En este artículo, basado en la "Guía sobre el uso de las cookies" de la Agencia Española de Protección de Datos actualizada en mayo de 2024, hacemos un repaso detallado de las preguntas más frecuentes sobre cookies y de las normativas, obligaciones y mejores prácticas para su uso.
Conceptos Básicos
En primer lugar, analicemos algunas ideas importantes para comprender qué son exactamente las cookies, para qué sirven, qué pasa cuando las aceptamos, qué pasa (o debería pasar) cuando las rechazamos y cómo, en su caso eliminarlas.
¿Qué es una cookie y para qué sirve?
Una cookie es un pequeño archivo de texto que un sitio web almacena en el navegador del usuario cuando éste lo visita. Su principal función es recordar información sobre la visita del usuario, lo que permite mejorar la experiencia de navegación.
Las cookies pueden almacenar datos como preferencias del usuario, información de inicio de sesión y seguimiento del comportamiento del usuario en el sitio web.
¿Qué pasa si acepto el uso de cookies?
Al aceptar el uso de cookies, permites que el sitio web almacene y utilice datos sobre tu comportamiento de navegación.
Esto puede incluir personalizar tu experiencia de usuario, mostrar anuncios más relevantes y facilitar funciones técnicas del sitio web. Aunque aceptar cookies puede mejorar tu experiencia en línea, también implica compartir cierta información personal con el sitio web y sus socios. En algunos casos, resultan imprescindibles para el correcto funcionamiento de una página y/o para ver determinado contenido.
¿Cómo se eliminan las cookies?
Para eliminar cookies, puedes acceder a la configuración de tu navegador y buscar la sección de privacidad o historial. Desde allí, puedes elegir eliminar cookies específicas o borrar todas las cookies almacenadas. Los pasos exactos varían según el navegador que utilices (por ejemplo, Chrome, Firefox, Safari).
Igualmente, cuando un sitio web está correctamente configurado y cuenta con unas Políticas de Cookies en regla, puedes eliminar las cookies, rechazarlas o personalizarlas desde este apartado del sitio web en cuestión.
¿Cómo se personalizan las cookies?
Cuando un sitio web cumple con la normativa vigente en materia de protección de datos, debe ofrecer al usuario opciones claras para aceptar, personalizar o rechazar cookies desde un banner de cookies y una página de política de cookies.
¿Quién "inventó" la idea de las cookies?
Las cookies fueron inventadas en 1994 por Lou Montulli, un programador informático que trabajaba para Netscape Communications Corporation.
Netscape estaba desarrollando uno de los primeros navegadores web comerciales, Netscape Navigator, y necesitaba una solución para implementar una función de carrito de compras en un sitio web de comercio electrónico. La idea era permitir que un sitio web recordara las acciones previas de un usuario, como los artículos añadidos al carrito de compras, incluso después de navegar a diferentes páginas del mismo sitio.
Montulli propuso el concepto de cookies como una forma de almacenar pequeñas cantidades de datos en la computadora del usuario. Este método permitiría que la información se mantuviera disponible durante toda la sesión de navegación, mejorando así la funcionalidad del sitio web y la experiencia del usuario.
Hoy, por ejemplo, son un concepto sino clave, muy importante, para el seguimiento de campañas publicitarias, afiliación, y para el correcto desempeño de muchas funciones web.
La primera implementación de cookies se utilizó en el sitio web de una tienda de repostería en línea llamada "MCI Mail", en 1994. Las cookies permitieron al sitio web recordar el contenido del carrito de compras de los usuarios mientras navegaban por las diferentes secciones de la tienda.
Evolución y Regulación de las Cookies
Desde su invención, las cookies han evolucionado significativamente y se han convertido en una herramienta esencial para una amplia variedad de funciones en la web, incluyendo la autenticación de usuarios, la personalización de contenido, el seguimiento de sesiones y la publicidad dirigida.
Sin embargo, el uso de cookies también ha generado preocupaciones sobre la privacidad de los usuarios. A medida que su uso se expandió, se hicieron evidentes los riesgos asociados con el seguimiento de la actividad en línea de los usuarios sin su consentimiento. Esto llevó a la introducción de regulaciones para proteger la privacidad de los usuarios.
La Unión Europea fue una de las primeras en abordar estas preocupaciones con la Directiva de Privacidad y Comunicaciones Electrónicas, comúnmente conocida como la "Directiva de Cookies", que se adoptó en 2002 y fue revisada en 2009. Esta directiva requiere que los sitios web obtengan el consentimiento informado de los usuarios antes de almacenar cookies en sus dispositivos.
Posteriormente, el Reglamento General de Protección de Datos (RGPD), que entró en vigor en mayo de 2018, reforzó aún más los requisitos de consentimiento y transparencia en el uso de cookies, estableciendo multas severas para el incumplimiento.
¿Qué pasa si no pongo aviso de cookies en mi web o si está mal configurado?
La falta de información clara sobre las cookies y el uso de cookies sin consentimiento pueden resultar en sanciones.
En España, estas sanciones pueden llegar hasta los 600.000€. Bajo el RGPD, las multas pueden ser de hasta el 4% de la facturación anual global de la empresa o 20 millones de euros.
