Adecuación de las políticas de cookies. 24 de octubre de Enrique Soria Ceballos Abogado y consultor TIC

Transcripción

1 Adecuación de las políticas de cookies 24 de octubre de 2013 Enrique Soria Ceballos Abogado y consultor TIC

2 1. Antecedentes La Ley de Cookies (o Ley Cookie) es como se conoce al punto tercero del artículo 4 del Real Decreto-ley 13/2012, que entró en vigor el 31 de marzo de 2012, y que es una trasposición de la Directiva Europea 2009/136/CE, y que se integra en el Artículo 22 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSICE). En su virtud, se obliga a los titulares de páginas web profesionales a impedir que se instalen cookies en los ordenadores de sus usuarios, a menos que estos hayan dado antes su consentimiento informado para ello. El artículo modificado, queda redactado así: Artículo Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. Administradores y webmasters Página 2

3 2. Objetivo Tras una ambigua redacción del mencionado artículo 22 de la LSSICE y una guía no muy explícita de la Agencia Española de Protección de Datos sobre cómo han de configurarse las cookies, y con ellas las advertencias legales para su instalación y posterior uso, el objetivo de este documento es establecer una guía clara de implementación de las políticas de privacidad y cookies, tratando de resolver estas preguntas: Qué advertir? Cómo hacerlo? En qué lugar? Todo ello, aportando los instrumentos necesarios para su ejecución, textos legales e indicaciones necesarias para ello así como una indicación previa de la tipología de cookies existentes y cuáles son las relevantes a estos efectos. 2.1 Tipos de cookies Estableceremos una diferenciación que trate de explicar el asunto que nos lleva a este informe, esto es, discernir entre aquellas que afecten a la estructura de los sitios web corporativos, en función de las cookies empleadas y la finalidad que lleven aparejada o la función a desempeñar. Por un lado tendríamos: COOKIES EXENTAS Tipología Prestación de un SERVICIO SOLICITADO por usuario Permitir COMUNICACIÓN DE USUARIO Y RED Finalidad Entrada del usuario Autenticación/identificación de usuario Seguridad del usuario Reproductor multimedia De carga Personalización interfaz de usuario Intercambio de social media Cesta de la compra Rellenar un formulario ACCIONES PREVISTAS NO INFORMACIÓN NO CONSENTIMIENTO Administradores y webmasters Página 3

4 Las autoridades europeas y españolas en materia de protección de datos entienden que estas tienen escasa o nula incidencia en la privacidad de los usuarios. Por el contrario, estarán aquellas cuya incidencia es la que ahora se regula. Estas son: COOKIES NO EXENTAS Tipología Otras finalidades distintas de las anteriormente expuestas Finalidad Análisis de uso Medición de publicidad Realización de publicidad de terceros Aplicaciones de terceros (Otras ) ACCIONES PREVISTAS INFORMACIÓN COMPLETA EN AVISO LEGAL AUTORIZACIÓN PREVIA 2.2 Cuál es la forma de hacerlo? Existen varias técnicas para dar efectivo cumplimiento, pero teniendo en cuenta que, indefectiblemente, ha de producirse siempre este binomio: INFORMACIÓN + CONSENTIMIENTO Recordemos la redacción del Artículo 22.2: hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización Por lo tanto, la secuencia debe ser la siguiente: 1. INFORMACIÓN: El usuario ha de obtener información clara y completa sobre las cookies que se van a instalar en su ordenador. 2. CONSENTIMIENTO: Después de haber recibido la información, el usuario, si quiere, puede decidir aceptar las cookies. Hay que dar la oportunidad al usuario para salir de la web sin que se le hayan instalado cookies. 3. INSTALACIÓN: Después de que el usuario haya consentido la instalación de las cookies, se le podrán instalar, pero no antes. Administradores y webmasters Página 4

