El Comité Europeo de Protección de Datos publica una guía sobre el uso de cookies
Un grupo de trabajo del Comité Europeo de Protección de Datos (CEPD) ha publicado una guía sobre el uso de cookies, en particular sobre los banners de consentimiento de cookies. Aunque la guía no tiene fuerza de ley, las empresas deben tener en cuenta que influirá en los reguladores europeos a la hora de considerar medidas coercitivas.
En primer lugar, el CEPD señaló que la instalación de cookies está regulada por la Directiva sobre privacidad electrónica, sin embargo, la lectura y el uso reales de la información contenida en las cookies entran dentro del ámbito de aplicación del RGPD.
A continuación, el grupo de trabajo señaló las siguientes prácticas relacionadas con el uso de banners de consentimiento de cookies:
- No hay un botón único para «rechazar». La mayoría del grupo de trabajo consideró que la ausencia de un botón único para rechazar/no consentir junto al botón «aceptar todo» no se ajustaba a los requisitos para un consentimiento válido y, por lo tanto, constituía una infracción.
- Casillas marcadas previamente.Las casillas marcadas previamenteno se consideran un consentimiento válido según la Directiva sobre privacidad electrónica ni el RGPD.
- Uso de enlaces en el banner de consentimiento de cookies. Aunquelos miembros del grupo de trabajo no rechazaron el uso de enlaces en un banner de consentimiento de cookies que lleva al usuario a otra página (en contraposición a un botón), sí acordaron que debe haber una indicación clara de lo que trata el banner y del propósito del consentimiento que solicita.
- Colores/contraste engañosos de los botones. El grupo de trabajo se opuso al uso de botones «aceptar todo» sin un «rechazar todo» correspondiente, ya que podría llevar al interesado a creer que no existe la posibilidad de oponerse a la instalación de cookies. Los miembros del grupo de trabajo también acordaron que, aunque no pueden definir un color/contraste estándar, el contraste y los colores utilizados en un banner de consentimiento de cookies deben analizarse caso por caso para asegurarse de que no induzcan a error a los interesados y que los botones del tipo «aceptar todo» no se destaquen por encima de «rechazar todo» y otras opciones.
- Uso excesivo de los «intereses legítimos» como base legal para el tratamiento. Elgrupo de trabajo se opuso a la implicación en el segundo nivel de algunos banners de cookies de que algunos usos delas cookies se basaban en intereses legítimos, cuando los intereses legítimos no podían justificar los usos dela cookie (por ejemplo, para «crear un perfil de contenido personalizado» o «seleccionar anuncios personalizados»). El grupo de trabajo señaló que la colocación inicial de las cookies debe cumplir con la Directiva sobre privacidad electrónica (se requiere el consentimiento para colocar todas las cookies no esenciales) y, solo si se cumple este requisito, se pueden utilizar los intereses legítimos para el tratamiento de esas cookies en virtud del RGPD.
- Cookies esenciales clasificadas de forma incorrecta. El grupo de trabajo observó que varios sitios web revisados etiquetaban incorrectamente algunas cookies como «estrictamente necesarias» en el sentido de la Directiva sobre privacidad electrónica. Si bien el grupo de trabajo reconoció que la caracterización correcta puede plantear algunas dificultades prácticas (especialmente debido a las características cambiantes de algunas cookies), recomendó que los responsables del tratamiento que operan sitios web revisaran el Dictamen 04/2012 del WP29 sobre la exención del consentimiento para el uso de cookies.
- No hay icono de «retirar». Elgrupo de trabajo señaló que se necesitan tres condiciones para que el consentimiento sea válido según el RGPD y la Directiva sobre privacidad electrónica: (1) la posibilidad de retirar el consentimiento; (2) la capacidad de retirar el consentimiento en cualquier momento; y (3) la retirada del consentimiento debe ser tan fácil como darlo. El grupo de trabajo recomendó que los propietarios de sitios web ofrezcan una solución fácilmente accesible para que los usuarios puedan retirar su consentimiento a las cookies.
El CEPD adoptó un informe sobre el trabajo realizado por el Grupo de Trabajo sobre Banners de Cookies, creado en septiembre de 2021 para coordinar la respuesta a las denuncias relativas a los banners de cookies presentadas ante varias autoridades de protección de datos del EEE por la ONG NOYB. El grupo de trabajo tenía como objetivo promover la cooperación, el intercambio de información y las mejores prácticas entre las autoridades de protección de datos, lo que resultó fundamental para garantizar un enfoque coherente en materia de banners de cookies en todo el EEE. En el informe, las autoridades de protección de datos acordaron un denominador común en su interpretación de las disposiciones aplicables de la Directiva sobre privacidad electrónica y del RGPD, en cuestiones como los botones de rechazo, las casillas marcadas previamente, el diseño de los banners o los iconos de retirada.
Ver artículo de referencia
