FAQS COOKIES

El juliol de 2023, l'Agència Espanyola de Protecció de Dades (AEPD) va publicar la Guia sobre l'ús de cookies actualitzada i adaptada a les Directrius 03/2022 sobre patrons enganyosos del Comitè Europeu de Protecció de Dades (CEPD).

Les organitzacions van tenir fins a l'11 de gener de 2024 per adoptar els criteris recollits a la Guia.

Donades les complexitats que planteja l'ús de les cookies -i l'advertiment de la pròpia AEPD que les orientacions recollides a la Guia no són una solució general i uniforme per al compliment de la normativa, sinó que han de servir de guia perquè les entitats afectades analitzin la seva situació particular i adoptin decisions sobre la solució més adequada als seus interessos i model de negoci-, en aquesta publicació hem decidit presentar el contingut de la Guia de l'AEPD en un format similar al de preguntes freqüents (Faqs), en aquest cas , amb un format de pregunta-resposta (Q&A). L'objectiu és optimitzar el contingut de la Guia, per a una recerca més senzilla, fluida i concreta o específica per al lector, de totes les orientacions recollides.

Des de l'índex, el format Q&A permet la localització ràpida i l'accés fàcil a la resposta de cadascuna de les preguntes o consultes plantejades.

NORMATIVA APLICABLE

La Llei 34/2002, de 11 de juliol, de serveis de la societat de la informació i de comerç electrònic (LSSI) i el RGPD.

L'apartat segon de l'article 22 de la LSSI estableix:

“Els prestadors de serveis podran utilitzar dispositius d'emmagatzematge i recuperació de dades en equips terminals dels destinataris, a condició que aquests hagin donat el seu consentiment després que se'ls hagi facilitat informació clara i completa sobre la seva utilització, en particular, sobre els fins del tractament de les dades, d'acord amb el que disposa la normativa de protecció de dades (RGPD).

Quan sigui tècnicament possible i eficaç, el consentiment del destinatari per acceptar el tractament de les dades es pot facilitar mitjançant l'ús dels paràmetres adequats del navegador o d'altres aplicacions.

Això no impedirà el possible emmagatzematge o accés d'índole tècnica per tal d'efectuar la transmissió d'una comunicació per una xarxa de comunicacions electròniques o, en la mesura que sigui estrictament necessari, per a la prestació d'un servei de la societat de la informació expressament sol·licitat pel destinatari”.

Per tant, l'article anterior és aplicable a qualsevol “dispositiu d'emmagatzematge i recuperació de dades” a qualsevol “equip terminal dels destinataris” (persona física o jurídica que utilitza, sigui o no per motius professionals, un servei de la societat de la informació). És a dir, fa referència a la utilització de cookies i tecnologies similars utilitzades (com ara local shared objects o flash cookies, web beacons o bugs, etc.) per emmagatzemar i recuperar dades d'un equip terminal (per exemple, un ordinador, un telèfon mòbil o una tauleta) d'una persona física o jurídica que utilitza, sigui o no per motius professionals, un servei de la societat de la informació. També és aplicable a l'ús de tècniques de fingerprinting, és a dir, a les tècniques de presa de l'empremta digital del dispositiu.

L'article 22.2 esmentat de la LSSI vincula l'obtenció del consentiment a la informació que es faciliti a l'usuari, de manera que el consentiment que, si s'escau, presti l'usuari sigui informat. Aquest article 22.2 es remet a la normativa de protecció de dades quant als requisits del consentiment informat.

En aquest sentit, el mateix RGPD, considerant-ne 30, esmenta aquestes tecnologies i el seu impacte en la protecció de dades:

Les persones físiques poden ser associades a identificadors en línia facilitats pels seus dispositius, aplicacions, eines i protocols, com a adreces dels protocols d'internet, identificadors de sessió en forma de cookies o altres identificadors, com ara etiquetes d'identificació per radiofreqüència. Això pot deixar empremtes que, en particular, en ser combinades amb identificadors únics i altres dades rebudes pels servidors, poden ser utilitzades per elaborar perfils de les persones físiques i identificar-les”.

Per això, quan la utilització d'una cookie comporti el tractament de dades personals, els responsables d'aquest tractament s'han d'assegurar del compliment de les exigències addicionals establertes pel RGPD. Es considerarà que hi ha tractament de dades personals quan l'usuari estigui identificat per un nom o adreça de correu electrònic que l'identifiqui (per exemple, per tractar-se d'un usuari registrat) o quan s'utilitzin identificadors únics que permetin distingir uns usuaris dels altres i fer un seguiment individualitzat dels mateixos (per exemple, un ID de publicitat).

Això no obstant, en relació amb l'atenció de drets de protecció de dades dels interessats, si el responsable del tractament no està en condicions d'identificar l'interessat, podrà denegar la sol·licitud en els termes de l'article 12.2 del RGPD (excepte quan l'interessat en el seu exercici facilités informació addicional mitjançant la qual el responsable del tractament fos capaç de realitzar-ne la identificació).

TERMINOLOGIA I DEFINICIONS

Què són les cookies?

Les cookies es poden definir com a dispositius d'emmagatzematge i recuperació de dades als equips terminals dels usuaris (destinataris del servei o destinataris). És a dir, la seva finalitat és emmagatzemar informació i recuperar la ja emmagatzemada quan l'usuari navega, amb objectius diversos, com ara reconèixer-lo com a usuari, obtenir informació sobre els seus hàbits de navegació, o personalitzar la manera com es mostra el contingut. Les dades emmagatzemades en una cookie són creades pel servidor en connectar-se l'usuari, aquestes dades s'etiqueten amb un ID exclusiu per a l'usuari i el vostre ordinador. Quan la cookie s'intercanvia entre un ordinador i el servidor de la xarxa, aquest últim llegeix l'ID i sap quina informació específica es pot mostrar. Les cookies, per tant, tenen implicacions importants en relació amb la privadesa de l'usuari.

Qui és el destinatari del servei o destinatari?

És la persona física o jurídica que utilitza, sigui per motius professionals o no, un servei de la societat de la informació. El terme destinatari coincideix amb el d’usuari, podent diferenciar-se entre usuari registrat i no registrat.

La informació sobre cookies ha d'adreçar-se directament a l'usuari perquè pugui expressar el seu consentiment o rebuig. (Apartat d) de l'Annex de la LSSI).

Què és un servei de la societat de la informació?

És tot servei prestat a petició individual d'un usuari, a títol onerós o no, a distància i per via electrònica, sempre que constitueixi una activitat econòmica per a l'editor, la prestació del qual origina la utilització de les cookies.

Són serveis de la societat de la informació, entre d'altres i sempre que representin una activitat econòmica, els següents:

1r. La contractació de béns o serveis per via electrònica.

2n. L'organització i la gestió de subhastes per mitjans electrònics o de mercats i centres comercials virtuals.

3r. La gestió de compres a la xarxa per grups de persones.

4t. L'enviament de comunicacions comercials.

5è. El subministrament d'informació per via telemàtica.

No tindran la consideració de serveis de la societat de la informació els que no reuneixin les característiques assenyalades al primer paràgraf i, en particular, els següents:

1r. Els serveis prestats per mitjà de telefonia vocal, fax o tèlex.

2n. L'intercanvi d'informació per mitjà de correu electrònic o altre mitjà de comunicació electrònica equivalent per a fins aliens a l'activitat econòmica dels qui l'utilitzen.

3r. Els serveis de radiodifusió televisiva (inclosos els serveis de quasivídeo a la carta), que preveu l'article 3a) de la Llei 25/1994, de 12 de juliol, per la qual s'incorpora a l'ordenament jurídic espanyol la Directiva 89/552/CEE, del Consell, de 3 d'octubre, sobre la coordinació de determinades disposicions legals, reglamentàries i administratives dels estats membres relatives a l'exercici d'activitats de radiodifusió televisiva, o qualsevol altra que la substitueixi.

4t. Els serveis de radiodifusió sonora, i

5è. El teletext televisiu i altres serveis equivalents com les guies electròniques de programes ofertes a través de les plataformes televisives. (Apartat a) de l'Annex de la LSSI)

Per exemple: la prestació d'un servei d'accés a la informació mitjançant una pàgina web o una aplicació mòbil creada per una revista o periòdic, un servei financer, un servei d'entreteniment, un servei de comerç electrònic d'una botiga en línia, etc.

Qui és l'editor i el suport?

