Gestión de Cookies: Consentimiento y Rastreadores en E-commerce

La regulación de las cookies no se limita al RGPD. Se basa en un texto distinto —la directiva conocida como “privacidad y comunicaciones electrónicas”, transpuesta al derecho francés— que exige un consentimiento previo para cualquier lectura o escritura de información en el terminal del usuario, independientemente de que dicha información constituya o no un dato personal. Esta autonomía explica la mayoría de los requerimientos: un rastreador no personal sigue estando sujeto al consentimiento.

Qué está cubierto y qué no

El alcance es más amplio de lo que sugiere la palabra “cookie”. Están comprendidos todos los procedimientos de almacenamiento o acceso a información en el terminal: cookies HTTP, almacenamiento local, píxeles invisibles, identificadores de dispositivo, huella digital del navegador.

Dos categorías escapan a la obligación de consentimiento, y su interpretación es estricta:

• Los rastreadores estrictamente necesarios para la prestación de un servicio expresamente solicitado por el usuario: carrito de compras, identificador de sesión, memorización de una preferencia de idioma, balanceo de carga.
• Los rastreadores cuya finalidad exclusiva sea permitir o facilitar una comunicación electrónica.

La medición de audiencia se ubica en una zona particular: puede quedar exenta de consentimiento bajo condiciones acumulativas estrictas —finalidad limitada exclusivamente a la medición, sin cruce con otros tratamientos, sin transmisión a terceros, duración de conservación limitada. Una solución de análisis ampliamente utilizada, que cruza los datos entre sitios o los transmite a su editor, no cumple estas condiciones.

Las reglas de la recolección

Tres exigencias estructuran el banner de consentimiento, y cada una ha sido objeto de sanciones.

El consentimiento debe ser previo. Ningún rastreador no exento puede colocarse antes de que el usuario actúe. Su colocación al cargar la página, antes de cualquier clic, constituye una infracción en sí misma —es el incumplimiento detectado con mayor frecuencia.

Rechazar debe ser tan sencillo como aceptar. Un banner que ofrece un botón “Aceptar todo” bien visible y remite el rechazo a un segundo nivel de configuración no cumple con esta exigencia. Ambas acciones deben estar accesibles en el mismo nivel y con el mismo número de clics.

El consentimiento debe ser libre, específico, informado e inequívoco. No puede derivarse de la continuación de la navegación, del desplazamiento de la página, ni de una casilla premarcada. Debe recabarse por finalidad, de modo que el usuario pueda aceptar la medición de audiencia sin aceptar la publicidad dirigida.

A esto se suma el retiro, que debe ser tan sencillo como el consentimiento inicial y estar disponible en todo momento, lo que supone un punto de acceso permanente en el sitio.

Duraciones y conservación

A menudo se confunden dos duraciones distintas.

La vida útil de los rastreadores está limitada en la práctica a trece meses, sin prórroga automática en cada nueva visita. La información recopilada mediante estos rastreadores solo se conserva durante un tiempo limitado más allá de ese plazo.

La duración de validez del consentimiento es distinta: la elección del usuario, ya sea positiva o negativa, debe conservarse para no volver a solicitarla en cada visita. La práctica recomendada es conservar esta elección durante aproximadamente seis meses, sin volver a preguntar por un rechazo con mayor frecuencia que por una aceptación.

Por último, el responsable debe estar en condiciones de demostrar la recolección válida del consentimiento. Esta prueba supone registrar, para cada usuario, la versión del banner mostrada, las finalidades presentadas y la elección expresada. Sin este registro, la afirmación “recabamos el consentimiento” no puede demostrarse —misma lógica probatoria que rige la aceptación de los términos y condiciones generales.

Las responsabilidades compartidas

Un sitio que integra rastreadores de terceros —red publicitaria, red social, herramienta de análisis— no queda exento de responsabilidad. El editor que decide la implementación de un rastreador determina su finalidad y compromete su responsabilidad, incluso cuando el rastreador pertenece a un tercero.

