La ley de la UE sobre el manejo de datos personales, el , es de manera frecuente denominado como el RGPD.
¿Cómo afecta el RGPD a sus cookies y seguimiento on line? ¿Cómo puede adaptar su página web al RGPD? y ¿Cómo repercute a su política de cookies y al consentimiento del empleo de cookies?
En este artículo, damos una introducción completa al RGPD y una guía práctica sobre lo que acarrean las nuevas reglas para y su página web.
El RGPD es un reglamento de la Unión Europea que representa la iniciativa más significativa de protección de datos en 20 años.
El propósito es la “protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de tales datos”, p. ej. el usuario del sitio.
Las cookies se mientan una vez en . Sin embargo, esas pocas líneas tienen un impacto significativo en el cumplimiento de las cookies:
(treinta): “Las personas físicas pueden ser asociadas a identificadores on-line […] como direcciones de los protocolos de internet, identificadores de sesión en forma de «cookies» u otros identificadores […]. Esto puede dejar huellas que, en particular, al ser conjuntadas con identificadores únicos y otros datos recibidos por los servidores, pueden ser utilizadas para realizar perfiles de las personas físicas y también identificarlas.”
En otras palabras, cuando las cookies pueden identificar a un individuo, se le considera datos personales.
1) ¿Qué son las cookies?
Las cookies son pequeños ficheros que se dejan de forma automática en su PC mientras navega por la web. En sí mismas, son inofensivas porciones de texto que se guardan de forma local y se pueden ver y eliminar fácilmente.
Pero las cookies pueden dar una enorme visión de sus actividades y preferencias, y se pueden emplear para identificarlo sin su permiso explícito.
Esto representa un incumplimiento grave desde cierto punto de vista legal, y a medida que las tecnologías de datos se vuelven poco a poco más sofisticadas, su privacidad como usuario se ve cada vez más comprometida.
A menudo, las cookies ni siquiera provienen del sitio que está visitando, sino de terceros que lo rastrean con fines de marketing. Todo esto sucede "entre bastidores".
Aunque no todas y cada una de las cookies se usan de forma que puedan identificar a los usuarios, la mayor parte (y las más útiles para los propietarios de la página web) lo hacen, y por tanto van a estar sujetas al RGPD.
El inconveniente con las cookies es tanto un inconveniente de privacidad - ¿qué se está registrando? – como un inconveniente de transparencia - ¿quién le está siguiendo, con qué propósito, hacia dónde van los datos, y por cuánto tiempo se queda?
Back to top1) Requisitos: ¿Cómo puede asegurarse de que su sitio y las cookies se amolden al RGPD?
Como propietario de una web, tomar medidas para cumplir acarrea repasar su tratamiento de datos y .
Consulte asimismo la infografía de la Comisión Europea: .
El Reglamento general de protección de datos considera p. ej. un nombre, una fotografía, una dirección de e-mail, datos bancarios, publicaciones en redes sociales, información médica o una dirección IP de una computadora como datos personales.
Si su página web u organización trata datos que son (a) de forma directa personales, o (b) que se puedan conjuntar o bien separarse para identificar a un individuo, entonces debe ser revisada para cumplir con los requisitos.
Mapee y valore los datos sensibles en su organización, revise sus políticas de seguridad y asegúrese que los datos sean seguros.
Los dos aspectos principales a tener en consideración son:
- Cómo se guardan en su organización los datos de los clientes del servicio y usuarios, y
- Las cookies en su sitio web (tanto de origen como de terceros).
Ajustar su política de cookies y su permiso del empleo de cookies es una parte esencial de este proceso.
1.1) ¿Qué peculiaridades deben estar presentes en un permiso del uso de cookies que cumpla con el RGPD?
Uno de los requisitos más tangibles del RGPD se halla en la definición de lo que constituye un consentimiento conveniente del empleo de cookies, es decir, que el permiso debe ser:
- Informado: ¿Por qué, de qué forma y dónde se están utilizando los datos personales? Ha de estar claro para el usuario, a qué le da consentimiento, y ha de ser posible aceptar o bien rehusar los diversos tipos de cookies.
