Si su sitio web utiliza cookies y otras tecnologías para controlar a los usuarios, debe proporcionar un mensaje de notificación de cookies. Estos cuadros emergentes o banners de cookies informan a los usuarios sobre qué cookies están activas en su sitio web y qué tipo de datos personales recogen sus cookies.
También puede utilizarlas para que los usuarios den su consentimiento para colocar cookies en sus dispositivos.
Siga leyendo para saber más sobre los mensajes de notificación de cookies, cuándo los necesita y cómo crear el suyo. Si no está muy seguro de lo que significa todo esto, asegúrese de leer nuestra guía en profundidad sobre cookies para obtener más información sobre las cookies en general.
¿Qué es un mensaje de notificación de cookies?
Los mensajes sobre cookies en los sitios web se refieren al texto de las ventanas emergentes o banners que reciben los usuarios cuando entran en sitios web con cookies. Recuerdan a los usuarios que un sitio web utiliza cookies y que tienen derecho a rechazarlas.
Las empresas también utilizan ventanas emergentes de cookies para obtener el consentimiento de los usuarios para utilizarlas.
Estos mensajes son requeridos por ciertas leyes de privacidad y cookies, como el Reglamento General de Protección de Datos de la Unión Europea (rgpd).
¿Por qué necesita un mensaje de cookies?
Hay muchas razones por las que necesita un mensaje sobre cookies en su sitio web.
Tanto si se encuentra en EE.UU. como en la UE o en otro país o zona, debe incluir mensajes sobre cookies en su sitio web si realiza actividades de marketing dirigidas a personas que viven en países o regiones con una legislación estricta en materia de cookies.
Por ejemplo, debe cumplir la normativa de la UE rgpd si se dirige a consumidores del Espacio Económico Europeo (EEE), aunque su empresa y el servidor de su sitio web tengan sede en Estados Unidos. La rgpd se aplica a cualquier sitio web que ofrezca servicios o productos a ciudadanos de la UE o recoja información personal de ciudadanos de la UE.
En Estados Unidos
Aunque no existen leyes sobre cookies en EE.UU., algunos estados tienen leyes que regulan el uso de cookies para sus residentes, como la Ley de Privacidad del Consumidor de California (CCPA).
También existen algunas leyes federales, como la Ley de Protección de la Privacidad Infantil en Internet (COPPA), que regulan la forma en que las empresas utilizan las cookies en determinadas circunstancias.
La Ley de Protección de la Intimidad de los Consumidores de California (CCPA)
La CCPA protege los datos de los usuarios californianos frente a violaciones de la privacidad. Al igual que la rgpd, regula el uso de información personal, incluidas las cookies.
A diferencia de la rgpd, la CCPA no exige que una organización obtenga el consentimiento del usuario para recoger y procesar su información personal. Sin embargo, la entidad debe dar a los usuarios el derecho a excluirse voluntariamente de la venta de información personal si recopila y vende información personal de los usuarios a terceros.
El consentimiento también es necesario en circunstancias específicas como la recogida y uso de datos personales de menores de 16 años y la transferencia de información.
Ley de Protección de la Privacidad Infantil en Internet (COPPA)
Al igual que la CCPA, la COPPA protege el derecho a la intimidad de los menores. Se aplica a todos los sitios web y empresas en línea que recojan, utilicen o divulguen información personal de menores y obliga a informar directamente a los padres sobre la recogida de cookies.
A diferencia de rgpd, no le obliga a poner mensajes de cookies. Sin embargo, debe revelar lo siguiente en su política de privacidad en línea:
- Información de contacto (por ejemplo, nombre, número de teléfono, dirección y dirección de correo electrónico) de todos los operadores que mantienen o recopilan información personal a través de su sitio o servicio.
- Descripción de la información que el operador recopila de los niños, que debe incluir si el operador permite a los niños poner su información personal a disposición del público, las prácticas reveladas por el operador para esta información y cómo utilizará el operador dicha información.
