Black Friday: un momento ideal para recordar la importancia de las cookies

El Black Friday ha venido para quedarse. Esta mini temporada rebajas con una duración de, en teoría, un día y, en la práctica, no menos de siete, cuando no todo el mes de noviembre, parece haber arraigado con fuerza entre los consumidores españoles. No es de extrañar porque a los descuentos, no siempre tan suculentos como parecen, se unen las facilidades de un comercio electrónico que en estas fechas, tan cercanas a las navidades, se convierten en una herramienta utilísima para adquirir regalos familiares a muy buen precio.

Ese uso “intensivo” de las webs de compras provocan no pocos problemas, unas veces por inadvertencia, otras por la precipitación de no perder la oferta de ultimísima hora. El consumidor no es consciente de la gran cantidad de datos de carácter personal que se facilitan en esas transacciones. En otra ocasión nos ocuparemos de la seguridad general de estas compras, pero hay un aspecto nada desdeñable del que no todos los consumidores son conscientes. Al realizar muchas compras y muchas más consultas, estamos facilitando información sobre gustos, tendencias, preferencias, regalos, etc. Y todo eso se puede almacenar en las “galletas de memoria”, las cookies que “pueblan” el universo Internet a modo de polvo cósmico que, si no te tiene cuidado, se adhiere a nuestra navegación y lo vamos arrastrando de tienda en tienda, incrementando, además, el número ante cada visita.

Pero, ¿qué son las cookies? Esta es una cuestión que no por sabida no deja de ser conocida de forma difusa. Las cookies son ciertos dispositivos que permiten almacenar y recuperar datos cedidos por los usuarios a través de sus equipos cuando visitan diferentes sitios web o simplemente navegan en la red. Esto quiere decir que, a través de una cookie, pueden llegar a tratarse datos personales.

Hablamos de supuestos en los que un usuario que navega por Internet introduce un nombre o una dirección de correo electrónico para poder acceder a los servicios que ofrece una determinada página web o aplicación. Al hacerlo, se instalan una o varias cookies en su ordenador que almacenan los datos del usuario, de manera que la próxima vez que acceda a este mismo sitio, no tendrá que volver a introducirlos.

Esta especie de “recordatorios” constituye uno de los métodos más empleados en la publicidad online, cuyas cifras subieron un 9,1% en 2018, dados los beneficios y comodidades que reportan a los consumidores, al permitirles conocer toda información sobre los productos que desean, y adquirirlos de forma rápida y sencilla.

En este marco, la Agencia Española de Protección de Datos (AEPD) ha considerado prioritario el cumplimiento de las obligaciones -de transparencia y de obtención del consentimiento- que el legislador impone a las empresas que ofrecen sus servicios en la red, proporcionando pautas y consejos para ayudar a las mismas en esta laboriosa tarea, y para hacerles conscientes, de su nivel de responsabilidad cuando utilicen cookies, que dependerá de su grado de implicación en el tratamiento concreto. Por eso la AEPD ha publicado recientemente una Guía sobre el uso de cookies, para facilitar el cumplimiento de las nuevas exigencias legales por parte de los proveedores de servicios de la sociedad de la información.

¿Cómo se regulan las cookies?

La Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) sostiene que siempre que se traten datos personales a través de una cookie, se debe informar al usuario, y aclara en su artículo 22.2, -con ayuda del Grupo de Trabajo del Artículo 29 (GT29)-, los supuestos en los que no habría obligación de recabar el consentimiento del interesado para tal efecto. En este sentido, quedarían fuera de esta obligación las cookies destinadas únicamente a permitir la comunicación entre un usuario y la red, o a prestar un servicio que haya sido solicitado por el usuario. Eso no quiere decir que la información que se da en el supuesto señalado esté totalmente libre de control, almacenamiento y uso.

Respecto al consentimiento, deber ser otorgado de modo libre e informado para ser válido, por lo que debe existir una mínima certeza de que el usuario conocía las condiciones y consecuencias de su consentimiento, y de que su voluntad no era otra que la de otorgarlo. Asimismo, debe poder ser revocado con la misma facilidad con la que se concedió.

Por lo tanto, la justificación de que el consentimiento ha sido otorgado correctamente vendrá dada por la conducta del usuario, debiendo este llevar a cabo una acción positiva, como aceptar o denegar el consentimiento -en el caso de que sea expreso-, o continuar navegando por el sitio web, si es tácito.

Una vez que ha sido otorgado, no será necesario volver a prestarlo cada vez que el usuario visite la web, salvo si las finalidades para las que fue recogido cambian, ya que las condiciones aceptadas por el usuario serán diferentes. La APED, sin embargo, recomienda que el consentimiento no tenga una duración superior a los dos años.

No obstante, aunque no exista obligación de recabar el consentimiento, siempre es recomendable informar al usuario de la utilización de cookies en el sitio web, en aras de la transparencia.

Esta obligación está relacionada con el artículo 13 del Reglamento (UE) 2016/679, de 27 de abril de 2016, de Protección de Datos (RGPD), que regula la información que debe facilitarse al usuario en relación con el tratamiento de sus datos recabados a través de las cookies. Dicha información es la siguiente:

• ¿Qué? Una definición de lo que son las cookies y para qué sirven.
• ¿Cuáles? Las cookies que se utilizan en la web y sus tipos.
• ¿Por y para qué? Las finalidades.
• ¿Cómo? El modo de aceptar o denegar las cookies, o de eliminarlas en el futuro.
• ¿Quién? El sujeto o sujetos que van a tratar la información.
• ¿Cuándo? El plazo durante el cual se van a conservar los datos.
• ¿Dónde? Si se van a realizar transferencias internacionales de datos.
• En su caso, si se produce una elaboración de perfiles y sus consecuencias para el interesado.

Este principio de transparencia no incluye solo la información que debe proporcionarse, sino también la forma en que debe hacerse, teniendo en cuenta los destinatarios de esta y su nivel de conocimiento, para que sea fácilmente comprensible y accesible para todos.

Fiel a sus recomendaciones del pasado, la AEPD y el GT29 aconsejan proporcionar esta información por capas o niveles: una primera capa que incluya los datos más básicos -responsable, finalidades, tipo de cookies utilizadas, tipo de datos tratados, configuración de las cookies y enlace a la segunda capa-, y que figurará en el llamado “Pop-up”, y una segunda que recopile toda la información anteriormente mencionada (la Política de Cookies completa).

Como conclusión, la AEPD ha reflejado una vez más la importancia del deber de información, no solo en el documento de privacidad y protección de datos, sino también en relación con el uso de cookies. En H&A, consideramos que se debe ser aún más estrictos en la redacción de este documento, de cara a informar a los usuarios del modo más completo posible. Por último, queremos recomendar encarecidamente la actualización de todas las Políticas de Cookies que no cumplan con lo establecido en la legislación, atendiendo especialmente a lo incluido en esta Guía.