5 Las técnicas son las siguientes: A. En el momento de registro del usuario. En caso que ya existan usuarios registrados se puede establecer un procedimiento para comunicar la política de cookies y obtener el consentimiento cuando vuelvan a entrar al servicio. B. En el momento en que un usuario visita la web a través del formato de información por capas. (Fig.1) Tomaremos en cuenta esta última técnica (primera de las representadas en la Figura 1), pues es la que mejor se adapta a las exigencias de la normativa, y porque no todas las webs tienen un apartado destinado al registro de usuarios. Optaremos así una barra superior (o inferior) informativa y que resultaría ser la primera capa: Deberá mantenerse siempre visible en la pantalla sin hacer scroll Deberá de mantenerse diferenciada de la página principal Deberá presentarse en castellano o al menos con posibilidad de cambiar a este si se hace en otro idioma, como por ejemplo en gallego Deberá esperar la acción inequívoca del usuario. Esto último será objeto de justificación en la última parte de este informe Debe incluir un link explicativo a una página web, lo que constituirá la segunda capa Queda desechada la opción del pop up, habida cuenta de la última redacción del artículo 22 antes mencionado y según la interpretación del informe jurídico 02/2013 del Grupo del Artículo 29 Working Document 02/2013 providing guidance on obtaining consent for cookies, tal y como justificaremos en el siguiente punto. Administradores y webmasters Página 5 (Fig.2)

6 3. Justificación Se hace necesario justificar la acción de solicitar una acción en positivo del usuario, descartando la opción del consentimiento tácito, otorgado por la mera permanencia de este en la web o la continuidad en la navegación. En el citado informe de la Autoridad Europea, con marcado carácter aclaratorio a tenor de las técnicas desarrolladas en las páginas web de las distintas empresas y administraciones públicas, se pueden extraer diferentes conclusiones que nos invitan a decidir por la primera de las opciones. En este informe se aboga por que el proceso por el cual los usuarios podrían hacer constar su consentimiento en el uso de las cookies, debería ser una acción positiva u otro comportamiento activo, siempre que haya sido plenamente informado de lo que representa esa acción. Por lo tanto los usuarios pueden constar su autorización, ya sea haciendo clic en un botón o enlace o marcando una casilla en o cerca del espacio donde se presenta la información o cualquier otro comportamiento activo de los que el titular del sitio web pueda concluir inequívocamente que significa el consentimiento expreso e informado. Sigue diciendo el informe que comportamiento activo significa una acción que el usuario pueda tener, por lo general uno que se basa en una solicitud del usuario, como hacer clic en un enlace, la imagen o el contenido en la página web de entrada, etc. La información debe ser presentada de tal manera que el usuario reconozca como tal y no sea confundida con la propia publicidad, por ejemplo). Se exige además que el mecanismo de autorización deba presentar al usuario una opción real y significativa respecto a las cookies. El usuario debe tener la oportunidad de elegir libremente entre la opción de aceptar algunas o todas las cookies o para rechazar todas o algunas cookies y para mantener la posibilidad de cambiar la configuración de cookies en el futuro. Creemos firmemente en que la opción debe ser esta, habida cuenta de una recomendación del propio informe en el que dice textualmente: En algunos países el acceso a determinados sitios web puede estar condicionada a la aceptación de cookies, sin embargo por lo general, el usuario debe conservar la posibilidad de continuar navegando por la web sin la recepción de las mismas o recibir sólo algunas, aquellas que se necesitan en relación a la finalidad de la prestación del servicio del Web, y las que están exentas del requisito de consentimiento. Por tanto, se recomienda que se abstengan de la utilización de los mecanismos de consentimiento que sólo proporcionan una opción para que el usuario consienta, pero no ofrece ninguna opción con respecto a todas o algunas cookies. En conclusión, debería optarse por opciones similares a la presentada en la Figura 3, que reúna todos los requisitos vistos en el presente informe. Administradores y webmasters Página 6

