Cómo estar al día de la gestión de las cookies de tu sitio web

La guía de la AEPD establece las siguientes categorías de cookies.

Según quien las gestiona:

• Propias: las envía y gestiona el editor/a de la web que se está visitando.
• De terceros: instaladas y gestionadas por otra empresa diferente a la del portal. Permiten crear perfiles de los gustos de los usuarios/as, ya que pueden tener datos de varios portales. Hay que tener en cuenta que cada vez más navegadores están eliminando las cookies de terceros.

Según su finalidad:

• Técnicas: permiten optimizar o mejorar el funcionamiento de la web, por ejemplo, para gestionar un pago, identificar la sesión, contar las visitas, habilitar contenidos dinámicos… Las galletas técnicas, en general, quedan fuera de las obligaciones establecidas por la LSSI, porque «permiten ofrecer el servicio solicitado por el usuario». Estas cookies no se pueden utilizar con otros objetivos. No obstante, como novedad, si las decisiones son tomadas por quien edita la web a partir de la información del/la visitante (por ejemplo, el idioma se pone en función del idioma del buscador de la persona usuaria y no como elección), hay que informar y dar la opción de aceptarlas o no.
• De preferencias o personalización: permiten personalizar la experiencia de los usuarios/as, por ejemplo, el idioma. En este caso, si el usuario/a determina estas preferencias a través de sus acciones, por ejemplo, seleccionando el idioma, también quedan fuera de las obligaciones de la LSSI.
• De análisis o medición: permiten hacer el seguimiento y el análisis de los comportamientos del usuario/a dentro de la web con el fin de aplicar posteriormente mejoras.
• De publicidad conductual: permiten almacenar información del comportamiento del usuario/a a partir de su navegación y crear perfiles específicos para poder mostrar la publicidad según los gustos.

Según el tiempo que están activas:

• De sesión: solo recogen datos relevantes durante la sesión y, por lo tanto, al finalizarla desaparecen.
• Persistentes: los datos continúan almacenados en el terminal y pueden ser tratados durante un tiempo variable que define el/la responsable de las cookies (desde unos minutos a unos años). Se recomienda el mínimo uso de cookies de este estilo y, en caso necesario, de la mínima duración posible. Para que no se tenga que informar el consentimiento de una cookie, es necesario que la caducidad esté en relación con su finalidad.

Para saber las cookies que utiliza un sitio web se puede hacer clicando la página con el botón derecho y en el menú desplegable seleccionar ‘inspeccionar’. En la nueva ventana, se debe clicar ‘aplicación’, situado en la parte superior, y luego en el apartado ‘cookies’ se pueden ver las que hay instaladas.

La obligación de transparencia se traduce en el hecho de tener que dar información de las finalidades de las cookies y del uso de los datos obtenidos. Esto se plasma en la política de cookies (información diferente de la política de privacidad y el aviso legal), que debe incluir:

• Definición y función genérica de las cookies.
• Información de los tipos de cookies que se emplean y su finalidad. En caso de que se utilicen de terceros y no se pueda ofrecer la suficiente información, se puede enlazar con la web del tercero.
• Información de quien las trata (el editor/a de la misma web u otra empresa). La identificación de los terceros se puede ofrecer de forma desplegable o emergente.
• Información de la forma de aceptar, denegar y revocar el consentimiento de uso. Si una vez aceptadas las cookies de terceros se quiere cambiar la configuración, se debe ofrecer información de cómo gestionarlas a través de los diferentes navegadores o de las webs de las otras empresas.
• Información sobre las transferencias de datos a terceros países que haga el propio editor/a y remitir a las webs de los terceros, en caso de que sean los que hagan la transferencia.
• En caso de que se creen perfiles que comporten la toma de decisiones automatizadas con efectos jurídicos para el usuario/a, hay que informar de lo que supone (importancia y consecuencias).
• Tiempo que se conservan los datos.
• Para dar otras informaciones se puede remitir a la política de privacidad.

A menudo, esta información se presenta en una única página web que se enlaza en la parte inferior del portal. Seguir la localización habitual permite una mejor visualización.

El consentimiento debe manifestarse de forma expresa y evidente, por ejemplo, a través de un clic en un botón claramente identificado, o de cualquier otra manera que suponga una acción inequívoca (y no compleja), siempre que se haya proporcionado la información clara y accesible. En caso de que se quieran utilizar otros métodos, hay que explicarlos. En ningún caso seguir navegando por la web supone una manera de aceptación.

Hay que especificar si el consentimiento es únicamente para las cookies de la web que se está visitando o también para las de otras webs gestionadas por el mismo editor/a o, incluso, si es para las cookies de otras empresas.

Para aceptar o no las cookies, se deben agrupar, como mínimo, por finalidad y también se puede hacer según el tercero, para que el usuario/a pueda escoger unas u otras.

Mecanismos para pedir el consentimiento:

• Cuando la persona usuaria solicita el alta en un servicio (deberá separarse de otras condiciones).
• Cuando se configura el funcionamiento de la web o aplicación.
• A través de plataformas de gestión del consentimiento (CMP por sus siglas en inglés), que aparecen, por ejemplo, como una ventana emergente.
• Antes de descargar un servicio o aplicación, siempre que las cookies no sean necesarias para el funcionamiento.
• A través del formato de información por capas.
• A través de la configuración del navegador, siempre que se presente el consentimiento separado según las finalidades y con la identificación del/la responsable del tratamiento. No obstante, desde la web también se debe permitir revocar o denegar el consentimiento, o dar la información para hacerlo.

Incluso, es posible dar la información y obtener el consentimiento de forma offline.

En caso de las webs dirigidas a menores de catorce años, la información para solicitar el consentimiento del/la titular de la patria potestad o tutela debe tener los mínimos datos posibles y ser sencilla. Por ejemplo, puede aparecer un mensaje que recomiende avisar al padre, madre o tutor/a para aceptar las condiciones.

En caso de que se puedan recordar ciertos datos en la web, habrá que pedir más información para verificar que el consentimiento es dado por la persona adulta, por ejemplo, indicando la edad o año de nacimiento. A medida que se vayan recopilando más datos, habrá que dificultar el proceso de verificación, por ejemplo, con un correo electrónico. En todo caso, se recomienda no utilizar cookies de publicidad conductual en webs dirigidas a menores.