Guía sobre el
uso de las cookies
JULIO 2023

Guía actualizada
en julio 2023

ÍNDICEINTRODUCCIÓN

5

1. ALCANCE DE LAS NORMAS

8

2. TERMINOLOGÍA Y DEFINICIONES

11

2.1 COOKIES Y TECNOLOGÍAS SIMILARES

11

2.1.1 Tipos de cookies según la entidad que las gestione

11

2.1.2 Tipos de cookies según su finalidad

11

2.1.3 Tipos de cookies según el plazo de tiempo que permanecen activadas

13

2.2 DATO

13

2.3 EQUIPO TERMINAL

13

2.4 SERVICIO DE LA SOCIEDAD DE LA INFORMACIÓN

13

2.5 PÁGINA WEB

14

2.6 ESPACIO PUBLICITARIO

14

2.7 INVENTARIO PUBLICITARIO

14

2.8 PARTES INTERVINIENTES

14

3. OBLIGACIONES
3.1 TRANSPARENCIA

1515

3.1.1 Qué información debe facilitarse

15

3.1.2 Cómo debe mostrarse esa información

17

3.1.2.1 Requisitos de la información173.1.2.2 Información por capas

19

3.1.2.3 Otras formas de mostrar la información

22

3.2 CONSENTIMIENTO

23

3.2.1 El consentimiento como base para el cumplimiento de la normativa

23

3.2.2 Quién debe prestar el consentimiento

24

3.2.3 Modalidades de obtención del consentimiento

24

3.2.4 Consentimiento de menores de 14 años

26

3.2.5 Cuándo pueden utilizarse y, en su caso, instalarse las cookies

28

3.2.6 Obtención del consentimiento para el uso de cookies cuando un editor presta
servicios a través de diferentes páginas

28

3.2.7 Cambios en el uso de las cookies

28

3.2.8 Actualización del consentimiento29

3.2.9 Retirada del consentimiento para el uso de cookies

29

3.2.10 Posibilidad de denegación de acceso al servicio en caso de rechazo de las cookies

29

4. RESPONSABILIDAD DE LAS PARTES EN LA UTILIZACIÓN DE COOKIES

30

4.1 EL EDITOR O LOS TERCEROS UTILIZAN LAS COOKIES PARA FINALIDADES EXCEPTUADAS DE LASOBLIGACIONES DE INFORMAR Y OBTENER CONSENTIMIENTO

30

4.2 EL EDITOR O LOS TERCEROS UTILIZAN LAS COOKIES PARA FINALIDADES NO EXCEPTUADAS DE LASOBLIGACIONES DE INFORMAR Y OBTENER CONSENTIMIENTO

30

ANEXO

33

Guía de cookies

INTRODUCCIÓN
Internet juega un papel fundamental en lasociedad y es uno de los pocos sectores de laeconomía que actualmente continúa creciendo,
posicionándose como pionero en la economía
local y europea. Internet contribuye actualmente
en un 3,8 del PIB de la Unión Europea y, a nivel
nacional, representaba ya en el año 2018 el 7%,
aportando 81.600 millones de euros al PIB español de forma directa1.
Gran parte de la inversión en Internet se hace
desde el sector de la publicidad online. Un estudio de la compañía independiente de investigación financiera IHS Markit muestra que la publicidad digital contribuye a 526 mil millones del
PIB anual de la UE2 . Como es sabido, una de lasformas en que la publicidad en Internet se lleva
a cabo es a través de las cookies. Las cookies sonherramientas que tienen un papel esencial parala prestación de numerosos servicios de la sociedad de la información que concentran la mayor
inversión publicitaria, facilitan la navegación delusuario y ofrecen una publicidad basada en ocasiones en los hábitos de navegación.
La importancia de la publicidad digital se refleja en cifras de inversión, que creció un 10,6%
respecto al año pasado (2021-2022). Desde 2019la inversión en Internet se ha consolidado, porencima de la televisión, en la primera posición deinversión publicitaria. Con una inversión total en2022 de 4.533 millones de euros, supone un 60%
de toda la inversión realizada en medios3.

Más allá de las contribuciones directas e indirectas a la economía, la publicidad digital también
aporta un importante valor añadido al ciudadanoen su rol de consumidor, dado que esta le proveede contenidos a un precio reducido o de forma
gratuita. En otras palabras, los ingresos derivadosde la publicidad online hacen posible el gran valor
que los consumidores obtienen de los servicios
online que utilizan. Este excedente es de cerca de
40 euros al mes por hogar, más de lo que la familia
paga por el acceso de banda ancha en el hogar4.
Debemos tener en cuenta también que la publicidad tiene un efecto multiplicador en toda laeconomía a través empleos directos e indirectos,
aumento de ventas, etc.
Según el estudio The economic contribution ofadvertising in Europe5, elaborado por Deloitte,en el terreno laboral también supone un dato
ventajoso para la economía europea, ya que en la
UE existen 5.762.573 puestos de trabajo respaldados por publicidad, lo que supone un 2,6% delempleo en la UE (teniendo en cuenta empleos directamente impactados por publicidad y trabajos
compatibles a la cadena de actividad).
Al mismo tiempo, debe tenerse presente que lautilización de los dispositivos de almacenamiento y recuperación de datos en los equipos terminales de los usuarios tiene implicaciones importantes en relación con su privacidad. La cookie es
uno de esos dispositivos de uso generalizado, por

Informe anual del sector TIC y de los contenidos en España 2018, disponible en: https://www.ontsi.red.es/ontsi/sites/
ontsi/files/InformeAnualSectorTICC2018_0.pdf.
1

The Economic Contributions of Digital Advertising, disponible en: https://datadrivenadvertising.eu/wp-content/
uploads/2017/09/DigitalAdvertisingEconomicContribution_FINAL-1.pdf.
2

Estudio de Inversión Publicitaria en Medios Digitales, disponible en: https://iabspain.es/estudio/estudio-de-inversionpublicitaria-en-medios-digitales-2023.
3

White paper “Consumers driving the digital uptake. The economic value of online advertising-based services for
consumers”. Estudio de McKinsey & Company para IAB Europe (2010).
4

Disponible en: http://www.iabeurope.eu/wp-content/uploads/2017/01/Value-of-Advertising_Economic-Contributionof-Advertising-in-Europe.pdf.
55Introducción

Guía de cookies

lo que, en adelante, denominaremos genéricamente a estos dispositivos como cookies.
Ciudadanos, políticos y organizaciones de consumidores, entre otros, han puesto de manifiesto lanecesidad de que se garantice la efectiva tutela
de la privacidad. Ese interés ha quedado reflejado asimismo en diversos documentos hechos
públicos por las autoridades de protección dedatos; entre otros, en las Opiniones del Grupo deTrabajo del Artículo 29 (en adelante, GT29)6 , enla actualidad sustituido por el Comité Europeode Protección de Datos (en adelante, CEPD). La
industria, por su parte, es igualmente conscientede que el desarrollo digital pasa por garantizar laconfianza de los usuarios en la red y, por tanto, yen este ámbito, por garantizar que la utilizaciónde las cookies se lleve a cabo respetando siempre
la privacidad de los usuarios.
Obtener la confianza de los usuarios implica quesean conscientes del valor que para el ecosistema
de Internet tienen sus hábitos de navegación y que
puedan valorar las ventajas asociadas a la información que facilitan a los prestadores de servicios
en Internet, al tiempo que conozcan cómo gestionar la aceptación o el rechazo de tales ventajas.
Y es que, mediante la utilización de cookies, losprestadores de servicios obtienen datos relacionados con los usuarios que posteriormente
podrán ser utilizados para la prestación de losservicios concretos, para servir publicidad ocomo base para el desarrollo de mejoras o nuevos productos y servicios en ocasiones gratuitos. Esta circunstancia determina la necesidad
de implantar un sistema en el que el usuario
sea plenamente consciente de la utilizaciónde aquellos dispositivos y de la finalidad de su
utilización, siendo en definitiva conocedores deldestino de los datos que estén siendo utilizados
y las incidencias que este sistema implica en su
privacidad. Por ello, la regulación comunitaria ynacional requiere para la utilización de determinados datos, la obtención de un consentimiento
informado con el fin de asegurar que los usuarios

son conscientes del uso de sus datos y las finalidades para las que son utilizados.
A la hora de determinar el nivel de detalle en la
información que se debe proporcionar sobre lascookies, así como la forma en la que debe obtenerse el consentimiento para su utilización, debe
tenerse una referencia clara acerca del nivel decomprensión de los usuarios en relación con las
mismas. En este sentido, y si bien el conocimiento
general de internet está cada vez más extendido yel consumidor medio cada vez tiene mayor conocimiento técnico sobre el funcionamiento de lascookies y las opciones disponibles para su gestión,
todavía se requiere un nivel superior de información cuando esta se dirige a aquellos usuarios
que tienen un conocimiento técnico más bajo outilizan Internet con menos regularidad.

El Grupo de Trabajo del Artículo 29 era el órgano consultivo independiente de la UE sobre protección de los datos y lavida privada, creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE.
66

Guía de cookies

En suma, la industria digital y, en particular, elsector de la publicidad digital y quienes lo representan son conscientes de la importancia de laprivacidad en Internet y de la necesidad de adoptar fórmulas de información y consentimiento
que reúnan los requisitos de transparencia y control que exige la normativa, adaptándola al actual
nivel de conocimiento de los usuarios; todo ello,
protegiendo a su vez la importante inversión eneste sector de actividad, pero manifestando elinterés de la propia industria por implantar unsistema transparente en este ámbito.
En este sentido, la industria y sus representantes agradecen a la Agencia Española de Protección de Datos su disposición y la oportunidad decooperar en el diseño de soluciones, y muestranel compromiso en el cumplimiento de la normativa en materia de cookies a través de una serie
de propuestas. Soluciones que van dirigidas
además a cumplir una labor en la formación ymadurez de los usuarios de Internet en el conocimiento de estas herramientas de la sociedad
de la información que fomente un uso responsable de las mismas, permitiendo un entorno a un
mismo tiempo creativo y transparente.

Lo anterior deberá entenderse sin perjuicio deposibles desarrollos ulteriores para actualizar
dichas orientaciones o dar respuestas concretasa modelos de negocio más complejos que losaquí contemplados7.
Dadas las múltiples complejidades que plantea
el uso de las cookies, las orientaciones aquírecogidas no pretenden ofrecer una solución
general y uniforme para el cumplimiento de laley, sino que deben servir de guía para que lasentidades afectadas reflexionen y adopten decisiones sobre la solución más adecuada a sus
intereses y modelo de negocio.

Las soluciones propuestas en la presente guía
pretenden ofrecer orientaciones sobre cómo
cumplir las obligaciones previstas en el apartado segundo del artículo 22 de la Ley 34/2002,de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en adelante, LSSI), en relación con el Reglamento (UE)2016/679 del Parlamento Europeo y del Consejo,
de 27 de abril de 2016, General de Protecciónde Datos (en adelante, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección deDatos y garantía de los derechos digitales (enadelante, LOPDGDD). En cualquier caso, es necesario destacar el carácter de norma especial de laregulación establecida en la LSSI.

En particular, es necesario ser conscientes de la existencia de una propuesta de Reglamento sobre el respeto de lavida privada y la protección de los datos personales en el sector de las comunicaciones electrónicas y por el que sederoga la Directiva 2002/58/CE (Reglamento sobre la privacidad y las comunicaciones electrónicas), que regulará laprotección de la información almacenada en los equipos terminales de los usuarios finales y relativa a dichos equipos.
No obstante, en el presente momento se trata simplemente de una propuesta de disposición cuyo contenido final nopuede aún ser conocido, por lo que hasta entonces habrá de estar a las normas actualmente vigentes.
7

7Introducción

Guía de cookies

1.

ALCANCE DE
LAS NORMAS

El apartado segundo del artículo 22 de la LSSI
establece:“Los prestadores de servicios podrán utilizar
dispositivos de almacenamiento y recuperaciónde datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado
su consentimiento después de que se les hayafacilitado información clara y completa sobre su
utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto
en la Ley Orgánica 15/1999, de 13 de diciembre,de Protección de Datos de Carácter Personal.
Cuando sea técnicamente posible y eficaz, el
consentimiento del destinatario para aceptar
el tratamiento de los datos podrá facilitarse
mediante el uso de los parámetros adecuadosdel navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin deefectuar la transmisión de una comunicación
por una red de comunicaciones electrónicas o,en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado
por el destinatario”.
En consecuencia, las orientaciones de esta guía
serán de utilidad a aquellos supuestos a losque resulte aplicable el apartado segundo delartículo 22 de la LSSI de conformidad con loestablecido en el Capítulo II de la propia LSSI
que lleva por título “Ámbito de aplicación”.