És qualsevol entitat prestadora de serveis de la societat de la informació titular d'una pàgina web als quals pot accedir un usuari i per a la prestació dels quals s'utilitzen cookies.

Alguns editors també coneguts com a publishers, a més de prestar un servei als usuaris, ofereixen, actuant com a suports, per si mateixos o amb l'ajuda d'un o diversos tercers, espais publicitaris als anunciants per a la gestió dels quals és necessària la utilització de cookies.

A la llum d’aquesta definició es pot observar el doble paper o funció que pot desenvolupar un editor.

Actua com a prestador d'un servei a l'usuari, per a la prestació del qual pot ser necessària la utilització de cookies. Quan actua com a suport pot, a més, oferir als anunciants espais publicitaris que estaran gestionats bé per ell mateix, o bé per una o més entitats simultàniament, mitjançant l'ús de tecnologies que poden requerir l'ús de cookies per al seu funcionament.

D'aquesta manera, és el suport el que presenta la publicitat a l'usuari (interessat) a través dels espais publicitaris que disposa, el conjunt dels quals s'anomena “inventari publicitari”.

Com comercialitza el suport l'inventari publicitari?

El suport comercialitza l'inventari publicitari a través dels agents següents:

Xarxes publicitàries.
Supply side platform (SSP) són plataformes tecnològiques publicitàries que permeten connectar un inventari a diversos ad-exchanges (lloc on s'uneixen oferta i demanda per fer transaccions comercials de compra i venda, on els anunciants i els suports/editors es posen en contacte) .
Agències i/o anunciants mitjançant acords directes accedint als seus ad-servers (plataformes de gestió utilitzades per administrar l'inventari d'anuncis d'un editor, solen fer servir cookies de tercers, de manera que aquestes cookies són enviades a l'equip terminal de l'usuari no des d'un domini gestionat i controlat pel propi editor, sinó des d'un gestionat per l'ad-server, emmagatzema els anuncis i els serveix a l'editor).

Les cookies publicitàries que s'instal·len al navegador de l'usuari poden provenir dels agents següents:

Supply side platform (SSP).
Anunciants, agències i els seus ad-servers o servidor d'anuncis o els seus DMP.
Ad-exchanges

Qui és l?anunciant?

És l'entitat, els productes, serveis o imatge de la qual es publiciten a través dels espais publicitaris de què disposen, si escau, els editors a les seves pàgines o altres aplicacions des de les quals presten els serveis als usuaris. En aquest sentit, actua com a demandant d’espais publicitaris.

Sovint, l'editor també sol actuar com a anunciant. En aquests casos, l'editor actua com a anunciant des del moment en què per fer publicitat del servei que presta als usuaris se serveix dels espais publicitaris que posen a la seva disposició altres editors.

Qui és l’agent comprador?

Són els agents interessats en la difusió de la publicitat. Determinen el pressupost total que empraran en una campanya publicitària, defineixen el públic objectiu i proporcionen els materials creatius, són els que estipulen el preu de licitació mínim que estan disposats a pagar per impressió. Aquesta funció la pot dur a terme diferents actors. La seva intervenció pot ser:

a través d'una agència de mitjans
de forma directa tractant amb els SSPs
de forma directa tractant amb els editors mitjançant els ad-servers (o servidor d'anuncis)

Què és una plataforma de gestió del consentiment (Consent Magement Platform o CMP)?

És una eina que s'instal·la al suport de l'editor, pàgina web o aplicació i permet que qualsevol responsable de la utilització de cookies compleixi els seus deures d'informació i recollida de consentiment. Perquè sigui vàlida, cal que permeti a les entitats que la utilitzen, tant editors com altres agents, complir els requisits que estableix la normativa. En particular, s'haurà de crear un entorn coordinat i coherent en què, mitjançant l'articulació d'acords o marcs contractuals, editors i tercers estiguin obligats a:

Complir els requisits de transparència davant dels usuaris.
Obtenir un consentiment vàlid dels usuaris.
Permetre la gestió d'aquests consentiments, inclosa la revocació.

Aquestes plataformes han d'estar sotmeses a auditories o revisions que validin el compliment dels requisits esmentats.

Què són les agències de publicitat i agències de mitjans?

Són entitats que s'encarreguen del disseny i l'execució de publicitat, així com de la creació, la preparació o la programació de les campanyes publicitàries dels anunciants, actuant en nom i per compte d'aquests en la compra d'espais publicitaris. En aquest sentit, també se'ls pot considerar demandants d'espais publicitaris per als anunciants.

Què són les xarxes publicitàries o ad-networks?

Són un conjunt d'entitats que, actuant en nom i representació directament o indirectament d'un o diversos editors, ofereixen també directament als anunciants o, indirectament a través d'altres demandants, com les agències de publicitat, la possibilitat d'obtenir espais publicitaris o algun tipus de resultat concret com clics, vendes o registres, a través de la gestió i tractament de les dades obtingudes de la utilització de les cookies descarregades o emmagatzemades als equips terminals dels usuaris, quan aquests accedeixen als serveis prestats per l'editor.

El seu objectiu és dur a terme la gestió de l'inventari d'espais publicitaris, la titularitat dels quals correspon als editors, de manera que convergeixi amb la demanda dels anunciants (venen l'espai publicitari dels editors). És l'editor qui decideix si la totalitat o part de l'inventari, de què disposa, és gestionat per una entitat en exclusiva o per diverses entitats simultàniament en funció dels criteris que estableixi.

Aquest tipus d'entitats solen fer una agregació de l'oferta dels espais publicitaris i dels inventaris de diversos editors. També poden comprar inventari de diferents editors per a les campanyes publicitàries que fan les agències de publicitat.

Algunes d'aquestes entitats demanen, mitjançant les cookies que gestionen, informació dels hàbits de navegació dels usuaris que accedeixen als serveis o pàgines oferts per qualsevol dels editors a qui representen. Les dades són recollides amb la finalitat que la difusió de les peces publicitàries dels anunciants sigui el més eficient possible. Per això, analitzen els hàbits dels usuaris a Internet per tal d'oferir-los la publicitat més adequada als interessos associats al seu perfil de navegació. Aquest tipus d'entitats actuen al costat de l'oferta, com a proveïdors d'espais, en nom i representació, directament o indirectament d'un o més editors.

Tot i que aquest tipus d'entitats mostren als seus clients de manera agregada les dades obtingudes com a resultat de la utilització de les cookies, caldrà informar i obtenir el consentiment dels usuaris per a la recollida d'aquestes dades i la seva agregació i tractament posterior amb la finalitat de gestionar l’oferta dels espais dels editors. Generalment, es realitzarà des de la pàgina web dels editors que usin aquest tipus de cookies pròpies o de tercers.

Per dur a terme la gestió d'aquests espais publicitaris de la manera més eficaç possible, es fan servir diferents tipus d'equips, tecnologies, programes o aplicacions de gestió, com ara ad-servers, ad-exchanges, etc. Aquests tracten a temps real les dades obtingudes, de manera que les peces publicitàries dels anunciants s'inclouen als espais publicitaris dels editors de manera automàtica, en funció dels criteris que s'estableixin en cada cas.

És freqüent que aquesta tasca de gestió sigui subcontractada de manera total o parcial a altres empreses especialitzades en el desenvolupament de les actuacions necessàries per a la gestió dels espais publicitaris.

Què és el trading-desk?

És l'equip tècnic de persones, dins o fora d'una agència de mitjans, que a través de la connexió amb múltiples DSP (tecnologia de licitació que permet a anunciants i/o agències de mitjans comprar inventari a diferents ad-exchanges -llocs on es uneixen oferta i demanda-), optimitzar la compra programàtica dels anunciants. Els anunciants també tenen trading-desk.

Generalment, el trading-desk està enfocat cap a la compra intel·ligent d'audiències mitjançant tecnologies d'optimització en múltiples plataformes (ad-exchanges, networks, DSPs, suports), de manera que comprarà aquella impressió de manera més eficient per als objectius dels seus clients /anunciants.

Què és un Ad-exchange?

És el lloc on s'uneixen oferta i demanda per fer transaccions comercials de compra i venda, on els anunciants creen i gestionen les campanyes i els suports ofereixen i gestionen els seus espais publicitaris.

Els ad-exchanges proveeixen una plataforma tecnològica que facilita l'automatització de les subhastes basades en preu i les compres en temps real, cosa que coneixem com a RTB (real time bidding). Així, doncs, el principi de funcionament d'un ad-exchange és la licitació en temps real.

