Índice de contenidos
En esta guía sobre Incumplimiento de cookies: Sanciones legales en España explicamos cómo deben actuar las empresas para evitar cuantiosas multas
Durante mucho tiempo, prácticamente nadie le prestó atención a las cookies de las webs. Muchas empresas instalaban un aviso estándar en su página web, copiaban una política de cookies de otro sitio y daban el tema por resuelto. Mientras tanto, la mayoría de los usuarios pulsaba el botón de «Aceptar« sin detenerse un segundo a leer qué estaba autorizando.
Sin embargo, ese escenario ya quede muy lejos. En esta guía sobre Incumplimiento de cookies: Sanciones legales en España vamos a explicar los aspectos clave que deben tener en cuenta las empresas con páginas webs para evitar multas por infringir la normativa de protección de datos.
¿Protección de datos? Sí, porque las cookies permiten conocer:
- Cómo navega un usuario.
- Qué productos consulta.
- Cuánto tiempo permanece en una página.
- Cuáles son sus intereses para mostrarle publicidad personalizada.
Un pequeñísimo archivo que apenas pesa unos kilobytes es el resultado de haber realizado un tratamiento de datos personales sujeto a una regulación muy estricta.
¿Para cumplir la normativa con respecto a las cookies basta con poner un banner al entrar en la web? Lo cierto es que no. Las obligaciones de las empresas que realizan tratamiento de datos personales van más allá y las consecuencias de infringirlas también.
En esta guía sobre Incumplimiento de cookies: Sanciones legales en España vamos a arrojar luz sobre lo que exige la legislación europea y española y cómo deben actuar tanto las empresas como los propios usuarios.
¿Qué se considera un incumplimiento de cookies?
Una de las dudas más habituales es pensar que cualquier uso de cookies necesita autorización previa. En realidad, no es exactamente así. La normativa diferencia entre las cookies estrictamente necesarias para el funcionamiento de la página y aquellas que tienen finalidades adicionales, como:
- Medir el comportamiento de los usuarios.
- Personalizar contenidos.
- Mostrar publicidad basada en sus preferencias.
El punto de partida se encuentra en el artículo 22.2 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), que establece:
Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización.
Por lo tanto, antes de instalar cookies que no sean imprescindibles para el funcionamiento del sitio web, el usuario debe haber recibido información suficiente y haber prestado un consentimiento válido.
Aquí es donde comienza buena parte de los problemas que debemos tratar en esta guía sobre Incumplimiento de cookies: Sanciones legales en España.
¿Por qué? Mchas páginas cargan cookies analíticas o publicitarias en cuanto el usuario accede a la web, incluso antes de que este haya tomado una decisión.
Ese comportamiento constituye uno de los ejemplos más frecuentes que debemos contemplar en esta guía sobre Incumplimiento de cookies: Sanciones legales en España.
Además, el consentimiento debe cumplir las exigencias del Reglamento General de Protección de Datos (RGPD). Es decir, el consentimiento a las cookies debe ser:
- Libre.
- Específico.
- Informado.
- Inequívoco.
Es decir, aceptar las cookies debe ser una decisión libre del usuario, no el resultado de un diseño web que lo empuje a aceptarlas para poder navegar en la página.
Pensemos en una situación muy habitual. Una página muestra un gran botón verde para aceptar todas las cookies y, en cambio, obliga a recorrer varios menús para rechazarlas. Aunque a primera vista parezca un detalle de diseño, la realidad es que puede afectar directamente a la validez del consentimiento.
¿Qué otros escenarios debemos contemplar en esta guía sobre Incumplimiento de cookies: Sanciones legales en España? Aquellos casos en que la política de cookies de la web apenas explica:
- Qué información se recoge.
- Quién accede a esos datos.
- Durante cuánto tiempo permanecerán almacenados.
La transparencia no consiste en llenar una página con términos técnicos, sino en explicar de forma clara y concisa cuál va a ser el tratamiento de datos personales y qué está aceptado el usuario que da su consentimiento a la política de cookies.
Los incumplimientos más frecuentes que pueden acabar en una sanción
Uno de los casos más comunes, como ya apuntamos anteriormente en esta guía sobre Incumplimiento de cookies: Sanciones legales en España, es instalar cookies de medición o publicidad antes de obtener el consentimiento del usuario.
También son muy habituales los patrones engañosos. Seguro que alguna vez has entrado en una página donde aceptar todas las cookies requiere un solo clic, mientras que rechazarlas implica abrir varios menús, desmarcar diferentes categorías y confirmar la decisión una segunda vez. Esa diferencia de trato no es casual y las autoridades llevan tiempo prestando especial atención a este tipo de diseños.
Otro error frecuente que debemos contemplar en esta guía sobre Incumplimiento de cookies: Sanciones legales en España, surge cuando la política de cookies se redacta con frases tan genéricas que apenas aportan información. Expresiones como «utilizamos cookies para mejorar su experiencia» no son suficientes. El usuario tiene derecho a saber:
- Qué cookies concretas se instalan.
- Con qué finalidad.
- Quién es el responsable del tratamiento.
- Cuánto tiempo permanecerán activas las cookies.
Además, muchas empresas olvidan revisar periódicamente su página web. Lo que puede suponer un grave problema con respecto a las cookies. ¿Por qué? Es habitual que en las webs se instalen plugins y otras herramientas que, sin que el negocio sea consciente, utilizan cookies no contempladas en la política de cookies. De tal forma que una empresa que hasta el momento cumplía con la normativa, pase a no hacerlo.
