Cómo diseñar banners de consentimiento conformes con el RGPD

Los banners de cookies nos persiguen como un enjambre de moscas. Algunos sobran, otros solo aparentan cumplir el RGPD y la mayoría no cumple los requisitos. Repasamos los puntos que conviene tener en cuenta.

1. ¡El RGPD no tiene la culpa de todo!

La obligación de obtener el consentimiento previo de los visitantes para determinados servicios de una web no procede del propio RGPD, sino del artículo 5, apartado 3, de la Directiva sobre la privacidad y las comunicaciones electrónicas:

Los Estados miembros velarán por que el almacenamiento de información o el acceso a información ya almacenada en el equipo terminal de un abonado o usuario sólo se autorice si el abonado o usuario en cuestión ha dado su consentimiento sobre la base de una información clara y completa que se le haya facilitado, entre otras cosas, sobre los fines del tratamiento. .....

Como esta Directiva prevalece sobre el RGPD, estos servicios no pueden ampararse en el «interés legítimo» del artículo 6.1.f del RGPD. La base aplicable es el consentimiento, recogido en el artículo 6.1.a.
El RGPD, por su parte, establece cómo debe obtenerse ese consentimiento.

2. ¿Cuándo hace falta el consentimiento?

a. El consentimiento no es necesario, por ejemplo, para

• Información del dispositivo, como la dirección IP, la resolución de pantalla o el sistema operativo, utilizada para mostrar o proteger una web o aplicación
• Cookies estrictamente necesarias para configurar el idioma y las fuentes, autenticar el inicio de sesión, recordar preferencias o gestionar el carrito de compra y los formularios en línea (cookies de sesión)
• Servicios destinados a mejorar la visualización, reducir los tiempos de carga u optimizar la web, como las redes de distribución de contenidos (CDN) y las fuentes web

Por regla general, no hace falta el consentimiento para las cookies o los servicios necesarios para que funcione la web o para prestar un servicio solicitado expresamente por el usuario. Si solo utilizas estas funciones, no necesitas un banner de cookies o de consentimiento: basta con incluir la información correspondiente en tu política de privacidad.

Los típicos banners de «Usamos cookies, bla, bla, bla… Aceptar» sobran. Confunden a los visitantes y hacen que cada vez les presten menos atención.

Las herramientas destinadas exclusivamente al análisis estadístico de una web, por ejemplo para mejorarla, tampoco suelen requerir consentimiento. Matomo entra en esta categoría, especialmente porque puede alojarse en servidores propios. Estos servicios pueden basarse en el interés legítimo del artículo 6.1.f del RGPD. En algunos casos conviene realizar y documentar una ponderación de intereses. Pero eso es una cuestión de protección de datos, no de diseño del banner.

Google Analytics es una excepción: las autoridades de control lo consideran una herramienta de seguimiento, aunque el propietario de la web solo quiera obtener estadísticas de visitas. Por tanto, Google Analytics requiere consentimiento.

b. Hace falta el consentimiento para:

• El análisis estadístico y la medición de audiencia
• La publicidad basada en el comportamiento o la ubicación
• Los plugins de redes sociales

Una alternativa a los plugins de redes sociales es la solución de dos clics de Heise (el botón Shariff). También puedes usar imágenes o iconos que simplemente enlacen a la plataforma correspondiente. En ese caso no hace falta el consentimiento; basta con incluir la información pertinente en la política de privacidad. Puedes añadir un aviso al pasar el cursor, como «Se abrirá la página de Facebook», para que el visitante sepa qué va a ocurrir.

Para cualquier función que requiera consentimiento, la regla fundamental es obtenerlo ANTES de recopilar o transmitir datos.

3. Mapas, vídeo y plataformas de streaming

En el momento al que se refiere este artículo aún no había consenso. Algunos expertos esperaban que el futuro Reglamento sobre la privacidad y las comunicaciones electrónicas, previsto inicialmente para entrar en vigor junto con el RGPD, exigiera también consentimiento previo para estos servicios. Consideraban que las sentencias del Tribunal de Justicia de la UE de otoño de 2019 y la del Tribunal Supremo Federal alemán de mayo de 2020 apuntaban en esa dirección.

La autoridad bávara de protección de datos del sector no público (BayLDA) indicaba en su web que podían insertarse vídeos sin consentimiento previo si la reproducción solo comenzaba tras un clic y no se transmitían datos antes, mediante una solución de dos clics o Embetty. También recomendaba insertar los vídeos de YouTube con el modo de privacidad mejorada (no-cookie).

La BayLDA mantenía un criterio similar para Google Maps: el mapa solo debía cargarse cuando el visitante lo solicitara expresamente, por ejemplo con un clic adicional en una solución de dos clics.

Consulté esta cuestión a la BayLDA. En aquel momento, la autoridad confirmó la interpretación anterior, aunque señaló que todavía tenía que estudiar detenidamente los fundamentos de las sentencias. Ese análisis podía dar lugar a un cambio de criterio.

