Gestión de Cookies: Consentimiento y Rastreadores en E-commerce

La regulación de las cookies no se limita al RGPD. Se basa en una norma distinta —la directiva llamada «privacidad y comunicaciones electrónicas», transpuesta al derecho francés— que exige un consentimiento previo para toda lectura o escritura de información en el dispositivo del usuario, independientemente de que esa información sea o no un dato personal. Esta autonomía explica la mayoría de los apercibimientos: un rastreador no personal sigue estando sujeto al consentimiento.

Qué está cubierto y qué no

El alcance es más amplio de lo que sugiere la palabra «cookie». Están comprendidos todos los procedimientos de almacenamiento o acceso a información en el dispositivo: cookies HTTP, almacenamiento local, píxeles invisibles, identificadores de dispositivo, huella digital del navegador.

Dos categorías quedan exceptuadas de la obligación de consentimiento, y son de interpretación estricta:

• Los rastreadores estrictamente necesarios para la prestación de un servicio expresamente solicitado por el usuario: carrito de compras, identificador de sesión, memorización de una elección de idioma, balanceo de carga.
• Los rastreadores cuya finalidad exclusiva es permitir o facilitar una comunicación electrónica.

La medición de audiencia se ubica en una zona particular: puede estar exenta de consentimiento bajo condiciones cumulativas estrictas —finalidad limitada a la sola medición, sin cruce con otros tratamientos, sin transmisión a terceros, período de conservación limitado—. Una solución de análisis muy difundida, que cruza datos entre sitios o los transmite a su proveedor, no cumple estas condiciones.

Las reglas de la recolección

Tres exigencias estructuran el banner de consentimiento, y cada una ha sido objeto de sanciones.

El consentimiento debe ser previo. Ningún rastreador no exento puede depositarse antes de la acción del usuario. Un depósito al cargar la página, antes de cualquier clic, es una infracción en sí misma —es el incumplimiento más frecuentemente constatado—.

Rechazar debe ser tan sencillo como aceptar. Un banner que ofrece un botón «Aceptar todo» bien visible y que remite el rechazo a un segundo nivel de configuración no cumple con esta exigencia. Ambas acciones deben estar accesibles en el mismo nivel y con la misma cantidad de clics.

El consentimiento debe ser libre, específico, informado e inequívoco. No puede resultar de la continuación de la navegación, del desplazamiento de la página, ni de una casilla premarcada. Debe recolectarse por finalidad, y el usuario debe poder aceptar la medición de audiencia sin aceptar la publicidad dirigida.

A esto se suma el retiro, que debe ser tan fácil como el consentimiento inicial y accesible en todo momento, lo que supone un punto de acceso permanente en el sitio.

Plazos y conservación

Dos plazos distintos suelen confundirse.

La vida útil de los rastreadores está limitada en la práctica a trece meses, sin prórroga automática en cada nueva visita. La información recolectada mediante estos rastreadores solo se conserva por un tiempo limitado más allá de ese plazo.

La vigencia del consentimiento es distinta: la elección del usuario, sea positiva o negativa, debe conservarse para no volver a preguntarle en cada visita. La práctica recomendada es conservar esa elección durante aproximadamente seis meses, sin que un rechazo deba reconsultarse con mayor frecuencia que una aceptación.

El responsable debe, por último, estar en condiciones de demostrar la obtención válida del consentimiento. Esta prueba supone registrar, para cada usuario, la versión del banner mostrada, las finalidades presentadas y la elección expresada. Sin ese registro, la afirmación «recolectamos el consentimiento» no es demostrable —la misma lógica probatoria que rige la aceptación de los términos y condiciones.

Las responsabilidades compartidas

Un sitio que integra rastreadores de terceros —red publicitaria, red social, herramienta de análisis— no queda liberado de su responsabilidad. El editor que decide la implementación de un rastreador determina su finalidad y asume su responsabilidad, incluso cuando el rastreador pertenece a un tercero.