En particular, conviene precisar que, de conformidad con el precepto transcrito, el mismo
aplica a cualesquiera “dispositivos de almacenamiento y recuperación de datos” en cualesquiera “equipos terminales de los destinatarios”
y que el anexo de la citada LSSI define como
“Destinatario del servicio o destinatario” a la“persona física o jurídica que utiliza, sea o no
por motivos profesionales, un servicio de lasociedad de la información”.
Así pues, el artículo 22 de la LSSI y la presenteguía se refieren a la utilización de cookies ytecnologías similares utilizadas (tales como
local shared objects o flash cookies8 , web beacons o bugs9 , etc.) para almacenar y recuperar
datos de un equipo terminal (por ejemplo, unordenador, un teléfono móvil o una tablet) de
una persona física o jurídica que utiliza, sea ono por motivos profesionales, un servicio de lasociedad de la información. La citada norma
también resulta de aplicación al empleo de técnicas de fingerprinting, es decir, a las técnicas
de toma de la huella digital del dispositivo.
Esta guía contiene algunas orientaciones prácticas sobre cómo debe proporcionarse la información para cumplir el requisito del consentimiento informado, ya que el citado artículo 22.2 dela LSSI vincula la obtención del consentimientoa la información que se facilite al usuario, demodo que el consentimiento que, en su caso,preste el usuario sea informado. Este artículo
22.2 se remite a la Ley Orgánica 15/1999, de 13
de diciembre, de protección de datos de carác-

Local shared objects o flash cookies: son un tipo de cookies que pueden almacenar mucha más información que lascookies tradicionales. Al ser independientes del navegador utilizado son más difíciles de localizar, visualizar o borrar ypueden utilizarse, por ejemplo, para regenerar cookies estándar.
8

Web beacons o bugs: son imágenes, inapreciables a la vista por su tamaño y color, que se descargan al visitar unsitio web pero que están almacenadas en un segundo sitio y que permiten al titular de ese segundo sitio registrar lavisita del usuario mediante la información que el navegador de éste proporciona al descargar la imagen (dirección IP,
sistema operativo, versión de navegador, etc.).
98

Alcance de las normas

Guía de cookies

ter personal, en lo relativo a los requisitos delconsentimiento informado, si bien en la actualidad esta remisión se ha de interpretar hecha al
RGPD, aplicable desde el 25 de mayo de 2018, ya la LOPDGDD, aplicable desde el 7 de diciembrede 2018. De hecho, son estos recientes cambios normativos los que motivaron, en 2019, larevisión y actualización de esta guía, que volvió
a actualizarse y revisarse tras las aclaraciones
realizadas por el CEPD, sobre la condicionalidad
del consentimiento y el consentimiento inequívoco, en sus Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679,
adoptadas el 4 de mayo de 2020, que revisan yactualizan las aprobadas por el GT29 el 10 deabril de 2018. En la actualización más recientede este documento se ha tenido asimismo encuenta el informe adoptado por el grupo detrabajo creado en el seno del CEPD para analizar
los banners de cookies10.
En este sentido, el propio RGPD, en su considerando 30, menciona estas tecnologías y su
impacto en la protección de datos:“Las personas físicas pueden ser asociadasa identificadores en línea facilitados por sus
dispositivos, aplicaciones, herramientas y protocolos, como direcciones de los protocolos deinternet, identificadores de sesión en forma de«cookies» u otros identificadores, como etiquetas de identificación por radiofrecuencia. Esto
puede dejar huellas que, en particular, al ser
combinadas con identificadores únicos y otros
datos recibidos por los servidores, pueden serutilizadas para elaborar perfiles de las personas
físicas e identificarlas”.
Por ello, cuando la utilización de una cookie
conlleve el tratamiento de datos personales,
los responsables de tal tratamiento deberán
asegurarse del cumplimiento de las exigencias
adicionales establecidas por la normativa sobre protección de datos personales, en particular en relación con las categorías especiales dedatos. Se considerará que existe tratamiento dedatos personales cuando el usuario esté identificado por un nombre o dirección de email que
lo identifique (por ejemplo, por tratarse de unusuario registrado) o cuando se utilicen identificadores únicos que permitan distinguir unos
usuarios de otros y realizar un seguimiento
individualizado de los mismos (por ejemplo, un
ID de publicidad).
No obstante, en relación con la atención dederechos de protección de datos de los interesados, si el responsable del tratamiento no está encondiciones de identificar al interesado, podrá
denegar la solicitud en los términos del artículo
12.2 del RGPD (excepto cuando el interesado
en su ejercicio facilitara información adicional
mediante la cual el responsable del tratamiento
fuera capaz de realizar su identificación).
Por lo demás, con la finalidad de determinarel alcance de la normativa y de esta guía, es
necesario señalar que quedan exceptuadas delcumplimiento de las obligaciones establecidas

Disponible en: https://edpb.europa.eu/our-work-tools/our-documents/report/report-work-undertaken-cookiebanner-taskforce_es.
109Alcance de las normas

Guía de cookies

en el artículo 22.2 de la LSSI las cookies utilizadas para alguna de las siguientes finalidades:◤ Permitir únicamente la comunicación entre elequipo del usuario y la red.
◤ Estrictamente prestar un servicio expresamente solicitado por el usuario.
En este sentido, el GT29, en su Dictamen 4/201211,
interpretó que entre las cookies exceptuadas estarían aquellas que tienen por finalidad:◤ Cookies de “entrada del usuario”12.
◤ Cookies de autenticación o identificación deusuario (únicamente de sesión).
◤ Cookies de seguridad del usuario13.
◤ Cookies de sesión de reproductor multimedia.
◤ Cookies de sesión para equilibrar la carga.
◤ Cookies de personalización de la interfaz deusuario.
◤ Determinadas cookies de complemento(plug-in) para intercambiar contenidos
sociales14.
Así pues, puede entenderse que estas cookies
quedan excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre
su uso. Por el contrario, será necesario informar yobtener el consentimiento para la utilización decualquier otro tipo de cookies, tanto de primera
como de tercera parte, de sesión o persistentes,

que no queden fuera del ámbito de aplicación delartículo 22.2 de la LSSI y sobre las que serán útiles
las orientaciones de esta guía.
Dicho esto, por razones de transparencia se recomienda informar, al menos con carácter genérico, de aquellas cookies excluidas del ámbito deaplicación del artículo 22.2 de la LSSI, ya sea en lapolítica de cookies o en la propia política de privacidad (ejemplo: “Este sitio web utiliza cookies que
permiten el funcionamiento y la prestación de losservicios ofrecidos en el mismo”).
En todo caso, deberá tenerse en cuenta que una
misma cookie puede tener más de una finalidad(cookies polivalentes), por lo que existe la posibilidad de que una cookie quede exceptuada delámbito de aplicación del artículo 22.2 de la LSSI
para una o varias de sus finalidades y no paraotras, quedando estas últimas sujetas al ámbito
de aplicación de dicho precepto. Esto debería,
dicho con palabras del GT29, “incitar a los propietarios de sitios web a utilizar una cookie diferentepara cada finalidad”15.
En relación con los sistemas de gestión o configuración de cookies a los que se refiere más adelante la presente guía, cuando se utilicen cookies
polivalentes con dos o más finalidades diferentes
y no exceptuadas del ámbito de aplicación delartículo 22.2 de la LSSI, deberá garantizarse que
estas cookies únicamente se utilizan si se aceptan
todas las finalidades que agrupan, es decir, si una
cookie sirve para dos finalidades, pero el usuario
solo acepta una de ellas, la cookie no debería utilizarse, y ello salvo que el sistema de gestión utilizado permita dar un tratamiento diferenciado alas distintas finalidades de estas cookies polivalentes, de forma que sea posible que si el usuario
acepta una de sus finalidades y no otras, la cookie
solo opere con la finalidad aceptada.

Disponible en: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp194_
en.pdf.
11

Las cookies de sesión y de entrada de usuario se suelen utilizar para rastrear las acciones del usuario al rellenar losformularios en línea en varias páginas, o como cesta de la compra para hacer el seguimiento de los artículos que elusuario ha seleccionado al pulsar un botón.
12

13

Por ejemplo, las cookies utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web.

14

La excepción sólo se aplica para usuarios que han decidido mantener la sesión abierta.

15

Dictamen 4/2012 sobre la exención del requisito de consentimiento de cookies.

10

Alcance de las normas

Guía de cookies

2.

TERMINOLOGÍA Y
DEFINICIONES

A los efectos de la presente guía resulta útil definir previamente una serie de conceptos.

2.1 COOKIES Y TECNOLOGÍASSIMILARES
La LSSI resulta aplicable a las cookies entendidas en el sentido señalado al comienzo de esta
guía, esto es, como cualquier tipo de dispositivo de almacenamiento y recuperación de datos
que se utilice en el equipo terminal de un usuario con la finalidad de almacenar información yrecuperar la información ya almacenada, según
establece el artículo 22.2 de la LSSI.
Las cookies permiten el almacenamiento en elterminal del usuario de cantidades de datos quevan de unos pocos kilobytes a varios megabytes.
A continuación, se realiza una clasificación delas cookies en función de una serie de categorías. No obstante, es necesario tener en cuenta
que una misma cookie puede estar incluida en
más de una categoría.

2.1.1. Tipos de cookies según laentidad que las gestione
Según quién sea la entidad que gestione elequipo o dominio desde donde se envían las
cookies y trate los datos que se obtengan, podemos distinguir:a) Cookies propias: son aquellas de las que
es responsable el propio editor y que, generalmente, se envían al equipo terminal del usuario desde un equipo o dominio gestionado por
el propio editor y desde el que se presta el servicio solicitado por el usuario.

11b) Cookies de tercero: son aquellas de las que
es responsable una entidad distinta del editor
y que, generalmente, se envían al equipo terminal del usuario desde un equipo o dominio
que no es gestionado por el editor, sino por
otra entidad que trata los datos obtenidos a
través de las cookies.
En el caso de que las cookies sean servidas
desde un equipo o dominio gestionado por el
propio editor, pero la información que se recoja
mediante estas sea gestionada por un tercero,no pueden ser consideradas como cookies propias si el tercero las utiliza para sus propias finalidades (por ejemplo, la mejora de los servicios
que presta o la prestación de servicios de carácter publicitario a favor de otras entidades).

2.1.2. Tipos de cookies según su
finalidad
Existen muchas finalidades para el uso de lascookies. Según la finalidad para la que se traten los datos obtenidos a través de las cookies,
algunas de las finalidades pueden ser:a) Cookies técnicas: son aquellas que permiten al usuario la navegación a través de una
página web, plataforma o aplicación y la utilización de las diferentes opciones o servicios
que en ella existan, incluyendo aquellas que eleditor utiliza para permitir la gestión y operativa de la página web y habilitar sus funciones
y servicios, como, por ejemplo, controlar eltráfico y la comunicación de datos, identificar
la sesión, acceder a partes de acceso restringido, recordar los elementos que integran unpedido, realizar el proceso de compra de unpedido, gestionar el pago, controlar el fraude
vinculado a la seguridad del servicio, realizar
la solicitud de inscripción o participación enun evento, contar visitas a efectos de la facturación de licencias del software con el que

Terminología y definiciones

Guía de cookies

funciona el servicio (sitio web, plataforma oaplicación), utilizar elementos de seguridad
durante la navegación, almacenar contenidospara la difusión de vídeos o sonido, habilitar
contenidos dinámicos (por ejemplo, animación de carga de un texto o imagen) o compartir contenidos a través de redes sociales.
También pertenecen a esta categoría, por su
naturaleza técnica, aquellas cookies que permiten la gestión, de la forma más eficaz posible,de los espacios publicitarios que, como un elemento más de diseño o “maquetación” del servicio ofrecido al usuario, el editor haya incluido
en una página web, aplicación o plataforma en
base a criterios como el contenido editado, sinque se recopile información de los usuarios con
fines distintos, como puede ser personalizar ese
contenido publicitario u otros contenidos.
Las cookies técnicas estarán exceptuadas delcumplimiento de las obligaciones establecidas
en el artículo 22.2 de la LSSI cuando permitan
prestar el servicio solicitado por el usuario,
como ocurre en el caso de las cookies enumeradas en los párrafos anteriores. Sin embargo,si estas cookies se utilizan también para finalidades no exentas (por ejemplo, para fines publicitarios comportamentales), quedarán sujetas a dichas obligaciones.
b) Cookies de preferencias o personalización:son aquellas que permiten recordar información para que el usuario acceda al servicio con
determinadas características que pueden diferenciar su experiencia de la de otros usuarios,como, por ejemplo, el idioma, el número deresultados a mostrar cuando el usuario realiza
una búsqueda, el aspecto o contenido del servicio en función del tipo de navegador a travésdel cual el usuario accede al servicio o de la región desde la que accede al servicio, etc.
Si es el propio usuario quien elige esas características (por ejemplo, si selecciona el idioma
de un sitio web clicando en el icono de la bandera del país correspondiente, la moneda quedesea utilizar en las transacciones, el tamaño
de fuente o el contraste de color entre el fondo

