Source: https://www.pablofb.com/2012/04/como-cumplir-la-ley-de-cookies/comment-page-1/
Timestamp: 2018-01-18 23:58:49+00:00

Document:
Cómo cumplir la Ley de Cookies | Pablo F. Burgueño")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Standard / by Pablofb+ / 9 abril, 2012 / 180 Comments
Notas adicionales que he ido añadiendo:
Cómo hacer una auditoría de cookies [Nota añadida el 7/2/2014]
No basta con informar. Los avisos no son suficientes. Hay que bloquear las cookies hasta después de que el usuario las haya aceptado, en la mayoría de los casos. [Nota añadida el 2/8/2015]
EU Cookie directive: Tampoco parece capaz de bloquear adecuadamente las cookies por lo que considero que no es un método adecuado para cumplir la Ley de cookies.
180 thoughts on “Cómo cumplir la Ley de Cookies”
9 abril, 2012 a las 10:43 am
Muy buen artículo; no obstante, en el punto de despropósitos, incluiría que el régimen sancionador actual de la LSSI no está adaptado a la obligación de obtener el consentimiento, por lo que, amparándose en el principio de tipicidad, dudo que la AEPD pueda llegar a sancionar a ninguna empresa mientras esto no cambie.
9 abril, 2012 a las 11:57 am
La letra i del apartado 3 y la letra g del apartado 4 del artículo 38 de la LSSI (Ley 34/2002) sí prevén sanciones para los casos en los que se incumpla el punto 2 del artículo 22 de la misma ley:
Artículo 38.3 Son infracciones graves: (i) “El incumplimiento significativo de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22.”
Artículo 38.4 Son infracciones leves: (g) “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya una infracción grave”.
Los apartados 3 y 4 del artículo 38 establecen como infracción el incumplimiento de las obligaciones de información del artículo 22.2. En concreto, la obligación que impone este artículo es de facilitar, respecto de las cookies, “información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos con arreglo a lo dispuesto en la Ley Orgánica 15/1999” antes de que el usuario dé su consentimiento. Por tanto no facilitar esta información antes del consentimiento (o, más sencillo, de instalarle cookies) supone una infracción de la norma.
El artículo 38 no dispone expresamente que la falta de obtención del consentimiento supone una infracción porque éste (el consentimiento) bien puede ser tácito y porque, de cualquier forma, sí sería una infracción la ausencia de información previa.
18 junio, 2012 a las 5:18 pm
Pablo, disculpa que mi respuesta se haya hecho esperar tanto tiempo, pero te confieso que no recordaba haber escrito este comentario.
Sinceramente, ese argumento implicaría estirar y retorcer la ley para que pueda cumplir con el principio de tipicidad que, recordemos, prohibe expresamente la analogía.
La infracción sanciona no cumplir con A (información) y B (procedimiento de rechazo). Sin embargo, el 22.2, exige A (información), y C (consentimiento previo a la instalación de las cookies).
Está claro que no se puede obtener un consentimiento previo sin información previa, pero sí se puede informar sin obtener consentimiento, y en este caso, se sanciona no informar, sin someterlo al consentimiento posterior a la información, lo cual debe quitarle el carácter de previo.
Particularmente, en los tiempos que vivimos, me niego a conceder licencias de interpretación extensiva a las Administraciones que ejercen potestades sancionadoras. Si la AEPD exige el estricto cumplimiento de las normas en su tenor literal, no sé por qué los administrados debemos admitir que se nos sancione aplicando de forma laxa los principios que regulan el Procedimiento Sancionador, que existen, precisamente, para ofrecer al ciudadano unas garantías mínimas de seguridad jurídica y legalidad.
Para mí, existe un claro defecto legislativo que nunca debería ser solventado en perjuicio del administrado si no es a través de un nuevo trámite legislativo.
Gracias por contestar, José, y reavivar el debate con tu respuesta.
No puedo estar de acuerdo, lo siento.