Dos consecuencias prácticas. Es indispensable un inventario actualizado de los rastreadores efectivamente depositados, y este debe verificarse en condiciones reales y no sobre la documentación de los proveedores: las etiquetas agregadas por herramientas de marketing frecuentemente escapan al inventario declarativo. Y las relaciones con terceros deben formalizarse contractualmente, identificando quién es responsable del tratamiento y quién actúa como encargado del tratamiento.

Sanciones y controles

El incumplimiento de las reglas sobre rastreadores está sujeto a un régimen propio: se sanciona en base a la norma especial, lo que permite que la autoridad de control nacional actúe directamente, sin pasar por el mecanismo de cooperación europeo. Esto explica la rapidez y el monto de las decisiones dictadas en la materia.

Los controles se centran prioritariamente en tres puntos verificables desde el exterior: el depósito de rastreadores antes del consentimiento, la asimetría entre aceptar y rechazar, y la persistencia de rastreadores después de un rechazo. Estos tres puntos se verifican en pocos minutos con las herramientas de desarrollo de un navegador, lo que hace que la exposición sea permanente.

Escenarios de uso

Tienda en línea con publicidad. Separar las finalidades —funcionamiento, medición de audiencia, publicidad— y permitir un consentimiento distinto para cada una. Los rastreadores del carrito de compras no requieren consentimiento, los de retargeting publicitario siempre lo requieren. Es un punto estructurante del marco legal de una tienda.

Sitio institucional con medición de audiencia. Verificar si la configuración elegida cumple con las condiciones de exención. Si es así, no se necesita ningún banner para esa finalidad; si no, se requiere el consentimiento como para cualquier otro rastreador.

Rediseño de sitio. Realizar el inventario de rastreadores en el entorno de pruebas antes de la puesta en producción, y luego repetirlo en producción: las herramientas agregadas por los equipos de marketing después de la entrega son la fuente de discrepancia más frecuente. Esta disciplina se relaciona con las exigencias descritas para los estándares de pago seguro.

Preguntas frecuentes

¿Todas las cookies requieren consentimiento? No. Las estrictamente necesarias para un servicio expresamente solicitado —carrito, sesión, preferencia de idioma— están exentas, así como las que sirven exclusivamente para permitir una comunicación. La exención es de interpretación estricta.

¿Continuar navegando equivale a consentir? No. El consentimiento debe ser inequívoco y resultar de un acto positivo. Ni el desplazamiento, ni la continuación de la navegación, ni una casilla premarcada son suficientes.

¿Rechazar debe ser tan simple como aceptar? Sí. Ambas opciones deben presentarse en el mismo nivel, con un esfuerzo equivalente. Relegar el rechazo detrás de un menú de configuración constituye un incumplimiento caracterizado.

¿Cuánto tiempo hay que conservar la elección del usuario? La elección, positiva o negativa, se conserva para evitar volver a preguntar en cada visita —aproximadamente seis meses en la práctica—. Esto es distinto de la vida útil de los rastreadores, limitada a trece meses.

¿La medición de audiencia está exenta? Solo bajo condiciones cumulativas estrictas: finalidad limitada a la medición, ausencia de cruce, ausencia de transmisión a terceros, conservación limitada. La mayoría de las soluciones masivas no las cumplen en su configuración predeterminada.

¿Quién es responsable de los rastreadores de terceros? El editor del sitio, en tanto decide su implementación y su finalidad. La responsabilidad no se transfiere al proveedor del rastreador.

Para recordar

Tres incumplimientos concentran la mayor parte de las sanciones, y los tres se constatan desde el exterior en pocos minutos: rastreadores depositados antes de cualquier consentimiento, un rechazo más costoso de expresar que una aceptación, y rastreadores que persisten pese a un rechazo.

Dos dispositivos responden a esto de manera duradera. Un inventario de rastreadores verificado en condiciones reales y no sobre documentación, repetido después de cada puesta en producción. Y un registro del consentimiento que documente la versión del banner, las finalidades presentadas y la elección expresada —sin él, la conformidad se afirma pero no se puede demostrar, lo cual equivale a lo mismo ante un control—.