Gestión de Cookies: Consentimiento y Trackers en el Comercio Electrónico

La normativa sobre cookies no se limita al RGPD. Se basa en un texto distinto — la directiva denominada «privacidad y comunicaciones electrónicas», transpuesta al derecho francés — que impone un consentimiento previo para cualquier lectura o escritura de información en el terminal del usuario, independientemente de que dicha información constituya o no un dato personal. Esta autonomía explica la mayoría de los requerimientos: un rastreador no personal sigue estando sujeto al consentimiento.

Qué está cubierto y qué no lo está

El ámbito es más amplio de lo que sugiere la palabra «cookie». Están comprendidos todos los procedimientos de almacenamiento o acceso a información en el terminal: cookies HTTP, almacenamiento local, píxeles invisibles, identificadores de dispositivo, huella digital del navegador.

Dos categorías escapan a la obligación de consentimiento, y son de interpretación estricta:

• Los rastreadores estrictamente necesarios para la prestación de un servicio expresamente solicitado por el usuario: carrito de compra, identificador de sesión, memorización de un idioma elegido, equilibrio de carga.
• Los rastreadores cuya finalidad exclusiva sea permitir o facilitar una comunicación electrónica.

La medición de audiencia se encuentra en una zona particular: puede quedar exenta de consentimiento bajo condiciones acumulativas estrictas — finalidad limitada a la sola medición, sin cruce con otros tratamientos, sin transmisión a terceros, duración de conservación limitada. Una solución de análisis muy extendida, que cruza los datos entre sitios o los transmite a su editor, no cumple estas condiciones.

Las normas de recogida

Tres exigencias estructuran el banner de consentimiento, y cada una ha sido objeto de sanciones.

El consentimiento debe ser previo. Ningún rastreador no exento puede depositarse antes de la acción del usuario. Un depósito al cargar la página, antes de cualquier clic, constituye una infracción en sí misma — es el incumplimiento más frecuentemente detectado.

Rechazar debe ser tan sencillo como aceptar. Un banner que ofrezca un botón «Aceptar todo» bien visible y remita el rechazo a un segundo nivel de configuración no cumple esta exigencia. Ambas acciones deben ser accesibles al mismo nivel y con el mismo número de clics.

El consentimiento debe ser libre, específico, informado e inequívoco. No puede resultar de la continuación de la navegación, del desplazamiento por la página, ni de una casilla premarcada. Debe recogerse por finalidad, de modo que el usuario pueda aceptar la medición de audiencia sin aceptar la publicidad dirigida.

A ello se añade la retirada, que debe ser tan fácil como el consentimiento inicial y accesible en todo momento, lo que supone un punto de acceso permanente en el sitio.

Duraciones y conservación

Con frecuencia se confunden dos duraciones distintas.

La vida útil de los rastreadores está limitada en la práctica a trece meses, sin prórroga automática en cada nueva visita. La información recopilada mediante estos rastreadores solo se conserva un tiempo limitado más allá de ese plazo.

La duración de validez del consentimiento es distinta: la elección del usuario, sea positiva o negativa, debe conservarse para no tener que solicitarla de nuevo en cada visita. La práctica recomendada es conservar esta elección durante unos seis meses, sin que un rechazo deba volver a preguntarse con mayor frecuencia que una aceptación.

El responsable debe, por último, estar en condiciones de demostrar la recogida válida del consentimiento. Esta prueba supone registrar, para cada usuario, la versión del banner mostrada, las finalidades presentadas y la elección expresada. Sin este registro, la afirmación «recogemos el consentimiento» no es demostrable — la misma lógica probatoria que rige la aceptación de las condiciones generales.

Las responsabilidades compartidas

Un sitio que integra rastreadores de terceros — red publicitaria, red social, herramienta de análisis — no queda exento de responsabilidad. El editor que decide implantar un rastreador determina su finalidad y compromete su responsabilidad, incluso cuando el rastreador pertenece a un tercero.

