Obligaciones
La LSSI (Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico) resulta aplicable a las cookies, entendidas como cualquier tipo de dispositivo de almacenamiento y recuperación de datos que se utilice en el equipo terminal de un usuario con la finalidad de almacenar información y recuperar la información ya almacenada, según establece el artículo 22.2 de la LSSI. Las obligaciones legales impuestas por esta normativa son dos: El deber de información y la obtención del consentimiento en los casos no exceptuados. Este informe contiene las orientaciones prácticas sobre cómo debe proporcionarse la información para cumplir el requisito del consentimiento informado, ya que el citado artículo 22.2 de la LSSI vincula la obtención del consentimiento a la información que se facilite al usuario, de modo que el consentimiento que, en su caso preste el usuario, sea informado.
Obtención del consentimiento
El apartado segundo del artículo 22 de la LSSI establece: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos.” Así pues, el artículo 22 de la LSSI se refiere a la utilización de cookies y tecnologías similares utilizadas para almacenar y recuperar datos de un equipo terminal (por ejemplo, un ordenador, un teléfono móvil o una tablet) de una persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. La citada norma también resulta de aplicación al empleo de técnicas de toma de la huella digital del dispositivo. Con respecto al uso de cookies y el deber de obtener el consentimiento especificado en el mencionado art. 22, en su último apartado establece que quedan exceptuadas de la obligación de recabar el consentimiento, las cookies que tengan como finalidad efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, que resulten estrictamente necesarias, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. Para determinar cuales son las cookies exceptuadas de esta obligación es necesario describir que las cookies se pueden clasificar (1) según la entidad que las gestione, (2) según el plazo de tiempo que permanecen activadas y (3) según su finalidad.
(1) la entidad responsable:
- Cookies propias: son aquellas que se envían al equipo terminal del usuario desde un equipo o dominio gestionado por nuestra empresa y desde el que se presta el servicio solicitado por el usuario.
- Cookies de tercero: son aquellas que se envían al equipo terminal del usuario desde un equipo o dominio que no es gestionado por nuestra empresa, sino por otra entidad que trata los datos obtenidos través de las cookies. Entre estas se incluyen las usadas por redes sociales (como Facebook) o por complementos externos de contenido (como Google Maps). Si las cookies de terceros se usan con finalidades no exceptuadas, será necesario informar de la finalidad y recabar el consentimiento para la instalación de las mismas. Cuando la información sobre las cookies de terceros se ofrece a través de un enlace a la página web del tercero, el titular de la web tendrá que asegurarse que los enlaces no estén rotos, velando por que la información no sea obsoleta y que esta se ofrezca también en castellano o en la lengua cooficial utilizada en el sitio web de la empresa.
Cuando se utilicen cookies de terceros para finalidades no exceptuadas, en los contratos que se celebren con esos terceros se deberían incluir cláusulas en las que se asegure que se ofrecerá a los usuarios la información sobre la finalidad con la que se usarán las cookies y se articulará la forma a través de la cual se pueda obtener un consentimiento válido para la utilización de dichas cookies y para su revocación, así como las consecuencias de la revocación del consentimiento para el titular de la web y, especialmente, para los terceros que lo obtuvieron a través de este.
(2) según el plazo de tiempo que permanecen activadas:
- Cookies de sesión: las cookies de sesión duran solamente por la duración de la visita y se borran cuando el usuario cierra la sesión. Su finalidad principal es identificar el tipo de dispositivo, apoyar la seguridad sitio web o su funcionalidad básica. No contienen información personal que permita identificar a una persona.
- Cookies persistentes o permanentes: se almacenan en el disco duro del dispositivo y el sitio web las lee cada vez que el usuario realiza una nueva visita al sitio web; poseen una fecha de caducidad o expiración determinada, cumplida la cual la cookie deja de funcionar. Permiten identificar las acciones y preferencias del usuario; analizar las visitas y ayudan a comprender cómo llegan los usuarios al sitio web y mejorar los servicios ofrecidos por el mismo.
(3) Y según su finalidad:
- Cookies técnicas: son aquellas que permiten al usuario la navegación a través de una página web, plataforma o aplicación y la utilización de las diferentes opciones o servicios que en ella existan, incluyendo aquellas que el editor utiliza para permitir la gestión y operativa de la página web y habilitar sus funciones y servicios, como, por ejemplo:
- – controlar el tráfico y la comunicación de datos
- – identificar la sesión
- – acceder a partes de acceso restringido-
- – recordar los elementos que integran un pedido
- – realizar el proceso de compra de un pedido y gestionar el pago
- – controlar el fraude vinculado a la seguridad del servicio
- – realizar la solicitud de inscripción o participación en un evento
- – contar visitas a efectos de la facturación de licencias del software con el que funciona el servicio (sitio web, plataforma o aplicación)
- – utilizar elementos de seguridad durante la navegación
- – almacenar contenidos para la difusión de vídeos o sonido
- – habilitar contenidos dinámicos (por ejemplo, animación de carga de un texto o imagen) o compartir contenidos a través de redes sociales.