- Cómo pueden los padres revisar o solicitar la eliminación de los datos personales de sus hijos. También debe indicar cómo pueden los padres limitar la recopilación o el uso de los datos de sus hijos.
En la UE
Los mensajes de cookies son requeridos por ley por el Reglamento General de Protección de Datos de la UE (rgpd) y la Directiva de ePrivacy.
RGPD
La rgpd de la UE es la ley sobre cookies más estricta del mundo. Entró en vigor el 15 de mayo de 2018 y se aplica a todos los sitios web dirigidos a consumidores del EEE.
Aunque la palabra "cookie" sólo se menciona una vez en sus 88 páginas, rgpd supone un cambio radical en el uso de las cookies. A diferencia de mandatos anteriores sobre privacidad, como la Directiva sobre privacidad en las comunicaciones electrónicas, rgpd obliga a los sitios web a obtener el consentimiento de los usuarios antes de introducir cookies en sus navegadores.
Para que el consentimiento sea válido, debe serlo:
- Específicos e inequívocos
- Libre, lo que significa que debe darse voluntariamente.
- Informada, lo que significa que el sitio debe informar al usuario sobre las cookies antes de colocarlas en su navegador.
- Expresado a través de una acción explícita y afirmativa
Este requisito de consentimiento activo expresado mediante una acción clara y afirmativa contrasta claramente con la Ley de Cookies de la UE o la Directiva sobre privacidad electrónica de 2002, que permitía el consentimiento pasivo o implícito.
El consentimiento pasivo, también conocido como browsewrap, se produce cuando un sitio web asume que el usuario acepta la política de privacidad o condiciones de servicio del sitio por el mero hecho de seguir utilizándolo.
Dado que el usuario no puede optar por excluirse o consentir las cookies antes de que se coloquen en su navegador, el usuario no puede dar un consentimiento válido según la rgpd. Por tanto, los mensajes de cookies con consentimiento pasivo no cumplen la rgpd.
Reglamento sobre privacidad electrónica
El Reglamento sobre la privacidad y las comunicaciones electrónicas es una versión revisada de la actual Directiva sobre la privacidad y las comunicaciones electrónicas, también conocida como Ley de Cookies. Al igual que rgpd, el Reglamento opera en la UE, pero exige su cumplimiento a cualquier sitio web u organización que se dirija a usuarios de la UE.
Su objetivo es colaborar con rgpd para establecer el marco reformado de protección de datos de la UE, pero aún no ha entrado en vigor. Una vez finalizado, el Reglamento sobre privacidad ampliará la rgpd y establecerá normas más sencillas para las cookies.
Aún no sabemos cómo serán todas estas normas, pero la Comisión Europea ha declarado que no será necesario el consentimiento para las cookies que no se inmiscuyan en la privacidad. Entre ellas se incluyen las cookies que mejoran la experiencia del usuario, como las que se utilizan para recordar el historial de la cesta de la compra.
Resto del mundo
También hay otros países con una legislación similar.
Canadá
A diferencia de California y la UE, Canadá no tiene una legislación que regule específicamente las cookies. Sin embargo, la regulación de las cookies forma parte de las leyes anti-spam y de privacidad de Canadá.
Según la Ley Federal Antispam de Canadá ("CASL"), es ilegal instalar cualquier programa o software en el ordenador de otra persona durante una actividad comercial sin obtener antes su consentimiento expreso.
Al igual que la rgpd, la CASL exige que el consentimiento del usuario se obtenga de una manera particular. Una persona -definida como cualquier corporación, organización, individuo, sociedad, fideicomisario, receptor, asociación o representante legal- debe declarar explícitamente lo siguiente antes de obtener el consentimiento expreso:
- Por qué solicita el consentimiento de la persona
- Identidad de la persona que solicita el consentimiento
Sin embargo, la CASL también dice que se considera que una persona ha dado su consentimiento expreso a la instalación de cookies si es razonable creer que la persona ha dado su consentimiento a través de su conducta. Lamentablemente, en la actualidad no hay mucha orientación sobre qué tipo de conducta se considera "razonable"; el único ejemplo que ofrece el regulador de la CASL es que no se considerará que una persona ha dado su consentimiento si ha desactivado las cookies a través de su navegador.
