El marco jurídico de las cookies

En su blog The irregular musings of Lou Montulli, este programador estadounidense reflexionó sobre el origen de las cookies, el popular término de internet que él acuñó en 1994, en recuerdo de las galletas mágicas de un videojuego, y que, hoy en día, hace referencia a cualquier tipo de archivo o dispositivo que se descarga en el equipo terminal de un usuario con la finalidad de almacenar datos que podrán ser actualizados y recuperados por la entidad responsable de su instalación, según la definición proporcionada por la Agencia Española de Protección de Datos [AGPD]; una entidad que, en abril de 2013, presentó la primera Guía sobre el uso de las cookies. Este documento, aunque no se trate de una disposición jurídica, se está convirtiendo en una regla de comportamiento estandarizada, de ahí que muchos portales hayan comenzado a incorporar mensajes como utilizamos cookies para brindarle la mejor navegación por nuestra sede electrónica, en la versión española de la web del Consejo de la Unión Europea. Otra institución comunitaria, la Comisión, definió las cookies como un pequeño fichero de texto que los sitios web instalan en el ordenador o el dispositivo móvil de los usuarios que los visitan, haciendo posible que el sitio web recuerde las acciones y preferencias del usuario (identificador de inicio de sesión, idioma, tamaño de letra y otras preferencias de visualización), para que este no tenga que volver a configurarlos cuando regrese al sitio o navegue por sus páginas. En ese sentido, Microsoft, también ha enfatizado que los sitios web usan cookies para ofrecer una experiencia personalizada a los usuarios y reunir información sobre el uso del sitio web (…) En el caso de un sitio web de confianza, las cookies pueden enriquecer la experiencia del usuario porque permiten que el sitio obtenga información sobre sus preferencias o que no tenga que iniciar sesión cada vez que vaya al sitio.

En España, la regulación de las cookies se encuentra implícita en el Art. 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico [LSSI], cuando establece que: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.

Este último párrafo se refiere a que determinadas cookies –como las de identificación del usuario, las de seguridad para detectar datos erróneos o las que personalicen la interfaz– quedan excluidas de la aplicación del Art. 22.2 LSSI y, como señala la AGPD, no sería necesario informar ni obtener el consentimiento sobre su uso. En su guía encontrarás información muy detallada sobre los tipos de cookies [propias o de terceros; persistentes o de sesión; técnicas, de personalización o de análisis; etc.], los deberes de información y las obligaciones de las partes.

La finalidad de la actual redacción del Art. 22.2 LSSI –que se modificó por el prolífico Real Decreto-ley 13/2012, de 30 de marzo– fue, según el propio legislador, adecuar su régimen a la nueva redacción dada, por la Directiva 2009/136/CE, a la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, debiéndose destacar la nueva redacción que se da a su Art. 22.2, para exigir el consentimiento del usuario sobre los archivos o programas informáticos (como las llamadas «cookies») que almacenan información en el equipo de usuario y permiten que se acceda a ésta; dispositivos que pueden facilitar la navegación por la red pero con cuyo uso pueden desvelarse aspectos de la esfera privada de los usuarios, por lo que es importante que los usuarios estén adecuadamente informados y dispongan de mecanismos que les permitan preservar su privacidad.