Dos consecuencias prácticas. Es indispensable un inventario actualizado de los rastreadores realmente depositados, y este debe verificarse en condiciones reales y no solo a partir de la documentación de los proveedores: las etiquetas añadidas por herramientas de marketing escapan con frecuencia al inventario declarativo. Y las relaciones con terceros deben formalizarse contractualmente, identificando quién es responsable del tratamiento y quién es encargado del tratamiento.

Sanciones y controles

El incumplimiento de las normas sobre rastreadores está sujeto a un régimen propio: se sanciona en base al texto especial, lo que permite a la autoridad de control nacional actuar directamente, sin pasar por el mecanismo de cooperación europeo. Esto explica la rapidez y la cuantía de las decisiones dictadas en esta materia.

Los controles se centran prioritariamente en tres puntos objetivables desde el exterior: el depósito de rastreadores antes del consentimiento, la asimetría entre aceptar y rechazar, y la persistencia de rastreadores tras un rechazo. Estos tres puntos se verifican en pocos minutos con las herramientas de desarrollo de un navegador, lo que hace que la exposición sea permanente.

Escenarios de uso

Tienda en línea con publicidad. Separar las finalidades — funcionamiento, medición de audiencia, publicidad — y permitir un consentimiento distinto para cada una. Los rastreadores del carrito no están sujetos a consentimiento, los del retargeting publicitario siempre. Es un punto estructurante del marco legal de una tienda.

Sitio corporativo con medición de audiencia. Comprobar si la configuración elegida cumple las condiciones de exención. Si es así, no se necesita ningún banner para esta finalidad; si no, el consentimiento es obligatorio como para cualquier otro rastreador.

Rediseño de sitio web. Realizar el inventario de rastreadores en el entorno de pruebas antes de la puesta en producción, y volver a hacerlo en producción: las herramientas añadidas por los equipos de marketing tras la entrega son la fuente de desviación más frecuente. Esta disciplina se alinea con las exigencias descritas para los estándares de pago seguro.

Preguntas frecuentes

¿Todas las cookies requieren consentimiento? No. Las estrictamente necesarias para un servicio expresamente solicitado — carrito, sesión, preferencia de idioma — están exentas, al igual que las que sirven exclusivamente para permitir una comunicación. La exención es de interpretación estricta.

¿Continuar navegando equivale a consentimiento? No. El consentimiento debe ser inequívoco y resultar de un acto positivo. Ni el desplazamiento, ni la continuación de la navegación, ni una casilla premarcada son suficientes.

¿Rechazar debe ser tan sencillo como aceptar? Sí. Ambas opciones deben presentarse al mismo nivel, con un esfuerzo equivalente. Relegar el rechazo detrás de un menú de configuración constituye un incumplimiento caracterizado.

¿Durante cuánto tiempo hay que conservar la elección del usuario? La elección, tanto positiva como negativa, se conserva para evitar volver a preguntar en cada visita — unos seis meses en la práctica. Esto es distinto de la vida útil de los rastreadores, limitada a trece meses.

¿Está exenta la medición de audiencia? Solo bajo condiciones acumulativas estrictas: finalidad limitada a la medición, ausencia de cruce, ausencia de transmisión a terceros, conservación limitada. La mayoría de las soluciones de uso general no las cumplen en su configuración predeterminada.

¿Quién es responsable de los rastreadores de terceros? El editor del sitio, en la medida en que decide su implantación y su finalidad. La responsabilidad no se transfiere al proveedor del rastreador.

Para recordar

Tres incumplimientos concentran la mayor parte de las sanciones, y los tres se constatan desde el exterior en pocos minutos: rastreadores depositados antes de cualquier consentimiento, un rechazo más costoso de expresar que una aceptación, y rastreadores que persisten a pesar de un rechazo.

Dos dispositivos responden a esto de manera duradera. Un inventario de rastreadores verificado en condiciones reales y no solo mediante documentación, rehecho tras cada puesta en producción. Y un registro del consentimiento que guarde la versión del banner, las finalidades presentadas y la elección expresada — sin él, la conformidad se afirma pero no se puede demostrar, lo que equivale a lo mismo ante un control.