Els ad-exchanges instal·len cookies a l'usuari, i alguns les xifren o realitzen hash quan les remeten als DSP associats amb ells per evitar que les cookies fixades per les xarxes d'anunciants es filtrin a tercers.

Què és un DSP (Demand side platform) o bidder?

És una tecnologia de licitació que permet a anunciants i/o agències de mitjans comprar inventari a diferents ad-exchanges.

Avaluen el valor de cada impressió.
Optimitzen el preu de licitació fent servir les dades de l'audiència.
Pugen per l'inventari.

La compra es fa impressió a impressió, és a dir “puja en temps real”. Un DSP té una interfície única que permet licitar, optimitzar i obtenir informes.

El DSP no pot accedir a les cookies de l'usuari fins que contacti amb el mateix i això no podrà fer-ho sense guanyar la subhasta de l'espai, per això els ad-exchange i anunciants utilitzen la cookie matching o cookie syncing.

Què és una SSP (Supply Side Platform)?

Són plataformes tecnològiques publicitàries que permeten connectar un inventari a diversos ad-exchanges.

Quines són les empreses danàlisi i mesurament?

Són entitats que mesuren i/o analitzen la navegació dels usuaris a la pàgina web d'un editor i el seu comportament amb qualsevol dels elements o amb la publicitat, a través de l'anàlisi de les dades obtingudes amb la utilització de les cookies.

Generalment, per a la prestació d'aquest tipus de serveis s'utilitzen el que s'anomenen cookies de tercers, és a dir, cookies que són enviades a l'equip terminal de l'usuari no des d'un equip o domini gestionat i controlat per l'editor, sinó des d'un equip o domini gestionat per la pròpia entitat que fa l'anàlisi de les dades.

Donada la multiplicitat d'entitats intervinents, correspondrà a cadascuna d'elles analitzar la tasca que desenvolupa per posicionar-se en un o altre paper de cara a la determinació de la responsabilitat en què incorren i al compliment de les obligacions establertes a la normativa.

Què és un DMP (data management platform)?

És una plataforma de gestió de dades que recull, emmagatzema i empaqueta o agrupa i transfereix dades de consumidors i usuaris que rep de diferents fonts o proveïdors de dades. El DMP pot categoritzar les dades de consumidors i usuaris mitjançant una font de dades externa sociodemogràfica i interessos segons la seva navegació (3rd party data). El DMP pot ser agència, client o externalitzat. Hi ha ocasions en què el DMP pot prendre decisions sobre les dades personals.

TIPUS DE COOKIES

Quins tipus de cookies hi ha?

Segons qui sigui l'entitat que gestioni l'equip o el domini des d'on s'envien les cookies i tracti les dades que s'obtinguin, podem distingir: pròpies i de tercers.
Segons la finalitat per a la qual es tractin les dades obtingudes a través de les cookies, algunes de les finalitats més habituals poden ser: tècniques, de preferències o personalització, d'anàlisi o mesurament, de publicitat comportamental. Els editors i els tercers podran realitzar les categoritzacions que considerin que millor s'ajusten a les finalitats de les cookies que utilitzen, de manera que es respecti el principi de transparència davant dels usuaris.
Segons el termini de temps que romanen activades a l'equip terminal podem distingir: de sessió o persistents.

Quins tipus de cookies existeixen en funció de l'entitat que les gestioni?

Segons qui sigui l'entitat que gestioni l'equip o domini des d'on s'envien les cookies i tracti les dades que s'obtinguin, podem distingir entre:

Cookies pròpies: són aquelles de què és responsable el mateix editor i que, generalment, s'envien a l'equip terminal de l'usuari des d'un equip o domini gestionat pel mateix editor i des del qual es presta el servei sol·licitat per l'usuari.
Cookies de tercer: són aquelles de les quals és responsable una entitat diferent de l'editor i que, generalment, s'envien a l'equip terminal de l'usuari des d'un equip o domini que no és gestionat per l'editor, sinó per una altra entitat que tracta les dades obtingudes a través de les cookies.

En el cas que les cookies siguin servides des d'un equip o domini gestionat pel mateix editor, però la informació que es reculli mitjançant aquestes sigui gestionada per un tercer, no poden ser considerades com a cookies pròpies si el tercer les utilitza per a les seves pròpies finalitats (per exemple, la millora dels serveis que presta o la prestació de serveis de caràcter publicitari a favor d’altres entitats).

Quins tipus de cookies existeixen segons la finalitat?

N'hi ha moltes segons les seves finalitats, els editors i els tercers podran realitzar les categoritzacions que considerin que millor s'ajusten a les finalitats de les cookies que utilitzen, de manera que es respecti el principi de transparència davant dels usuaris, a títol orientatiu, algunes de les més habituals poden ser:

Cookies tècniques: són aquelles que permeten a l'usuari la navegació a través d'una pàgina web, plataforma o aplicació i la utilització de les diferents opcions o serveis que hi hagi, incloent-hi aquelles que l'editor utilitza per permetre la gestió i operativa de la pàgina web i habilitar les seves funcions i serveis, com ara controlar el trànsit i la comunicació de dades, identificar la sessió, accedir a parts d'accés restringit, recordar els elements que integren una comanda, realitzar el procés de compra d'una comanda, gestionar el pagament, controlar el frau vinculat a la seguretat del servei, realitzar la sol·licitud d'inscripció o participació en un esdeveniment, comptar visites a efectes de la facturació de llicències del programari amb què funciona el servei (lloc web, plataforma o aplicació), utilitzar elements seguretat durant la navegació, emmagatzemar continguts per a la difusió de vídeos o so, habilitar continguts dinàmics (per exemple, animació de càrrega d'un text o imatge) o compartir continguts a través de xarxes socials.

També pertanyen a aquesta categoria, per la seva naturalesa tècnica, aquelles cookies que permeten la gestió, de la manera més eficaç possible, dels espais publicitaris que, com un element més de disseny o “maquetació” del servei ofert a l'usuari, l'editor hagi inclòs en una pàgina web, aplicació o plataforma en base a criteris com el contingut editat, sense que es recopili informació dels usuaris amb fins diferents, com ara personalitzar aquest contingut publicitari o altres continguts.

Les cookies tècniques estaran exceptuades del compliment de les obligacions establertes a l'article 22.2 de la LSSI quan permetin prestar el servei sol·licitat per l'usuari, però, si aquestes cookies s'utilitzen també per a finalitats no exemptes (per exemple, per a fins publicitaris comportamentals) , quedaran subjectes a aquestes obligacions.

Cookies de preferències o personalització: són aquelles que permeten recordar informació perquè l'usuari accedeixi al servei amb determinades característiques que poden diferenciar la seva experiència de la d'altres usuaris, com ara l'idioma, el nombre de resultats a mostrar quan l'usuari fa una cerca, l'aspecte o contingut del servei en funció del tipus de navegador a través del qual accedeix al servei o de la regió des de la qual accedeix al servei, etc.

Si sou el mateix usuari qui escolliu aquestes característiques (per exemple, si seleccioneu l'idioma d'un lloc web clicant a la icona de la bandera del país corresponent, la moneda que voleu utilitzar en les transaccions, la mida de font o el contrast de color entre el fons i el contingut per millorar la llegibilitat), les cookies estaran exceptuades de les obligacions de l'article 22.2 de la LSSI, això sempre que les cookies obeeixin exclusivament a la finalitat seleccionada. Aquestes cookies de preferències que afecten la interfície d'usuari no han de ser necessàriament de sessió, ja que sol·licitar que l'usuari determini les seves preferències a aquests efectes cada vegada que es visita un lloc web o s'accedeix a una aplicació pot resultar molest i provocar-lo fatiga. Ara bé, perquè aquestes cookies es considerin exemptes, el seu ús s'haurà de limitar al necessari per a la seva fi, i la informació que es pugui desprendre de la selecció de l'usuari no es podrà fer servir per a altres fins (per exemple, per a la personalització de continguts publicitaris) ni per elaborar un perfil de l’usuari.

Cookies d'anàlisi o mesurament: són aquelles que permeten al responsable de les mateixes el seguiment i anàlisi del comportament dels usuaris dels llocs web als quals estan vinculades, inclosa la quantificació dels impactes dels anuncis. La informació recollida mitjançant aquest tipus de cookies s'utilitza en el mesurament de l'activitat dels llocs web, l'aplicació o la plataforma, per tal d'introduir millores en funció de l'anàlisi de les dades d'ús que fan els usuaris del servei.

