Ahora en 2024 la AEPD parece haber puesto el foco en las cookies de análisis de medición de audiencia cuyo uso está muy extendido, especialmente con el uso de Google Analitics. Quizá por ello ha querido arrojar luz sobre el uso de estos nuevos servicios que tanto están empezando a usar los editores.

Así pues, ello nos brinda la perfecta oportunidad para esclarecer su uso y los requisitos que la agencia recomienda imponer para cumplir con la normativa de protección de datos.

¿Qué es una cookie?

Una cookie permite el almacenamiento en el terminal del usuario (ordenador, móvil, Tablet…) de cantidades de datos que van de unos pocos kilobytes a varios megabytes. Dicha información puede ser utilizada para una amplia gama de finalidades, desde almacenar los productos de tu tienda web que están en tu carrito hasta recabar la información sobre tus hábitos de navegación para permitir personalizar tu publicidad.

¿Qué son las cookies de medición de audiencia o analíticas?

Las cookies de medición de audiencia o cookies analíticas son aquellas cookies empleadas para detectar el trafico en un sitio web, visitas y demás. Se trata de una herramienta esencial de muchas paginas web para ver su popularidad y las preferencias de los usuarios.

¿Necesito el consentimiento del usuario para usar estas cookies?

Las cookies analíticas pueden estar exentas del consentimiento de los usuarios, siempre que se cumplan los siguientes requisitos:

  1. La finalidad de estas cookies debe ser estrictamente limitada a la medición de la audiencia del sitio web o aplicación. Ello descarta de la exención tratamientos subsecuentes como análisis de mercado o popularidad, creación de perfiles de mercado…
  2. Deben ser implementadas y usadas en nombre del editor del sitio web. Esto descarta que aquellos casos como Google Analitics, el cual usa también los datos recabados para sus propios fines.
  3. Las cookies deben usarse para producir datos estadísticos anónimos. Para ello será necesario que los datos obtenidos carezcan de identificadores únicos (como IPs) y, preferiblemente de cuasidentificadores. Así mismo, es posible implementar técnicas como el K-anonimidad, que nos sirve para verificar el nivel de anonimidad de los datos de cara a evitar reidentificación de los datos anonimizados.
  4. No pueden compararse o cotejarse los datos obtenidos por estas cookies con otros tratamientos, ni tampoco cederse a terceros.
  5. La medición de las cookies debe ceñirse única y exclusivamente a la página web o aplicación. De manera que no cabe la opción de que haga un seguimiento agregado a lo largo de diferentes sitios webs. Esto descarta de pleno Google analitics, el cual permite hacer un seguimiento de anuncios y de sitios webs al largo de varios sitios webs (entre otras funciones).

Así pues, si se cumplen con estos requisitos no resulta necesario recabar el consentimiento del usuario, sin embargo, ello quita que se deban implementar una serie de garantías:

  • Se debe informar al usuario del uso de estas tecnologías, aun cuando están exentas. Para ello se recomienda usar la llamada “información por capas” con una primera capa con la información más esencial y otra segunda con las políticas de privacidad que contengan toda la información del tratamiento.
  • La vida útil de estas cookies o tecnologías similares se limitará a un período que permita una comparación significativa de audiencias a lo largo del tiempo, como es el caso de una duración de trece meses, y que no se extenderá automáticamente en nuevas visitas;
  • La información recopilada a través de estas cookies o tecnologías similares se conservará durante un período máximo de veinticinco meses;
  • La vida útil y periodo de conservación mencionados anteriormente estará sujetas a revisión periódica para limitarse a lo estrictamente necesario

Así mismo, cabe añadir que es recomendable analizar con consideración si se pretende usar una cookie ofrecida por un proveedor, ya que si bien pueden estar exentas de consentimiento habría que analizar en consideración el tratamiento que realicen.

Sea como sea, en caso de duda sobre el cumplimiento de todos estos requisitos o no, es recomendable recabar el consentimiento por si acaso. Especialmente, por que si el responsable no esta seguro de su tratamiento el usuario lo estará aun menos.

Algunos de los ejemplos de cookies admitidos como exentos de consentimientos son los siguientes:

  • Medición de audiencia, página por página;
  • La lista de páginas desde las que se ha seguido un enlace para solicitar la página actual (a veces llamada "referente"), ya sea interna o externa al sitio, por página y agregada diariamente;
  • Determinación del tipo de dispositivo, navegador y tamaño de pantalla de los visitantes, por página y agregados diariamente;
  • - Entre otros.

¿Qué pasa si las cookies no están exentas de consentimiento

En caso de no cumplir con los requisitos o no estar seguro de ello habrá que recabar el consentimiento del usuario. Pero no vale cualquier consentimiento si no que debe cumplir los siguientes requisitos:

  • Libre. El usuario debe tener la capacidad libre y sin presiones externas de aceptar o rechazar el tratamiento. En este sentido hay que descartar el uso de técnicas como el "pay or consent" (paga o consiente) a la hora de poder aceptar o rechazar las cookies.
  • Específico. No es valido cualquier consentimiento, sino que debe ser un consentimiento relativo específicamente sobre el ese tratamiento de datos.
  • Inequívoco. La conducta que realice el usuario (como por ejemplo un click) debe dejar totalmente claro que supone un consentimiento. Ello descarta como consentimiento conductas como seguir navegando haciendo caso omiso al panel de consentimiento.
  • Informado. Para que el consentimiento sea valido se debe de informar previamente sobre todos los aspectos relevantes del tratamiento.
    • Tener formalizado un contrato de encargado del tratamiento con el proveedor, con las condiciones del art. 28 RGPD. Básicamente se debe formalizar un acuerdo que debe incluir una amplia gama de condiciones y clausulas, aunque la AEPD ha publicado contratos estándar de encargado de tratamiento que facilitan la labor. Así mismo, la AEPD establece adicionalmente el contrato debe contener:
  1. La obligación no reutilizar los datos recopilados en ningún caso, en el marco del contrato.
  2. Restringir el tratamiento de los datos a los propósitos establecidas anteriormente como estrictamente necesarios.
  3. Cumplir con las garantías establecidas para el caso de dar servicio a múltiples editores.
  4. Que toda transferencia de datos fuera de la Unión Europea cumple con las condiciones de cumplimiento establecidas en el RGPD.
  • Que se evalúe si las herramientas proporcionadas por el proveedor nos permiten cumplir con las condiciones establecidas en el contrato y, principalmente, si nos permiten configurar el tratamiento para cumplir con el Reglamento Europeo de Protección de Datos.