12

y el contenido para mejorar la legibilidad), lascookies estarán exceptuadas de las obligaciones del artículo 22.2 de la LSSI por considerarse un servicio expresamente solicitado por el
usuario, y ello siempre y cuando las cookies
obedezcan exclusivamente a la finalidad seleccionada. Estas cookies de preferencias que
afectan a la interfaz de usuario no necesariamente tendrán que ser de sesión, ya que solicitar que el usuario determine sus preferencias
a estos efectos cada vez que se visita un sitio
web o se accede a una aplicación puede resultar molesto y provocarle fatiga. Ahora bien,para que estas cookies se consideren exentas,
su uso deberá limitarse al necesario para su
propósito, y la información que pueda desprenderse de la selección del usuario no podrá
emplearse para otros fines (por ejemplo, parala personalización de contenidos publicitarios)
ni para elaborar un perfil del usuario.
c) Cookies de análisis o medición: son aquellas que permiten al responsable de las mismas
el seguimiento y análisis del comportamiento
de los usuarios de los sitios web a los que están vinculadas, incluida la cuantificación de los
impactos de los anuncios. La información recogida mediante este tipo de cookies se utiliza
en la medición de la actividad de los sitios web,aplicación o plataforma, con el fin de introducir
mejoras en función del análisis de los datos de
uso que hacen los usuarios del servicio.
Respecto al tratamiento de datos recabados a
través de las cookies de análisis, el GT29 manifestó que, a pesar de que no están exentasdel deber de obtener un consentimiento informado para su uso, es poco probable que representen un riesgo para la privacidad de losusuarios siempre que se trate de cookies deprimera parte, que traten datos agregados con
una finalidad estrictamente estadística, que sefacilite información sobre sus usos y se incluya
la posibilidad de que los usuarios manifiesten
su negativa sobre su utilización.
d) Cookies de publicidad comportamental:
son aquellas que almacenan información delcomportamiento de los usuarios obtenida a

Terminología y definiciones

Guía de cookies

través de la observación continuada de sus
hábitos de navegación, lo que permite desarrollar un perfil específico para mostrar publicidad en función del mismo.
En todo caso, debe tenerse en cuenta que estas tipologías se ofrecen a título orientativo
por ser las más habituales. Los editores y losterceros podrán realizar las categorizaciones
que consideren que mejor se ajustan a las finalidades de las cookies que utilizan, de forma
que se respete el principio de transparencia
frente a los usuarios.

2.1.3. Tipos de cookies según elplazo de tiempo que permanecen
activadas
Según el plazo de tiempo que permanecen
activadas en el equipo terminal podemos distinguir:a) Cookies de sesión: son aquellas diseñadas
para recabar y almacenar datos mientras el
usuario accede a una página web. Se suelen
emplear para almacenar información que solointeresa conservar para la prestación del servicio solicitado por el usuario en una sola ocasión (por ejemplo, una lista de productos adquiridos) y desaparecen al terminar la sesión.
b) Cookies persistentes: son aquellas en lasque los datos siguen almacenados en el terminal y pueden ser accedidos y tratados durante un periodo definido por el responsablede la cookie, y que puede ir de unos minutos
a varios años.
A este respecto debe valorarse específicamente si es necesaria la utilización de cookies persistentes, puesto que los riesgos para la privacidad podrían reducirse mediante la utilizaciónde cookies de sesión. En todo caso, cuando se
instalen cookies persistentes, se recomienda
reducir al mínimo necesario su duración temporal atendiendo a la finalidad de su uso.

13

A estos efectos, el Dictamen 4/2012 del GT29
indicó que para que una cookie pueda estar
exenta del deber de consentimiento informado, su caducidad debe estar relacionada con
su finalidad. Debido a ello, es mucho más probable que se consideren como exceptuadas las
cookies de sesión que las persistentes.

2.2 DATO
Es la información que se obtiene por medio delequipo terminal del usuario a través del dispositivo de almacenamiento y recuperación dedatos (cookies u otros).
El dato será personal cuando se trata de información sobre personas físicas identificadas oidentificables, en los términos que establece elartículo 4 del RGPD.

2.3 EQUIPO TERMINAL
Es el dispositivo desde el cual el usuario accede al servicio, como un ordenador personal, unteléfono móvil, una tablet, etc., y a partir delcual se obtiene la información.

2.4 SERVICIO DE LA SOCIEDAD
DE LA INFORMACIÓN
Es todo servicio prestado a petición individualde un usuario, a título oneroso o no, a distancia
y por vía electrónica, siempre que, a efectos deesta guía, constituya una actividad económica
para el editor cuya prestación origina la utilización de las cookies. Por ejemplo: la prestación de un servicio de acceso a la informacióna través de una página web o de una aplicación
móvil creada por una revista o periódico, de unservicio financiero, de un servicio de entretenimiento, de un servicio de comercio electrónico
de una tienda on-line, etc.

Terminología y definiciones

Guía de cookies

2.5 PÁGINA WEB
Los servicios de la sociedad de la información
pueden ser prestados por el editor a través una
plataforma, aplicación informática o un sitio
web al cual accede el usuario desde su equipo
terminal.
Las cookies o dispositivos de almacenamiento
han estado tradicionalmente asociados a laspáginas web. Sin embargo, estos son actualmente utilizados tanto en páginas web comoen otro tipo de plataformas y aplicaciones (porejemplo, las apps para teléfonos inteligentes ytablets). A lo largo de este texto se utilizará eltérmino página web para englobar todos estos
posibles medios.

2.6 ESPACIO PUBLICITARIO

2.7 INVENTARIO PUBLICITARIO

Es un lugar en el que el editor prevé, cuando
programa la página web, que aparezca la publicidad de los productos, imagen o serviciosde los anunciantes. Existe una gran variedad
de espacios o formatos publicitarios; desde losque se integran en la propia aplicación, comolos banners16, rascacielos17, roba páginas18, botones y los enlaces de texto, hasta los denominados flotantes, como los pop-ups19, layers20,
cortinillas o interstitials de tránsito21, etc.

Es la suma de todos los espacios publicitarios
en los que el editor prevé que aparezca la publicidad de los productos, imagen o serviciosde los anunciantes. Es el conjunto de la oferta
de espacios publicitarios de un editor.

2.8 PARTES INTERVINIENTES
En el Anexo de la presente guía se recoge una
descripción de los actores que intervienen enla publicidad programática a la fecha de publicación de este documento, para mejor entendimiento de este entorno.

Banner: es un anuncio con forma de rectángulo horizontal ubicado en la parte superior de las páginas web y que
puede usar tecnología gif, animado, flash o jpeg.
16

Rascacielos: es un anuncio con forma de rectángulo vertical ubicado en los laterales de las páginas web y que puede
usar tecnología gif, flash o jpeg.
1718

Robapáginas: es un anuncio con forma cuadrada generalmente integrado en una ubicación fija de una página.

19

Pop-up: es un formato que aparece como una ventana emergente sobre una ventana del navegador abierta.

20

Layers: es un formato flotante que se superpone al contenido de la página y que se mueve por la pantalla.

Cortinillas o interstitials de tránsito: son anuncios que aparecen entre dos páginas dentro de una web. También seconocen como “páginas de bienvenida” y “anuncios de transición”.
21

14

Terminología y definiciones

Guía de cookies

3.

				
OBLIGACIONES

Las obligaciones legales impuestas por la normativa son dos, a saber: la obligación de transparencia y la obligación de obtención del consentimiento.
Con carácter previo al estudio por parte de lasentidades intervinientes de las soluciones más
apropiadas para dar cumplimiento a las citadas
obligaciones (de acuerdo con la naturaleza desu actividad, el modelo de negocio que desarrollan y el alcance de su responsabilidad), se
recomienda a las mismas llevar a cabo una revisión de las cookies que se utilizan, bien internamente, bien con el asesoramiento de asociaciones o entidades especializadas. Esta revisión
tendrá como objetivo identificar las cookies que
se están utilizando, analizando si son cookies
propias o de terceros, de sesión o persistentes,
y concretando su función para poder decidir si
las mismas se encuentran o no en el ámbito deaplicación del artículo 22.2.
Teniendo en cuenta los posibles cambios que sepueden producir en la gestión y uso de las cookies, es recomendable realizar periódicamenteesta revisión a fin de actualizar la información
disponible sobre estas.
En todo caso, se recuerda la conveniencia deque las soluciones que se implementen para dar
cumplimiento a las obligaciones del art. 22.2 dela LSSI deben ser tecnológicamente neutrales yque, por tanto, deben ser soluciones que la mayoría de navegadores reconozcan.

3.1 TRANSPARENCIA

3.1.1. Qué información debe
facilitarse
El apartado segundo del artículo 22 de la LSSI
establece que se debe facilitar a los usuarios
información clara y completa sobre la utilización de los dispositivos de almacenamiento yrecuperación de datos y, en particular, sobre losfines del tratamiento de los datos. Esta información debe facilitarse, como se ha indicado, conarreglo a lo dispuesto el RGPD, que requiere que
el tratamiento de los datos de los usuarios serealice de forma transparente para ellos.
Por consiguiente, la información sobre las cookies facilitada en el momento de solicitar el
consentimiento debe ser suficientemente completa para permitir a los usuarios entender sus
finalidades y el uso que se les dará.
En la política de cookies deberá incluirse la siguiente información22 :a) Definición y función genérica de lascookies.
EJEMPLO:¿Qué son las cookies?
Este sitio web utiliza cookies y/o tecnologías similares que almacenan y recuperan
información cuando navegas. En general,
estas tecnologías pueden servir para finalidades muy diversas, como, por ejemplo,
reconocerte como usuario, obtener información sobre tus hábitos de navegación,o personalizar la forma en que se muestra
el contenido. Los usos concretos que hacemos de estas tecnologías se describena continuación.

Si la información se facilita por capas, esta información se incluirá en la segunda capa, mientras que la primera capa
recogerá la información básica que se indica en el apartado 3.1.2.2.
22

15

Obligaciones

Guía de cookiesb) Información sobre el tipo de cookies que
se utilizan y su finalidad.
EJEMPLO:¿Qué tipos de cookies se utilizan en
esta página web?
• Cookies de análisis: son aquellas que,tratadas por nosotros o por terceros, nos
permiten cuantificar el número de usuarios y así realizar la medición y análisis
estadístico de la utilización que hacen losusuarios del servicio ofertado. Para ello
se analiza su navegación en nuestra página web con el fin de mejorar la oferta deproductos o servicios que le ofrecemos.
• Cookies publicitarias comportamentales: son aquellas que, tratadas por nosotros o por terceros, nos permiten analizar sus hábitos de navegación en Internet
para que podamos mostrarle publicidad
relacionada con su perfil de navegación.

En el caso de que no fuera posible para el editor ofrecer una explicación suficiente sobre la
finalidad de las cookies utilizadas por terceros
o la forma de eliminarlas, puede facilitar esta
información incluyendo un enlace a la página
web del tercero. Las plataformas de gestión delconsentimiento (consent magement platformo CMP) que cumplan los requisitos y garantías
que se indican en el apartado v.d) del Anexo
pueden ser una solución.
c) Identificación de quién utiliza las cookies,
esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también
por terceros con los que editor haya contratado
la prestación de un servicio para el cual se requiera el uso de cookies, con identificación deestos últimos.
En línea con el requisito de concisión que establece el RGPD, no será necesario que la información concreta sobre los terceros (es decir, su
nombre o marca con la que el público pueda conocerlos y, en su caso, el enlace a la información16

que ofrece sobre sus cookies) sea directamente
visible en la política de cookies, sino que podrán utilizarse mecanismos como botones que
desplieguen esa información más específica otexto emergente que aparezca al pasar el puntero del ratón por encima, y ello siempre que elusuario pueda acceder fácilmente a la información si así lo desea.
EJEMPLO:
Cookies de terceros
Cookies de análisis: permiten cuantificar el número de usuarios y así realizar la
medición y análisis estadístico de la utilización que hacen los usuarios del servicio
ofertado. Para ello se analiza su navegación en nuestra página web con el fin demejorar la oferta de productos o servicios
que le ofrecemos. + Conoce a los terceros.

d) Información sobre la forma de aceptar,
denegar o revocar el consentimiento para el
uso de cookies enunciadas a través de las funcionalidades facilitadas por el editor (el sistemade gestión o configuración de cookies que sehaya habilitado) o a través de las plataformas comunes que pudieran existir para esta finalidad.
Si el sistema de gestión o configuración de lascookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información
sobre las herramientas proporcionadas por el
navegador y los terceros y se deberá advertir
que, si el usuario acepta cookies de terceros yposteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema
habilitado por los terceros para ello. A estos
efectos, y sin perjuicio de tener que disponerdel correspondiente sistema de gestión o configuración de cookies según se indica en el párrafo anterior, se podrá facilitar adicionalmente lasiguiente información: “Tenga en cuenta que, si
acepta las cookies de terceros, deberá eliminarlas desde las opciones del navegador o desde elsistema ofrecido por el propio tercero”.