Dos consecuencias prácticas. Es indispensable contar con un inventario actualizado de los rastreadores realmente colocados, y este debe verificarse en condiciones reales y no solo con base en la documentación de los proveedores: las etiquetas agregadas por herramientas de marketing con frecuencia escapan al inventario declarativo. Además, las relaciones con terceros deben formalizarse contractualmente, identificando quién es el responsable del tratamiento y quién es el encargado.

Sanciones y controles

El incumplimiento de las reglas sobre rastreadores corresponde a un régimen propio: se sanciona con base en el texto especial, lo que permite a la autoridad de control nacional actuar directamente, sin pasar por el mecanismo de cooperación europeo. Esto explica la rapidez y el monto de las resoluciones dictadas en esta materia.

Los controles se centran prioritariamente en tres puntos verificables desde el exterior: la colocación de rastreadores antes del consentimiento, la asimetría entre aceptar y rechazar, y la persistencia de rastreadores tras un rechazo. Estos tres puntos pueden verificarse en cuestión de minutos con las herramientas de desarrollo de un navegador, lo que hace que la exposición sea permanente.

Escenarios de uso

Tienda en línea con publicidad. Separar las finalidades —funcionamiento, medición de audiencia, publicidad— y permitir un consentimiento distinto para cada una. Los rastreadores del carrito no requieren consentimiento; los de retargeting publicitario, siempre. Es un punto estructurante del marco legal de una tienda.

Sitio corporativo con medición de audiencia. Verificar si la configuración elegida cumple las condiciones de exención. Si es así, no se necesita ningún banner para esta finalidad; si no, se requiere el consentimiento como para cualquier otro rastreador.

Rediseño de sitio. Realizar el inventario de rastreadores en el entorno de pruebas antes de la puesta en producción, y luego repetirlo en producción: las herramientas agregadas por los equipos de marketing después de la entrega son la fuente más frecuente de desviación. Esta disciplina se alinea con las exigencias descritas para los estándares de pago seguro.

Preguntas frecuentes

¿Todas las cookies requieren consentimiento? No. Las estrictamente necesarias para un servicio expresamente solicitado —carrito, sesión, preferencia de idioma— están exentas, al igual que las que sirven exclusivamente para permitir una comunicación. La exención es de interpretación estricta.

¿Continuar navegando equivale a otorgar el consentimiento? No. El consentimiento debe ser inequívoco y resultar de un acto positivo. Ni el desplazamiento de la página, ni la continuación de la navegación, ni una casilla premarcada son suficientes.

¿Rechazar debe ser tan sencillo como aceptar? Sí. Ambas opciones deben presentarse en el mismo nivel, con un esfuerzo equivalente. Relegar el rechazo detrás de un menú de configuración constituye un incumplimiento claro.

¿Durante cuánto tiempo conservar la elección del usuario? La elección, tanto positiva como negativa, se conserva para evitar volver a preguntar en cada visita —aproximadamente seis meses en la práctica. Esto es distinto de la vida útil de los rastreadores, limitada a trece meses.

¿Está exenta la medición de audiencia? Solo bajo condiciones acumulativas estrictas: finalidad limitada a la medición, ausencia de cruce de datos, ausencia de transmisión a terceros, conservación limitada. La mayoría de las soluciones de uso masivo no las cumplen en su configuración predeterminada.

¿Quién es responsable de los rastreadores de terceros? El editor del sitio, siempre que decida su implementación y finalidad. La responsabilidad no se transfiere al proveedor del rastreador.

Para recordar

Tres incumplimientos concentran la mayor parte de las sanciones, y los tres pueden detectarse desde el exterior en cuestión de minutos: rastreadores colocados antes de cualquier consentimiento, un rechazo más costoso de expresar que una aceptación, y rastreadores que persisten pese a un rechazo.

Dos mecanismos responden a esto de manera duradera. Un inventario de rastreadores verificado en condiciones reales y no solo con base en documentación, actualizado después de cada puesta en producción. Y un registro del consentimiento que guarda la versión del banner, las finalidades presentadas y la elección expresada —sin él, la conformidad se afirma pero no puede demostrarse, lo que equivale a lo mismo ante un control.