La legislación canadiense sobre privacidad(LPRPDE) exige generalmente el consentimiento para recoger, utilizar y divulgar información personal. La forma más segura de obtener este consentimiento es a través de un consentimiento expreso e informado, como las notificaciones de cookies.
En conjunto, esto sugiere que la normativa canadiense sobre cookies es mucho menos estricta que la de California y la UE.
Singapur
La ley de protección de datos de Singapur, la Personal Data Protection Act (PDPA), regula el tratamiento de los datos personales y el marketing. Establece cómo las organizaciones utilizan, recopilan y eliminan los datos personales de los singapurenses.
Al igual que la rgpd, la PDPA estipula que debe contar con el consentimiento del usuario antes de recopilar o utilizar sus datos personales. Por lo tanto, debe incluir los siguientes datos cuando obtenga el consentimiento del usuario:
- Motivo del tratamiento de los datos personales de los usuarios.
- Cualquier otra finalidad que tenga para tratar los datos de los usuarios y que no haya revelado antes.
- A petición de los usuarios, debe facilitar la información de contacto de una persona que actúe en nombre de la organización que solicita los datos de los usuarios. Esta persona tendrá que responder a las preguntas de los usuarios sobre la recogida, uso o divulgación de sus datos.
Sin embargo, a diferencia de la rgpd, la APDP acepta el consentimiento implícito o presunto en determinadas circunstancias. Entre ellas se incluyen:
- Consentimiento presunto: el consentimiento puede estar implícito o considerarse otorgado si el uso, la recogida o la divulgación de los datos personales de los usuarios son necesarios para cumplir un contrato entre la organización y el usuario.
- Consentimiento presunto mediante notificación: las empresas pueden presumir su consentimiento si notifican la finalidad de la recogida, uso o divulgación de datos personales. Al mismo tiempo, también deben dar a los usuarios un plazo razonable para darse de baja. El consentimiento se considerará otorgado si los usuarios no optan por no participar en dicho plazo.
La PDPA de Singapur se parece más a la CASL de Canadá que a rgpd , ya que acepta el consentimiento implícito o presunto.
¿Qué debe contener un mensaje sobre cookies?
Para cumplir con la normativa rgpd, su mensaje sobre cookies debe cumplir lo siguiente:
- Informar a los usuarios de que el sitio web utiliza cookies.
- Enumere los tipos de cookies que están presentes en el sitio web (por ejemplo, esenciales, funcionales, de marketing)
- Proporcionar a los usuarios más información sobre el uso que el sitio web hace de las cookies incluyendo enlaces a la política de privacidad del sitio o política de cookies. También puede contener información sobre cómo los usuarios pueden optar por no recibir cookies o cambiar su configuración de cookies.
- Obtener el consentimiento activo de los usuarios para utilizar cookies.
Por ejemplo, el mensaje de cookies de The Guardian que aparece a continuación hace estas tres cosas.
La pancarta de The Guardian:
- Informa a los usuarios de que el sitio utiliza cookies. Utiliza una fuente grande y llamativa para "Tú eliges". Esto incita al usuario a leer para saber por qué hay un banner y a qué elección se refiere.
- Ofrece a los usuarios información sobre cómo utiliza The Guardian las cookies. Los detalles están en "It's your choice".
- Obtiene el consentimiento activo de los usuarios para utilizar cookies. Lo hace a través de los botones "Sí, estoy conforme" y "Gestionar mis cookies".
¿Dónde necesita mostrar una notificación de cookies?