Obligaciones

Guía de cookiese) En su caso, información sobre las transferencias de datos a terceros países realizadas
por el editor.
La opinión del GT29 sobre este punto, refrendada por el CEPD, es que debe especificarse el
artículo del RGPD que permite la transferencia,
identificar a los terceros países y proporcionar
información sobre dónde y cómo se puede acceder a la decisión de adecuación o a las garantías adecuadas o apropiadas, incluidas las
normas corporativas vinculantes, que, en su
caso, permitan la transferencia. En ausencia
de estas, se debe informar al usuario del riesgo
de realizar la transferencia sin nivel de adecuación o de garantías apropiadas, si se pretende
obtener su consentimiento explícito.
Respecto de las transferencias que, en su caso,
realicen terceros, será válida la remisión a la
información que faciliten esos terceros.
EJEMPLO:
Puedes informarte de las transferencias aterceros países que, en su caso, realizan
los terceros identificados en esta política de cookies en sus correspondientes
políticas (ver los enlaces facilitados en elapartado “Cookies de terceros”).

f) Cuando la elaboración de perfiles implique
la toma de decisiones automatizadas con efectos jurídicos para el usuario o que le afecten
significativamente de modo similar, será necesario que se informe sobre la lógica utilizada,así como la importancia y las consecuencias
previstas de dicho tratamiento para el usuario
en los términos establecidos en el artículo 13.2f) del RGPD23.

g) Periodo de conservación de los datos paralos diferentes fines en los términos establecidos en el artículo 13.2 a) del RGPD.
h) En relación con el resto de información
exigida por el artículo 13 del RGPD que no se refiera de forma específica a las cookies (por ejemplo, los derechos de los interesados), el editor
podrá remitirse a la política de privacidad.

3.1.2. Cómo debe mostrarse esa
información
3.1.2.1. Requisitos de la información
Entre los requisitos de transparencia merecen
ser destacadas las siguientes normas, aplicables
a la provisión a los usuarios de información relativa al uso de cookies:a) La información o la comunicación debe
ser concisa, transparente e inteligible.
La información debe ser sucinta para evitar elcansancio informativo y debe utilizar un lenguaje claro y sencillo, de forma que pueda serentendida por un usuario medio.
El GT29, en su Dictamen 15/2011, recomendó
tener en cuenta el tipo de usuario medio al
que se dirige la página web y adecuar el lenguaje y el contenido de los mensajes a su nivel
técnico. En la misma línea, en sus directrices
sobre transparencia, el GT29 dice que la información “debe resultar comprensible al integrante medio de la audiencia objetivo”. Cuantomenor sea el nivel técnico del usuario mediode esa página web, más sencillo deberá ser ellenguaje que se utilice (evitando terminología
técnica poco comprensible) y más completa la
información que se ofrezca, partiendo de losaspectos más básicos de qué son las cookies

No obstante, en las directrices del GT29 sobre decisiones individuales automatizadas y elaboración de perfiles,
adoptadas el 3 de octubre de 2017, y revisadas por última vez y adoptadas el 6 de febrero de 2018, se reconoce que,por ejemplo, la publicidad comportamental no entra generalmente en el ámbito del artículo 22.2 del RGPD, ya que “[e]n muchos casos típicos, la decisión de presentar publicidad dirigida basada en la elaboración de perfiles no tendrá unefecto significativamente similar en las personas”.
23

17

Obligaciones

Guía de cookies

mensaje.
No serían válidas, por ejemplo, frases como“usamos cookies para personalizar su contenido y crear una mejor experiencia para usted”
o “para mejorar su navegación”, o frases como“podemos utilizar sus datos personales para
ofrecer servicios personalizados” para referirse a cookies publicitarias comportamentales.
También deben evitarse términos como “puede”, “podría”, “algún”, “a menudo”, y “posible”.
c) La información ha de ser de fácil acceso.
El usuario no debe buscar la información, sinoque debe ser evidente para él dónde y cómo
puede acceder a ella, como cuando se proporciona un enlace claramente visible que dirige
directamente a la información bajo un término de uso común como “política de cookies” o“cookies”.
y cómo funcionan. En todo caso, ese menor
nivel técnico no deberá ser óbice para que la
información facilitada sea lo más clara posible,
evitando recargar la información con detalles
innecesarios que hagan farragosa su lectura.
Por el contrario, si los usuarios a los que se dirige la página web gozan de un elevado nivel
de conocimientos sobre Internet, puede no sernecesario proporcionar la información básica
sobre qué son las cookies y cómo funcionan, sibien deberán incluir en todo caso información
detallada sobre qué tipo de cookies se utilizan
en esa página y con qué fines.
En todo momento debe partirse de la consideración del conocimiento que sobre las cookies
y su gestión tiene un usuario medio, sin perjuicio de exigir información adicional cuando
las páginas web se encuentren especialmente
dirigidas a usuarios que por su perfil pueda
considerarse que tienen un grado de conocimiento inferior.
b) Se ha de utilizar un lenguaje claro y sencillo, evitando el uso de frases que induzcan a confusión o desvirtúen la claridad del18

Informar a los usuarios no es algo nuevo en Internet. La mayor parte de los editores de páginas web saben qué métodos utilizar para atraer
la atención de los usuarios hacia aquellas informaciones que se desean resaltar, como en
el caso de promociones, ofertas o encuestas desatisfacción, y para obtener el consentimientode sus usuarios, aunque sea en otros contextos(por ejemplo, cambios en los términos y condiciones de uso, confirmación de compras overificaciones de edad mínima requerida). El
modo en que se informe a los usuarios deberíaaprovechar la experiencia adquirida mediante
estos métodos.
Además, en el caso de que un usuario preste su
consentimiento para el uso de cookies, la información debe seguir siendo fácilmente accesible en la página o en la aplicación (que no seencuentre a más de dos clics, como recomienda el GT29 en sus directrices sobre la transparencia). En un sitio web, por ejemplo, la accesibilidad y visibilidad de la política de cookies
se pueden potenciar de las siguientes formas:◤

A través del formato del enlace: por ejemplo,
incrementando el tamaño del enlace ala información o utilizando una fuentediferente que distingan ese enlace del texto
normal de la página web.

Obligaciones

Guía de cookies◤

A través del posicionamiento del enlace: La
localización del enlace en zonas que capten
la atención de los usuarios o en zonas donde
el usuario medio espere encontrarlos por
ser una práctica habitual y generalizada
puede ayudar a garantizar su accesibilidad
y visibilidad.

◤

A través de la utilización de una denominación descriptiva e intuitiva para el enlace:La utilización de una expresión explicativacomo por ejemplo “Política de cookies”, enlugar de una expresión más general como
“Política de privacidad” para mejorar laaccesibilidad y visibilidad del mensaje.

◤

A través de otras técnicas que ayuden adestacar la importancia de ese enlace informativo, tales como encuadrar o subrayar elenlace, desplegar un aviso cuando el punterodel ratón pasa sobre el enlace o utilizar una
imagen sobre el que se pueda hacer clic yque anime a buscar más información.

En particular, es aconsejable que la información
relativa a la forma a través de la cual gestionar
las cookies (incluyendo cómo revocar el consentimiento y eliminar las cookies) esté a su disposición de forma accesible y permanente en todo
momento a través de la página web, aplicacióno servicio en línea de que se trate. A estos efectos, y sin perjuicio de otras soluciones que puedan adoptarse, se considerará que se cumple
dicho requisito cuando el sistema de gestión delas cookies (panel de configuración, CMP, etc.)
esté integrado en la propia política de cookies ocuando se incluya en esta política un enlace quelleve directamente al sistema de gestión.
En todo caso, la información obligatoria podrá
ofrecerse mediante múltiples sistemas. Comomás adelante veremos, generalmente con estos medios no sólo se suministrará la información necesaria, sino que también se podrásolicitar el consentimiento del usuario para lautilización de los dispositivos.

19

3.1.2.2. Información por capas
En sus directrices sobre la transparencia, el
GT29 recomienda el uso de declaraciones o avisos de privacidad por niveles, esto es, que contengan la información en capas, de modo quese permita al usuario ir a aquellos aspectos dela declaración o aviso que sean de mayor interés para él, evitando así la fatiga informativa,
y ello sin perjuicio de que la totalidad de la información se encuentre disponible en un único
lugar o en un documento completo al que sepueda acceder fácilmente si el interesado desea
consultarlo en su totalidad.
Este sistema puede consistir en mostrar la información esencial en una primera capa, cuando se accede a la página o aplicación, y completarla en una segunda capa mediante una
página en la que se ofrezca información más
detallada y específica sobre las cookies.
En la primera capa, que para mayor claridad
podrá identificarse bajo un término de uso común (como, por ejemplo, “cookies”), se incluiría
la siguiente información:a) Identificación del editor responsable delsitio web. No será necesaria la denominación
social, siempre que sus datos identificativos
completos figuren en otras secciones del sitio web (aviso legal, política de privacidad,etc.) y su identidad pueda desprenderse deforma evidente del propio sitio web (porejemplo, cuando el propio dominio se corresponda con el nombre del editor o la marca con la que se identifica frente al público o
dicho nombre o marca figuren claramente enel sitio web).
b) Identificación de las finalidades de lascookies que se utilizarán.

Obligaciones

Guía de cookiesc) Información sobre si las cookies son propias (del responsable de la página web) otambién de terceros asociados a él, sin que
sea necesario identificar a los terceros enesta primera capa.
d) Información genérica sobre el tipo de datos que se van a recopilar y utilizar en caso deque se elaboren perfiles de los usuarios (porejemplo, cuando se utilicen cookies de publicidad comportamental).
e) Modo en el que el usuario puede aceptar,
configurar y rechazar la utilización de cookies.
f) Un enlace claramente visible dirigido a una
segunda capa informativa en la que se incluya una información más detallada, utilizando, por ejemplo, el término “Cookies”, “Política de cookies” o “Más información, pulsaaquí”. El panel de configuración de cookies
podrá estar integrado en esta segunda capa,
siempre que, al facilitar acceso al mismo (porejemplo, desde un botón o enlace incluido
en la primera capa), ese acceso sea directo,
esto es, que el usuario no tenga que navegar
dentro de esta segunda capa para localizar elpanel de configuración.
Esta información se facilitará antes del uso
de las cookies, incluida, en su caso, su instalación, a través de un formato que sea visible
para el usuario y que deberá mantenerse hasta
que el usuario realice la acción requerida parala obtención del consentimiento o su rechazo.

b) Un botón o mecanismo equivalente, similar al anterior (si se utiliza un botón para
aceptar, deberá utilizarse un botón para rechazar), con las palabras “Rechazar cookies”,“Rechazar” o textos similares, para rechazar
el uso de cookies (salvo aquellas que estén
exentas de la obligación de obtener un consentimiento informado).
c) Un botón o mecanismo equivalente, claramente visible, pero no necesariamente similar a los anteriores, que despliegue o llevea un panel de configuración que permita
aceptar o rechazar las cookies de forma granular, al menos en función de su finalidad.
Como buena práctica, este panel de configuración no debería incluirse en aquellos casos en los que solo se utilicen cookies para
una finalidad y, por lo tanto, el usuario solo
pueda elegir entre aceptar o rechazar las
cookies correspondientes a esa finalidad. No
obstante, dado que las cookies que se utilizan pueden variar con el tiempo (por ejemplo, inicialmente podrían estar utilizándoseúnicamente cookies para fines de análisis,
pero luego utilizarse también para fines depersonalización, y después volver a utilizarse únicamente cookies de análisis), el panelde configuración y el mecanismo de acceso
al mismo podrán mantenerse incluso cuando no sean estrictamente necesarios, paraasí evitar cambios recurrentes en el aviso decookies y los costes que ello puede conllevar.

