). No indican los grupos, lo dejan a elección del dueño de la web. Sería válido, por ejemplo, dejar al usuario aceptar cookies publicitarias de una empresa y no de otra.
Recordemos que, según su finalidad, las cookies pueden ser: técnicas, de preferencias o personalización, de análisis o medición, de publicidad. - Las cookies de terceros sólo hay que identificarlas con nombre y marca.
- No se debe hacer al usuario que selecciones cookie por cookie. Se deben agrupar.
Información en la segunda capa.
En la famosa política de cookies debe espeficiarse:
- Definición y función genérica de las cookies.
- Información sobre el tipo de cookies que se utilizan y su finalidad.
- Identificación de quién utiliza las cookies (es decir si la información de las cookies también las comparten terceros).
- Información sobre la forma de aceptar, denegar o revocar el consentimiento para el uso de cookies.
Es conveniente además, incluir la forma de eliminar las cookies a través de las herramientas del navegador. - Si se elaboran perfiles de manera automatizada, hay que informar al usuario de la lógica utilizada para ello.
- En su caso, información sobre las transferencias de datos a terceros países realizadas por el editor.
- Periodo de conservación de los datos.
- Para cualquier otra información puede derivarse al usuario a la política de privacidad.
Todo esto de manera clara, concisa, sencilla y de fácil acceso. La política de cookies debe ser accesible en todo momento, y la configuración del usuario de las mismas también.
La política de cookies debe estar separada del resto de avisos legales, política de privacidad etc. No puede estar en la misma página.
Se recomienda que el consentimiento no se guarde más de 24 meses, y que el usuario debe poder retirar dicho consentimiento cuando desee de manera sencilla. Debemos informarle sobre cómo hacerlo.
Las cookies técnicas no requieren aceptación siempre y cuando su uso sea para el uso de la navegación en la página, usar sus funciones y servicios (compras, sesión etc), sean de seguridad, video, sonido…y no tengan también uso publicitario.
En sucesivos artículos recomendaremos plugins para los diferentes CMS que permitan adaptarse a estos cambios.