Para garantizar el cumplimiento, debe colocar un mensaje de notificación de cookies en cada página de su sitio web.
Si sólo lo coloca en su página de inicio, los usuarios que aterricen en otra página no podrán ver el mensaje de notificación. Como resultado, no sabrán que su sitio web utiliza cookies y no podrá obtener su consentimiento para colocar cookies en su dispositivo.
Cómo crear un mensaje de cookies
Crear ventanas emergentes de notificación de cookies desde cero puede resultar difícil, sobre todo si no se dispone del tiempo y la energía necesarios para garantizar que los mensajes cumplen la legislación pertinente.
He aquí algunas formas de empezar a crear un mensaje de notificación de cookies.
Solución gestionada (recomendada)
La forma más rápida y segura para garantizar el cumplimiento de los requisitos sobre cookies es obtener una solución gestionada como Termly's Consentimiento de Cookies Manager.
Potente pero fácil de usar, nuestro gestor Consentimiento de Cookies es una herramienta basada en navegador que requiere un esfuerzo mínimo por su parte.
Utilice Termly para crear una notificación de cookies
- Paso 1: Introduzca la URL de su sitio web en el escáner de Termly
- Paso 2: Escanearemos su sitio web y clasificaremos la mayoría de sus cookies
- Paso 3: Generaremos su banner de notificación de cookies personalizable y política de cookies
Todo lo que tiene que hacer es introducir la información de su sitio web y pulsar el botón "Crear Consentimiento de Cookies". A continuación, escanearemos su sitio web en busca de cookies, las organizaremos en las categorías adecuadas, escribiremos un política de cookies personalizado para su empresa y generaremos un banner consentimiento de cookies que podrá mostrar en su sitio web fácilmente.
Solución Plugins
Si usted es el propietario de un sitio WordPress, considere la posibilidad de descargar un plugin de mensajes de cookies. Estas herramientas le proporcionarán mensajes de cookies y ventanas emergentes personalizables que le ayudarán a cumplir con los requisitos de cookies.
A diferencia del bricolaje o las plantillas, los plugins ya vienen con la codificación, los colores, la sincronización de páginas de WordPress y el formato, así que lo único que tienes que hacer es cambiar el texto y el aspecto para que se adapten a tu marca.
Solución DIY (no recomendada)
Esta opción implica redactar el texto legal necesario y codificar la visualización y la función del mensaje de notificación. No es recomendable si no está familiarizado con las leyes de privacidad de datos o la codificación. Si elige esta opción, debería considerar el uso de una plantilla depolítica de cookies para agilizar el proceso de cumplimiento de las cookies.
Conclusión
Los mensajes de notificación de cookies son ahora un requisito bajo la rgpd, CCPA, y otras leyes de privacidad. Por lo tanto, debe reunirse con su equipo y elegir una solución de mensajes de notificación de cookies que le ayude a cumplir con las leyes de privacidad que se aplican a los usuarios de su sitio web. Esto no sólo le protegerá de las consecuencias de las leyes rgpd, COPPA, CCPA y otras, sino que también le preparará para las próximas leyes sobre cookies, como el Reglamento sobre privacidad electrónica de la UE.
Más sobre el autor
Escrito por Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha es Especialista en Seguridad de la Información y Protección de Datos y Responsable Certificada de Protección de Datos. Ha sido Responsable de Protección de Datos durante los últimos seis años, ayudando a pequeñas y medianas empresas a cumplir la legislación. También ha sido mentora en materia de cumplimiento de la privacidad para muchas aceleradoras de empresas internacionales. Está especializada en implementar, supervisar y auditar el cumplimiento empresarial de la normativa sobre privacidad (HIPAA, PIPEDA, Directiva ePrivacy, RGPD, CCPA, POPIA, LGPD). Masha estudió Derecho en la Universidad de Belgrado y aprobó el examen de abogacía en 2016. Más sobre el autor