En conexión con el punto e) anterior de esta primera capa informativa, esta deberá contener:a) Un botón o mecanismo equivalente, fácilmente visible, con las palabras “Aceptar cookies”, “Aceptar”, “Consentir” o textos similares, para consentir el uso de todas las cookies.

20

Obligaciones

Guía de cookies

En todo caso, teniendo en cuenta el texto delaviso y los mecanismos empleados, la función
que cumple cada uno de estos mecanismos
deberá ser evidente para el usuario. Además:◤

No se podrá dar al usuario la impresión deque tiene que aceptar obligatoriamente lascookies para navegar por el sitio web.

◤No se podrá empujar claramente al usuario a
aceptar las cookies.

◤

El color o contraste del texto y los botones(o mecanismos equivalentes) no podrán ser
obviamente engañosos para los usuarios,de forma que lleven a un consentimiento
involuntario. No será válido, por ejemplo,
que la opción para rechazar las cookies sea
un botón con un texto que no contrasta lo
suficiente con el color del botón y, por lotanto, no pueda leerse.

A continuación, se facilitan dos ejemplos deprimera capa informativa sobre un mismo supuesto en el que se utilizan cookies propias yde terceros para fines de análisis y publicidad
comportamental24 :EJEMPLO 1:
Uso de cookies
Utilizamos cookies propias y de terceros
para analizar el uso del sitio web y mostrarte publicidad relacionada con tus
preferencias sobre la base de un perfil
elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas).
Política de cookies.
RECHAZARCOOKIESCONFIGURARACEPTARCOOKIES> Configurar sin aceptar
EJEMPLO 2:
Cookies
Utilizamos cookies propias y de terceros
para analizar el uso del sitio web y mostrarte publicidad relacionada con tus
preferencias sobre la base de un perfil
elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas).
Más información. ¿Aceptas las cookies?

NO

SI

Como puede observarse, en estos ejemplos seofrece información sobre el uso por el editor y
por terceros de cookies analíticas y de publicidad comportamental, y se obtiene el consentimiento explícito de los usuarios que acepten
el uso de cookies haciendo clic en el botón. Si
no se pulsa el botón “Aceptar cookies” o “Sí”, elusuario no está autorizando el uso de cookies(por lo tanto, no está legitimado el uso de cookies si el usuario no pulsa el botón para aceptar
cookies y simplemente continúa navegando).
El botón o mecanismo para configurar las
cookies, esto es, administrar las preferenciasdel usuario, debe llevar a este directamente
al panel de configuración, sin que tenga que
desplazarse por grandes cantidades de texto
buscando la información, que deberá seguir
siendo accesible de forma permanente. Comose ha indicado anteriormente, el panel podrá
integrarse en la segunda capa informativa.
En el panel de configuración debe indicarse odesprenderse claramente cómo guardar la selección realizada por el usuario. A estos efectos, sería válido por ejemplo un botón con el

En estos y próximos ejemplos de aviso de cookies se presupone que los datos identificativos completos del editor
figuran en otras secciones del sitio web y que su identidad se desprende de forma evidente del propio sitio. Si no fuera,
así debería identificarse al editor en esta primera capa en los términos indicados más arriba en este mismo apartado.
24

21

Obligaciones

Guía de cookies

texto “Guardar selección”, “Guardar configuración” o textos similares.
Para facilitar la selección, en el panel podrán
además implementarse dos botones, uno paraseleccionar todas las categorías de cookies
y otro para rechazarlas todas si el usuario las
ha seleccionado previamente, siendo esta opción recomendable cuanto mayor sea el número distinto de categorías en las que se hayanclasificado las cookies. Si el usuario guarda
su elección sin haber seleccionado ninguna
cookie, equivaldrá al rechazo de todas las cookies. Debe recordarse que en ningún caso son
admisibles las opciones premarcadas a favorde aceptar cookies para obtener un consentimiento válido.
Respecto del panel de configuración, el gradode granularidad a la hora de mostrar la selección de cookies deberá valorarlo el editor delsitio web, si bien es aconsejable que se tengan
en cuenta las siguientes reglas:◤◤◤

Las cookies deberían agruparse al menos
por su finalidad, de forma que el usuario
pueda aceptar las cookies para una o más
finalidades y, en cambio, no para otra u
otras (por ejemplo, el usuario podría elegir
aceptar las cookies analíticas y no así las
publicitarias comportamentales). Téngase
en cuenta que la lista de finalidades prevista
en esta guía no es cerrada y, siempre que ladistinción entre unas finalidades y otras sea
clara, puede haber muchas formas distintas
de agrupar las cookies según su finalidad.
Dentro de cada finalidad, y a elección deleditor del sitio web, las cookies podríanagruparse también en función del tercero
responsable de las mismas (por ejemplo,
el usuario podría elegir aceptar las cookies
analíticas de un determinado tercero y no
así las de otro).
En relación con las cookies de terceros
es suficiente con identificar a estos por
su nombre o por la marca con la que se
identifican de cara al público, sin incluir ladenominación social completa.

22◤

Debe evitarse el grado máximo de granularidad (selección cookie a cookie, incluso
dentro de la misma finalidad), ya que elexceso de información dificulta la toma dedecisiones.

En la segunda capa, que debe encontrarse disponible de forma permanente en el sitio web oen la aplicación, se incluiría la información que
se ha indicado en el apartado 3.1.1.

3.1.2.3. Otras formas de mostrar 		la información
Aparte de la posibilidad de informar por capas,
existen otras formas comunes de facilitar la información sobre cookies. Por ejemplo:a) El suministro de la información (ver apartado 3.1.1) a través de un aviso suficientemente visible.
b) Al solicitar el alta en un servicio, o antes dedescargar un servicio o una aplicación, podrásuministrarse esta información junto con lapolítica de privacidad, o con los términos y
condiciones de uso del servicio, siempre que
exista un enlace o acceso directo a la sección
relativa a cookies dentro del correspondiente
documento.
A fin de mantener la visibilidad de la información sobre las cookies, esta deberá estar
destacada y separada (mediante un hiperenlace distinto, por ejemplo) del resto de la información sobre términos y condiciones deuso o política privacidad.
En estos supuestos también será posible suministrar la información y obtener el consentimiento a través de medios convencionales(off-line), siempre y cuando, quede constancia de que los usuarios han sido informados
individualmente y han facilitado su consentimiento (tarjetas de fidelización, por ejemplo).

Obligaciones

Guía de cookies

3.2 CONSENTIMIENTO

de un botón del tipo “Aceptar” se considerará información suficiente, sin necesidad deaclarar que pulsando “Aceptar” se aceptan
las cookies. En cambio, acciones complejaso menos obvias que el uso de botones deaceptación o guardado de la configuración
escogida deberán explicarse al usuario.

3.2.1. El consentimiento comobase para el cumplimiento dela normativa
Para la utilización de las cookies no exceptuadas será necesario en todo caso obtener el consentimiento del usuario. Este consentimiento
podrá obtenerse mediante fórmulas expresas,como haciendo clic en un apartado que indique“consiento”, “acepto”, u otros términos similares. También podrá obtenerse infiriéndolo de
una inequívoca acción realizada por el usuario,
en un contexto en que a éste se le haya facilitado información clara y accesible sobre las finalidades de las cookies y de si van a ser utilizadas
por el mismo editor y/o por terceros, de forma
que quepa entender que el usuario acepta que
se instalen cookies. En ningún caso la mera inactividad del usuario implica la prestación delconsentimiento por sí misma.
Para que dicho consentimiento sea válido seránecesario que el consentimiento haya sido otorgado de forma libre e informada. Por tanto, es
necesario tener en cuenta:◤

Que las modalidades de prestación delconsentimiento pueden ser variadas. La
obtención del consentimiento a través deun clic del usuario o de una conducta similarno cabe duda de que facilitará la prueba deque se ha obtenido. Esta fórmula puede serla más apropiada para usuarios registrados.

◤

Que el usuario deberá haber realizado una
clara acción afirmativa.

◤

Que tiene que ser evidente para el usuario
con qué concreta acción suya acepta la utilización de las cookies. En este sentido, el uso

El CEPD ha establecido que seguir navegando no es una forma válida de prestar el consentimiento. Del mismo modo, la consultade la segunda capa informativa si la información se presenta por capas, así como la
navegación necesaria para que el usuario
gestione sus preferencias en relación con las
cookies no es una conducta activa de la que
pueda derivarse la aceptación de cookies.
◤

Que el usuario, en todo caso, podrá negarse
a aceptar las cookies. La opción para
rechazar las cookies deberá ofrecerse en lamisma capa y al mismo nivel que la opción
para aceptarlas y el mecanismo empleado
al efecto (botón u otro) deberá ser similar.

◤

Que la información que se otorgue alusuario para que pueda consentir la utilización de las cookies se encuentre separadade la información que se le ofrezca sobre
otros asuntos.

◤

Que la aceptación de los términos o condiciones de uso de la página web o servicio
se separe de la aceptación de la política deprivacidad o cookies.

◤

Que, aunque las cookies no suelen utilizarse
en escenarios en los que el RGPD exige elconsentimiento explícito de los interesados
25, cuando este consentimiento explícito sea
necesario (artículos 9.2 a), 22.2 c) y 49.1 a)del RGPD), el consentimiento solo podráobtenerse mediante botones de aceptación, siempre que incluya una leyenda
específica con el término “consiento” y se

Como se ha indicado más arriba, en las directrices del GT29 sobre decisiones individuales automatizadas yelaboración de perfiles se reconoce que, por ejemplo, la publicidad comportamental generalmente no encaja en elámbito del artículo 22.2 del RGPD.
25

23

Obligaciones

Guía de cookies

facilite información completa sobre lascategorías especiales de datos respecto delas que se consienten26, las decisiones individuales automatizadas o las transferencias
a terceros países, según el caso.

3.2.2. Quién debe prestar el
consentimiento
De conformidad con el apartado 2 del artículo
22 de la LSSI el consentimiento debe ser prestado por los “destinatarios” de los servicios de lasociedad de la información.
De acuerdo con el apartado d) del Anexo dela LSSI por “Destinatario del servicio o destinatario” debe entenderse “la persona física ojurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. Y conforme a las definiciones realizadas en el apartado correspondiente, el término
destinatario coincide con el de usuario, que esel utilizado en la presente guía.
Por ello, la información debe dirigirse directamente al usuario para que pueda expresar su
consentimiento o su rechazo.

3.2.3. Modalidades de obtencióndel consentimiento
La determinación de qué método será apropiado para obtener el consentimiento para usar
cookies dependerá del tipo de cookies que sevan a utilizar, de su finalidad y de si son propias
o de terceros. Un aspecto a tener en cuenta es si
la relación con el usuario la tiene el editor o losterceros.

En este sentido, debe indicarse si el consentimiento se presta solo para la página web en laque se está solicitando o si se facilita también
para otras páginas web del mismo editor o incluso para terceros asociados al editor en el
marco de las finalidades de las cookies sobrelas que se ha ofrecido información.
Con independencia de la modalidad de obtención del consentimiento, la opción de rechazarlas cookies deberá ofrecerse al usuario al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptarlas, sin remitirle a otra
capa o lugar diferente para realizar esa acción.
Caben, entre otros, los siguientes mecanismosde obtención del consentimiento:a) Al solicitar el alta en un servicio
Es posible solicitar el consentimiento para el
uso de cookies cuando el usuario solicita el alta
en un servicio, siempre que este consentimiento esté separado y no se agrupe con la aceptación de los términos y condiciones de uso de lapágina web, de su política de privacidad o delas condiciones generales del servicio.
b) Durante el proceso de configuracióndel funcionamiento de la página web oaplicación.
Muchas páginas web y aplicaciones móviles
permiten al usuario configurar el servicio, pudiendo este configurar características como elidioma, el tipo de letra, el color de fondo depantalla, etc. Por las características concretasde las aplicaciones, estas además suelen preguntar al usuario si pueden acceder a información de su terminal (como agenda, para sugerir
amigos o álbum de fotos).