7 (Fig.3) 4. Textos y procedimientos 4.1 Información de la primera capa La guía publicada por la Agencia Española de Protección de datos, como hemos dicho, deja muchas indeterminaciones y margen a la interpretación en ciertos puntos, no así en lo que respecta a la información que debe acompañar la primera capa. Dice concretamente esta publicación: La instalación de la cookie podrá tener lugar cuando el usuario disponga de la información preceptiva sobre las cookies y la forma de obtención del consentimiento y el mismo se preste de acuerdo con los procedimientos indicados. En este sentido, la instalación de las cookies debería ir acompañada por un consentimiento informado de los usuarios para tal instalación, de forma que los destinatarios tengan la oportunidad de examinar la información y decidir si permiten o no la implantación de estos dispositivos Administradores y webmasters Página 7

8 El texto propuesto, simulando un script informativo, podría ser el siguiente: Solicitamos su consentimiento para obtener datos estadísticos y de uso, con el objeto de mejorar nuestros servicios, utilizando para ellos cookies propias y de terceros ACEPTO NO ACEPTO Política de Privacidad 4.2 Procedimiento y operativa Sí y solo sí el visitante se decide por la aceptación de cookies podrían instalarse estas y nunca antes, tal y como hemos justificado en el punto anterior y que también se desprende del Dictamen 15/2011 del Grupo de Trabajo del Artículo 29: Es de sentido común que el consentimiento ha de obtenerse «previamente» al inicio del tratamiento de datos. De otra forma, el tratamiento que se realizara durante el tiempo comprendido entre el momento en que comienza el tratamiento y el momento en que se obtiene el consentimiento sería ilegal por falta de base jurídica. El procedimiento debería ser tal y como refleja el siguiente esquema (Fig.4) Administradores y webmasters Página 8

9 4.3 Información de la segunda capa Independientemente de la opción elegida por el usuario de la web, y en previsión de sucesivas visitas que quieran cambiar el criterio inicialmente otorgado, deberá existir una información somera de la política de cookies, incrustada por ejemplo en la de privacidad o el aviso legal, según sea la modalidad elegida por la web. Deberá ofrecer la siguiente información, conteniendo al menos, de forma clara y sin tecnicismos los siguientes puntos 1. La definición y función de las cookies 2. Información sobre qué es una cookie, el tipo, la finalidad, la titularidad (propias o de terceros y si son de análisis o publicidad 3. Información sobre cómo desactivarlas 4. Identificación de terceras empresas con las que haya relación activa Es muy importante que la política de cookies este accesible permanentemente a través de un enlace que puede situarse de forma diferenciada junto a la política de privacidad, el aviso legal o las condiciones de uso de la web. El texto del enlace deberá tener relación con el contenido de la página, pudiendo emplear expresiones como Cookies o Política de cookies Se adjunta como Anexo I, un ejemplo de la política de cookies que podrá utilizarse en cualquier página web corporativa. Administradores y webmasters Página 9

10 5. ANEXO I: Política de cookies DEFINICIÓN DE COOKIES: Una cookie es un fichero que se descarga en el ordenador/smartphone/tablet del usuario al acceder a determinadas páginas web para almacenar y recuperar información sobre la navegación que se efectúa desde dicho equipo PRESENTACIÓN DE LAS COOKIES UTILIZADAS NECESARIAS COOKIES INFORMACIÓN FINALIDAD OPTOUT Sesión, configuración de navegador, interfaz, idioma PROPIAS Gestión de registro, aumento de la calidad de la experiencia de usuario No aplica PUBLICIDAD Frecuencia de los anuncios Gestión de la publicidad No aplica ANALÍTICAS PUBLICIDAD Google Analytics Número de visitas, páginas o secciones visitadas, tiempo de navegación, sitios visitados antes de entrar en esta página, detalles sobre los navegadores usados COOKIES DE TERCEROS Informes estadísticos sobre el tráfico del sitio web, su audiencia total y la audiencia en una determinada campaña publicitaria WordPress ( ) ( ) Otras ( ) ( ) VER DESACTIVACIÓN DE COOKIES. El usuario podrá -en cualquier momento- elegir qué cookies quiere que funcionen en este sitio web mediante: 1) Configuración del navegador Chrome, desde Explorer, desde Firefox, desde Safari, desde 2) Los sistemas de opt-out específicos indicados en la tabla anterior respecto de la cookies

11 6. Noticia de la reseña