El motivo es el siguiente: En este caso se sanciona la falta de “información previa a la instalación”. El consentimiento es irrelevante.
Cumplida la obligación de informar con carácter “previo” a la instalación, queda también automáticamente cumplida la exigencia de obtención del consentimiento, ya que éste puede ser otorgado de forma tácita.
18 junio, 2012 a las 6:15 pm
Ni el 38, ni el 22 hablan de información previa a la instalación de la cookie. El 22 habla de consentimiento, previa información. El núcleo de la obligación no es la información, que siempre ha existido, sino el consentimiento.
Y siendo honesto.. ¿de verdad no te huele a “cagada” legislativa? Podemos discutir lo que quieras en un sentido o en otro, pero la triste verdad es que se han olvidado de actualizar el artículo 38 para que sea coherente con el 22.
En todo caso, siguiendo tu criterio de que lo importante es la información previa a la instalación de la cookie, bastaría poner un timing de unos segundos antes de instalarla… el tiempo suficiente para que un usuario se leyese el aviso legal si le interesase.
Sin duda, esto solventaría en gran medida los problemas de la mayoría de las webs que son reticentes a cumplir con esta obligación.
Si el consentimiento tiene que ser posterior a la información, la obligación de información a que hace referencia el artículo 38, en referencia al 22, ha de ser matizada con el adjetivo “previo”. Es inevitable. Inclumplida la obligación de información previa, entra en juego el 38. El recabo efectivo del consentimiento carece de relevancia a efectos sancionadores. Por tanto, no creo que haya ningún error legislativo. El precepto me parece correcto.
Y lo del timing, me parece excesivo, pero no me atrevo a negar rotundamente que podría resultar correcto en determinadas circunstancias. Lo que sí se está haciendo ya, con perfecto encaje en la ley, es poner un mensaje como éste: “si continua navegando por esta página o pincha en cualquier parte de ella, se le instalarán las siguientes cookies…”
Me parecen muy interesantes tus reflexiones y bien argumentadas, aunque no coincidan con las mías.
18 junio, 2012 a las 8:44 pm
Lo del timing te parece excesivo, pero poner un pop-up, banner, o cualquiera de las técnicas de recogida de consentimiento no?
Soy consciente de que mi postura es remar para morir en la orilla, ya que de una forma u otra, se tendrá que cumplir con la obligación de obtener consentimiento, pero sigo pensando que manteniendo las infracciones asociadas al antiguo 22.2, no se puede exigir el cumplimiento de su nueva redacción.
Y, sinceramente, mantener lo del “procedimiento de rechazo” ya es evidencia clara del error… y no es la primera vez.
Esto ya sucedió cuando la LGtel modificó el artículo 22 de la LSSI.. y meses después tuvieron que reformar el régimen sancionador a través de la Ley de Firma Electrónica.
Por supuesto, también respeto tu criterio, pero sospecho que la ley será reformada otra vez.
El tiempo lo dirá 
9 abril, 2012 a las 11:44 am
Interesantísimo artículo, Pablo. Mi enhorabuena por él.
Esta normativa de cookies me parece muy pretenciosa e igualmente considero que el incumplimiento generalizado va a ser la constante. Además me parece muy acertada la indicación de que esta normativa, de cumplirse masivamente, nos sumergiría en una clara desventaja competitiva.
Tienes toda la razón en que nos sumergiremos en una “clara desventaja competitiva”. Y para muestra, un botón: Al activar el bloqueo de cookies en nuestra web (http://www.abanlex.com) ya no tenemos estadísticas fiables de cuántos usuarios han accedido o qué secciones han visitado porque menos del 10% de los usuarios acepta la instalación de cookies de Google Analytics. Para poder ajustarnos a la Ley Cookie he tenido que sacrificar (por ahora) todos los botones sociales de compartir contenidos en Twitter y LinkedIn. Además, he tenido que desactivar la herramienta de analítica web de de Quantcast que integra Automattic en su Jetpack de WordPress. Todo eso sin contar las horas dedicadas a adaptar la web para que el bloqueo sea efectivo. Sí, cumplimos la ley pero, ¿a qué precio?