Sobre este particular debe tenerse en cuenta que el artículo 26.3 del Reglamento de Servicios Digitales (Reglamento
UE 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado único deservicios digitales y por el que se modifica la Directiva 2000/31/CE) prohíbe que los prestadores de plataformas en
línea presenten a los destinatarios del servicio “anuncios basados en la elaboración de perfiles, tal como se define enel artículo 4, punto 4, del Reglamento (UE) 2016/679, utilizando las categorías especiales de datos personales a que serefiere el artículo 9, apartado 1, del Reglamento (UE) 2016/679”. Esta norma se aplicará, de forma general, a partir del
17 de febrero de 2024.
26

24

Obligaciones

Guía de cookies

Así, la prestación del consentimiento para lautilización de las cookies puede configurarse
durante el proceso de elección o especificación por parte del usuario de las características, quedando el consentimiento integrado enla elección del usuario y recordando los ajustes elegidos por este.

e) A través del formato de información por
capas.
En el formato de información por capas que
antes indicábamos, la primera capa, que contiene la información esencial, debe incluir
también la petición del consentimiento para lautilización de las cookies.

c) A través de plataformas de gestión delconsentimiento (consent management
platform o CMP).
En la medida en que las CMP cumplan los requisitos y garantías que se indican en el apartado v a) del Anexo, serán apropiadas como
métodos de obtención del consentimiento.

En estos casos, el usuario manifiesta si acepta o no la utilización de las cookies al realizar
la clara acción afirmativa o la acción para rechazarlas de las que ha sido adecuadamente
informado, y también es informado, de modo
permanente, en la segunda capa sobre la utilización de las cookies y el modo de configurarlas y/o rechazarlas.

d) Antes del momento en que se vaya adescargar un servicio o aplicación ofrecido,
por ejemplo, en la página web.
Otra de las posibilidades de obtención del consentimiento es antes del momento en que sevaya a descargar un servicio incluido en la página web o en la aplicación (por ejemplo, un
vídeo, una imagen o un juego).
En tales casos, si las cookies que se pretenden utilizar no son necesarias para el funcionamiento del servicio o de la aplicación, sedebe permitir a los usuarios dar su consentimiento antes de la descarga del servicio o dela aplicación. Ha de recordarse que en el casode que una página web ofrezca contenidos
audiovisuales, estos son parte del servicio expresamente solicitado por el usuario, estando
por tanto exceptuado del deber de requerir tal
consentimiento para mostrar tal contenido.
Si el usuario desea ejercer un derecho que leestá legalmente reconocido (por ejemplo, labaja en un servicio telefónico, de acceso a Internet o de otro tipo) y la aplicación o servicio
es el único medio facilitado al usuario paraejercitar tal derecho, no podrá condicionarse
el acceso a la aplicación o servicio a la aceptación de las cookies no necesarias.

25

A estos efectos, y a modo de ejemplo, puede
constituir consentimiento que el usuario, tras
haber sido informado sobre el uso de cookies,
clique en un botón de aceptación, siempre ycuando, en este caso, se haya habilitado también un botón de rechazo, como se expuso anteriormente.
La información que se ofrezca en esta primera
capa se podrá mostrar a través de un formato
que sea visible para el usuario, como por ejemplo un banner, una barra o a través de técnicas
o dispositivos similares, teniendo en cuenta
que la localización en la parte superior de lapágina normalmente capta mejor la atenciónde los usuarios.
En los terminales de pantalla reducida se podrá adecuar el tamaño y el contenido de primera capa a las dimensiones de la misma.
f) A través de la configuración del 		navegador.
Tanto la Directiva sobre privacidad como la
LSSI sugieren que la configuración del navegador podría ser una de las formas de obtenerel consentimiento. Para que esta opción sea
válida, la configuración del navegador debería poder utilizarse de forma que permita que
los usuarios manifiesten su conformidad con
la utilización de las cookies según lo dispuesto en el RGPD y teniendo en cuenta lo dicta-

Obligaciones

Guía de cookies

minado por el CEPD, en sus directrices sobre
el consentimiento, esto es, el consentimiento
debería ser separado para cada uno de los fines previstos y la información que se facilita
debería identificar a los responsables del tratamiento. A efectos de esta identificación, no
será necesaria la denominación social completa, sino que será suficiente incluir la marca onombre con el que el responsable se identifique de cara al público.
En dichos términos, la configuración del navegador sería una opción válida para obtener elconsentimiento, pero no serviría como mecanismo único para que el usuario pueda denegar o revocar el consentimiento para el uso decookies. El editor debe ofrecer al usuario, en
todo caso, una fórmula para que pueda denegar o revocar el consentimiento prestado parael uso de cookies, a través de su propia página
web o, en su caso, facilitar información sobrelas herramientas proporcionadas, para la retirada del consentimiento, por los terceros que
utilizan las cookies, para que el usuario pueda
ejercer su derecho a retirar el consentimiento
tan fácilmente como lo otorgó.

circunstancias del tratamiento. Así, entre otros
factores, a la hora de establecer medidas paraverificar que el consentimiento fue dado o autorizado por el titular de la patria potestad otutela, deberá considerarse el nivel de riesgo
asociado a la utilización de las cookies (porejemplo, teniendo en cuenta la naturaleza delos datos que se recopilan) y atenderse especialmente al principio de minimización de datos27 . A menor riesgo, más sencillo podrá ser elsistema de verificación implementado.
Por ejemplo, tratándose de usuarios no registrados de un sitio web dirigido a menores, si
sus datos de dispositivo y de navegación se utilizan únicamente con fines analíticos, el consentimiento del titular de la patria potestado tutela podría obtenerse previa advertencia
o llamada dirigida al menor indicándole en laprimera capa informativa que, si tiene menosde 14 años, antes de seguir navegando, avise asu padre, madre o tutor para que acepte o rechace las cookies, evitando, por tanto, solicitar
datos adicionales del menor o del titular de la
patria potestad o tutela.

3.2.4. Consentimiento de menoresde 14 años
Asimismo, en el caso de sitios web o servicios
en línea específicamente dirigidos a menores,
es conveniente recordar la necesidad de adoptar cautelas adicionales como son una mayor
sencillez y claridad del lenguaje empleado.
Tratándose de menores de 14 años, el responsable del tratamiento hará esfuerzos razonables para verificar que el consentimiento parael tratamiento de datos personales fue dado
por el titular de la patria potestad o tutela, teniendo en cuenta la tecnología disponible y las

En las directrices sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, el CEPD lo expresa en lossiguientes términos: “el Comité Europeo de Protección de Datos recomienda la adopción de un enfoque proporcionado,
en consonancia con el artículo 8, apartado 2, y el artículo 5, apartado 1, letra c), del RGPD (minimización de datos). Un
enfoque proporcionado puede ser centrarse en obtener una cantidad limitada de información”.
27

26

Obligaciones

Guía de cookies

EJEMPLO 1:
Si tienes menos de 14 años, pide atu padre, madre o tutor que lea
este mensaje.
Utilizamos cookies propias y de terceros
para saber cómo utilizas nuestro sitio web
y hacer estadísticas. Más información.
Tu padre, madre o tutor puede aceptar orechazar las cookies pulsando los botones de este mensaje.
RECHAZARACEPTAREJEMPLO 2:
Llama a tu padre, madre o tutor paraque lea este mensaje y ponga en qué año
nació: [CAMPO PARA INCLUIR EL AÑO](este dato no se almacenará, se utilizará
solo para comprobar el consentimiento)
Utilizamos cookies propias y de terceros
para saber cómo utilizas nuestro sitio
web y hacer estadísticas, y también para
personalizar tu visita (por ejemplo, cambiando el aspecto de nuestras páginas
web o juegos según cómo los usas29).
Más información.
Tu padre, madre o tutor puede aceptar orechazar las cookies pulsando los botones de este mensaje o configurarlas AQUÍ.

Cuando el uso proyectado de los datos tenga
por objeto recordar determinada informacióndel usuario o su terminal para alterar automáticamente determinados aspectos de la navegación y personalizar su experiencia (por ejemplo,
el aspecto con el que se presentan los contenidos)28 , sin que llegue no obstante a elaborarse
un perfil del menor, generalmente, y a falta delcorrespondiente análisis de riesgos conforme alas circunstancias concretas del caso, deberían
adoptarse cautelas adicionales para verificar
que el consentimiento fue dado o autorizado
por el titular de la patria potestad o tutela.
Así, por ejemplo, podría preguntarse en primer
lugar al usuario si tiene 14 años o más y, encaso de respuesta negativa, incluir el siguiente
mensaje:

RECHAZARACEPTAREl sistema del ejemplo debería ser capaz dedetectar incidencias que lleven a la conclusiónde que los datos introducidos no son correctospara, en tal caso, evitar la utilización de cookies
hasta obtener el consentimiento del titular dela patria potestad o tutela. Podrían considerarse incidencias de este tipo las fechas que aún
no hayan llegado, o que impliquen que el titular de la patria potestad o tutela no es mayor
de edad o que tiene una edad tan avanzada
que no es razonable que la persona siga con
vida o tenga hijos menores de catorce años.

Este supuesto se refiere a aquellos casos en los que el editor adapta el contenido del sitio web o aplicación
basándose en la información que obtiene por medio de las cookies y debe distinguirse del supuesto en el que es
el propio usuario quien, dentro de unos parámetros predeterminados, toma una decisión que afecta a cómo se lemuestra el contenido (por ejemplo, al seleccionar un idioma concreto de entre los ofrecidos por el editor). Tal y comose ha indicado en el apartado 2.1.2 b), solo en este segundo caso, es decir, cuando la personalización responda a una
solicitud específica del usuario, las cookies estarán exentas del consentimiento informado.
28

En línea con lo indicado más arriba respecto de las cookies de personalización, estas modificaciones del contenido
al margen de las elecciones del usuario podrían ser, por ejemplo, que, si el editor observa que un usuario escoge
frecuentemente un mismo personaje de entre los seleccionables en un juego, por defecto le aparezca preseleccionado
el personaje que más veces escoge. En ningún caso, esta información podrá utilizarse para otros fines como lapersonalización de contenidos publicitarios ni para elaborar un perfil de usuario.
29

27

Obligaciones

Guía de cookies

Los editores podrán utilizar cualesquiera fórmulas de verificación que sean razonables
para verificar que el titular de la patria potestad o tutela es quien presta el consentimiento
y no el menor de catorce años (por ejemplo,
preguntas o captchas).
Si el consentimiento para el uso de cookies
se obtuviese durante el proceso de alta en unservicio, o en el contexto de otro proceso en elque se soliciten datos personales a los menores, como pueden ser el nombre y apellidos,
una dirección de email u otros datos de contacto, en estos casos podrá solicitarse a efectos de verificación información adicional sobre
los padres o tutores (por ejemplo, nombre yapellidos, una dirección de email con la finalidad anteriormente descrita, o una copia deldocumento nacional de identidad o documento equivalente) o pedir a estos que suscriban
una declaración de consentimiento.

3.2.5. Cuándo pueden utilizarse y,en su caso, instalarse las cookies
Respecto al momento en el que hay que obtener el consentimiento para la utilización y, en
su caso, instalación de las cookies debe recordarse que el artículo 22 de la LSSI señala que:“Los prestadores de servicios podrán utilizar
dispositivos de almacenamiento y recuperación de datos en equipos terminales de losdestinatarios, a condición de que los mismos
hayan dado su consentimiento después deque se les haya facilitado información clara ycompleta sobre su utilización, en particular,
sobre los fines del tratamiento de los datos,con arreglo a lo dispuesto en la Ley Orgánica
15/1999, de 13 de diciembre, de Protección deDatos de Carácter Personal”.
En consecuencia, la utilización de la cookie podrá tener lugar cuando el usuario disponga dela información preceptiva sobre las cookies yla forma de obtención del consentimiento y elmismo se preste de acuerdo con los procedi-

28

mientos indicados. En este sentido, la utilización de las cookies debería ir acompañada por
un consentimiento informado de los usuariospara tal utilización, de forma que los destinatarios tengan la oportunidad de examinar la
información y decidir si aceptan o no la utilización de estos dispositivos.

3.2.6. Obtención delconsentimiento para el uso decookies cuando un editor presta
servicios a través de diferentes
páginasUn mismo editor que presta diferentes servicios
a través de diferentes dominios podrá, a travésde una sola página web, informar y obtener elconsentimiento para la utilización de las cookies que se envíen desde el resto de dominios
que sean de su titularidad y ofrezcan contenidos o tengan características similares, con motivo de la prestación de los servicios solicitados
por el usuario, siempre que se informe, además
de lo señalado anteriormente en el apartado sobre la información, sobre cuáles son las páginas
web o dominios de su titularidad desde los que
se van a enviar las cookies, el tipo de cookies ylas finalidades para la que se tratan y se recaba
el consentimiento del usuario.
En el caso de que las páginas a través de lasque presta servicios un editor ofrezcan contenidos o tengan características que no seansimilares (por ejemplo: algunas de las páginas
contengan contenidos para adultos), será necesario adoptar cautelas adicionales.