Entonces, ¿qué inobservancias de la normativa podemos apuntar en esta guía sobre Incumplimiento de cookies: Sanciones legales en España?
- Instalar cookies no necesarias sin haber recabado el consentimiento libre y expreso de los usuarios.
- Dificultar el rechazo de las cookies mediante diseños poco transparentes que empujan a los usuarios a aceptar todas las cookies.
- Ofrecer información incompleta o excesivamente genérica.
- No actualizar la política de cookies cuando cambia la tecnología utilizada.
- No conservar evidencias del consentimiento otorgado por el usuario.
- No ofrecer un mecanismo sencillo para retirar posteriormente ese consentimiento.
La verdad es que ninguno de estos errores que venimos de mentar en esta guía sobre Incumplimiento de cookies: Sanciones legales en España resulta especialmente complejo de corregir. Sin embargo, cuando permanecen durante meses o incluso años, pueden dar lugar a procedimientos sancionadores.
Incumplimiento de cookies: Sanciones legales en España que pueden llegar a ser millonarias
Cuando se habla de multas, es habitual pensar inmediatamente en las sanciones millonarias del Reglamento General de Protección de Datos. Sin embargo, el régimen jurídico es algo más amplio y conviene distinguir entre las diferentes normas que pueden resultar aplicables.
En primer lugar, el artículo 22 de la LSSI cuenta con su propio sistema sancionador. Dependiendo de la gravedad del incumplimiento, las infracciones pueden calificarse como leves, graves o muy graves. Las multas previstas por esta ley pueden ascender a:
- 30.000 € en los supuestos leves.
- 150.000 € cuando la infracción se considera grave.
- 600.000 € en los escenarios más graves.
Ahora bien, en esta guía sobre Incumplimiento de cookies: Sanciones legales en España, debemos apuntar que un error o infracción puede conllevar, además, la vulneración del RGPD, con lo que las consecuencias económicas pueden ser mayores.
El artículo 83 del RGPD contempla que los incumplimientos relacionados con el consentimiento al tratamiento de datos personales pueden llegar a sancionarse con multas de hasta 20 millones de € o el 4 % de la facturación anual global.
Eso no significa que cualquier error vaya a traducirse automáticamente en una sanción de esas dimensiones. La Agencia Española de Protección de Datos analiza numerosos factores antes de imponer una multa:
- La duración del incumplimiento.
- El número de personas afectadas.
- La existencia de intencionalidad.
- La reincidencia.
- La colaboración de la empresa durante la investigación.
- Las medidas adoptadas para corregir la situación.
Precisamente por eso, una empresa que detecta un problema y actúa con rapidez suele encontrarse en una posición muy distinta de otra que ignora reiteradamente sus obligaciones.
En los últimos años, la AEPD ha dictado diversas resoluciones relacionadas con cookies instaladas sin consentimiento o con sistemas de aceptación que no respetaban los criterios fijados por la normativa europea. Esas resoluciones reflejan una tendencia evidente que debemos apuntar en esta guía sobre Incumplimiento de cookies: Sanciones legales en España: el cumplimiento de la normativa sobre cookies no es una cuestión menor de compliance empresarial, sino una cuestión de vital importancia para garantizar la protección de los datos personales de los ciudadanos.
Cómo evitar sanciones y por qué la transparencia beneficia tanto a empresas como a usuarios
Cumplir correctamente la normativa sobre cookies no debería verse únicamente como una forma de evitar multas. En realidad, es una oportunidad para reforzar la confianza de las personas que visitan una página web.
El primer paso consiste en realizar una auditoría de cookies. Puede parecer un trabajo técnico, pero resulta imprescindible para saber exactamente qué herramientas recopilan información y con qué finalidad lo hacen. Solo así es posible configurar un banner que contemple realmente las cookies empleadas para que el consentimiento de los usuarios no nazca viciado.
Además, el usuario debe poder aceptar o rechazar las cookies con la misma facilidad. Si modificar la configuración requiere diez clics y aceptarlas solo uno, probablemente el sistema necesite una revisión.
La política de cookies también merece especial atención, de tal forma que:
- Esté redactada con un lenguaje claro.
- Explique quién instala cada cookie.
- Determine cuánto tiempo permanece activa cada cookie.
- Ofrezca instrucciones sencillas para retirar el consentimiento cuando el usuario lo desee.
Desde la perspectiva del ciudadano, la normativa reconoce derechos muy importantes. Cada ciudadano puede decidir:
- Qué cookies acepta y cuáles no.
- Cambiar posteriormente la decisión que hubiese tomado.
- Presentar una reclamación ante la AEPD si considera que una página web infringe la normativa o menoscaba sus derechos.
En definitiva, en esta guía sobre Incumplimiento de cookies: Sanciones legales en España queremos destacar que la normativa busca, sobre todo, fomentar mayor transparencia en internet, consiguiendo que las empresas informen a los usuarios sobre qué hacen con sus datos y los ciudadanos puedan elegir qué cookies consienten y cuáles no.
Las empresas que entienden este cambio suelen comprobar que el cumplimiento normativo no es un obstáculo para su actividad. Más bien ocurre lo contrario. Una gestión responsable de las cookies:
- Mejora la imagen de la organización.
- Demuestra que la protección de los datos personales forma parte de su manera de trabajar.
En un contexto en el que la confianza digital vale cada vez más y donde se suceden abusos en internet, como fraudes en videos de TikTok o ciberestafas, el compromiso de una empresa con la seguridad y la transparencia puede convertirse en un auténtico valor diferencial.