Eduardo Lagarón dice:
9 abril, 2012 a las 1:25 pm
Gran artículo Pablo. Muy práctico. Yo, por mi parte, todavía estoy analizando los métodos técnicos. La problemática me surge por el consentimiento (puesto que no se indica si debe ser expreso o tácito). En este sentido, siempre estará presente la debatida cuestión sobre hasta que punto es vinculante para un usuario el Aviso Legal de un sitio web (mera navegación, aceptación expresa de éste…).
Mi más sincera enhorabuena por el artículo.
9 abril, 2012 a las 3:56 pm
Te agradezco el comentario, Eduardo.
Sin meterme en el jardín de la prueba de contenido, el aviso legal es vinculante siempre y cuando sea claro, comprensible y ajustado a la legalidad.
En relación al tipo de consentimiento para proceder a la instalación de cookies, la ley permite que sea tácito. Dos ejemplos:
– Es posible y válido un sistema tal que avise al usuario, por medio de un mensaje emergente (con contenido acorde a la norma), que al hacer clic en cualquier pestaña o enlace de la web se generán y alojarán en su navegador las cookies correspondientes.
– Si el acceso a una sección determinada a la que no se pueda acceder directamente a través de buscadores ni deep links -por ejemplo, una zona privada de la web o un contenido embebido que requiera acción directa del usuario para su activación- supone la instalación de cookies, bastaría con la pertinente indicación al respecto en el aviso legal, siempre que éste pueda ser consultado desde la home o la ventana de acceso a dicha sección.
9 abril, 2012 a las 7:23 pm
Hola Pablo, muy buen artículo.
Entiendo entonces por este comentario, que un mensaje como el de vuestra web, informando sobre la “instalación” de cookies podría ser “suficiente”, si además, damos la opción de desinstalar las cookies?
9 abril, 2012 a las 10:20 pm
Cada caso es diferente. En el nuestro, poner ese aviso ha sido parte de la solución. Lo mejor es que consultes a tu abogado tecnológico de confianza.
9 abril, 2012 a las 1:50 pm
un artículo estupendo, y le pregunto al autor o a los que intervienen Si as únicas cookies son las de Google Analytics en una web societaria, existen las mismas obligaciones?
9 abril, 2012 a las 4:20 pm
En cuanto a tu pregunta, cada caso es diferente. Lo mejor es que consultes a tu “abogado tecnológico” de confianza.
Pingback: Instagram (III) Condiciones de Uso de las APIs « Términos y Condiciones
10 abril, 2012 a las 8:16 am
A mi personalmente me parece excesivo exigir una aceptación expresa mediante pop-up o similar para aceptar la cookie, ya que la propia reforma dice que cuando sea técnicamente posible será suficiente con la configuración del navegador. Entiendo por tanto que efectivamente el prestador debe hacer referencia expresa a las cookies en la web, en una nota informativa en el aviso legal o la política de privacidad por ejemplo, sistema válido por otro lado según la AGPD para la prestación del consentimiento en cuanto al uso de datos personales, con lo cual aquí con mayor medida.
10 abril, 2012 a las 11:26 am
A mí también me parece excesivo, pero así lo dispone el artículo citado siendo imperativo el carácter de la norma:
Art. 22.2LSSI: “[Se permite la instalación de cookies en los navegadores de los usuarios] a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización“
El cumplimiento de la norma exige un esfuerzo que puede parecer desproporcionado, generar rechazo y hacernos pensar que todo sigue como estaba antes de la reforma y que aquí nada ha pasado (fase de negación). Pero su claridad es meridiana: La instalación de la cookie debe hacerse “después” de que el usuario haya dado su consentimiento, que ha de ser a su vez “después” de que se le haya facilitado la información. La norma no dice “durante”, “antes” o “al mismo tiempo”; tampoco obvia mención alguna. Dice “después”. Es bastante expresa al respecto.