Pel que fa al tractament de dades recollides a través de les cookies d'anàlisi, el GT29 va manifestar que, tot i que no estan exemptes del deure d'obtenir un consentiment informat per al seu ús, és poc probable que representin un risc per a la privadesa dels usuaris sempre que es tracti de cookies de primera part, que tractin dades agregades amb una finalitat estrictament estadística, que es faciliti informació sobre els seus usos i s'inclogui la possibilitat que els usuaris manifestin la negativa sobre la seva utilització.

Cookies de publicitat comportamental: són aquelles que emmagatzemen informació del comportament dels usuaris obtinguda a través de l'observació continuada dels seus hàbits de navegació, cosa que permet desenvolupar un perfil específic per mostrar publicitat en funció del mateix.

Quins tipus de cookies existeixen segons el temps que romanen actives?

Cookies de sessió: són aquelles dissenyades per demanar i emmagatzemar dades mentre l'usuari accedeix a una pàgina web. Se solen emprar per emmagatzemar informació que només interessa conservar per a la prestació del servei sol·licitat per l'usuari en una sola ocasió (per exemple, una llista de productes adquirits) i desapareixen en acabar la sessió.
Cookies persistents: són aquelles en què les dades segueixen emmagatzemades al terminal i poden ser accedides i tractades durant un període definit pel responsable de la cookie, i que pot anar d'uns minuts a diversos anys.

Pel que fa a això, s'ha de valorar específicament si és necessària la utilització de cookies persistents, ja que els riscos per a la privadesa podrien reduir-se mitjançant la utilització de cookies de sessió. En tot cas, quan s'instal·lin cookies persistents, es recomana reduir al mínim necessari la seva durada temporal atenent a la finalitat del seu ús.

A aquests efectes, el Dictamen 4/2012 del GT29 va indicar que perquè una cookie pugui estar exempta del deure de consentiment informat, la seva caducitat ha d'estar relacionada amb la finalitat. A causa d'això, és molt més probable que es considerin exceptuades les cookies de sessió que les persistents.

INFORMACIÓ

Cal informar l'usuari sempre que s'instal·lin cookies, encara que siguin necessàries (tècniques o de personalització)?

Sí, sempre que la vostra instal·lació comporti el tractament de dades personals i es considerarà que hi ha tractament de dades personals quan l'usuari estigui identificat per un nom o adreça de correu electrònic que l'identifiqui (per exemple, per tractar-se d'un usuari registrat) o quan s'utilitzen identificadors únics que permetin distingir uns usuaris dels altres i fer-ne un seguiment individualitzat (per exemple, un ID de publicitat).

En el cas de les cookies necessàries es podria entendre que en estar excloses de l'àmbit d'aplicació de l'art. 22.2 LSSI, no caldria informar. No obstant això, per raons de transparència, es recomana fer-ho, almenys amb caràcter genèric, ja sigui a la política de cookies o a la pròpia política de privadesa (per exemple: “Aquest lloc web utilitza cookies que permeten el funcionament i la prestació de els serveis oferts al mateix”).

Quan es poden utilitzar i, si escau, instal·lar-se les cookies?

Segons l'article 22 de la LSSI: “Els prestadors de serveis podran utilitzar dispositius d'emmagatzematge i recuperació de dades (cookies) en equips terminals dels destinataris, a condició que aquests hagin donat el seu consentiment després que se'ls hagi facilitat informació clara i completa sobre la seva utilització, en particular, sobre les finalitats del tractament de les dades, d'acord amb el que disposa la normativa de protecció de dades”.

En conseqüència, la utilització de la cookie podrà tenir lloc quan l'usuari disposi de la informació preceptiva sobre aquestes i la forma d'obtenció del consentiment i es preste d'acord amb els procediments adequats. En aquest sentit, la utilització de les cookies hauria d'anar acompanyada per un consentiment informat dels usuaris per a aquesta utilització, de manera que els destinataris tinguin l'oportunitat d'examinar la informació i decidir si n'accepten la utilització.

Quina informació cal facilitar a l'usuari sobre les cookies?

L'art. 22.2 LSSI estableix que s'ha de facilitar als usuaris informació clara i completa sobre la utilització de les cookies i, en particular, sobre les finalitats del tractament de les dades, conforme al RGPD, que requereix que el tractament de les dades dels usuaris es realitzi de forma transparent per a ells, de manera que els permeti entendre les seves finalitats i l’ús que se’ls donarà.

Per tant, a la política de cookies s'haurà d'incloure la informació següent:

Definició i funció genèrica de les cookies.
Informació sobre el tipus de cookies que s'utilitzen i la finalitat. En cas que no fos possible per a l'editor oferir una explicació suficient sobre la finalitat de les cookies utilitzades per tercers o la manera d'eliminar-les, pot facilitar aquesta informació incloent un enllaç a la pàgina web del tercer. Les plataformes de gestió del consentiment (consent magement platform o CMP) poden ser una solució.
Identificació de qui utilitza les cookies, és a dir, si la informació obtinguda per les cookies és tractada només per l'editor i/o també per tercers amb què editor hagi contractat la prestació d'un servei per al qual es requereixi l'ús de cookies, amb identificació d'aquests últims. No caldrà que la informació concreta sobre els tercers (el seu nom o marca amb què el públic pugui conèixer-los i, si escau, l'enllaç a la informació que ofereix sobre les seves cookies) sigui directament visible en la política de cookies, sinó que es poden utilitzar mecanismes com botons que despleguin aquesta informació més específica o text emergent que aparegui en passar el punter del ratolí per sobre. Tot això, sempre que l’usuari pugui accedir fàcilment a la informació si així ho desitja.
Informació sobre com acceptar, denegar o revocar el consentiment per a l'ús de cookies enunciades a través de les funcionalitats facilitades per l'editor (el sistema de gestió o configuració de cookies que s'hagi habilitat) o a través de les plataformes comunes que poguessin existir per a aquesta finalitat.

Si el sistema de gestió o configuració de les cookies de l'editor no permet evitar la utilització de les cookies de tercers una vegada acceptades per l'usuari, es facilitarà informació sobre les eines proporcionades pel navegador i els tercers i s'haurà d'advertir que, si el usuari accepta cookies de tercers i posteriorment desitja eliminar-les, ho haurà de fer des del seu propi navegador o el sistema habilitat pels tercers per fer-ho. A aquests efectes, i sense perjudici d'haver de disposar del corresponent sistema de gestió o configuració de cookies, es podrà facilitar addicionalment la informació següent: “Tingueu en compte que, si accepta les cookies de tercers, les haureu d'eliminar des de les opcions del navegador o des del sistema ofert pel propi tercer”.

Si escau, informació sobre les transferències de dades a tercers països realitzades per l'editor. L'opinió del GT29 sobre aquest punt, ratificada pel CEPD, és que cal especificar l'article del RGPD que permet la transferència, identificar els tercers països i proporcionar informació sobre on i com es pot accedir a la decisió d'adequació o a les garanties adequades o apropiades, incloses les normes corporatives vinculants, que, si escau, permetin la transferència. En absència d'aquestes, cal informar a l'usuari del risc de fer la transferència sense nivell d'adequació o de garanties apropiades, si se'n pretén obtenir el consentiment explícit.

Respecte de les transferències que, si s'escau, facin tercers, és vàlida la tramesa a la informació que facilitin aquests tercers.

Quan l'elaboració de perfils impliqui la presa de decisions automatitzades amb efectes jurídics per a l'usuari o que l'afectin significativament de manera similar, caldrà que s'informi sobre la lògica utilitzada, així com la importància i les conseqüències previstes d'aquest tractament per a l'usuari en els termes establerts al article 13.2 f) del RGPD.
Període de conservació de les dades per als diferents fins en els termes establerts a l'article 13.2 a) del RGPD.
Pel que fa a la resta d'informació exigida per l'article 13 del RGPD que no es refereixi específicament a les cookies (per exemple, els drets dels interessats), l'editor podrà remetre's a la política de privadesa.

Com ha de ser la informació que es faciliti sobre cookies?

Ha de ser concisa, transparent i intel·ligible.
Ha de ser de fàcil accés.
Cal utilitzar un llenguatge clar i senzill, evitant l'ús de frases que indueixin a confusió o desvirtuïn la claredat del missatge.

