¿Qué es el cumplimiento de la normativa sobre cookies? Guía para empresas

Las cookies son pequeños archivos que los sitios web almacenan en los ordenadores de los visitantes y que sirven para muchos fines, como mantener a los usuarios conectados a un sitio web y seguir su comportamiento en Internet.

Aunque las cookies de Internet suelen ser inofensivas, su uso se ve afectado por diferentes leyes de privacidad de datos.

En esta guía, explico qué es el cumplimiento de las cookies y cómo afecta a las empresas, las leyes que lo exigen, las consecuencias de su incumplimiento, etc.

¿Qué es el cumplimiento de la normativa sobre cookies?

El cumplimiento de la normativa sobre cookies es el proceso de asegurarse de que utiliza las cookies solo en las formas permitidas por la Directiva sobre privacidad electrónica(Ley de cookies de la UE), el Reglamento general de protección de datos de la UE (rgpd), la Ley de Privacidad del Consumidor de California(CCPA) y cualquier otra ley de privacidad aplicable.

Para cumplir la normativa sobre cookies, debe supervisar cuidadosamente el uso que hace su sitio web de las cookies e informar claramente a los visitantes sobre las cookies que el sitio pretende utilizar.

La normativa mencionada anteriormente ofrece buenas prácticas generales que explican cómo utilizar las cookies respetando la privacidad.

Sin embargo, usted tiene cierto margen de maniobra dentro de esas leyes para decidir cómo va a mantener su sitio web en cumplimiento - y ahí es donde las cosas pueden complicarse.

¿Qué leyes exigen el cumplimiento de la normativa sobre cookies?

Las principales leyes y normativas que exigen el cumplimiento de las cookies son la rgpd, la Directiva de privacidad electrónica y las leyes de privacidad estatales de EE.UU., como la CCPA.

Sin embargo, sus requisitos no son idénticos y es posible que tenga que adaptar sus prácticas en materia de cookies para cumplirlos. A continuación, le explicamos qué exige cada normativa y qué debe hacer al respecto.

rgpd y la Directiva sobre la privacidad y las comunicaciones electrónicas

El Reglamento General de Protección de Datos (rgpd) es la legislación más completa en materia de protección de datos que ningún órgano de gobierno ha aprobado hasta la fecha. Sin embargo, solo menciona directamente las cookies una vez, en el considerando 30.

La Directiva sobre la privacidad y las comunicaciones electrónicas (EPD) se modificó en 2009 y desde entonces se conoce como la "ley de cookies".

El efecto más notable de la ley de cookies fue la proliferación de ventanas emergentes consentimiento de cookies . Además, complementa (y en algunos casos anula) la rgpd, abordando características esenciales de la confidencialidad de las comunicaciones electrónicas y el amplio seguimiento de los usuarios de Internet.

En combinación, la rgpd y la Directiva sobre la privacidad y las comunicaciones electrónicas abarcan mucho más que las cookies. Sin embargo, para el usuario medio de internet, el impacto más evidente de la normativa es cómo afecta a las empresas que utilizan cookies.

En primer lugar, dividen las galletas en varias categorías:

Además, la normativa exige que los sitios web

• No utilizar más cookies que las estrictamente necesarias hasta que el sitio web obtenga el consentimiento específico del usuario para hacer otra cosa.
• Explicar claramente la finalidad y el uso de cada cookie antes de que el usuario pueda dar su consentimiento.
• Mantener registros precisos sobre el usuario consentimiento de cookies
• Permitir el acceso a los contenidos independientemente de consentimiento de cookies
• Facilite a todos los usuarios la retirada de fondos a través de consentimiento de cookies

Si no realiza alguna de estas tareas, estará incumpliendo la legislación de la UE, independientemente de que sea o no una organización con sede en la UE.

rgpd y la Directiva sobre privacidad se aplican a las empresas dentro y fuera de la UE, Reino Unido, Noruega, Islandia, Liechtenstein y Suiza. Según el artículo 3 de rgpd: la rgpd se aplica a todas las empresas de la UE que tratan datos personales.

También se aplica a las empresas de fuera de la UE que

• Ofrecer bienes o servicios de cualquier tipo a personas de la UE
• Controlar el comportamiento de cualquier persona en la UE

Si cumple alguno de estos criterios, debe seguir todas las estrictas directrices de cumplimiento de la normativa sobre cookies de la UE o se enfrentará a sanciones.

CCPA

La Ley de Privacidad del Consumidor de California entró en vigor en 2020, y fue ampliada significativamente por la Ley de Derechos de Privacidad de California en 2021.

Al igual que rgpd, estas leyes no se limitan a las cookies. Sin embargo, incluyen importantes disposiciones que regulan la forma en que las empresas pueden utilizar las cookies para rastrear a los residentes de California.

