Empresa sancionada por incumplir con la Guía de Cookies

En el presente post analizaremos una reciente resolución de la Agencia Española de Protección de Datos (AEPD) acerca de una empresa sancionada por incumplir con la Guía de Cookies (publicada en julio de 2020) en su página web.

En este artículo vamos a tratar...

La AEPD realiza un primer estudio de la página web

En un primer momento, la AEPD realizó un estudio sobre la web de la empresa reclamada, detectando los siguientes parámetros no acordes a la Ley:

1. Botón de “Rechazar cookies”

El Banner de cookies no ofrecía la posibilidad de “Rechazar cookies“ que no fueran técnicas o necesarias.

Por si esto fuera poco, el diseño de los enlaces resultó ser engañoso para el usuario.

El botón de la opción “Gestionar las cookies” en el Panel de Control utilizaba un diseño de enlace (texto resaltado o subrayado), mientras que el botón de “Aceptar todas las cookies” utilizaba un diseño claro con caja cuadrada de texto.

Adicionalmente, se utilizaron colores y contrastes diferentes para las diferentes opciones ofrecidas.

2. Retirar el consentimiento

La parte reclamante manifestó que la empresa demandada no facilitaba la retirada del consentimiento, a diferencia de la opción de “Prestar consentimiento”, la cual se ofrecía de una manera notablemente más sencilla.

Añadió, además, que una vez se daba el consentimiento tras hacer clic en el botón “Aceptar todas las Cookies” o “Aceptar algún grupo de Cookies” a través del Panel de Control, no se ofrecía la posibilidad de retirar dicho consentimiento si deseaba hacerlo posteriormente.

Una vez la Agencia Española de Protección de Datos (AEPD) realizó un segundo estudio del funcionamiento de cookies y consentimiento de la página web con fecha 16 de marzo de 2023, observó lo siguiente:

Inexistencia de un mecanismo o acceso al Panel de Control que permita retirar posteriormente el consentimiento prestado. No se ofrecía al usuario, en caso de cambiar de opinión, la opción de negar el consentimiento prestado.
Imposibilidad de rechazar las cookies que se hubieran aceptado anteriormente.
Ausencia de información suficiente en la primera capa sobre las finalidades de instalación de cookies.

En caso de querer rechazar la utilización de cookies haciendo clic en la opción “Rechazar todas” o desplazando el curso desde la posición “ON” a la posición “OFF” de los diferentes grupos de cookies, y haciendo clic en “Confirmar mis preferencias”, la web continuaba utilizando las cookies de terceros instaladas cuando se aceptaron al comienzo.

La AEPD realiza un nuevo estudio de la página web el 6 de junio de 2023

Con fecha 6 de junio de 2023, ante el escrito de alegaciones por parte de la entidad reclamada, la Agencia Española de Protección de Datos realizó un nuevo estudio de la web.

1. Uso de cookies técnicas o necesarias

En el momento de acceder por primera vez a la web, y sin dar consentimiento, observa que únicamente se utilizaban las cookies técnicas o necesarias.

Respecto al Banner de cookies, éste se despliega nada más acceder a la web por primera vez, el cual ofrece la posibilidad de “Configurar las cookies”. Los grupos de cookies aparecen premarcados en la opción “OFF”.

Si se desea hacer clic en “Confirmar mis preferencias” sin haber modificado ninguna de las casillas desde la posición “OFF” a la posición “ON”, o haciendo clic en la opción “Rechazar todas” con la intención de rechazar las cookies que no sean técnicas o necesarias, la web sigue utilizando las mismas cookies detectadas al principio.

2. Retirada del consentimiento

La web ofrecía la opción de rechazar la utilización de cookies haciendo clic en la opción “rechazar todas” o desplazando el curso desde la posición “ON” a la posición “OFF” de los diferentes grupos de cookies, y haciendo clic en “confirmar mis preferencias”.

Al realizar esa ruta, se aprecia que la web ya NO utilizaba las cookies que se consintieron, y utilizaba únicamente las cookies técnicas o necesarias detectadas al principio.

Cumplimiento de la entidad demandada con la Guía sobre el Uso de Cookies

1. Banner de información de cookies

El banner de cookies de la web de la entidad reclamada, a fecha de 16 de marzo de 2023 era el siguiente:

“Al hacer clic en “Aceptar todas las cookies”, usted acepta que las cookies se guarden en su dispositivo para mejorar la navegación del sitio, analizar el uso del mismo, y colaborar con nuestros estudios para marketing. “Política de Cookies“”.

Se considera, por tanto, que el texto recogido en dicho Banner de Cookies es acorde a lo estipulado en el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información.

Esto es así debido a que incluye una identificación genérica de las finalidades de las cookies que se utilizarán.

2. Retirada del consentimiento para el uso de cookies una vez prestado

Tras las alegaciones a la propuesta de resolución, la AEPD realizó una tercera comprobación de la página web en cuestión, en la cual se detectó lo siguiente:

Una vez otorgado el consentimiento para el uso de las cookies que no son técnicas o necesaria, si se desea retirar el consentimiento prestado, la web ya NO utiliza las cookies que se consintieron, volviendo a utilizar solamente las cookies técnicas o necesarias detectadas al principio, desapareciendo las cookies de terceros.
En este sentido, a pesar de que el responsable de la web modificara la política de cookies adaptándola a la normativa vigente, no excluye el incumplimiento probado en la primera comprobación de la web por parte de la AEPD.