Com s'ha de mostrar la informació per capes sobre cookies?

A la primera capa, que per a més claredat es podrà identificar sota un terme d'ús comú (com, per exemple, “cookies”), s'inclouria la informació següent:

Identificació de l'editor responsable del lloc web. No serà necessària la denominació social, sempre que les seves dades identificatives completes figurin en altres seccions del lloc web (avís legal, política de privadesa, etc.) i la seva identitat pugui desprendre's de forma evident del propi lloc web (per exemple, quan el propi domini es correspongui amb el nom de l'editor o la marca amb què s'identifica davant del públic o aquest nom o marca figurin clarament al lloc web). Si no fos així, l'editor s'hauria d'identificar en aquesta primera capa.
Identificació de les finalitats de les cookies que s'utilitzaran.
Informació sobre si les cookies són pròpies o també de tercers, sense que calgui identificar els tercers en aquesta primera capa.
Informació genèrica sobre el tipus de dades que es recopilaran i utilitzar en cas que s'elaborin perfils dels usuaris (per exemple, quan s'utilitzin cookies de publicitat comportamental).
Mode en què l'usuari pot acceptar, configurar i rebutjar la utilització de cookies. Aquesta primera capa haurà de contenir un botó o mecanisme equivalent, clara i fàcilment visible:
- Amb les paraules “Acceptar cookies”, “Acceptar”, “Consentir” o textos similars, per consentir l'ús de totes les cookies.
- Amb les paraules “Rebutjar cookies”, “Rebutjar” o textos similars, per rebutjar l'ús de cookies, excepte aquelles que estiguin exemptes de l'obligació d'obtenir un consentiment informat (si s'utilitza un botó per acceptar, cal utilitzar un botó per rebutjar ). L'opció de rebutjar s'ha d'oferir a l'usuari alhora, al mateix nivell i amb la mateixa visibilitat que acceptar-les, sense remetre'l a cap altra capa o lloc diferent per realitzar aquesta acció.
- Amb les paraules “Configurar cookies”, “Configurar” o textos similars, no necessàriament similar als anteriors, que desplega o porti a un panell de configuració que permeti acceptar o rebutjar les cookies de forma granular, almenys en funció de la seva finalitat.

En tot cas, tenint en compte el text de l'avís i els mecanismes emprats, la funció que compleix cadascun d'aquests mecanismes ha de ser evident per a l'usuari. A més:

- No es podrà fer a l'usuari la impressió que ha d'acceptar obligatòriament les cookies per navegar pel lloc web.
- No es podrà empènyer clarament l'usuari a acceptar les cookies.
- El color o contrast del text i els botons (o mecanismes equivalents) no poden ser òbviament enganyosos per als usuaris, de manera que portin a un consentiment involuntari. No serà vàlid, per exemple, que l'opció per rebutjar les cookies sigui un botó amb un text que no contrasta prou amb el color del botó i, per tant, no es pugui llegir.
Un enllaç clarament visible dirigit a una segona capa informativa on s'inclogui una informació més detallada, utilitzant, per exemple, el terme “Cookies”, “Política de cookies” o “Més informació, prem aquí”. El panell de configuració de cookies podrà estar integrat en aquesta segona capa, sempre que, en facilitar-hi accés (per exemple, des d'un botó o enllaç inclòs a la primera capa), aquest accés sigui directe. És a dir, que lusuari no hagi de navegar dins aquesta segona capa per localitzar el panell de configuració. Aquesta informació es facilitarà abans de l'ús de les cookies, inclosa, si escau, la instal·lació, a través d'un format que sigui visible per a l'usuari i que s'haurà de mantenir fins que aquest realitzi l'acció requerida per a l'obtenció del consentiment o el seu rebuig.

A la segona capa, que s'ha de trobar disponible de forma permanent al lloc web o a l'aplicació, s'inclouria tota la informació sobre cookies.

Com puc mostrar el panell de configuració de cookies?

Com a bona pràctica, aquest panell de configuració no s'hauria d'incloure en aquells casos en què només s'utilitzen cookies per a una finalitat i, per tant, l'usuari només pot triar entre acceptar o rebutjar les cookies corresponents a aquesta finalitat. No obstant això, atès que les cookies que s'utilitzen poden variar amb el temps (per exemple, inicialment podrien estar utilitzant-se únicament cookies per a fins d'anàlisi, però després utilitzar-se també per a fins de personalització, i després tornar a utilitzar únicament cookies d'anàlisi), el panell de configuració i el mecanisme d'accés s'hi podran mantenir fins i tot quan no siguin estrictament necessaris, per evitar canvis recurrents en l'avís de cookies i els costos que això pot comportar.

El botó o mecanisme per configurar les cookies de la primera capa, ha de portar l'usuari directament al panell de configuració, sense que s'hagi de desplaçar per grans quantitats de text cercant la informació, que haurà de continuar sent accessible de forma permanent. El panell podrà integrar-se a la segona capa informativa.

Al panell de configuració s'ha d'indicar o desprendre clarament com desar la selecció realitzada per l'usuari. A aquests efectes, seria vàlid per exemple un botó amb el text “Guardar selecció”, “Guardar configuració” o textos similars.

Per facilitar la selecció, al panell podran a més implementar-se dos botons, un per seleccionar totes les categories de cookies i un altre per rebutjar-les totes si l'usuari les ha seleccionat prèviament, sent aquesta opció recomanable com més gran sigui el nombre diferent de categories en què s'hagin classificat les cookies. Si l'usuari desa la seva elecció sense haver seleccionat cap cookie, equivaldrà al rebuig de totes les cookies. En cap cas no són admissibles les opcions premarcades a favor d'acceptar cookies per obtenir un consentiment vàlid.

Pel que fa al panell de configuració, el grau de granularitat a l'hora de mostrar la selecció de cookies l'haurà de valorar l'editor del lloc web, si bé és aconsellable que es tinguin en compte les regles següents:

Les cookies haurien d'agrupar-se almenys per la seva finalitat, de manera que l'usuari pugui acceptar les cookies per a una o més finalitats i, en canvi, no per a una altra o altres, sempre que la distinció entre unes finalitats i altres sigui clara, n'hi pot haver moltes maneres diferents d'agrupar les cookies segons la seva finalitat.
Dins de cada finalitat, i a elecció de l'editor del lloc web, les cookies podrien agrupar-se també en funció del tercer responsable de les mateixes.
En relació amb les cookies de tercers n'hi ha prou amb identificar-los pel seu nom o per la marca amb què s'identifiquen de cara al públic, sense incloure-hi la denominació social completa.
S'ha d'evitar el grau màxim de granularitat (selecció cookie a cookie, fins i tot dins de la mateixa finalitat), ja que l'excés d'informació dificulta la presa de decisions.

Només es pot mostrar la informació de cookies per capes?

No, hi ha altres maneres de facilitar la informació sobre cookies. Per exemple:

A través d'un avís prou visible que inclogui tota la informació sobre cookies, ha de ser suficientment completa per permetre als usuaris entendre'n les finalitats i l'ús que se'ls donarà.
En sol·licitar l'alta en un servei, o abans de descarregar un servei o una aplicació, podreu subministrar-vos aquesta informació juntament amb la política de privadesa, o amb els termes i condicions d'ús del servei, sempre que hi hagi un enllaç o accés directe a la secció relativa a cookies dins del document corresponent.

Per tal de mantenir la visibilitat de la informació sobre les cookies, aquesta haurà d'estar destacada i separada (mitjançant un hiperenllaç diferent, per exemple) de la resta de la informació sobre termes i condicions d'ús o política privadesa.

En aquests supòsits també serà possible subministrar la informació i obtenir el consentiment a través de mitjans convencionals (off-line), sempre que quedi constància que els usuaris han estat informats individualment i n'han facilitat el consentiment (targetes de fidelització, per exemple) ).

CONSENTIMENT

Quines cookies estan exemptes de l'obligació de sol·licitar el consentiment per a la instal·lació a l'equip de l'usuari?

Una mateixa cookie pot tenir més duna finalitat, per la qual cosa existeix la possibilitat que per a una finalitat quedi exceptuada i, per a una altra, necessiti el consentiment. Això, segons el GT29, hauria d'incitar l'editor a utilitzar una cookie diferent per a cada finalitat.