¿Es peligroso aceptar las cookies?
Aceptar cookies no tiene por qué ser peligroso, ya que muchas son necesarias para el correcto funcionamiento de los sitios web. Sin embargo, las cookies también pueden ser objeto de robo por ciberdelincuentes, comprometiendo la privacidad y seguridad del usuario.
Tipos de Cookies
Las cookies se pueden clasificar de varias maneras, dependiendo de su gestión, finalidad y duración.
A continuación, te detallo las principales categorías:
Según la Entidad que las Gestione:
- Cookies Propias: Gestionadas por el propio editor del sitio web.
- Cookies de Terceros: Gestionadas por otra entidad que trata los datos obtenidos a través de las cookies.
Según su Finalidad:
- Cookies Técnicas: Necesarias para la navegación y el funcionamiento del sitio web.
- Cookies de Personalización: Permiten recordar preferencias de usuario.
- Cookies de Análisis: Utilizadas para seguimiento y análisis del comportamiento del usuario.
- Cookies Publicitarias: Gestionan los espacios publicitarios y muestran anuncios relevantes.
- Cookies de Publicidad Comportamental: Almacenan información sobre el comportamiento del usuario para ofrecer publicidad personalizada.
Según el Plazo de Activación:
- Cookies de Sesión: Se eliminan al cerrar el navegador.
- Cookies Persistentes: Permanecen hasta una fecha de expiración específica.
Obligaciones en materia de Cookies
La normativa en España, incluida la LSSI y el RGPD, establece obligaciones para los operadores de sitios web, independientemente del tamaño o tráfico del sitio.
Estas incluyen proporcionar información clara y obtener el consentimiento explícito del usuario.
Estas obligaciones incluyen:
Transparencia
- Información Detallada: Los usuarios deben ser informados de manera clara y completa sobre el uso de cookies.
- Métodos de Presentación: La información debe presentarse de forma accesible, utilizando métodos como información por capas.
Consentimiento
- Obtención del Consentimiento: El consentimiento del usuario debe ser informado y explícito antes de la instalación de cookies.
- Retirada del Consentimiento: Los usuarios deben tener la opción de retirar su consentimiento en cualquier momento.
- Gestión del Consentimiento: Utilización de herramientas y plataformas para la gestión del consentimiento.
Muchos de estos requisitos se suelen cumplir a través de gestores de cookies, informes de consentimiento y la "parte pública" que muchas personas identifican con el a veces molesto "banner de cookies". Que además ser obligatorio, debe estar bien configurado. Esto es, bloqueando las cookies cuando así lo solicite el usuario. Y no disparando ningún pixel no consentido explícitamente.
Cookies y Publicidad Digital
Desde que Montulli desarrollara este importante concepto, el uso de las cookies ha evolucionado muchísimo, hasta centrarse casi en exclusiva en la publicidad digital.
Un sector, que es desde hace tiempo, un motor económico vital que contribuye significativamente al PIB de la Unión Europea y proporcionando ingresos esenciales que permiten la oferta de servicios gratuitos o de bajo costo a los consumidores.
Pero también, en gran medida, han sido uno de los elementos clave en la crisis de los medios de comunicación tradicionales, que han perdido espacio y mercado debido al aumento de la competencia creada por creadores de contenido y medios independientes.
Crisis, que entre otros, no hace mucho, dió lugar a la publicación de la "Ley de Influencers" y toda la normativa europea de la que trae causa.
Por ejemplo, sólo en España, la inversión en publicidad digital hace tiempo que superó a la televisión como el medio principal de inversión publicitaria.
| Año | Inversión Total en Publicidad Digital (€) | Crecimiento Anual (%) |
|---|---|---|
| 2021 | 4.100 millones | 9.5 |
| 2022 | 4.533 millones | 10.6 |
| 2023 (E) | 5.000 millones | 10.3 |
Fuente: Guía de Cookies, AEPD, 2024
Muros de Pago y Cookies
Los muros de pago (paywalls) son una estrategia empleada por muchos sitios web para monetizar el contenido, requiriendo que los usuarios se suscriban o paguen por acceso completo a la información.
Desde el auge de los medios digitales, esta ha sido la estrategia de los medios tradicionales para poder monetizar su contenido en Internet.
La relación entre los muros de pago y las cookies es significativa debido a varios factores clave:
Funciones de las Cookies en los Muros de Pago
- Autenticación del Usuario: Las cookies permiten recordar a los usuarios que han iniciado sesión o que han pagado por una suscripción, facilitando un acceso fluido sin necesidad de ingresar credenciales repetidamente.
- Personalización del Contenido: Mediante cookies, se puede ofrecer contenido personalizado según el historial de navegación y las preferencias del usuario.
- Gestión de Accesos: Las cookies ayudan a gestionar los accesos limitados, determinando cuántos artículos gratuitos puede leer un usuario antes de requerir una suscripción.
Consideraciones de Cumplimiento
- Consentimiento Previo: Incluso cuando se utilizan cookies para la funcionalidad de los muros de pago, se requiere el consentimiento previo del usuario, especialmente si las cookies se usan para fines adicionales como la personalización o la publicidad.
