La AEPD actualiza la Guía sobre el uso de cookies y da tres meses de plazo para adaptarse

La Agencia Española de Protección de Datos (“AEPD”) ha publicado este martes 28 de julio de 2020 una nueva versión de la Guía sobre el uso de cookies, publicada por primera vez el pasado mes de noviembre de 2019, para adaptarla a las Directrices sobre consentimiento modificadas en mayo de 2020 por el Comité Europeo de Protección de Datos (“CEPD”), en virtud de las cuales el CEPD aclaró su posición respecto a dos cuestiones esenciales relativas a la obtención válida del consentimiento de los usuarios respecto al uso de las cookies. En resumen, el CEPD consideró en las citadas Directrices que:

• La opción de “seguir navegando” no constituye bajo ningún concepto una forma válida de prestar el consentimiento, dado que en ningún caso dicho consentimiento es expreso e inequívoco, ni se recoge mediante una “clara acción afirmativa” tal y como exige el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (“RGPD”).
• El uso de los “muros de cookies” como forma de obtención del consentimiento, esto es,condicionar el acceso a los servicios ofrecidos en el sitio web a la aceptación por el usuario al uso de cookies, no es válido ni conforme al RGPD dado que el usuario se ve forzado a consentir, debiendo asumir consecuencias negativas en caso de no hacerlo. Así, el consentimiento siempre debe otorgarse de forma libre por le usuario y debe basarse en una elección real por su parte.

En consecuencia con lo anterior, la AEPD se ha visto obligada a modificar y actualizar su Guía sobre el uso de cookies inicialmente publicada el pasado 8 de noviembre de 2019 con el fin de ofrecer unas recomendaciones y orientaciones a los prestadores de servicios que vayan alineadas con lo dictaminado en Europa y que garanticen un cumplimiento integral de la normativa vigente en materia de protección de datos. Las principales novedades que se han recogido en la nueva versión de la citada Guía y que serán de obligado cumplimiento para las compañías son:

• El usuario deberá realizar una acción que pueda calificarse como una “clara acción afirmativa”para que el consentimiento se considere válidamente otorgado. El citado consentimiento podrá recogerse mediante el típico botón de aceptación o por mecanismos distintos siempre que:

1. Consistan en una clara acción afirmativa;
2. Ofrezcan suficiente certeza de que se presta un consentimiento informado e inequívoco;
3. Se informe al usuario de las consecuencias de la elección respecto a la aceptación o configuración de las cookies; y
4. El responsable del tratamiento pueda demostrar la obtención válida del consentimiento.

En ningún caso se considerará una clara acción afirmativa y, por tanto, no será válido a efectos de consentimiento, hacer scroll, permanecer visualizando la pantalla, la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies, la consulta a la segunda capa informativa de la política de cookies o la simple navegación por el sitio web.

• Deberá ser tan fácil para el usuario retirar su consentimiento como darlo. Dentro del panel de configuración de las cookies, deberá incluirse siempre un botón que permita al usuario rechazar todas las cookies o un botón que permita al usuario guardar la elección realizada. La falta de almacenamiento por parte del usuario de su configuración respecto al uso de las cookies equivaldrá al rechazo de todas las cookies.
• No podrán utilizarse los denominados “muros de cookies” para la obtención válida del consentimiento, estoes condicionar el acceso a los servicios a la aceptación por el usuario al uso de cookies, salvo que se informe adecuadamente al respecto al usuario y se ofrezca una alternativa de acceso al sitio web sin necesidad de aceptar el uso de cookies. Conforme a las Directrices sobre consentimiento del CEPD, los servicios de ambas alternativas deberán ser genuinamente equivalentes y no será valido que el servicio equivalente lo ofrezca una entidad ajena al editor.

La AEPD ha otorgado a las compañías un plazo de transición de tres meses, el cual finaliza el 31 de octubre de 2020, para implementar todos aquellos cambios que sean necesarios en los mecanismos de obtención del consentimiento para el uso de las cookies que actualmente se estén utilizando y que se recogen en la nueva versión de su Guía sobre el uso de cookies.