También pertenecen a esta categoría, por su naturaleza técnica, aquellas cookies que permiten la gestión, de la forma más eficaz posible, de los espacios publicitarios que, como un elemento más de diseño o “maquetación” del servicio ofrecido al usuario, el editor haya incluido en una página web, aplicación o plataforma en base a criterios como el contenido editado, sin que se recopile información de los usuarios con fines distintos, como puede ser personalizar ese contenido publicitario u otros contenidos. Las cookies técnicas están exceptuadas del cumplimiento de recabar el consentimiento cuando permitan prestar el servicio solicitado por el usuario, como ocurre en el caso de las cookies enumeradas en los párrafos anteriores. Sin embargo, si estas cookies se utilizan también para finalidades no exentas (por ejemplo, para fines publicitarios comportamentales), quedarán sujetas a dichas obligaciones y será necesario recabar el consentimiento para estas finalidades no exentas.
- Cookies de preferencias o personalización: son aquellas que permiten recordar información para que el usuario acceda al servicio con determinadas características que pueden diferenciar su experiencia de la de otros usuarios, como, por ejemplo, el idioma, el número de resultados a mostrar cuando el usuario realiza una búsqueda, el aspecto o contenido del servicio en función del tipo de navegador a través del cual el usuario accede al servicio o de la región desde la que accede al servicio, etc.
Si es el propio usuario quien elige esas características (por ejemplo, si selecciona el idioma de un sitio web clicando en el icono de la bandera del país correspondiente, la moneda que desea utilizar en las transacciones, el tamaño de fuente o el contraste de color entre el fondo y el contenido para mejorar la legibilidad), las cookies estarán exceptuadas por considerarse un servicio expresamente solicitado por el usuario. Ahora bien, para que estas cookies se consideren exentas, su uso deberá limitarse al necesario para su propósito, y la información que pueda desprenderse de la selección del usuario no podrá emplearse para otros fines (por ejemplo, para la personalización de contenidos publicitarios) ni para elaborar un perfil del usuario. Dicho esto, por razones de transparencia se recomienda informar, al menos con carácter genérico, de aquellas cookies excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, ya sea en la política de cookies o en la propia política de privacidad cuando únicamente se utilizan las cookies técnicas y de personalización (ejemplo: “Este sitio web utiliza cookies que permiten el funcionamiento y la prestación de los servicios ofrecidos en el mismo”).
- Cookies de análisis o medición: son aquellas que permiten al responsable de las mismas, el seguimiento y análisis del comportamiento de los usuarios de los sitios web a los que están vinculadas, incluida la cuantificación de los impactos de los anuncios. La información recogida mediante este tipo de cookies se utiliza en la medición de la actividad de los sitios web, aplicación o plataforma, con el fin de introducir mejoras en función del análisis de los datos de uso que hacen los usuarios del servicio.
Aunque estas cookies no están exentas del deber de obtener un consentimiento informado para su uso, es poco probable que representen un riesgo para la privacidad de los usuarios siempre que se trate de cookies propias de la entidad, que traten datos agregados con una finalidad estrictamente estadística, que se facilite información sobre sus usos y se dé al usuario la posibilidad de rechazarlas. El uso de estas cookies de análisis o medición pueden basarse en el interés legítimo de la Entidad y aparecer activadas en el gestor de cookies en base al interés legítimo con la posibilidad de rechazarlas por parte del interesado.
- Cookies de publicidad comportamental: son aquellas que almacenan información del comportamiento de los usuarios obtenida a través de la observación continuada de sus hábitos de navegación, lo que permite desarrollar un perfil específico para mostrar publicidad en función del mismo.
Estas cookies no están exentas y por tanto es necesario recabar el consentimiento informado del usuario para la instalación de este tipo de cookies. Deben aparecer por defecto desactivadas en el gestor de cookies. En el caso de utilizar cookies para elaboración de perfiles implique la toma de decisiones automatizadas con efectos jurídicos para el usuario o que le afecten significativamente de modo similar: incluir la información sobre la lógica utilizada para la elaboración de dichos perfiles, así como la importancia y las consecuencias previstas de dicho tratamiento para el usuario y la posibilidad de oponerse rechazando estas cookies en el gestor de cookies. La publicidad comportamental no entra generalmente en el ámbito del artículo 22.2 del RGPD, ya que, en muchos casos típicos, la decisión de presentar publicidad dirigida basada en la elaboración de perfiles no tendrá un efecto significativamente similar en las personas. Por tanto, en resumen.