3.2.7. Cambios en el uso de lascookiesComo regla general, siempre que un consentimiento haya sido obtenido de forma válida,no será necesario obtenerlo cada vez que unusuario visite de nuevo la misma página web
desde la que se presta el servicio.

Obligaciones

Guía de cookies

En todo caso, es evidente que si los fines de
uso de las cookies o los terceros que hacen
uso de las cookies cambian después de haberobtenido el consentimiento, será necesario actualizar la política de cookies y permitir a losusuarios tomar una nueva decisión.

3.2.8. Actualización delconsentimiento
El CEPD, en sus directrices sobre el consentimiento, recomienda como mejor práctica larenovación del consentimiento a intervalos
apropiados. Esta Agencia considera buena
práctica que la validez del consentimiento
prestado por un usuario para el uso de una determinada cookie no tenga una duración superior a 24 meses y que durante este tiempo seconserve la selección realizada por el usuario
sobre sus preferencias, sin que se le solicite unnuevo consentimiento cada vez que visite lapágina en cuestión.

3.2.9. Retirada del consentimientopara el uso de cookies
Los usuarios deberán poder retirar el consentimiento previamente otorgado en cualquier
momento. A tal fin, el editor deberá asegurarse
de que facilita información a los usuarios en su
política de cookies sobre cómo pueden retirarel consentimiento y eliminar las cookies.
El usuario debe poder revocar el consentimiento de forma fácil. El sistema que se ofrezca para retirar el consentimiento debe ser tan
fácil como el utilizado cuando se prestó. Se
considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo ypermanente al sistema de gestión o configuración de las cookies.

29

3.2.10. Posibilidad de denegaciónde acceso al servicio en caso derechazo a las cookies
Siguiendo las directrices del CEPD sobre el
consentimiento, para que este se dé libremente, el acceso a los servicios y funcionalidades
no debe supeditarse a la aceptación por el
usuario del uso de cookies. Por ello, no podrán utilizarse los denominados “muros decookies” que no ofrezcan una alternativa alconsentimiento, tal y como se explica a continuación. Este criterio resulta especialmente
importante en aquellos supuestos en los quela denegación de acceso impediría el ejerciciode un derecho legalmente reconocido al usuario, por ser, por ejemplo, el acceso a un sitio
web el único medio facilitado al usuario paraejercitar tal derecho.
Podrán existir determinados supuestos en
los que la no aceptación de la utilización decookies impida el acceso al sitio web o la utilización total o parcial del servicio, siempre
que se informe adecuadamente al respecto al
usuario y se ofrezca una alternativa, no necesariamente gratuita, de acceso al servicio sinnecesidad de aceptar el uso de cookies. Conforme establecen las Directrices 05/2020 sobre el consentimiento del CEPD, los servicios
de ambas alternativas deberán ser genuinamente equivalentes, y además no será válido
que el servicio equivalente lo ofrezca una entidad ajena al editor.

Obligaciones

Guía de cookies

4.

RESPONSABILIDAD DE LAS PARTES 		EN LA UTILIZACIÓN DE COOKIESLa LSSI no define quién es el responsable decumplir con la obligación de facilitar información sobre las cookies y obtener el consentimiento para su uso.
Se hace necesario que los sujetos que participan en la utilización de las cookies colaboren
para asegurar el cumplimiento de las exigencias
legales establecidas.
Básicamente en la gestión de las cookies y enel tratamiento de los datos obtenidos se distinguen las dos situaciones que se describen acontinuación en función de la finalidad para laque se tratan los datos que se obtienen a travésde la utilización de las cookies.

4.1 EL EDITOR O LOS TERCEROSUTILIZAN LAS COOKIES PARAFINALIDADES EXCEPTUADASDE LAS OBLIGACIONES DE
INFORMAR Y DE OBTENER ELCONSENTIMIENTO

trate directamente que esas entidades no tratan
los datos con ninguna otra finalidad que no sea
la prestar el servicio al usuario, puesto que, en
caso contrario, sería necesario informar de esas
otras finalidades y obtener el consentimiento.

4.2 EL EDITOR O LOS TERCEROSUTILIZAN LAS COOKIES PARAFINALIDADES NO EXCEPTUADASDE LAS OBLIGACIONES DE
INFORMAR Y DE OBTENER ELCONSENTIMIENTO
En este supuesto se puede diferenciar si se usan
cookies propias o de terceros.
En los casos en que el editor a través de la utilización de cookies propias trata los datos para alguna de las finalidades que no están exceptuadasde la obligación de informar y obtener el consentimiento, será necesario que informe sobre las finalidades para las se tratarán los datos y obtenga
el consentimiento del usuario, a través de algunade las formas establecidas en la presente guía.

En aquellos casos en que un editor ofrece a losusuarios un servicio y todas las cookies utilizadas desde su página web se utilizan exclusivamente para las finalidades respecto de las que
no es necesario obtener el consentimiento enumeradas más arriba, tanto si son propias comode terceros, no será necesario que informe desu utilización ni que obtenga el consentimiento.

Asimismo, cuando se empleen cookies de terceros para alguna o algunas de las finalidades noexentas, tanto el editor como las otras entidades
intervinientes en la gestión de las cookies tendrán la responsabilidad de garantizar que losusuarios están claramente informados acerca delas cookies y de las finalidades para las se utilizarán y de obtener el preceptivo consentimiento.

No obstante, en el caso que emplee cookies deterceros para la prestación del servicio solicitado por el usuario deberá establecer contractualmente con aquellas entidades con las que con-

En este sentido, cuando el editor emplee una
CMP que cree un entorno en el que los terceros
que participan en el mismo puedan cumplir losdeberes de información y obtención del con-30

Responsabilidad de las partes en la utilización de cookies

Guía de cookies

sentimiento, los terceros serán individual y directamente responsables de su cumplimiento.
Generalmente, las cookies de terceros almacenan
información en el equipo terminal del usuario outilizan dicha información porque el editor, a lahora de diseñar la página web, plataforma o aplicación, previó la posibilidad de incluir contenidos
de terceros que las utilizan o porque emplea software de terceros que las requieren.
Por ello, los editores, cuando no sean titularesde las cookies que se utilizan, deberán asegurar
que los interesados reciben la información necesaria y que están habilitados los mecanismos
que permitan su consentimiento, por ejemplo,
a través de obligaciones o garantías contractuales que obliguen al tercero titular de las cookies
o a través de la instalación de plataformas parala gestión del consentimiento.
Así, cuando la información sobre las cookies
de terceros se ofrezca a través de un enlace ala página web del tercero, el editor tendrá que
asegurarse que los enlaces no estén rotos, siendo obligación del tercero velar por que la información no sea obsoleta y que esta se ofrezca
también en castellano o en la lengua cooficial
utilizada en el sitio web del editor.
De esta forma, en tales supuestos y con la finalidad de facilitar y garantizar el cumplimientode las obligaciones establecidas en este ámbito, cuando se utilicen cookies de terceros,
en los contratos que se celebren entre los editores y los terceros se deberían incluir una ovarias cláusulas en las que se asegure que se
ofrecerá a los usuarios la información requerida y que se articulará la forma a través de lacual se pueda obtener un consentimiento válido para la utilización de las cookies y para su
revocación, así como las consecuencias de la
revocación del consentimiento para el editor y,especialmente, para los terceros que lo obtuvieron a través del editor.
Debe tenerse presente que en la práctica, cuando no se usa una CMP, es más difícil para lasentidades que utilizan cookies de terceros, que

31

no tienen relación directa con el usuario, cumplir los anteriores requisitos, y que los usuarios
tenderán a hacer llegar sus inquietudes a la entidad a la que pueden identificar y con la quetienen relación, es decir, al editor.
Hay que tener también en cuenta que los titulares de las cookies, en la medida en que determinen los fines y los medios del tratamiento, son
responsables de la información personal que
recogen aquéllas y de los tratamientos de datos
posteriores que se realizan.
Así, anunciantes, editores, agencias, redes publicitarias y otros agentes intervinientes serán
responsables del tratamiento cuando utilicen
cookies propias y cuando, utilizando cookies deterceros, participen en la determinación de losfines y medios del tratamiento, aunque este serealice a través de un encargado del tratamiento, como por ejemplo cuando un anunciante contrata a una agencia de medios para que
realice los tratamientos bajo su dirección y deacuerdo con sus instrucciones.
Aquellos agentes que limiten su actuación a seguir las instrucciones del responsable del tratamiento tendrán la consideración de encargadosdel tratamiento. La figura del encargado del tratamiento se define en el artículo 4.8 del RGPD y
se encuentra regulada en su artículo 28.
En principio, cada responsable del tratamiento
responderá del tratamiento concreto que realice. Incluso en aquellos casos en los que concurran diferentes responsables del tratamiento,cada uno de ellos asumirá su respectiva responsabilidad.
No obstante, en aquellos casos en los que lasentidades referidas en los párrafos anteriores(anunciantes, agencias, redes publicitarias,
editores y otros agentes) determinen conjuntamente las finalidades y los medios del tratamiento, serán consideradas corresponsables
del tratamiento y deberán cumplir lo dispuesto
en el artículo 26 del RGPD. Dicho esto, la existencia de corresponsabilidad no se traducirá necesariamente en una responsabilidad equivalente

Responsabilidad de las partes en la utilización de cookies

Guía de cookies

de las distintas entidades a los que atañe untratamiento de datos personales, sino que laresponsabilidad de cada entidad dependerá dela implicación que tenga en el tratamiento concreto. Por lo tanto, el nivel de responsabilidad
de cada una de ellas deberá evaluarse caso por
caso y teniendo en cuenta todas las circunstancias pertinentes en función de sus responsabilidades respectivas asumidas en la determinación de medios y fines del tratamiento.
En este sentido, el alcance de las obligaciones
de información y obtención del consentimiento por parte del editor respecto de las cookies
de terceros se circunscribe a los tratamientos
de los que es responsable, incluida en su casola responsabilidad conjunta en cuanto a que elusuario conozca y consienta la utilización por
terceros identificados de sus cookies y las finalidades del tratamiento de datos asociado aellas. Dichas obligaciones no se extienden, encambio, a las fases ulteriores del tratamientoen las que el editor no interviene, que serán responsabilidad exclusiva del tercero.
Por ejemplo, la responsabilidad no se extendería a los tratamientos de datos realizados ulteriormente por terceros con la finalidad de queéstos puedan ofrecer servicios de creación deaudiencias, perfiles o similares (elaborados apartir del tratamiento de datos obtenidos mediante cookies), ni podrá presumirse la responsabilidad en la elaboración de tales audiencias
o perfiles por el hecho de que se utilicen.
En cualquier caso, la responsabilidad administrativa exigible ante las autoridades de control
por el cumplimiento de las obligaciones derivadas del uso de cookies corresponde a cada parteobligada y no es desplazable contractualmente.

32

Responsabilidad de las partes en la utilización de cookies

Guía de cookies

ANEXO:PARTES 					INTERVINIENTES

En los procesos de publicidad programática intervienen multiplicidad de actores o agentes,
entre los que se incluyen algunas herramientas
tecnológicas, como los ad exchanges o las demand side platforms (DSP).

La siguiente figura contiene un gráfico con
los principales agentes que intervienen en lacompra digital de publicidad programática
(aunque no todos necesariamente deben
estar presentes):

SUJETOSOPORTEO EDITOR´s

ADNETWORKRED PUBLICITARIADATA MANAGEMENT PLATFORM

ADSERVER
DE LA REDSOPORTE O EDITOR
Página web con anuncios

AD SERVER

AD SERVER

DEL EDITOR

DE UNA MARCASSP

DE RED PUBLICITARIAAD NETWORK

SSP´s

AD EXCHANGE
DSP

DSP´s
AD EXCHANGE’s
RTB
Subasta en tiempo real

Trading Desk

AGENCIAS DE MEDIOSANUNCIANTES

33

Anexo

Guía de cookies

I. USUARIO
Es el destinatario, persona física, que accede
al servicio prestado por un editor, pudiendo
diferenciarse entre usuario registrado y no
registrado. No obstante utilizarse, en la normativa legal, el término destinatario del servicio, en la presente guía se emplea el término
usuario, por ser éste de uso más común.