- Basado en una alternativa verdadera: Esto significa, por poner un ejemplo, que el usuario debe tener acceso a la página web aunque la mayoría, excepto las cookies rigurosamente precisas, hayan sido rechazadas.
- Otorgado mediante una acción afirmativa y positiva que no se pueda malinterpretar.
- Otorgado ya antes del tratamiento de cualquier clase de datos personales.
- Movible: Debe ser fácil para el usuario cambiar de parecer y retirar el consentimiento.
Además,
- El usuario tiene el derecho al olvido. Cuando el usuario lo desee, todos sus datos personales deben borrarse correctamente.
- Todos los consentimientos dados deben registrarse como documentación.
2) ¿Qué es un aviso de cookies en de acuerdo con el RGPD?
Los requerimientos anteriores hacen que la mayor parte de los mensajes de cookies y notificaciones usados antes de la implementación del RGPD sean obsoletos.
Por ejemplo, el permiso tácito y el consentimiento dado sencillamente al visitar un lugar ya no son suficientes.
Lo mismo se aplica a las ventanas emergentes y mensajes ‘Al usar este sitio, usted acepta las cookies’.
Un simple botón de ok para admitir cookies tampoco es suficiente.
Por ejemplo, esto no funcionará:
2.1) Ejemplo de un mensaje de permiso que cumple con el RGPD
A continuación, la notificación de Cookiebot conforme al RGPD y la ePrivacy, solicitando permiso para establecer las cookies.
El mensaje cumple con los reglamentos por lo siguiente:
- En primer lugar, aunque invisible a simple vista, todos y cada uno de los scripts cargados, menos los rigurosamente necesarios, van a entrar en pausa hasta el momento en que se haya concedido el consentimiento del uso de cookies. Esta función se llama 'consentimiento previo' y es un requisito tanto del RGPD como de la Directiva sobre la privacidad y las comunicaciones electrónicas. Según el RGPD, usted debe contar con el permiso para establecer cookies que rastreen datos personales, mientras que, en la ePrivacy, precisa el consentimiento del usuario antes de establecer cualquier tipo de cookies, que no sean rigurosamente precisas.
- La información sobre cookies es precisa y específica, y se presenta en un lenguaje claro y sencillo, cumpliendo de esta forma todos y cada uno de los requisitos del RGPD.
- Si el usuario decide que se muestren los detalles, el aviso se despliega en una descripción completa sobre todas las cookies activas y el seguimiento online en la página web. La lista se fundamenta en un escaneo mensual de todas las páginas del lugar, que detecta e identifica todas y cada una de las cookies y las tecnologías de seguimiento conocidas en uso en el lugar. Las cookies se presentan completas con su origen, duración y descripción de su objetivo.
- Las cookies se agrupan en cuatro categorías entendibles, que el usuario puede escoger o bien no. Las cookies necesarias no se pueden rechazar, por el hecho de que están incluidas en la lista blanca y son necesarias a fin de que el sitio web funcione apropiadamente. Las categorías de cookies que no manejen datos personales pueden marcarse pre-escogidas, al tiempo que las que sí lo hacen, deben de ser activamente escogidas por el usuario para que se ajusten a la ley.
- En el ejemplo adjunto, las preferencias y cookies estadísticas del sitio no manejan datos personales y en consecuencia pueden ser pre-elegidas. Las cookies de marketing si rastrean datos personales y por tanto se encuentran deseleccionadas por defecto.
- El usuario tiene acceso a su estado de consentimiento en la página web y en cualquier instante puede cambiar de opinión sobre su consentimiento y optar por retirarlo.
- Todos los permisos dados se almacenan de manera segura como documentación de que se ha otorgado el consentimiento, lo que también es un requisito del RGPD.
- Cada 12 meses, a partir de la primera visita del usuario al sitio, el pop-up de permiso aparece nuevamente solicitando una renovación del mismo.