Si quieres adelantarte, puedes solicitar el consentimiento también para estos servicios. Siempre es posible adoptar precauciones adicionales para proteger los datos.

4. Requisitos de un consentimiento válido

El consentimiento debe ser PREVIO, INFORMADO y LIBRE. En la práctica:

a. PREVIO:
Cuando alguien entra en la web por primera vez, deben permanecer desactivados los scripts que puedan recopilar datos del usuario y transmitirlos a terceros.
b. INFORMADO:
Explica brevemente los servicios, con un lenguaje claro y sencillo y una presentación fácil de seguir. Se trata de informar, no de abrumar.
c. LIBRE:
No marques de antemano las casillas de consentimiento. El visitante debe aceptar activamente, no tener que desmarcarlas para negarse.

Nota:
Frases genéricas como «Esta web usa cookies para análisis y publicidad» o «…para mejorar tu experiencia de navegación» no bastan por sí solas. No explican de forma transparente qué se hace con los datos.

Ofrecer una elección real también implica permitir el uso de la web a quien rechace los servicios opcionales.

5. Documentar y acreditar el consentimiento

Debes documentar el consentimiento y poder demostrar que lo has obtenido. Muchos expertos consideran suficientes los registros técnicos: por ejemplo, el texto del consentimiento fechado, el código y la versión del banner, las marcas de tiempo y el identificador de la cookie del usuario. Recopilar más datos personales solo para acreditar el consentimiento es innecesario y contrario al principio de minimización de datos.

6. Retirar el consentimiento: la opción de exclusión

El usuario puede retirar su consentimiento en cualquier momento. Por eso, todos los servicios que utilices deben ofrecer una opción de exclusión que funcione y sea fácil de encontrar siempre que se necesite.

7. ¿Cómo debe ser el banner de consentimiento?

Los siguientes contenidos son obligatorios en el banner:

• La identidad del responsable del tratamiento, si no queda ya clara en la web
• Nombre de la herramienta
• Finalidad del tratamiento
• Destinatario de los datos
• Una indicación de que el consentimiento es voluntario y puede retirarse, junto con la opción para hacerlo
• Enlace a la política de privacidad
• Elige bien la ubicación del banner: no debe impedir el acceso al aviso legal ni a la política de privacidad.

La información obligatoria está definida, pero puedes elegir el diseño. Los submenús ayudan a evitar un banner sobrecargado. Este es un ejemplo de primera capa que cubre los requisitos mínimos:

Es solo una de las posibles formas de presentar la primera capa de información, no una plantilla que debas seguir.

Hay muchas herramientas de gestión del consentimiento (CMP). Puedes comparar sus funciones en línea. Entre las más conocidas están Cookiebot, Borlabs Cookie, Usercentrics y Consentmanager.

Una herramienta de consentimiento debe cumplir estos requisitos básicos:

• Mostrar el banner en cuanto alguien visite la web o la aplicación
• Mantener accesible la información legal obligatoria, incluidos el aviso legal, las condiciones generales y la política de privacidad
• Instalar cookies o tratar identificadores publicitarios móviles solo después de una aceptación activa. Navegar por la web, cerrar el banner o dejar que desaparezca automáticamente al cabo de un tiempo no equivale a dar el consentimiento.
• Permitir el uso de la web o la aplicación aunque se rechacen las cookies o los identificadores publicitarios
• Función de exclusión voluntaria
• Ofrecer registros e informes que permitan acreditar el consentimiento

Encontrarás más información en la guía para proveedores de servicios de telemedia de la Conferencia alemana de Protección de Datos y en las preguntas frecuentes sobre cookies y seguimiento de la autoridad de protección de datos de Baden-Wurtemberg.

Elige la solución que mejor encaje con tu web, con ayuda de tu agencia si lo necesitas. Si no vas a desarrollar una propia, compara los proveedores y sus funciones.
En materia de protección de datos, comprueba si el proveedor puede justificar sus afirmaciones de cumplimiento del RGPD y dónde están sus servidores.

8 ¿Y el marketing?

Muchos visitantes no quieren que se les rastree y pulsan «Rechazar todo». Puede resultar frustrante para marketing y analítica, pero están ejerciendo su derecho a decidir sobre el uso de su información.

En una sesión informativa a la que asistí, un empleado de Jaohawi AB, la empresa sueca que ofrece Consentmanager, compartió algunos datos interesantes:

Según sus análisis, de media entre el 40 y el 50 % de los visitantes elegía «Aceptar todos los servicios». Eso significa que entre el 50 y el 60 % no daba su consentimiento.

El ponente explicó que mejorar el banner podía elevar la tasa de aceptación a alrededor del 65 %, o hasta un 70 % entre los clientes habituales más fieles.

Calculaba que, al introducir un banner de consentimiento, los informes perdían aproximadamente la mitad de los datos de marketing. Sugería tener en cuenta estas lagunas mediante métodos estadísticos al elaborar previsiones.

Puedes respetar la privacidad y, al mismo tiempo, mejorar la posición, los colores y el texto del banner para animar a más visitantes a aceptar los servicios opcionales.