Los requisitos de la CCPA son relativamente similares a los de rgpd : los sitios web deben:

Hay un requisito adicional que se desvía de la rgpd:

Los sitios web deben ofrecer un botón claro de "No vender mis datos personales" y "No compartir mis datos personales" para que el usuario pueda impedir que se vendan o compartan sus datos personales.

Como resultado, el sitio debe crear una forma de rastrear qué usuarios han optado por no participar en la venta y el intercambio de datos.

Por último, en virtud de la CCPA, los sitios web deben ofrecer a los usuarios una forma igualmente cómoda de retirar su consentimiento en caso de que cambien de opinión.

Esto significa implementar un servicio adicional de exclusión voluntaria que pueda encontrarse fácilmente, a menudo colocando un enlace en la parte inferior de la página. Debería permitir a los usuarios optar por no vender -o compartir- sus datos a través de cookies, optando por no participar en categorías específicas de cookies, por ejemplo, cookies publicitarias o cookies analíticas, para que no se instalen en los dispositivos de los usuarios.

Al igual que la rgpd, la CCPA, tal como está redactada, se aplica a todas las empresas que se dirigen a residentes del estado y cumplen determinados umbrales. Por lo tanto, incluso si su empresa no está ubicada en California, es posible que tenga que cumplir la CCPA si tiene algún tráfico procedente del estado.

Tipos de cookies

Si necesita cumplir la normativa sobre cookies, puede elegir entre tres métodos. Estas soluciones de conformidad con las cookies se adaptan a diferentes casos de uso en función de las cookies de que se trate.

Cumplimiento de la exclusión voluntaria

Con la exclusión voluntaria, se informa a los usuarios de que se van a utilizar cookies y se les ofrece la opción de obtener más información sobre el proceso. Si optan por obtener más información, pueden seleccionar las cookies que desean conservar y rechazar el resto.

Este método debe utilizarse con cuidado, ya que cumple la CCPA pero no necesariamente la rgpd , puesto que coloca cookies en el dispositivo del usuario sin su consentimiento previo.

Conformidad Opt-in

El cumplimiento de las cookies de inclusión voluntaria es ligeramente diferente.

Un aviso de aceptación ofrecerá a los usuarios dos botones: uno que acepta todas las cookies y otro que las rechaza. Los usuarios deben marcar activamente una casilla para confirmar que aceptan las cookies.

Además, el cumplimiento de la normativa sobre cookies de inclusión voluntaria no permite a los sitios web colocar cookies o recopilar datos sobre los usuarios antes de que éstos den su consentimiento explícito para ello.

Este método es conforme con la rgpd y la CCPA (cuando un sitio web recoge datos de menores).

Aviso sobre cookies sin opciones de inclusión o exclusión voluntarias

Con este método, usted proporciona una explicación clara de las cookies que utiliza su sitio e informa al visitante de que -al utilizar el sitio- acepta esas cookies.

El usuario no tiene la posibilidad de optar por no recibir esas cookies. En consecuencia, este método no cumple la rgpd ni la CCPA.

¿Cuáles son las consecuencias del incumplimiento?

El incumplimiento de las leyes de privacidad mencionadas tiene consecuencias diferentes dependiendo de dónde viva. Por ejemplo, si no estás en la UE o en California, no estás directamente bajo la jurisdicción de esas leyes.

El incumplimiento de la CCPA y rgpd sólo le afecta si se dirige a clientes de esas zonas o si cumple determinados requisitos de umbral.

He aquí dos ejemplos que lo ilustran mejor:

Supongamos que tiene un restaurante en Idaho. Su sitio web se dirige a los locales para animarles a hacer un pedido o una reserva. En ese caso, probablemente no tenga que cumplir ni la CCPA ni la rgpd porque no se dirige a usuarios de la UE o California ni rastrea su información.

Por el contrario, imagine que dirige un sitio de noticias con sede en Nueva York y publica cualquier artículo que pueda atraer tráfico de la UE o California.

En ese caso, tiene dos opciones:

Puedes bloquear el tráfico desde esos lugares para asegurarte de que no estás procesando accidentalmente su información o cumplir con las leyes pertinentes.

rgpd Consecuencias

Si esta normativa le afecta, las consecuencias de su incumplimiento pueden ser graves. La rgpd conlleva importantes multas, por lo que, dependiendo del tipo de infracción, podría enfrentarse a ellas:

• Multas de hasta 20 millones de euros
• Multas equivalentes a entre el 2% y el 4% de los ingresos anuales mundiales de su empresa en el ejercicio financiero anterior.

El reglamento establece que se le impondrá la multa que sea más elevada, y que las acusaciones más graves darán lugar a multas más elevadas.