- se entienden excluidas del deber de obtener el consentimiento las cookies utilizadas con las finalidades técnicas y de personalización, aunque se debe informar sobre su uso y pueden estar activadas por defecto sin posibilidad de desactivar
- Se podrán instalar en base al interés legítimo de la Entidad las cookies de medición, siempre que:
– se trate de cookies propias de la entidad – traten datos agregados con una finalidad estrictamente estadística y – se facilite información sobre sus usos dando la posibilidad de rechazarlas. El uso de cookies de análisis o medición pueden basarse en el interés legítimo de la Entidad y aparecer activadas en el gestor de cookies en base al interés legítimo con la posibilidad de rechazarlas por parte del interesado.
- Es necesario recabar el consentimiento informado para la instalación del resto de cookies no exceptuadas como las cookies de publicidad comportamental y por defecto deben desaparecer desactivadas.
Cuando se utilicen cookies polivalentes con dos o más finalidades diferentes y no exceptuadas del ámbito de aplicación del artículo 22.2 de la LSSI, deberá garantizarse que estas cookies únicamente se utilizan si se aceptan todas las finalidades que agrupan, es decir, si una cookie sirve para dos finalidades, pero el usuario solo acepta una de ellas, la cookie no debería utilizarse, y ello salvo que el sistema de gestión utilizado permita dar un tratamiento diferenciado a las distintas finalidades de estas cookies polivalentes, de forma que sea posible que si el usuario acepta una de sus finalidades y no otras, la cookie solo opere con la finalidad aceptada.
Instrucciones de adecuación
Deber de información
Se debe dar información sobre todas las cookies utilizadas, tanto las que no requieren consentimiento como las que si lo requieren. La información sobre las cookies facilitada en el momento de solicitar el consentimiento debe ser suficientemente completa para permitir a los usuarios entender la finalidad para las que se instalaron y conocer los usos que se les darán. En el caso de que un usuario preste su consentimiento para el uso de cookies, la información sobre cómo revocar el consentimiento y eliminar las cookies deberá estar a su disposición de forma accesible y permanente en todo momento a través un enlace “política de uso de cookies” en la página web desde la que se presta el servicio. ´ Para cumplir con el deber de información, LA EMPRESA deberá incorporar a su sitio web una página informativa sobre uso de cookies. Dicha página puede denominarse “Política de uso de cookies” y deberá incluirse en un enlace a pie de página durante toda la navegación. En el caso de que no fuera posible para el editor ofrecer una explicación suficiente sobre la finalidad de las cookies utilizadas por terceros o la forma de eliminarlas, puede facilitar esta información incluyendo un enlace a la página web del tercero. Se adjunta un modelo de Política de uso de cookies en el ANEXO 1 de este documento que debe cumplimentar el cliente según las cookies que utilice.
Obtención del consentimiento
Se incluirá al inicio de la navegación el aviso de uso de cookies utilizando la fórmula propuesta en el ANEXO 2. El usuario debe marcar obligatoriamente alguno de los dos botones incluidos (Aceptar Rechazar o Gestionar cookies) para continuar la navegación. Se incluirá un enlace “Gestionar cookies” que remita a un gestor de cookies y permita que el usuario pueda determinar qué cookies opcionales autoriza (desde todas a ninguna). Las cookies que requieren consentimiento deben aparecer desactivadas por defecto. No se instalará ninguna cookie que requiera consentimiento del usuario si este no ha pulsado el botón de “Aceptar” o la ha marcado en el apartado “Gestionar cookies”. Actualización del consentimiento: La Agencia Española de Protección de datos considera buena práctica que la validez del consentimiento prestado por un usuario para el uso de una determinada cookie no tenga una duración superior a 24 meses y que durante este tiempo se conserve la selección realizada por el usuario sobre sus preferencias, sin que se le solicite un nuevo consentimiento cada vez que visite la página en cuestión. Retirada del consentimiento para el uso de cookies: Los usuarios deberán poder retirar el consentimiento previamente otorgado en cualquier momento. El usuario debe poder revocar el consentimiento de forma fácil. El sistema que se ofrezca para retirar el consentimiento debe ser tan fácil como el utilizado cuando se prestó. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las cookies. Se recomienda la lectura de la guía publicada por la AEPD para el uso de cookies cuyo enlace se adjunta: https://www.aepd.es/documento/guia-cookies.pdf
ANEXO 1: Política de uso de cookies
En cumplimiento del artículo 22.2 de la Ley 34/2002, de Servicios de la Sociedad de la Información, informamos a los usuarios de nuestro sitio web de nuestra Política de uso de Cookies. ¿Qué es una Cookie? Las cookies son archivos que contienen pequeñas cantidades de información que se descargan en el dispositivo del usuario que se utiliza cuando visitas nuestro sitio web. En general, estas tecnologías pueden servir para finalidades muy diversas, como, por ejemplo, reconocerte como usuario, obtener información sobre tus hábitos de navegación, o personalizar la forma en que se muestra el contenido. Los usos concretos que hacemos de estas tecnologías se describen a continuación. Las cookies son esenciales para la interacción del usuario con el sitio web; no pueden dañar el equipo/dispositivo del usuario y, si se encuentran activadas en la configuración de tu navegador, nos ayudan a identificar y resolver posibles errores de funcionamiento de nuestro sitio web. Tipos de Cookies Las cookies se pueden clasificar (1) según la entidad que las gestione, (2) según el plazo de tiempo que permanecen activadas y (3) según su finalidad. Según la entidad responsable:
- Cookies propias: son aquellas de las que es responsable el propio editor y que, generalmente, se envían al equipo terminal del usuario desde un equipo o dominio gestionado por el propio editor y desde el que se presta el servicio solicitado por el usuario.