Estan exemptes de sol·licitar el consentiment les cookies de caràcter tècnic i les necessàries per al funcionament del lloc web i les de prestació de serveis expressament sol·licitats per l'usuari:

1) Cookies tècniques: són aquelles que permeten a l'usuari la navegació a través d'una pàgina web, plataforma o aplicació i la utilització de les diferents opcions o serveis que hi hagi, incloent-hi aquelles que l'editor utilitza per permetre la gestió i operativa de la pàgina web i habilitar les seves funcions i serveis, com ara controlar el trànsit i la comunicació de dades, identificar la sessió, accedir a parts d'accés restringit, recordar els elements que integren una comanda, realitzar el procés de compra d'una comanda, gestionar el pagament, controlar el frau vinculat a la seguretat del servei, realitzar la sol·licitud d'inscripció o participació en un esdeveniment, comptar visites als efectes de la facturació de llicències del programari amb què funciona el servei (lloc web, plataforma o aplicació), utilitzar elements de seguretat durant la navegació, emmagatzemar continguts per a la difusió de vídeos o so, habilitar continguts dinàmics (per exemple, animació de càrrega dun text o imatge) o compartir continguts a través de xarxes socials.

És a dir, estaran exceptuades de l'obligació de sol·licitar el consentiment quan permetin prestar el servei sol·licitat per l'usuari. No obstant això, si aquestes cookies s'utilitzen també per a finalitats no exemptes (per exemple, per a fins publicitaris comportamentals), quedaran subjectes a aquestes obligacions.

2) Cookies de preferències o personalització: són aquelles que permeten recordar informació perquè l'usuari accedeixi al servei amb determinades característiques que poden diferenciar la seva experiència de la d'altres usuaris, com ara l'idioma, el nombre de resultats a mostrar quan l'usuari fa una cerca, l'aspecte o contingut del servei en funció del tipus de navegador a través del qual l’usuari accedeix al servei o de la regió des de la qual accedeix al servei, etc.

Si sou el mateix usuari qui escolliu aquestes característiques (per exemple, si seleccioneu l'idioma d'un lloc web clicant a la icona de la bandera del país corresponent, la moneda que voleu utilitzar en les transaccions, la mida de font o el contrast de color entre el fons i el contingut per millorar la llegibilitat), les cookies estaran exceptuades de l'obligació de sol·licitar el consentiment per considerar-se un servei expressament sol·licitat per l'usuari, i això sempre que les cookies obeeixin exclusivament a la finalitat seleccionada. Aquestes cookies de preferències que afecten la interfície d'usuari no han de ser necessàriament de sessió, ja que sol·licitar que l'usuari determini les seves preferències a aquests efectes cada vegada que es visita un lloc web o s'accedeix a una aplicació pot resultar molest i provocar-lo fatiga. Ara bé, perquè aquestes cookies es considerin exemptes, el seu ús s'haurà de limitar al necessari per a la seva fi, i la informació que es pugui desprendre de la selecció de l'usuari no es podrà fer servir per a altres fins (per exemple, per a la personalització de continguts publicitaris) ni per elaborar un perfil de l’usuari.

El GT29, al seu Dictamen 4/2012, va interpretar que entre les cookies exceptuades estarien aquelles que tenen per finalitat:

Cookies “d'entrada de l'usuari”.
Cookies d'autenticació o identificació d'usuari (únicament de sessió).
Cookies de seguretat de l’usuari.
Cookies de sessió de reproductor multimèdia.
Cookies de sessió per equilibrar la càrrega.
Cookies de personalització de la interfície d’usuari.
Determinades cookies de complement (plug-in) per intercanviar continguts socials.

Així doncs, es pot entendre que aquestes cookies queden excloses de l'àmbit d'aplicació de l'article 22.2 de la LSSI, i, per tant, no caldria obtenir el consentiment sobre el seu ús.

Com s'ha d'obtenir i com ha de ser el consentiment per a la instal·lació de cookies perquè sigui vàlid?

Perquè sigui vàlid caldrà que hagi estat atorgat de forma lliure i informada. Per tant, cal tenir en compte:

La vostra obtenció a través d'un clic de l'usuari o d'una conducta similar facilitarà la prova que s'ha obtingut. Aquesta fórmula pot ser la més apropiada per a usuaris registrats.
També es podrà obtenir inferint-lo d'una acció inequívoca realitzada per l'usuari, en un context en què a aquest se li hagi facilitat informació clara i accessible sobre les finalitats de les cookies i de si seran utilitzades pel mateix editor i/o per tercers , de manera que vulgueu entendre que l'usuari accepta que s'instal·lin cookies. És a dir, que l'usuari haurà d'haver fet una acció afirmativa clara.

En cap cas la mera inactivitat de l’usuari implica la prestació del consentiment per si mateixa.

Que ha de ser evident per a l'usuari amb quina acció concreta accepta la utilització de les cookies. En aquest sentit, l'ús d'un botó del tipus “Acceptar” es considerarà informació suficient, sense necessitat d'aclarir que prement “Acceptar” s'accepten les cookies. En canvi, accions complexes o menys òbvies que l'ús de botons d'acceptació o desat de la configuració escollida s'hauran d'explicar a l'usuari.
El CEPD ha establert que continuar navegant no és una manera vàlida de prestar el consentiment. De la mateixa manera, la consulta de la segona capa informativa si la informació es presenta per capes, així com la navegació necessària perquè l'usuari gestioni les seves preferències en relació amb les cookies no és una conducta activa de la qual es pugui derivar l'acceptació de cookies .
Que l’usuari, en tot cas, podrà negar-se a acceptar les cookies. L'opció per rebutjar les cookies haurà d'oferir-se a la mateixa capa i al mateix nivell que l'opció per acceptar-les i el mecanisme emprat a aquest efecte (botó o altre) haurà de ser similar.
Que la informació que s'atorgui a l'usuari perquè pugui consentir la utilització de les cookies es trobi separada de la informació que se li ofereixi sobre altres assumptes.
Que l'acceptació dels termes o condicions d'ús de la pàgina web o servei se separi de l'acceptació de la política de privadesa o cookies.
Que, encara que les cookies no solen utilitzar-se en escenaris en què el RGPD exigeix ??el consentiment explícit dels interessats, quan aquest consentiment explícit sigui necessari (articles 9.2 a), 22.2 c) i 49.1 a) del RGPD, el consentiment només podrà obtenir-se mitjançant botons d'acceptació, sempre que inclogui una llegenda específica amb el terme consent i es faciliti informació completa sobre les categories especials de dades respecte de les que es consenten, les decisions individuals automatitzades o les transferències a tercers països, segons el cas .

Cada quant de temps s'ha de renovar el consentiment obtingut per a la instal·lació de cookies?

A Europa el CEPD, a les seves directrius 05/2020 sobre el consentiment recomana com a millor pràctica la renovació del consentiment a intervals apropiats.

A Espanya, l'AEPD considera bona pràctica que la validesa del consentiment prestat per un usuari per a l'ús d'una cookie determinada no tingui una durada superior a 24 mesos i que durant aquest temps es conservi la selecció realitzada per l'usuari sobre les seves preferències, sense que se us demani un nou consentiment cada vegada que visiteu la pàgina en qüestió.

Com ha de ser el sistema que s'ofereixi per a la revocació del consentiment per a la instal·lació de cookies?

Els usuaris hauran de poder revocar el consentiment prèviament atorgat en qualsevol moment i de manera fàcil, tan fàcil com quan ho va prestar. Amb aquesta finalitat, l'editor ha d'assegurar-se que facilita informació als usuaris en la seva política de cookies sobre com poder fer-ho, es considerarà que existeix aquesta facilitat al sistema per retirar el consentiment, per exemple, quan l'usuari tingui accés senzill i permanent al sistema de gestió o configuració de les cookies.

De quines maneres podem obtenir el consentiment?

Amb independència de la modalitat d'obtenció del consentiment, l'opció de rebutjar les cookies haurà d'oferir-se a l'usuari alhora, al mateix nivell i amb la mateixa visibilitat que acceptar-les, sense remetre-li a capa o lloc diferent per realitzar aquesta acció.