Incluso las infracciones menores pueden acarrear multas de miles de euros y riesgos para la reputación.

Consecuencias de la CCPA

La CCPA también impone multas drásticas.

Los casos de incumplimiento pueden dar lugar a multas de 2.500 dólares por infracción no intencionada.

Las infracciones intencionadas pueden dar lugar a multas de 7.500 dólares por incidente. Eso significa que cada cliente cuya información se procese o almacene infringiendo la CCPA añade al menos 2.500 dólares al total de la multa.

Además, si incumple la CCPA y expone a sus visitantes a una violación de datos, cada persona afectada tiene derecho a demandar a su organización por un máximo de 750 dólares o sus daños reales, lo que sea mayor.

Si tiene alguna duda sobre el cumplimiento de la normativa sobre cookies, es más seguro tomar medidas para cumplir las leyes que arriesgarse.

Cómo cumplir la normativa sobre cookies

Una vez que haya determinado el tipo de cumplimiento de la normativa sobre cookies que se ajusta a sus necesidades, puede tomar medidas para aplicarlo. El proceso básico es similar para las tres variedades.

Para cumplir con la normativa sobre cookies, debe asegurarse de recibir el consentimiento antes de utilizarlas (rgpd), o bien implantar un mecanismo de exclusión fácil (CCPA).

El consentimiento expreso de rgpd debe ser:

• Adquirido antes de utilizar nada que no sean las cookies esenciales
• Libremente facilitada por el visitante, sin que se le exija antes de concederle acceso a servicios o contenidos
• Claramente documentado y almacenado para futuras referencias.
• Renovado para garantizar que el visitante sigue dando su consentimiento a las cookies

Esto significa que debe recabar el consentimiento mediante un documento claramente escrito banner de cookies antes de guardar una sola cookie no esencial en el ordenador de un visitante.

Además, para cumplir completamente la normativa sobre cookies de rgpd , debe cumplir tres criterios:

• Usted muestra un banner consentimiento de cookies con un lenguaje sencillo en su sitio web.
• Toda la información de consentimiento de cookies se almacena en una base de datos segura.
• Facilite a los visitantes la retirada de dicho consentimiento.

Audite su sitio web

Si no está seguro de si cumple la normativa sobre cookies, debe auditar su sitio web.

1. En primer lugar, escanee su sitio web para encontrar todas las cookies que intenta guardar en un ordenador. Puede leer nuestra guía sobre cómo realizar auditorías de cookies para obtener más información al respecto.
2. Una vez que haya identificado todas las cookies que utiliza su sitio web, deberá configurar un banner en consentimiento de cookies y un bloqueador de cookies. Puedes programar tu propio banner o trabajar con una herramienta de banners que recoja el consentimiento en tu nombre.
3. Por último, tendrás que escribir y publicar tu política de cookies y actualizarlo con regularidad.

Herramientas automatizadas para el cumplimiento de la normativa sobre cookies

No tiene que gestionar el cumplimiento de las cookies usted solo. Puede utilizar herramientas de conformidad de cookies para agilizar el proceso y supervisar sus cookies con menos complicaciones. Una gran solución de cumplimiento de cookies le ayudará:

Con todas estas características en su lugar, usted no tiene que pensar en sus cookies en absoluto. En su lugar, puede confiar en su gestor de cookies para que se encargue de todo por usted.

Nuestro gestor Consentimiento de Cookies le permite realizar un seguimiento de todas sus cookies en un solo lugar y mantener su aviso de cookies actualizado en todo momento.

Infografía sobre el cumplimiento de la normativa sobre cookies

El cumplimiento de la normativa sobre cookies es vital si tiene clientes potenciales en California o la UE. Cumplir leyes como rgpd y la CCPA protege a sus usuarios de filtraciones de datos e invasiones de la privacidad y le ayuda a evitar multas por incumplimiento.

Más sobre el autor

Escrito por Masha Komnenic CIPP/E, CIPM, CIPT, FIP

Masha es Especialista en Seguridad de la Información y Protección de Datos y Responsable Certificada de Protección de Datos. Ha sido Responsable de Protección de Datos durante los últimos seis años, ayudando a pequeñas y medianas empresas a cumplir la legislación. También ha sido mentora en materia de cumplimiento de la privacidad para muchas aceleradoras de empresas internacionales. Está especializada en implementar, supervisar y auditar el cumplimiento empresarial de la normativa sobre privacidad (HIPAA, PIPEDA, Directiva ePrivacy, RGPD, CCPA, POPIA, LGPD). Masha estudió Derecho en la Universidad de Belgrado y aprobó el examen de abogacía en 2016. Más sobre el autor