- Cookies de tercero: son aquellas de las que es responsable una entidad distinta del editor y que, generalmente, se envían al equipo terminal del usuario desde un equipo o dominio que no es gestionado por nuestra empresa, sino por otra entidad que trata los datos obtenidos través de las cookies. Entre estas se incluyen las usadas por redes sociales (como Facebook) o por complementos externos de contenido (como Google Maps).
Según el plazo de tiempo que permanecen activadas:
- Cookies de sesión: son aquellas diseñadas para recabar y almacenar datos mientras el usuario accede a una página web. Se suelen emplear para almacenar información que solo interesa conservar para la prestación del servicio solicitado por el usuario en una sola ocasión (por ejemplo, una lista de productos adquiridos) y desaparecen al terminar la sesión.
- Cookies persistentes o permanentes: son aquellas en las que los datos siguen almacenados en el terminal y pueden ser accedidos y tratados durante un periodo definido por el responsable de la cookie, y que puede ir de unos minutos a varios años.
Según su finalidad:
- Cookies técnicas: son aquellas que permiten al usuario la navegación a través de una página web, plataforma o aplicación y la utilización de las diferentes opciones o servicios que en ella existan, incluyendo aquellas que el editor utiliza para permitir la gestión y operativa de la página web y habilitar sus funciones y servicios, como, por ejemplo, controlar el tráfico y la comunicación de datos, identificar la sesión, acceder a partes de acceso restringido, recordar los elementos que integran un pedido, realizar el proceso de compra de un pedido, gestionar el pago, controlar el fraude vinculado a la seguridad del servicio, realizar la solicitud de inscripción o participación en un evento, contar visitas a efectos de la facturación de licencias del software con el que funciona el servicio (sitio web, plataforma o aplicación), utilizar elementos de seguridad durante la navegación, almacenar contenidos para la difusión de vídeos o sonido, habilitar contenidos dinámicos (por ejemplo, animación de carga de un texto o imagen) o compartir contenidos a través de redes sociales. También pertenecen a esta categoría, por su naturaleza técnica, aquellas cookies que permiten la gestión, de la forma más eficaz posible, de los espacios publicitarios que, como un elemento más de diseño o “maquetación” del servicio ofrecido al usuario, el editor haya incluido en una página web, aplicación o plataforma en base a criterios como el contenido editado, sin que se recopile información de los usuarios con fines distintos, como puede ser personalizar ese contenido publicitario u otros contenidos. .
- Cookies de preferencias o personalización: son aquellas que permiten recordar información para que el usuario acceda al servicio con determinadas características que pueden diferenciar su experiencia de la de otros usuarios, como, por ejemplo, el idioma, el número de resultados a mostrar cuando el usuario realiza una búsqueda, el aspecto o contenido del servicio en función del tipo de navegador a través del cual el usuario accede al servicio o de la región desde la que accede al servicio, etc. Si es el propio usuario quien elige esas características (por ejemplo, si selecciona el idioma de un sitio web clicando en el icono de la bandera del país correspondiente, la moneda que desea utilizar en las transacciones, el tamaño de fuente o el contraste de color entre el fondo y el contenido para mejorar la legibilidad.
- Cookies de análisis o medición: son aquellas que permiten al responsable de las mismas el seguimiento y análisis del comportamiento de los usuarios de los sitios web a los que están vinculadas, incluida la cuantificación de los impactos de los anuncios. La información recogida mediante este tipo de cookies se utiliza en la medición de la actividad de los sitios web, aplicación o plataforma, con el fin de introducir mejoras en función del análisis de los datos de uso que hacen los usuarios del servicio.
- Cookies de publicidad comportamental: son aquellas que almacenan información del comportamiento de los usuarios obtenida a través de la observación continuada de sus hábitos de navegación, lo que permite desarrollar un perfil específico para mostrar publicidad en función del mismo.