Si antes de que el usuario pueda acceder al aviso legal ya se le han instalado cookies, el sistema es contrario al precepto.
El consentimiento bien puede ser otorgado de forma expresa o tácita; nada dice la ley al respecto, por lo que considero perfectamente válido un consentimiento tácito. Pero eso no quita que debe ser anterior a la generación de la cookie. Como he comentado más arriba, un sistema de consentimiento tácito puede ser la ubicación de una nota al respecto en la página inicial de la web (/home) con advertencia expresa de que la navegación por el sitio (o simplemente con hacer clic en cualquier parte de la página) supone la generación de cookies en el navegador del usuario. Casi bastaría con que el usuario moviese el ratón por la web para que se entendiera prestado dicho consentimiento sin necesidad de que lo haya prestado de forma expresa.
Hay otro aspecto fundamental de la norma. Los abogados IT tendemos a pensar que todo es protección de datos y resulta que el primer párrafo del apartado segundo del artículo 22 de la LSSI tiene dos componentes, uno de los cuales efectivamente corresponde a protección de datos, pero el otro no. El precepto está ubicado en el Título III de la ley, dedicado a las obligaciones relativas a las comunicaciones comerciales por vía electrónica. En concreto, el artículo 22 se refiere a los Derechos de los destinatarios de servicios. Son Derechos que no se limitan a desarrollar los ya contenidos en la normativa de protección de datos sino que, más allá, los complementan y completan, incluso alcanzando cierta autonomía orgánica. Por lo que respecta al apartado 2 del artículo 22, comienza el precepto indicando bajo qué condiciones pueden los prestadores de servicios utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios. Y, a continuación, expone la norma qué información ha de ofrecerse, que debe ser la relativa a su funcionamiento, aclarando que, “en particular“, habrá de incluirse la relativa a los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Por tanto, resulta obvio que la protección de datos tiene una especial incidencia en la norma por cuanto que una de las cosas sobre las que habrá que informar es de la finalidad del tratamiento, cuando lo haya. Pero no ha de olvidarse que, poniendo este párrafo en relación con el tercero del mismo apartado, que exime excepcionalmente de la obligación de información previa en caso de uso de cookies técnicas y de aquellas estrictamente necesarias para servicios expresamente solicitados (dejando el resto no exceptuados), la mera instalación automática de cookies, rastreen o no la actividad del usuario, requieren de consentimiento -tácito o expreso- anterior a su instalación.
Salvo mejor interpretación, Javier.
Mi interpretación está basada en la que han hecho del precepto europeo los organismos de protección de datos de Francia y Reino Unido. Y puesto que la Directiva es única y ha de hacerse “interpretación conforme” (no con Francia y Reino Unido, sino de la Ley conforme a la directiva)… Sugiero [/fase de negación].
En relación a los navegadores, no hay a fecha de este comentario, navegador alguno que cumpla los requisitos del 22.2 LSSI.
10 abril, 2012 a las 11:43 am
Desdeluego el texto da para opiniones. En mi opinión, el párrafo segundo del art. 22.2 creo que deja claro que si has consigurado el navegador para aceptar cookies y éstas se instalan, el consentimiento es válido. Hay que tener en cuenta que hoy en día un usuario medio debe conocer la operativa de las herramientas de Internet básicas, como es el caso de la configuración de privacidad.
Simplemente un apunte, el hecho de navegar por una web no supune la aceptación de condición alguna, ni del aviso legal ni desdeluego de las cookies. Creo que es importante señalarlo ya que es un error muy habitual de los avisos legales pensar que sólo con indicar unas menciones el usuario está vinculado contractualmente, y no es así.
Como digo, lo que supone el consentimiento es sólo la configuración del navegador. No sé si lo he explicado bien.
