- Una casilla premarcada no es un consentimiento válido para usar cookies de seguimiento o publicidad.
- El usuario debe recibir información clara, incluida la duración de las cookies y si terceros pueden acceder a ellas.
- Las webs que dan por bueno el consentimiento por seguir navegando o por casillas ya marcadas deberían revisar su sistema.
El 1 de octubre de 2019, el Tribunal de Justicia de la Unión Europea dictó sentencia en el asunto Planet49, una consulta planteada por el Tribunal Supremo Federal alemán. La demanda la presentó la federación alemana de consumidores contra una empresa de loterías en línea que, para participar en un sorteo, mostraba dos casillas: una para recibir publicidad, que había que marcar, y otra, ya marcada de antemano, que autorizaba la instalación de cookies para seguir el comportamiento del usuario con fines publicitarios.
El tribunal resolvió que un consentimiento dado mediante una casilla premarcada, que el usuario debe desmarcar si no está de acuerdo, no es un consentimiento válido a la luz de la normativa europea de privacidad electrónica y del Reglamento General de Protección de Datos. Entiende que el consentimiento exige una conducta activa del usuario. Además, la información que se le da debe incluir la duración de las cookies y si terceros pueden tener acceso a ellas.
Qué dice la sentencia
La clave está en la palabra «activo». El Reglamento define el consentimiento como una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. Si el usuario no hace nada, o si solo deja la casilla como está, no se puede deducir que haya aceptado. El tribunal añade que la regla se aplica tanto si las cookies tratan datos personales como si no, porque el objetivo es proteger la esfera privada del usuario.
La sentencia no distingue entre tipos de cookies por el nombre, sino por su función: las estrictamente necesarias para prestar el servicio solicitado, como las que mantienen una sesión iniciada o recuerdan el contenido de un carrito, están exentas del consentimiento. Las de analítica de terceros, publicidad personalizada o seguimiento entre sitios requieren, en general, una aceptación previa y activa.
Cómo afecta a las webs españolas
En España, la Ley de Servicios de la Sociedad de la Información exige informar y obtener el consentimiento del usuario para el uso de cookies no necesarias. Durante años ha sido habitual un aviso del tipo «si continúa navegando, acepta nuestra política de cookies». Tras la sentencia, esta práctica queda en entredicho, porque el mero hecho de seguir navegando difícilmente puede considerarse una acción afirmativa inequívoca.
El riesgo no es solo teórico. La autoridad española de protección de datos tiene competencia sancionadora, y los reglamentos europeos permiten multas elevadas. Para una pyme con una tienda en línea, un blog corporativo o un formulario de contacto, lo más probable es que la revisión sea sencilla, pero requiere comprobar qué herramientas de terceros se cargan en su web. Un buen banner no solo cumple con la ley: transmite transparencia y reduce el riesgo de reclamaciones y de pérdida de confianza de los clientes.
Qué conviene revisar
Un buen punto de partida es hacer un inventario de las cookies y de los servicios de terceros que carga su sitio: analítica, mapas, vídeos, redes sociales, publicidad. Después, comprobar cuáles se instalan antes de que el usuario haya aceptado nada, porque son las que plantean el mayor riesgo.
También conviene revisar el texto del aviso y del banner, que debe ser claro y ofrecer la posibilidad real de aceptar o rechazar, y la política de cookies, que debería explicar la finalidad, la duración y los terceros implicados. Consulte con su asesor en protección de datos o con el proveedor de su web para adaptar el sistema.
En materia de cookies, el silencio del usuario ya no es una respuesta.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
