La Agencia Española de Protección de Datos ha sancionado (pdf) a dos empresas con un total de 3500 euros por instalar cookies (hay otras infracciones pero son por otros problemas al no informar en los formularios de contacto) en los equipos de las personas que visitaban sus sitios web porque«ha quedado acreditada la instalación de cookies no exentas en los equipos terminales de los usuarios que visitan las páginas web titularidad de ambas entidades sin que éstas proporcionen a los mismos una información clara y completa sobre el uso y finalidades de las cookies que se descargan en sus terminales.«
En el fondo del asunto hay fallos en la información que se muestra a los usuarios que navegan por el sitio, no bastando el «pop-up» desplegable mínimo sin una mayor información real y detallada de lo que se hace con las cookies.
Así por ejemplo la Agencia aprovecha la resolución para explicar como debería mostrarse la información en el sitio web en el que se dispongan dos capas para contener la información sobre las mismas:
La primera capa (lo que habitualmente tenemos en una ventana emergente) debería incluir la siguiente información mínima:
– Advertencia sobre el uso de cookies no exceptuadas que se instalan al navegar por los sitios web o al utilizar el servicio solicitado.
– Identificación de las finalidades de las cookies que se instalan, con información sobre si se trata de cookies propias o de terceros.– Advertencia, en su caso, de que si se realiza una determinada acción se entenderá que el usuario acepta el uso de las cookies.
– Un enlace a la segunda capa informativa en la que se indica una
información más detallada.Esta información es necesaria para que el usuario conozca el uso de estos dispositivos, su finalidad, los responsables de su utilización y la conducta de la que se inferirá la prestación del consentimiento, así como para que éste pueda obtener información adicional.»
Y en una segunda capa:
«Tipo de cookies que utiliza la página web y su finalidad.
– Forma de desactivar o eliminar las cookies descritas y forma de revocación del consentimiento ya prestado.
– Identificación de quienes utilizan las cookies, incluidos los terceros con lo que el editor haya contratado la prestación de un servicio que suponga el uso de cookies.»
De esta manera puede conseguirse un consentimiento válido y adecuado, manifestado después con la aceptación del pop-up, pero si falla la información no puede hablarse de consentimiento, lo que justifica la imposición de la sanción.
Es decir, que hay que tener cuidado con los avisos que se redactan y que no incluyan esa información que la agencia señala en la primera capa.
A día de hoy es muy difícil localizar avisos en los que la información disponible coincida con lo indicado, por lo que el riesgo es evidente.
Y por supuesto, identificar correctamente las cookies entre las exentas y las que no.
Sin duda un precedente que obligará a revisar avisos legales y avisos de instalación de cookies para reducir el riesgo de una sanción por parte de la Agencia.