Y en realidad el último párrafo de la norma no exime de información, pues iría en contra de las obligaciones en materia de protección de datos, sino sólo del consentimiento. Esto es, si la instalación de la cookie es imprescindible para procesar un pedido por Internet ya que tienen que guardarse los datos de la sesión del usuario, y éste debidamente informado de esto, decide comprar, entonces no hace falta autorización previa.
10 abril, 2012 a las 1:49 pm
La configuración del navegador bastará cuando sea técnicamente posible y eficaz recabar el consentimiento del destinatario para el tratamiento de los datos. Pero actualmente no existe un navegador que ofrezca la configuración de parámetros adecuados para que tal consentimiento, que ha de ser conforme al párrafo primero del 22.2, sea eficaz. Hasta donde yo conozco, los navegadores actualmente ofrecen la posibilidad de bloquear todas las cookies, preguntar antes de aceptar o aceptarlas todas, pero no ofrecen un sistema de discriminación o selección activa informada.
Lo adecuado sería que existiese un elenco de cookies estándar que permitiera la aceptación selectiva vía navegador, de tal forma que el usuario pudiera aceptar mediante una acción expresa a tal efecto en el momento de instalación o actualización del navegador, las cookies de análitica web o las de recomendaciones comportamentales o las de reforzamiento de seguridad en pasarelas de pago o cuales otras quisiera. De esta forma, antes de aceptar las cookies el usario habría tenido acceso eficaz a la información referente al uso y finalidad de las cookies, que se complementaría con la que además debe fijarse en el aviso legal.
En cuanto al párrafo tercero, exime de la obligación de información previa, distinguiendo así de forma aún más clara aquellas cookies sobre las que basta una información en el aviso legal de las que, además, requieren un consentimiento informado por parte del usuario. Al citar la excepción me refería a la de información previa, no a la genérica (gracias por apuntarlo). De hecho, esta diferenciación entre cookies que requieren solo información frente a las que además requieren consentimiento previo a su instalación me parece fundamental a la hora de interpretar el precepto.
En cuanto al carácter vinculante contractual del aviso legal, qué duda cabe que no todo aviso legal puede ser tenido como contrato. En cambio, en tanto en cuanto lo estipulado en el mismo se refiera, de forma clara, comprensible y conforme a la legalidad, a aspectos sobre los que el titular de la página decida obligarse frente a terceros, la oferta publicada puede perfectamente constituir contrato vinculante para las partes (siempre que su contenido sea conocido por el usuario -cuestión meramente probatoria, con las típicas dificultades procesales-). Así, una web-repertorio de imágenes en cuyo aviso legal se estipule una cesión de las mismas acogiéndose a una licencia CC, constituye contrato vinculante entre el licenciante y los usuarios que legítimamente las extraigan y usen conforme a la licencia indicada. Lo mismo ocurre con garantías comerciales que por su amplitud cubran y excedan las legales: aunque figuren en el aviso legal, son perfectamente vinculantes por integrar o formar parte sustantiva del contrato de c-v. Igualmente sucede en el caso de las cookies: si por medio de la navegación a través de una zona privada de la web se instalarán cookies acordes al principio de calidad de los datos del 4 LOPD, qué duda cabe que el aviso legal es vinculante en la medida en que avisa de dicha instalación con carácter previo a su instalación.
Pero, como dices, Javier, el texto da para opiniones (interpretaciones, más bien).
12 abril, 2012 a las 5:36 pm
Hola Pablo, excelente artículo muy claro para los que nos dedicamos al análisis y medición de la actividad online.
Quería comentarte, creo que Google Chrome si permite la selección de excepciones para la configuración de las cookies, como puedes ver en este enlace chrome://settings/contentExceptions#cookies
Sería suficiente para cumplir con el párrafo primero del 22.2?
17 abril, 2012 a las 9:47 am
Veo algo de incongruencia en las palabras del comentario de Javier por cuanto manifiesta que los usuarios hemos de conocer cómo lidiar con la configuración de privacidad y después dice que el mero hecho de visitar una web no implica consentimiento del aviso legal y/o política de privacidad.
