La revolución de las cookies

Aunque suene a tópico, la importancia económica de la publicidad en Internet es innegable: según IAB, el pasado año se convirtió en el canal con una mayor inversión, superando por vez primera a la televisión; y la tendencia, al menos hasta el impacto de la crisis sanitaria en la que estamos inmersos, no es sino ascendente. El motivo de este éxito no se debe únicamente al uso masivo de la Red por parte de los ciudadanos, sino especialmente a la capacidad de impactarles con contenidos publicitarios personalizados, basados en sus patrones de navegación. Y en este escenario, las cookies (y tecnologías similares) juegan un papel esencial.

Consciente de esta creciente importancia, la Agencia Española de Protección de Datos (AEPD) publicó a principios de noviembre del pasado año una nueva edición de su «Guía sobre el uso de las cookies». Sin embargo, fuimos muchos quienes le auguramos un corto recorrido, por un motivo sencillo: se apartaba de las interpretaciones (más restrictivas) realizadas por otras agencias europeas, como la francesa o la holandesa, por poner dos ejemplos.

Ante las discrepancias entre las autoridades de control, el Comité Europeo de Protección de Datos (CEPD) publicó este mayo una revisión de sus directrices sobre consentimiento, con el objeto de aclarar, especialmente, su interpretación en relación a las cookies… y a la vista de su contenido, era evidente que la Guía de la AEPD tenía que ser corregida. Pues bien, esa actualización ha llegado hoy.

La principal novedad, como era previsible, tiene que ver con la autorización para la utilización de estas tecnologías por parte de los usuarios: mientras que la versión anterior afirmaba que «continuar navegando» podría entenderse como una vía suficiente para aceptar su uso, el nuevo documento introduce un cambio de enfoque radical, y establece, negro sobre blanco, que seguir navegando no es una forma válida de prestar el consentimiento. Todo ello, en línea con las directices del CEPD, que decían lo siguiente (la traducción es mía):

«Conforme al considerando 32, acciones como hacer scroll o deslizar el dedo por una página web, u otras similares, no satisfarán bajo ninguna circunstancia el requisito de una acción clara y afirmativa: tales acciones pueden ser difíciles de diferenciar de otras actividades o interacciones realizadas por el usuario y, por tanto, no bastarán para determinar que se ha obtenido un consentimiento inequívoco».

La consecuencia natural de este cambio de criterio es que la mayor parte de los sitios web transitarán hacia un modelo de aceptación expresa, mediante un botón que el usuario habrá de clicar para consentir el uso de estas tecnologías. Ciertamente, el documento no descarta que otras acciones puedan ser igualmente válidas, pero exige que «las condiciones en que se produzca la conducta ofrezcan suficiente certeza de que se presta un consentimiento informado e inequívoco y pueda probarse que dicha conducta se ha realizado»; por lo que, en nuestra opinión, el botón «Aceptar» va a convertirse en la opción favorita para la mayor parte del mercado.

Otro de los cambios de criterio incluidos en la guía tiene que ver con los llamados «muros de cookies», o «cookie walls», que deniegan el acceso a un sitio web si no se aceptan las cookies. Mientras que el anterior documento los admitía en determinados supuestos, ahora no podrán ser utilizados, a no ser que «se ofrezca una alternativa de acceso al servicio sin necesidad de aceptar el uso de cookies». El motivo, nuevamente, son las directrices del CEPD, que recordó que en tales casos «no se permite al interesado una verdadera elección, por lo que el consentimiento no se otorga libremente».

Por lo demás, la nueva versión de la Guía incluye determinadas aclaraciones y puntualizaciones con respecto a la versión anterior, como por ejemplo, que ofrecer al usuario información sobre cómo desactivar las cookies a través de la configuración del navegador no basta para cumplir con la normativa:

«El editor debe ofrecer al usuario, en todo caso, una fórmula para que pueda denegar o revocar el consentimiento prestado para el uso de cookies, a través de su propia página web o, en su caso, facilitar información sobre las herramientas proporcionadas, para la retirada del consentimiento, por los terceros que utilizan las cookies, para que el usuario pueda ejercer su derecho a retirar el consentimiento tan fácilmente como lo otorgó».

Sin embargo, el calado de estas modificaciones no es, ni de lejos, tan relevante como el relativo al consentimiento, que se aleja diametralmente de la interpretación que tradicionalmente venía realizando la AEPD. ¿Que era previsible, a la vista de los criterios de las autoridades europeas? Sin duda; pero aquellas empresas que confiaron en la anterior redacción e invirtieron en modificar sus sitios web para adaptarse a sus directrices estarán, con toda probabilidad (y con razón), indignadas. Por lo pronto, el plazo para adaptarse a esta nueva realidad finaliza el 31 de octubre. ¡Mucho ánimo!