- Información Clara: Es esencial proporcionar a los usuarios información clara sobre cómo se utilizan sus datos, incluyendo el uso de cookies para gestionar el muro de pago.
Polémica reciente: "Acepta los cookies o paga". ¿Es esto legal?
En enero de 2024, asistimos a una de las últimas polémicas sobre este asunto. Cuando Meta fue multada (como tantas otras veces), esta vez con 2.800 millones de euros, por llevar desde 2018 (año de publicación del GDPR) realizando perfiles de personalidad de los usuarios de sus plataformas. Sin su consentimiento.
La razón, muy sencilla: alimentar sus programas de publicidad comportamental y vender esos datos a los anunciantes pujantes.
Esto es, mostrar a cada usuario de su red social, los anuncios más adecuados para ellos. Siempre, a cambio del módico precio a pagar por los anunciantes.
Pero claro. Nunca pidieron permiso a los usuarios.
El GDPR, en su artículo 6 establece las claves para esto: la base legal para el tratamiento de datos. Una selección de causas por las cuales, un responsable del tratamiento puede tratar datos personales.
Meta ha ido pivotando con los años sobre cuál era la base legal que legitimaba su tratamiento y solía argumentar que era el tener un "interés legítimo".
No obstante, para los técnicos de Europa y tras varios procesos judiciales iniciados en su mayoría por Max Schrems, este interés legítimo no era suficiente para tamaño tratamiento y falta a la privacidad de los usuarios. Por lo que sugirió, tras imponer la sanción, que pivotar hacia otros modelos, como por ejemplo, "cobrar a sus usuarios", podría hacer que Meta empleara aquí la base legal de la relación contractual o el tantas veces señalado consentimiento al que Meta parece no querer acogerse.
Y fue aquí donde surgió las verificaciones de pago en redes sociales. Y esta polémica medida, hoy, al menos por el momento, adoptada por muchos medios digitales: acepta las cookies o paga.
Aunque esto de "pagar" por un derecho fundamental como es el de la privacidad, no parece que sea algo que vaya a durar mucho... asique seguramente veamos nuevos cambios dentro de no mucho.
Importante: vigila a tus socios y proveedores tecnológicos
Las partes involucradas en la utilización de cookies incluyen tanto a los editores de sitios web (webmasters) como a los terceros que gestionan cookies para fines publicitarios y de análisis.
Es crucial que ambos cumplan con las normativas para garantizar la protección de los datos y la privacidad de los usuarios.
- Editores: Deben proporcionar información clara y obtener el consentimiento adecuado.
- Terceros: Deben asegurar que sus prácticas de uso de cookies cumplen con la legislación vigente y respetan la privacidad de los usuarios.
Y nosotros, como empresarios con presencia y/o proyectos digitales, debemos tener buenos protocolos y sistemas de compliance para cerciorarnos de que nuestros proveedores (esos terceros) cumplen con su parte. De lo contrario, podríamos tener consecuencias legales indeseables.
El futuro de las Cookies
El cumplimiento con las normativas sobre cookies no solo es una obligación legal cuyo incumplimiento acarrea sanciones, sino también una oportunidad para fortalecer la confianza tanto del usuario como tus proveedores y partners en tu plataforma.
Desde una perspectiva legal, es imperativo que las empresas no solo cumplan con las normativas de cookies, sino que adopten un enfoque proactivo hacia la transparencia y el consentimiento del usuario.
Y desde la perspectiva técnica, aunque muchas veces se hace casi de imposible cumplimiento que un tema tan "complejo" como es el de las cookies sea gestionado adecuadamente por los webmasters o titulares de sitios web, es más que probable que su gestión evolucione desde el webmaster a los navegadores.
Federated Learning of Cohorts (FLoC) y Topics API de Google
Es por esta razón por la que algunos técnicos legales hablan de la posibilidad de que en el futuro asistamos a un cambio legal y técnico basado en la migración del actual sistema de gestión de las cookies mediante banners de control intra-web por el usuario, a una gestión nativa desde los propios navegadores y a criterio proactivo del usuario que navega en la red.
Una respuesta coherente, con la proliferación de extensiones y programas varios de bloqueo de publicidad y cookies.
O con los cambios que grandes plataformas como Google han ido implementando en cuanto a la medición y seguimiento de sitios web. Así, pudimos asistir a cómo Google "sustituyó" el sistema de cookies por los famosos Federated Learning of Cohorts (FLoC). Y posteriormente, ya en 2024 por el sistema de "Topics". Esto es, rastreo por temas de interés.
Conclusiones
Como jurista y consultor legal especializado en protección de datos y derecho de los negocios digitales, recomiendo implementar políticas claras sobre el uso de cookies y usar herramientas robustas para la gestión del consentimiento.
Esto es, mantén tus protocolos de compliance actualizados y realiza auditorías regulares para asegurar que todas las prácticas están alineadas con las regulaciones vigentes.
Además, no olvides tener en cuenta los riesgos de robo de cookies y tomar medidas proactivas para proteger tus datos para minimizar la exposición a ciberataques y sanciones por incumplimiento normativo.
