El pasado mes de noviembre, la AEPD publicaba por primera vez desde hacía varios años una nueva Guía de Cookies. Una de las grandes incógnitas que más quebraderos de cabeza había generado hasta entonces era si la AEPD aceptaría, bajo el RGPD, la opción de "seguir navegando" como vía para obtener el consentimiento.

Por aquel entonces la AEPD confirmaba la validez de dicha fórmula. Sin embargo, esta ilusión no ha durado mucho "tras las aclaraciones realizadas por el CEPD, sobre la condicionalidad del consentimiento y el consentimiento inequívoco, en sus Directrices 05/2020". En consecuencia, la AEPD ha revisado y actualizado hace unos días la Guía de Cookies (la "Guía"), quedando dicha fórmula invalidada.

Aprovechando el cambio de criterio, destacamos a continuación los aspectos más interesantes de la Guía y de la situación actual de las cookies en España:

Consentimiento

Se invalida el "seguir navegando". La AEPD, tomando como referencia las mencionadas Directrices 05/2020 del CEPD (disponibles aquí, en inglés), reconoce que la opción de "seguir navegando" no puede considerarse como una clara acción afirmativa.

Por lo tanto, acciones como usar la barra de desplazamiento o navegar por el sitio web ya no pueden hacer las veces del consentimiento.

La AEPD aclara que:

• Los muros de cookies (cookie walls) no pueden utilizarse salvo que el editor ofrezca una alternativa al consentimiento; y
• Los accesos al sitio web pueden estar condicionados al consentimiento a las cookies siempre y cuando: (i) los usuarios sean informados y (ii) exista una alternativa a los servicios/sitio web para aquellos usuarios que no aceptan las cookies. Dicha alternativa debe ser "genuinamente equivalente, y además no será válido que el servicio equivalente lo ofrezca una entidad ajena al editor".

Deberes de información

La Guía identifica sobre qué se debe informar a los usuarios en relación con las cookies (con numerosos ejemplos al respecto):

Transparencia

La Guía recalca la importancia de usar un lenguaje sencillo y rechaza el uso de frases que induzcan a error o sean ambiguas:

“No serían válidas, por ejemplo, frases como “usamos cookies para personalizar su contenido y crear una mejor experiencia para usted” o “para mejorar su navegación”, o frases como “podemos utilizar sus datos personales para ofrecer servicios personalizados” para referirse a cookies publicitarias comportamentales. También deben evitarse términos como “puede”, “podría”, “algún”, “a menudo”, y “posible””.

Además, la información debe ser de fácil y permanente acceso en caso de la segunda capa. La Guía también analiza otras formas de cumplir con este deber de información (e.g., informando al solicitar el alta en un servicio).

Tipos de cookies

•  Cookies exceptuadas. La Guía se refiere a las cookies exceptuadas del ámbito de aplicación del 22.2 LSSI y sobre las que no es necesario informar ni obtener el consentimiento. Dicho esto, y por motivos de transparencia, la AEPD recomienda informar de su uso “al menos con carácter genérico”; y
• Tipología de cookies. Se definen las cookies y se diferencian según quién las gestione (propias / terceros); su finalidad (técnicas / preferencias o personalización / análisis o medición / publicidad comportamental); y el plazo de tiempo que permanecen activadas (de sesión / persistentes).

Responsabilidad de las partes involucradas en las cookies

Es interesante en este punto cómo la AEPD señala la figura no solo del encargado del tratamiento, sino del corresponsable.

Procesos de publicidad programática

Se incluye un interesante Anexo identificando a los principales intervinientes en estos procesos.

Finalmente, y dadas las implicaciones prácticas que los nuevos criterios de la Guía presenta para las empresas, la AEPD ha otorgado un periodo de "gracia" de tres meses (hasta el 31 de octubre) para que éstas adapten su página web, apps, etc., con respecto a los nuevos criterios relativos al consentimiento.

Escrito por Santiago de Ampuero y Víctor Mella