Hasta 20 millones de euros por no tener el aviso de cookies en regla: la sanción de la AEPD que ya afecta a webs pequeñas

El Reglamento de la Unión Europea 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, más conocido simplemente como Reglamento General de Protección de Datos (RGPD), es la legislación comunitaria de referencia en esta materia. En España, la Agencia Española de Protección de Datos (AEPD) es la que tiene potestad sancionadora por cualquier incumplimiento de este reglamento nuestra adaptación nacional, la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales (LOPDGDD). En el pico más alto del régimen sancionador se contemplan multas muy elevadas, de hasta 20 millones de euros, así que te contamos qué casos serían aquellos que tendrían esas sanciones económicas.

La necesidad del usuario de aceptar cookies

A pesar de que no debería ser así, muchos usuarios aceptan las cookies de las páginas web por las que navegan sin prestar demasiada atención a lo que están aceptando (se estima que más de la mitad de los españoles no sabe qué son ni cómo funcionan exactamente), pero realmente están dando un consentimiento para que se rastreen ciertos datos relativos a tu navegación por Internet.

A grandes rasgos, las cookies “son pequeños archivos de datos que un servidor web almacena en nuestro navegador cuando visitamos una página” y “las finalidades de estos archivos son variadas, entre otras recopilar información sobre los hábitos de navegación del usuario y su actividad dentro de la web, así como almacenar datos de acceso al sitio (nombre de usuario, contraseña, personalización de la página, fecha última visita, etc.) haciendo que la navegación web sea más cómoda para el usuario”, explican desde el Instituto Nacional de Ciberseguridad (INCIBE).

Teniendo en cuenta que para funcionar necesitan recopilar ciertos datos de la navegación del usuario, hace unos años que se obligó a toda página web a mostrar un aviso de cookies mediante el que el usuario pudiera estar informado de las mismas, además de la necesidad de implementar un botón para que el usuario pueda dar su consentimiento a este posible ‘rastreo’. Sin embargo, no todos los gestores de páginas web cumplen a rajatabla con la normativa, en la que también entra en juego la Ley General de Telecomunicaciones, que en su artículo 22 dice lo siguiente:

“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, siempre que se cuente con su consentimiento y tras haberles facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos. Cuando sea técnicamente posible y eficaz, el consentimiento para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones”.

Para evitar problemas, la Agencia Española de Protección de Datos tiene una ‘Guía sobre el uso de cookies’ con la que orientar a los diseñadores y administradores de páginas web y a las empresas de marketing online en el uso de las cookies según la legislación actual. Esta explica de forma detallada qué información debe facilitarse en el aviso de cookies, cómo debe mostrarse esa información y todos los detalles para que las entidades afectadas reflexionen y adopten decisiones sobre la solución más adecuada a sus intereses y modelo de negocio.

Sanciones millonarias por incumplir el RGPD

Según establece el propio RGPD, las multas son administradas por el regulador de protección de datos en cada estado miembro de la Unión Europea, que en nuestro caso sería la AEPD. A está última le compete determinar en primer lugar si ha ocurrido una infracción y, en segundo lugar, clasificar la gravedad de la sanción para imponer una multa económica acorde a la vulneración cometida.

En el caso de las multas de mayor gravedad, son aquellas que han infringido los artículos 5, 6, 7, 9, 12-22 y 44-49 del Reglamente General de Protección de Datos. Entre estos supuestos figura no tener los avisos de cookies correctamente establecidos, ya sea ocultando información sobre el tratamiento de sus datos que se va a hacer, procesamiento de los mismos por terceros, etc. Uno de los casos más graves es no tener aviso de cookies al navegar por una página web que las utilice. En estos casos, si se aplicara la sanción máxima, se podría llegar a castigar a los sitios web responsables con multas de hasta 20 millones de euros o, en su defecto, si por volumen de facturación se pudiera, el 4% de los ingresos anuales, la cantidad mayor entre ambas.

No todas las cookies, sin embargo, necesitan un aviso de consentimiento. El antiguo Grupo de Trabajo 29 de la Unión Europea, posteriormente sustituido por el Comité Europeo de Protección de Datos, ha excluido de la normativa del RGPD a las que tengas por finalidad cookies de «entrada del usuario, de autenticación o identificación del usuario (de sesión), de reproductor multimedia, de sesión para equilibrado de la carga en el servidor web, de personalización de la interfaz o aquellas tipo plug-in para intercambio de contenidos sociales.