Cómo adaptar el banner de tu web para evitar multas por la normativa de cookies

Las cookies forman parte del funcionamiento habitual de la mayoría de las páginas web. Permiten recordar preferencias, mostrar publicidad personalizada o analizar el comportamiento de los usuarios. Sin embargo, su uso está sujeto a una regulación muy estricta, sobre todo desde la entrada en vigor del Reglamento General de Protección de Datos (RGPD) y las normas publicadas por la Agencia Española de Protección de Datos (AEPD).

Contar con un banner de cookies no es suficiente para cumplir la ley. Por ello, es fundamental conocer qué exige la normativa y cómo adaptar de forma correcta el banner de cookies para que no se produzcan incumplimientos. 

Qué es la normativa de cookies y qué página web afecta obligatoriamente 

Las cookies son archivos de texto con pequeños datos que se utilizan para identificar tu ordenador cuando visitas una página web. Muchas son imprescindibles para el funcionamiento del sitio y otras recopilan información con fines publicitarios o estadísticos. Así, la utilización de estas cookies está regulada por diferentes normas. 

El Reglamento General de Protección de Datos (RGPD) y la Ley de Servicios de la Sociedad de la Información (LSSI)

En España, el uso de las cookies está regulado por dos normas: 

• Reglamento General de Protección de Datos (RGPD): normativa que establece las condiciones para el tratamiento de los datos personales y los requisitos que debe reunir el consentimiento de los usuarios. 
• Ley de Servicios de la Sociedad de la Información (LSSI): normativa que obliga a informar sobre el uso de cookies y a obtener el consentimiento antes de instalarlas. 

La diferencia legal entre cookies técnicas necesarias, analíticas y publicitarias 

Existen diferentes tipos de cookies y cada una de ellas tiene un tratamiento jurídico diferente: 

• Cookies técnicas o necesarias: son las que permiten el funcionamiento básico de la página web. Con este tipo de cookies es posible iniciar sesión o mantener productos en el carrito de compra. Estas cookies no requieren el consentimiento previo del usuario.
• Cookies analíticas: son aquellas que recopilan información sobre el comportamiento de los usuarios para elaborar estadísticas y mejorar la experiencia de navegación. Estas cookies necesitan autorización previa del usuario, salvo excepciones. 
• Cookies publicitarias: permiten mostrar anuncios personalizados en base a los hábitos de navegación del usuario. Estas cookies necesitan el consentimiento válido antes de su instalación.

Webs corporativas, tiendas online (e-commerce) y blogs: quiénes deben cumplir la ley

Cualquier sitio web que instale cookies no necesarias, ya sea una web corporativa, una tienda online, un blog profesional o una plataforma de prestación de servicios, deberá adaptar su sistema de consentimiento a la normativa vigente. 

Requisitos imprescindibles: qué no puede faltar en el banner de tu web 

El banner de cookies es el primer contacto del usuario con la política de privacidad del sitio web. Su diseño y funcionamiento deben asegurar que el consentimiento sea libre, informado e inequívoco. Para ello, la normativa establece una serie de requisitos que se deben cumplir. 

El European Data Protection Board (EDPB) ha emitido un informe sobre los requisitos para los banners de cookies con el objetivo de establecer criterios uniformes. Este informe introduce importantes cambios que todas las empresas deben aplicar en su banner de cookies desde el año 2023.

En este informe se especifica que el consentimiento para la instalación de cookies debe cumplir con los requisitos del Reglamento General de Protección de Datos (RGPD) y también se aplica la Directiva e-Privacy. Sin embargo, es importante destacar que el mecanismo de One Stop Shop no se aplica en este caso, lo que significa que cada país miembro de la Unión Europea debe cumplir con estos requisitos de manera independiente.

La nueva ley de cookies que entró en vigor en 2023 estableció cambios significativos en la forma en que las empresas deben gestionar la recopilación y el uso de los datos de los usuarios. Los banners de cookies, que antes eran una simple formalidad, ahora deben diseñarse cuidadosamente para cumplir con los nuevos criterios establecidos por la legislación.

Uno de los cambios más notables es que los banners de cookies ahora deben ofrecer una «negación real». Esto significa que los usuarios deben tener la opción de rechazar todas las cookies con un solo clic, en lugar de tener que navegar por menús complicados para ajustar sus preferencias de cookies.