II. AGENTE VENDEDOR:EDITOR O SOPORTE
Es cualquier entidad prestadora de servicios dela sociedad de la información titular de una página web a los que puede acceder un usuario ypara cuya prestación se utilizan cookies.
Por ejemplo, éste sería el caso del titular de una
carpintería o de una pescadería que disponga de
una página web a través de la cual ofrezca simplemente información relacionada con los servicios que presta o disponga de una tienda on-line
a través de la cual se puedan efectuar transacciones comerciales o haya creado una aplicaciónpara móviles para cuyo funcionamiento puede
ser necesario la utilización de cookies.
Algunos editores, o soportes, también conocidos como publishers, además de prestar unservicio a los usuarios ofertan, actuando comosoportes, por si mismos o con la ayuda de uno
o varios terceros, espacios publicitarios a losanunciantes para cuya gestión es necesaria lautilización de cookies.
Éste sería, por ejemplo, el caso de una revista ode un medio de comunicación que presta a losusuarios un servicio de información a través deuna página o una aplicación móvil y, a su vez,
ofrece junto a esta información publicidad sobre los servicios, productos o imagen de uno ovarios anunciantes.
A la luz de esta definición se puede observar eldoble papel o función que puede desarrollar
un editor. Actúa como prestador de un servicio al usuario, para cuya prestación puede sernecesaria la utilización de cookies. Cuando actúa como soporte, puede además ofertar a losanunciantes espacios publicitarios que estarángestionados bien por él mismo, o bien por una
o más entidades simultáneamente, mediante el
uso tecnologías que pueden requerir el uso decookies para su funcionamiento.
De esta manera es el soporte el que presentala publicidad al usuario (interesado) a travésde los espacios publicitarios que dispone, cuyo
conjunto se denomina “inventario publicitario”.
El soporte comercializa el inventario publicitario a través de los siguientes agentes:◤

Redes publicitarias.

◤

Supply side platform (SSP)30.

◤

Agencias y/o anunciantes mediante
acuerdos directos accediendo a los ad
servers31 de los mismos (o servidor deanuncios ―ordenador que almacena losanuncios y los sirve al editor―).

Las cookies publicitarias que se instalan en el
navegador del usuario pueden provenir de lossiguientes agentes:

Supply side platforms o plataformas tecnológicas publicitarias que permiten conectar un inventario a diversos ad
exchanges
30

Ad server (servidor de anuncios): Los ad servers son programas o plataformas de gestión utilizados para administrar
el inventario de anuncios de un editor. Para ello se suelen emplear cookies de terceros, de forma que estas cookies sonenviadas al equipo terminal del usuario no desde un dominio gestionado y controlado por el propio editor, sino desde
uno gestionado por el ad server.
31

34

Anexo

Guía de cookies◤

Supply side platform (SSP).

◤

Anunciantes, agencias y sus ad servers oservidor de anuncios o sus DMP.

◤

Ad exchanges (lugar donde se unen oferta
y demanda para realizar transacciones
comerciales de compra y venta, donde
los anunciantes y los soportes/editores seponen en contacto).

III. ANUNCIANTE
Es la entidad cuyos productos, servicios o imagen se publicitan a través de los espacios publicitarios de los que disponen, en su caso, los editores en sus páginas u otras aplicaciones desde lasque prestan los servicios a los usuarios. En este
sentido, actúa como demandante de espacios
publicitarios.
Frecuentemente, el editor también suele actuar
como anunciante. En estos casos, el editor actúa como anunciante desde el momento en quepara realizar publicidad del servicio que presta a
los usuarios se sirve de los espacios publicitariosque ponen a su disposición otros editores.
Este sería el caso, por ejemplo, en el que el titular
de una carpintería o de una pescadería, cuando
además de actuar como editor de su propia página web desde la que presta el servicio, actúa
como anunciante al contratar la difusión publicitaria de sus productos o servicios directamente
con otro editor, editores o, indirectamente, conuna red publicitaria.

Su intervención puede ser:◤a través de una agencia de medios◤

de forma directa tratando con los SSPs◤

de forma directa tratando con los editores
mediante los ad servers (o servidor deanuncios)◤

esta función se puede llevar a cabo por
diferentes actores

V. INTERMEDIARIOS EN 		
EL MODELOa) Plataforma de gestión del consentimiento(consent magement platform o CMP)
Una CMP es una herramienta que se instala enel soporte del editor, página web o aplicación, ypermite que cualquier responsable de la utilización de cookies cumpla sus deberes de información y recogida de consentimiento.
Para que una CMP sea válida es necesario que
permita a las entidades que la utilizan, tanto editores como otros agentes, cumplir los requisitos
que establece la normativa en los términos que
se establecen en esta guía.
En particular, deberá crearse un entorno coordinado y coherente en el que, mediante la articulación de acuerdos o marcos contractuales, editores y terceros estén obligados a:

IV. AGENTES COMPRADORES◤

Cumplir los requisitos de transparencia
frente a los usuarios.

Son los agentes interesados en la difusión de la
publicidad. Son los que determinan el presupuesto total que van a emplear en una campaña
publicitaria, definen el público objetivo y proporcionan los materiales creativos. En referencia ala compra programática, son los que estipulan
el precio de puja mínimo que están dispuestos apagar por impresión.

◤Obtener un consentimiento válido de losusuarios.

◤

Respetar ulteriormente las opciones deconsentimiento de los usuarios y permitir lagestión de esos consentimientos, incluida
su revocación.

35

Anexo

Guía de cookies

Estas plataformas deberán estar sometidas a
auditorías o revisiones que validen el cumplimiento de los referidos requisitos.
b) Agencias de publicidad y agencias de medios
Son entidades que se encargan del diseño y ejecución de publicidad, así como de la creación,
preparación o programación de las campañas
publicitarias de los anunciantes, actuando en
nombre y por cuenta de estos en la compra deespacios publicitarios. En este sentido, también
se les puede considerar como demandantes deespacios publicitarios para los anunciantes.
c) Redes publicitarias o ad networks
Son un conjunto de entidades que, actuando
en nombre y representación directa o indirectamente de uno o varios editores, ofrecen, también directamente a los anunciantes o, indirectamente a través otros demandantes, como lasagencias de publicidad, la posibilidad de obtener espacios publicitarios o algún tipo de resultado concreto como clics, ventas o registros, a
través de la gestión y tratamiento de los datos
obtenidos de la utilización de las cookies descargadas o almacenadas en los equipos terminales de los usuarios, cuando éstos acceden alos servicios prestados por el editor.
La finalidad de la labor de estas entidades es llevar a cabo, de la mejor manera posible, la gestióndel inventario de espacios publicitarios, cuya titularidad, corresponde a los editores, de forma
que converja con la demanda de los anunciantes(venden el espacio publicitario de los editores).
Es el editor quien decide si la totalidad o partedel inventario, del que dispone, es gestionado
por una entidad en exclusiva o por varias entidades simultáneamente en función de los criterios que establezca.
Este tipo de entidades suelen realizar una agregación de la oferta de los espacios publicitarios
y de los inventarios de varios editores. También
pueden comprar inventario de distintos edito-36

res para las campañas publicitarias que realizan
las agencias de publicidad.
Algunas de estas entidades recaban, mediantelas cookies que gestionan, información de loshábitos de navegación de los usuarios que acceden a los servicios o páginas ofrecidos por
cualquiera de los editores a quienes representan. Los datos son recabados con la finalidad deque la difusión de las piezas publicitarias de losanunciantes sea lo más eficiente posible. Para
ello analizan los hábitos de los usuarios en Internet con el fin de ofrecerles la publicidad más
adecuada a los intereses asociados a su perfil
de navegación. Este tipo de entidades actúan
en el lado de la oferta, como ofertantes de espacios, en nombre y representación, directa oindirectamente de uno o varios editores.
A pesar de que este tipo de entidades muestrana sus clientes de manera agregada los datos obtenidos como resultado de la utilización de lascookies, será necesario informar y obtener elconsentimiento de los usuarios para la recogida
de dichos datos y su agregación y tratamiento
posterior con la finalidad de gestionar la oferta
de los espacios de los editores. Generalmente serealizará desde la página web de los editores que
usen este tipo de cookies propias o de terceros.
Para llevar a cabo la gestión de estos espacios
publicitarios de la forma más eficaz posible seemplean diferentes tipos de equipos, tecnologías, programas o aplicaciones de gestión,como ad servers, ad exchanges, etc. que tratan
en tiempo real los datos obtenidos, de forma
que las piezas publicitarias de los anunciantes
se incluyen en los espacios publicitarios de loseditores de forma automática en función de loscriterios que se establezcan en cada caso.
Finalmente, también es necesario señalar que
es frecuente que esta labor de gestión sea subcontratada de forma total o parcial a otras empresas especializadas en el desarrollo de las
actuaciones necesarias para la gestión de losespacios publicitarios.

Anexo

Guía de cookiesd) Trading deskEs el equipo técnico de personas dentro (ofuera, puede ser independiente) de una agencia de medios que a través de la conexión con
múltiples DSP (tecnología de puja que permitea anunciantes y/o agencias de medios comprar
inventario en diferentes ad exchanges ―lugares
donde se unen oferta y demanda―), optimizan
la compra programática de los anunciantes.

Algunos, por ejemplo, conectan las redes publicitarias, las agencias y las plataformas orientadas a la demanda de terceros con un amplio
inventario global en tiempo real.
Los ad exchanges instalan cookies en el usuario,y algunos, las cifran o realizan hash cuando lasremiten a los DSP asociado con ellos para evitar
que las cookies fijadas por las redes de anunciantes se filtren a terceros.

Los anunciantes también tienen trading desk.

b) Demand side platform (DSP)

Generalmente, el trading desk está enfocado
hacia la compra inteligente de audiencias mediante tecnologías de optimización en múltiples
plataformas (ad exchanges, networks, DSPs, soportes) de manera tal, que comprará aquella
impresión de manera más eficiente para los objetivos de sus clientes/anunciantes.

Un DSP es una tecnología de puja que permitea anunciantes y/o agencias de medios comprar
inventario en diferentes ad exchanges.

◤

Evalúan el valor de cada impresión.

VI. EL MODELO DE SUBASTA◤

Optimizan el precio de puja utilizando losdatos de la audiencia.

a) Supply side platform (SSP)◤

Pujan por el inventario.

Son plataformas tecnológicas publicitarias que
permiten conectar un inventario a diversos ad
exchanges.

De esta forma, la compra se hace impresión aimpresión, esto se conoce con la terminología“puja en tiempo real” (o “real-time bidding”, en
inglés). Un DSP tiene una interfaz única que permite pujar, optimizar y obtener informes.

b) Ad exchange
Ad exchange es el lugar donde se unen oferta y
demanda para realizar transacciones comerciales de compra y venta, donde los anunciantes ylos soportes se ponen en contacto.
Los soportes ofrecen y gestionan sus espacios
publicitarios y los anunciantes crean y gestionan sus campañas.
Los ad exchanges proveen de una plataforma
tecnológica que facilita la automatización delas subastas basadas en precio y las compras
en tiempo real, lo que conocemos como RTB(real time bidding). Así pues, el principio defuncionamiento de un ad exchange es la puja
en tiempo real.

37

Los DSPs también conocidos como bidders:El DSP no puede acceder a las cookies del usuario hasta que contacte con el mismo, y eso nopodrá hacerlo sin ganar la subasta del espacio,
por eso los ad exchange y anunciantes utilizan
la cookie matching o cookie syncing.

VII. EMPRESAS DE ANÁLISIS 		Y MEDICIÓN
Son entidades que miden y/o analizan la navegación de los usuarios en la página web de uneditor y su comportamiento con cualquiera desus elementos o con la publicidad, a través delanálisis de los datos obtenidos con la utilizaciónde las cookies.

Anexo

Guía de cookies

Generalmente para la prestación de este tipo deservicios se utilizan lo que se denominan “cookies de terceros”, es decir, cookies que son enviadas al equipo terminal del usuario no desde
un equipo o dominio gestionado y controlado
por el editor sino desde un equipo o dominio
gestionado por la propia entidad que realiza elanálisis de los datos.
Dada la multiplicidad de entidades intervinientes corresponderá a cada una analizar la laborque desarrolla para posicionarse en uno u otro
papel de cara a la determinación de la responsabilidad en la que incurren y al cumplimientode las obligaciones establecidas en la normativa y desarrolladas en la presente guía.

VIII. LOS PROVEEDORES DE
LA INFORMACIÓN: DATAMANAGEMENT PLATFORM(DMP)Un data management platform (DMP) o plataforma de gestión de datos es una plataforma
tecnológica que recoge, almacena y empaqueta o agrupa y transfiere datos de consumidoresy usuarios que recibe de diferentes fuentes oproveedores de datos. El DMP puede categorizar los datos de consumidores y usuarios a
través de una fuente de datos externa sociodemográfica e intereses según su navegación(3rd party data). El DMP puede ser de agencia,
de cliente o externalizada.
Hay ocasiones en las que el DMP puede tomar
decisiones sobre los datos personales.

38

Anexo

www.aepd.es@aepd_es

aepd.es@AEPD_es

aepd-es