Hi ha, entre d'altres, els mecanismes següents d'obtenció del consentiment:

En sol·licitar l'alta en un servei. Sempre que estigui separat i no s'agrupi amb l'acceptació dels termes i les condicions d'ús de la pàgina web, de la seva política de privadesa o de les condicions generals del servei.
Durant el procés de configuració del funcionament de la pàgina web o aplicació. Quan l'usuari configura idioma, tipus de lletra, color de fons de pantalla, si podeu accedir a informació del vostre terminal (agenda, per suggerir amics o àlbum de fotos etc.), quedant el consentiment integrat a l'elecció de l'usuari i recordant-ne els ajustaments triats per aquest.
A través de plataformes de gestió del consentiment (consent management platform o CMP). En la mesura que compleixin els requisits i les garanties establerts per a aquestes plataformes.
Abans del moment en què es baixarà un servei o aplicació ofert, per exemple, a la pàgina web. En aquests casos, si les cookies que es pretenen utilitzar no són necessàries per al funcionament del servei o de l'aplicació, s'ha de permetre als usuaris donar-ne el consentiment abans de la descàrrega del servei o de l'aplicació. Cal recordar que en el cas que una pàgina web ofereixi continguts audiovisuals, aquests són part del servei expressament sol·licitat per l'usuari, estant per tant exceptuat del deure de requerir aquest consentiment per mostrar aquest contingut. Si l'usuari vol exercir un dret que està legalment reconegut (per exemple, la baixa en un servei telefònic, d'accés a Internet o d'un altre tipus) i l'aplicació o servei és l'únic mitjà facilitat a l'usuari per exercir-lo, no es podrà condicionar l'accés a l'aplicació o servei a l'acceptació de les cookies no necessàries.
A través del format dinformació per capes. La primera capa, que conté la informació essencial, ha d’incloure també la petició del consentiment per a la utilització de les cookies. En aquests casos, l'usuari manifesta si accepta o no la utilització de les cookies en realitzar la clara acció afirmativa o l'acció per rebutjar-les de les que ha estat adequadament informat, i també és informat, de manera permanent, a la segona capa sobre la utilització de les cookies i la manera de configurar-les i/o rebutjar-les. A aquest efecte, i a mode d'exemple, podeu constituir consentiment que l'usuari, després d'haver estat informat sobre l'ús de cookies, cliqueu en un botó d'acceptació, sempre que, en aquest cas, també s'hagi habilitat un botó de rebuig, alhora, al mateix nivell i amb la mateixa visibilitat que la d'acceptar-les, sense remetre'l a cap altra capa o lloc diferent per realitzar aquesta acció. La informació que s'ofereixi en aquesta primera capa es podrà mostrar a través d'un format que sigui visible per a l'usuari, com ara un banner, una barra o mitjançant tècniques o dispositius similars, tenint en compte que la localització a la part superior de la pàgina normalment capta millor latenció dels usuaris. Als terminals de pantalla reduïda es podrà adequar la mida i el contingut de primera capa a les dimensions de la mateixa.
A través de la configuració del navegador.Per això, la configuració del navegador s'hauria de poder utilitzar de manera que permeti que els usuaris manifestin la seva conformitat amb la utilització de les cookies segons el que disposa el RGPD i tenint en compte el dictaminat pel CEPD en les seves directrius sobre el consentiment. És a dir, el consentiment hauria de ser granular, prestat per a cadascun dels fins previstos i la informació que es facilita hauria d'identificar els responsables del tractament. A efectes d'aquesta identificació, no cal la denominació social completa, sinó que n'hi ha prou amb incloure la marca o el nom amb què el responsable s'identifiqui de cara al públic. No serviria com a mecanisme únic perquè l'usuari pugui revocar el consentiment i l'editor ha d'oferir a l'usuari, en tot cas, una fórmula perquè el pugui revocar a través de la seva pròpia pàgina web o, si escau, facilitar informació sobre les eines proporcionades per a la retirada del consentiment, pels tercers que utilitzen les cookies, perquè l'usuari pugui exercir aquest dret tan fàcilment com ho va atorgar.

Com es pot obtenir el consentiment en el cas de menors?

S'han d'adoptar cauteles addicionals com són més senzillesa i claredat del llenguatge emprat. Tractant-se de menors de 14 anys, el responsable del tractament farà esforços raonables per verificar que el consentiment per al tractament de dades personals va ser donat pel titular de la pàtria potestat o tutela, tenint en compte la tecnologia disponible i les circumstàncies del tractament. Així, entre altres factors, a l'hora d'establir mesures per verificar que el consentiment va ser donat o autoritzat pel titular de la pàtria potestat o tutela, cal considerar el nivell de risc associat a la utilització de les cookies (per exemple, tenint en compte la naturalesa de les dades que es recopilen) i atendre's especialment al principi de minimització de dades. A menor risc, més senzill pot ser el sistema de verificació implementat.

Per exemple, si es tracta d'usuaris no registrats d'un lloc web dirigit a menors, si les vostres dades de dispositiu i de navegació s'utilitzen únicament amb finalitats analítiques, el consentiment del titular de la pàtria potestat o tutela podria obtenir-se prèvia advertència o trucada dirigida al menor indicant-li a la primera capa informativa que, si té menys de 14 anys, abans de seguir navegant, avisi el seu pare, mare o tutor perquè accepti o rebutgi les cookies, evitant, per tant, sol·licitar dades addicionals del menor o del titular de la pàtria potestat o tutela.

Quan lús projectat de les dades tingui per objecte recordar determinada informació de lusuari o el seu terminal per alterar automàticament determinats aspectes de la navegació i personalitzar la seva experiència (per exemple, laspecte amb què es presenten els continguts), sense que sarribi a elaborar un perfil del menor, generalment, i a falta de l'anàlisi de riscos corresponent d'acord amb les circumstàncies concretes del cas, s'haurien d'adoptar cauteles addicionals per verificar que el consentiment va ser donat o autoritzat pel titular de la pàtria potestat o tutela.

Així, per exemple, es podria preguntar en primer lloc a l'usuari si té 14 anys o més i, en cas de resposta negativa, incloure el missatge següent:

“Truca el teu pare, mare o tutor perquè llegeixi aquest missatge i posi quin any va néixer: [CAMP PER INCLOURE L'ANY] (aquesta dada no s'emmagatzemarà, s'utilitzarà només per comprovar el consentiment). Utilitzem cookies pròpies i de tercers per saber com utilitzes el nostre lloc web i fer estadístiques, i també per personalitzar la teva visita (per exemple, canviant l'aspecte de les nostres pàgines web o jocs segons com els utilitzes).

Més informació.

El teu pare, mare o tutor pot acceptar o rebutjar les cookies prement els botons d'aquest missatge o configurar-les AQUÍ”

El sistema de l'exemple hauria de ser capaç de detectar incidències que portin a la conclusió que les dades introduïdes no són correctes per, en aquest cas, evitar la utilització de cookies fins a obtenir el consentiment del titular de la pàtria potestat o tutela. Podrien considerar-se incidències d'aquest tipus les dates que encara no hagin arribat, o que impliquin que el titular de la pàtria potestat o tutela no és més gran o que té una edat tan avançada que no és raonable que la persona segueixi amb vida o tingui fills menors de catorze anys.

Els editors podran utilitzar qualsevol fórmules de verificació que siguin raonables per verificar que el titular de la pàtria potestat o tutela és qui presta el consentiment i no el menor de catorze anys (per exemple, preguntes o captchas).

Si el consentiment per a l'ús de cookies s'obtingués durant el procés d'alta en un servei, o en el context d'un altre procés en què se sol·licitin dades personals als menors, com ara el nom i els cognoms, una adreça de correu electrònic o altres dades de contacte, en aquests casos es podrà sol·licitar a efectes de verificació informació addicional sobre els pares o tutors (per exemple, nom i cognoms, una adreça de correu electrònic amb la finalitat anteriorment descrita, o una còpia del document nacional d'identitat o document equivalent) o demanar a aquests que subscriguin una declaració de consentiment.

Com s'obté el consentiment per a l'ús de cookies quan un editor presta serveis a través de diferents pàgines?

Es pot fer a través d'una sola pàgina web, quan ofereixin continguts o tinguin característiques similars, amb motiu de la prestació dels serveis sol·licitats per l'usuari, sempre que s'informi, incloent-hi tota la informació de cookies, sobre quines són les pàgines web o dominis de la seva titularitat des dels quals s'enviaran les cookies, el tipus de cookies i les finalitats per a les quals es tracten i es recull el consentiment de l'usuari.

En cas que les pàgines a través de les quals presta serveis un editor ofereixin continguts o tinguin característiques que no siguin similars (per exemple: algunes de les pàgines continguin continguts per a adults), caldrà adoptar cauteles addicionals.

Quan cal canviar la informació sobre cookies?