Además, los sitios web ya no pueden usar el «desplazamiento de la página» como forma de consentimiento. Según la nueva ley, el consentimiento debe ser claro y afirmativo. Por lo tanto, el simple hecho de que un usuario continúe navegando por un sitio web no se considerará como un consentimiento válido.

Por último, la nueva ley de cookies también establece que los sitios web deben proporcionar a los usuarios una forma sencilla de cambiar sus preferencias de cookies en cualquier momento. Esto significa que los sitios web deben tener una opción claramente visible que permita a los usuarios ajustar sus preferencias de cookies, incluso después de haber dado su consentimiento inicial.

Uno de los cambios fundamentales introducidos por las últimas normas de la Agencia Española de Protección de Datos (AEPD) es la obligación de ofrecer al usuario la posibilidad de rechazar todas las cookies con la misma facilidad con la que puede aceptarlas. 

Por tanto, el botón de “Rechazar todas” debe aparecer en la primera capa del banner, con un tamaño, color y visibilidad equivalentes al botón de “Aceptar todas”, no siendo válida la opción de ocultar la opción de rechazo dentro de un segundo menú. 

En este sentido, el consentimiento será válido cuando las dos opciones puedan elegirse en igualdad de condiciones. 

Prohibición de los muros de cookies (cookie walls) que impiden el acceso si no se aceptan 

Otra práctica prohibida consiste en impedir el acceso a una página web cuando el usuario rechaza las cookies. 

Las cookies walls obligan al usuario a aceptar todas las cookies para visualizar todo el contenido. Pues bien, esto vulnera el principio de libertad del consentimiento, pues la negativa implica perder el acceso al servicio. 

Solo podrán existir determinadas excepciones cuando el usuario disponga de una alternativa real y equivalente para acceder al contenido sin necesidad de aceptar las cookies. 

Información clara en primera capa y enlace directo a la Política de Cookies detallada 

El banner del sitio web debe ofrecer información suficiente desde el primer momento para que el usuario pueda comprender qué tipos de cookies utiliza la web y con qué finalidad. 

Esta primera capa debe incluir:

• Identificación de las categorías de cookies empleadas 
• Posibilidad de aceptarlas o rechazarlas 
• Acceso visible a la Política de Cookies, la cual debe identificar qué cookies se utilizan, quién es su responsable, cuál es su finalidad, cuánto tiempo permanecen instaladas en el dispositivo y cómo puede el usuario modificar posteriormente su configuración o revocar el consentimiento prestado. 

El consentimiento del usuario: Cuándo es válido y cómo debe recogerse 

El consentimiento constituye la base legal que permite instalar la mayoría de las cookies. No obstante, no cualquier manifestación del usuario resulta válida desde el punto de vista jurídico. 

En este sentido, para cumplir el Reglamento General de Protección de Datos (RGPD), el consentimiento debe ser libre, informado e inequívoco, como hemos dicho con anterioridad. 

El consentimiento del usuario: Cuándo es válido y cómo debe recogerse

La ilegalidad del consentimiento implícito o la fórmula de “seguir navegando”

El consentimiento implícito ha dejado de ser válido porque no supone una acción afirmativa clara por parte del usuario. 

Además, tampoco es suficiente el simple desplazamiento por la página (scroll) o cualquier otra conducta pasiva que no exprese de forma inequívoca la voluntad de aceptar las cookies por parte del usuario. 

La aceptación debe producirse mediante una acción positiva, como pulsar el botón correspondiente. 

Obligación de mantener las cookies desactivadas por defecto hasta la acción del usuario 

Es importante destacar que las cookies sujetas a consentimiento deben permanecer desactivadas mientras el usuario no haya manifestado expresamente su decisión. 

Solo una vez tenido el consentimiento válido podrán activarse y comenzar a recopilar información del dispositivo del usuario. 

Cómo debe ser el sistema de revocación para que el usuario pueda cambiar de opinión fácilmente 

El consentimiento no es irreversible. La normativa reconoce el derecho al usuario a retirar su autorización en cualquier momento. Por ello, todas las páginas web deben incorporar un mecanismo que permita modificar las preferencias de cookies o revocar el consentimiento sin tener que realizar procesos complejos. 

En este sentido, lo normal es incluir un enlace permanente o botón visible desde cualquier página del sitio web con el fin de abrir el panel de configuración de cookies y actualizar la elección. 

Si tienes dudas sobre cómo aplicar una buena politica de cookies en tu negocio, en Legálitas Negocios podemos ayudarte a hacerlo con seguridad jurídica.

Redacción Legálitas Negocios