Lea más en nuestro artículo sobre el demandado por ley.
Back to top3) ¿De qué forma adapto mi política de cookies al RGPD?
El Reglamento general de protección de datos acarrea una revisión de su política de cookies a fin de que se ajuste a las regulaciones.
El RGPD y la directiva europea ePrivacy requieren consentimiento anterior e informado de los usuarios de su web y el RGPD exige además de esto la documentación de cada permiso otorgado.
Al mismo tiempo, usted debe rendir cuentas por la información del usuario qué comparta con servicios de terceras partes en su página web y a dónde se mandan esos datos.
Una política de cookies de acuerdo con el RGPD debe cumplir los próximos requisitos:
Política de cookies transparente
Una política de cookies conforme a la ley debe dar al usuario una descripción clara y precisa de de qué forma se emplean las cookies en todo instante. Es un requisito real, que la política de cookies esté escrita en un lenguaje sencillo e inteligible.
Resumen y responsabilidad por las cookies en su web
Usted puede estar sujeto a controles y se le exige tener un registro pormenorizado de los procesos de datos que está ocurriendo en relación con su página web.
Esto es más fácil de decir que de hacer, en tanto que la mayoría de las webs tienen un elevado número de cookies de terceras partes fluyendo mediante su sistema.
Solicitud de permiso a través de icono afirmativo
El cambio más grande para las cookies y el seguimiento online con relación a el RGPD es que el consentimiento ha de ser concedido por una acción claramente afirmativa.
Los ciudadanos europeos se han habituado -sin embargo, probablemente asimismo levemente irritados – a los avisos en todas las webs, aseverando el empleo de cookies, en ocasiones pidiéndole hacer clic en “ok”, pero no dándole una alternativa real.
Con el reglamento, esto no es suficiente. El consentimiento ha de ser otorgado como una acción afirmativa y positiva, al paso que el rechazo de cookies debe ser una alternativa equivalente.
Posibilidad de retirar el permiso en cualquier momento
El usuario debe tener el poder de retirar su permiso.
Es, en consecuencia, importante cerciorarse de que los usuarios tienen acceso al estado actual de su consentimiento en cualquier instante y de que pueden retirar su permiso de manera completa.
Renovación del permiso
Cada 12 meses, el consentimiento debe ser renovado desde la primera visita del usuario a la web.
De simple uso, sin diálogos absurdos
Un reto planteado por el RGPD es, por una parte, que el empleo de cookies sea transparente y que se les de a los usuarios el conocimiento de de qué forma se están utilizando sus datos.
Mientras que, la comunicación ha de ser clara y fácil de entender con el objeto de que el usuario tenga una opción real.
Con el RGPD y la directiva ePrivacy, el consentimiento del usuario debe ser otorgado con anterioridad al establecimiento de las cookies. Bajo el RGPD, necesita el permiso previo para establecer cookies que rastreen datos personales, al tiempo que la directiva ePrivacy va un paso más allí y demanda que obtenga el consentimiento para establecer todo tipo de cookies excepto las estrictamente precisas.
Consentimientos deben ser registrados como patentiza
Todos los consentimientos deben ser guardados de forma segura para que puedan ser empleados como patentiza en caso de control.
Back to top
4) ¿Puedo usar un modelo de política de cookies?
Existen abundantes servicios en la red que proveen modelos o bien generadores para la política de cookies de su página web. Simplemente, busque en Google “modelo de política de cookies” y encontrará bastantes entre los que seleccionar.
Sin embargo, tenga cuidado. Le aconsejamos que no utilice modelos o generadores, pues es un requisito del RGPD que la información sobre cookies y seguimiento on-line debe ser específico y preciso.
Para iniciar, todas las webs son diferentes, y segundo, las cookies pueden cambiar sin que ni siquiera se dé cuenta, especialmente si utiliza terceras partes como contenido embedido, anuncios y herramientas de análisis.
Con Cookiebot, puede publicar el informe sobre el escaneo mensual de su web como una parte integrante de su política de cookies o su política de privacidad.
Back to top