Quan després d'haver demanat el consentiment, canviïn els fins sobre el seu ús o els tercers que en fan ús, caldrà actualitzar la política de cookies i permetre als usuaris prendre una nova decisió sobre aquestes i consentir o no la instal·lació de les que necessitin la seva autorització.

Sempre que un consentiment hagi estat obtingut de forma vàlida, no caldrà obtenir-lo cada cop que un usuari visiti de nou la mateixa pàgina web des de la qual es presta el servei.

Es pot denegar a l'usuari l'accés a un servei en cas que rebutgi la instal·lació de cookies que necessitin el seu consentiment?

Seguint les directrius del CEPD sobre el consentiment, perquè aquest es doni lliurement, l'accés als serveis i les funcionalitats no s'ha de supeditar a l'acceptació per l'usuari de l'ús de cookies. Per això, no es poden utilitzar els anomenats “murs de cookies” que no ofereixin una alternativa al consentiment. Aquest criteri resulta especialment important en els supòsits en què la denegació d'accés impediria l'exercici d'un dret legalment reconegut a l'usuari, ja que, per exemple, és l'accés a un lloc web l'únic mitjà facilitat a l'usuari per exercir aquest dret.

Poden existir determinats supòsits en què la no acceptació de la utilització de cookies impedeixi l'accés al lloc web o la utilització total o parcial del servei, sempre que s'informi adequadament sobre això a l'usuari i s'ofereixi una alternativa, no necessàriament gratuïta, de accés al servei sense necessitat d'acceptar l'ús de cookies. Conformi estableixen les Directrius 05/2020 sobre el consentiment del CEPD, els serveis de les dues alternatives hauran de ser genuïnament equivalents, i a més no serà vàlid que el servei equivalent ho ofereixi una entitat aliena a l'editor.

Perquè es consideri vàlid aquest consentiment obtingut a través d'aquests sistemes “pay or ok”, és a dir, o es consenteix la instal·lació de cookies publicitàries o es paga una determinada quantitat perquè aquestes cookies no s'instal·lin, com per a qualsevol altre tractament basat en el consentiment, ha de ser:

1. Prèviament a l'inici del tractament, i no ho serà si per exemple es descarreguen cookies o altres dispositius d'emmagatzematge abans de prestar el consentiment

2. Lliure, i no ho serà si d'alguna manera es força que l'usuari es vegi obligat a consentir en lloc de l'opció de pagament, per exemple, perquè aquesta és desproporcionada.

3. Informat, informant adequadament sobre això l'usuari per a cadascuna de les finalitats.

4. Granular, és a dir, obtingut per a cadascuna de les finalitats.

5. Revocable, és a dir, tan fàcil de retirar com de prestar.

Qui és el responsable de facilitar informació sobre les cookies, i quan calgui, obtenir el consentiment per al seu ús?

1. Quan es tracti de cookies necessàries: tant si són pròpies com de tercers, no caldrà que l'editor informi de la seva utilització. No obstant això, per raons de transparència, es recomana fer-ho, almenys amb caràcter genèric, ja sigui a la política de cookies o a la pròpia política de privadesa. (Per exemple: “Aquest lloc web utilitza cookies que permeten el funcionament i la prestació dels serveis oferts al mateix”).

No obstant això, en el cas que l'editor utilitzi cookies de tercers per a la prestació del servei sol·licitat per l'usuari, haurà d'establir contractualment amb aquelles entitats amb què contracti directament que aquestes entitats no tracten les dades amb cap altra finalitat que no sigui la prestar el servei a l'usuari, ja que, en cas contrari, caldria informar d'aquestes altres finalitats i obtenir-ne el consentiment.

2. Quan es tracti de cookies no necessàries:

a) Si són pròpies:és l'editor el responsable d'informar sobre les finalitats per a les quals es tractaran les dades i obtenir el consentiment de l'usuari.

b) Si són de tercers:tant l'editor com els tercers tindran aquesta responsabilitat.

Quan l'editor empri una CMP que creï un entorn on els tercers que hi participen puguin complir els deures d'informació i obtenció del consentiment, els tercers seran individual i directament responsables del seu compliment.

Els editors hauran d'assegurar que els interessats reben la informació necessària i que estan habilitats els mecanismes que permetin el seu consentiment, per exemple, a través d'obligacions o garanties contractuals que obliguin el tercer titular de les cookies o a través de la instal·lació de plataformes per a la gestió del consentiment.

Així, quan la informació sobre les cookies de tercers s'ofereixi a través d'un enllaç a la pàgina web del tercer, l'editor haurà d'assegurar-se que els enllaços no estiguin trencats, essent obligació del tercer vetllar perquè la informació no sigui obsoleta i que aquesta s'ofereixi també en castellà o en la llengua cooficial utilitzada al lloc web de l'editor.

Als contractes que se celebrin entre els editors i els tercers s'haurien d'incloure una o diverses clàusules en què s'asseguri que s'oferirà als usuaris la informació requerida i que s'articularà la forma a través de la qual es pugui obtenir un consentiment vàlid per a la utilització de les cookies i per a la seva revocació, així com les conseqüències de la revocació del consentiment per a l'editor i, especialment, per als tercers que ho van obtenir a través de l'editor.

Quan no es fa servir una CMP, és més difícil per a les entitats que utilitzen cookies de tercers complir els requisits anteriors, i els usuaris tendiran a fer arribar les seves inquietuds a l'entitat a la qual poden identificar i amb la qual tenen relació, és a dir, a l'editor.

3. Segons la responsabilitat en el tractament de dades personals

Els titulars de les cookies, en la mesura que determinin els fins i els mitjans del tractament, són responsables del tractament. Així, anunciants, editors, agències, xarxes publicitàries i altres agents intervinents seran responsables del tractament quan utilitzin cookies pròpies i quan, utilitzant cookies de tercers, participin en la determinació dels fins i mitjans del tractament, encara que aquest es faci a través d'un encarregat del tractament.

Aquells agents que limitin la seva actuació a seguir les instruccions del responsable del tractament tenen la consideració d’encarregats del tractament.

En principi, cada responsable del tractament respondrà del tractament concret que faci.

Quan les entitats referides (anunciants, agències, xarxes publicitàries, editors i altres agents) determinin conjuntament les finalitats i els mitjans del tractament, seran considerades corresponsables del tractament, l'existència de corresponsabilitat no es traduirà necessàriament en una responsabilitat equivalent de les diferents entitats en els que afecta un tractament de dades personals, sinó que la responsabilitat de cada entitat dependrà de la implicació que tingui en el tractament concret. Per tant, el nivell de responsabilitat de cadascuna s'ha d'avaluar cas per cas i tenint en compte totes les circumstàncies pertinents en funció de les seves responsabilitats respectives assumides en la determinació de mitjans i fins del tractament.

En aquest sentit, l'abast de les obligacions d'informació i obtenció del consentiment per part de l'editor respecte de les cookies de tercers se circumscriu als tractaments de què és responsable, inclosa si escau la responsabilitat conjunta quant a que l'usuari conegui i consenti la utilització per tercers identificats de les seves cookies i les finalitats del tractament de dades que hi estan associats.

Aquestes obligacions no s'estenen, en canvi, a les ulteriors fases del tractament en què l'editor no intervé, que seran responsabilitat exclusiva del tercer.

Per exemple, la responsabilitat no s'estendria als tractaments de dades realitzats ulteriorment per tercers amb la finalitat que puguin oferir serveis de creació d'audiències, perfils o similars (elaborats a partir del tractament de dades obtingudes mitjançant cookies), ni es podrà presumir la responsabilitat en l’elaboració de tals audiències o perfils pel fet que s’utilitzen.

En qualsevol cas, la responsabilitat administrativa exigible davant de les autoritats de control pel compliment de les obligacions derivades de l'ús de cookies correspon a cada part obligada i no és desplaçable contractualment.

FITXA TÈCNICA

Autor: Manuel Castilleja Toscano
Títol: FAQS COOKIES. Guia de cookies en formato pregunta-respuesta
Editor: Privacy Driver®
Edició: abril 2024
Pàgines: 24
Propietat intel·lectual: reservats tots els drets. Ni la totalitat ni part d'aquest document es poden reproduir o transmetre per cap procediment electrònic o mecànic, incloent fotocòpia, enregistrament magnètic o qualsevol emmagatzematge d'informació i sistema de recuperació, sense permís explícit de Privacy Driver®.

Archivos adjuntos

Faqs Cookies.pdf