Quizás una buena continuación sea un post específico al respecto del consentimiento, donde habrás de tener en cuenta lo que dice el art. 15 RLOPD, pues entiendo la negativa al derecho de oposición hace bueno aquello de que dos negaciones afirman, por lo que puede llegar a entenderse que existe consentimiento expreso por omisión. Menudo trabalenguas, no? Encaja esta figura parida en nuestra legislación de telecomunicaciones y despues en el RLOPD en el marco de privacidad europeo?
Tampoco estoy demasiado de acuerdo con tus conclusiones, pero sería muy largo de explicar.Lo mismo quedamos a comer, que ya hace ni sé el tiempo, y aprovechamos ;-p
17 abril, 2012 a las 11:44 am
Es que una cosa es exigirle un mínimo al usuario y otra que se alteren las reglas de contratación y formación del consentimiento.
Un error muy común es redactar un Aviso Legal como si fuera un contrato y presuponer que es fuente de obligaciones por arte de magia por la simple visita a la web, ni siquiera a dicho Aviso Legal.
Esto va contra el sentido común, el Código Civil y la legislación sobre condiciones generales de la contratación, que requiere que la aceptación sea sobre los propios términos, y una confirmación posterior de la contratación, que no existe. Esto sin contar con los problemas de prueba.
El Aviso Legal es un documento meramente informativo, no contractual, de ahí que todo lo que se escriba que vaya más allá de lo que ya obliga o reconoce la ley no tiene efectos. Con la Política de Privacidad lo mismo, fíjate que para que la AGPD reconozca que la información y el consentimiento se presta no basta con que esté en la web sino que exige en la práctica que lo aceptes con un checkbox.
17 abril, 2012 a las 11:48 am
En cuanto al panel de configuración de Chrome, es un buen comienzo pero cualitativamente insuficiente para cumplir la norma.
Santiago Bermell dice:
10 abril, 2012 a las 3:14 pm
Ahí quería llegar yo, al caso práctico.
De momento solo he probado en WP, cookie control.
Si no es mucha molestia, en abanlex, ¿cuál de los que citas has usado? Yo de momento pruebas con cookie control.
Y ya puestos, la configuración del navegador no me gusta como consentimiento, salvo que fuera similar a cuando el navegador nos pregunta “¿quieres que sea el predeterminado?”, y con un click bloquee o acepte.
10 abril, 2012 a las 3:38 pm
Nosotros hemos usado la solución de Wolf Software.
Si consigues bloquear la cookie __qca sin desactivar WordPress Stats, te estaría muy agradecido si compartieras el know how.
10 abril, 2012 a las 4:19 pm
Una pena, porque Cookie Control no bloquea. Esta pensado para aceptar o indicarle al usuario como bloquear a través de su navegador.
Pero seguiré investigando y te diré algo.
Rubí Ródenas dice:
11 abril, 2012 a las 10:15 pm
Enhorabuena por el post, Pablo. Me gustaría saber tu opinión sobre cuáles son las perspectivas para las empresas que distribuyen soluciones de pago de analítica web o social analytics? Gracias
Por ahora su respuesta es “no es mi problema”. Estas empresas aportan su solución analítica y se desentienden de la parte legal porque la responsabilidad es del cliente.
Lo que sí va a haber es más oferta de servicios analíticos basados en las URLs personalizadas (si me acuerdo del nombre genérico de este servicio lo pongo aquí), sin cookies.
Gracias, Pablo.Por favor, me interesa cualquier aspecto que tenga que ver con este tema. Un abrazo. Rubí
16 abril, 2012 a las 9:58 am
Buenos días, Pablo. Gran artículo.
¿De qué forma afecta esto a un blog personal con banners de publicidad que sí utilizan cookies? ¿Tengo algo qué hacer en ese caso o es cosa de la plataforma de afiliación que controla el banner y las cookies?
Perdona si aparece la respuesta en el artículo pero no he conseguido encontrarla.
Puesto que realizas una actividad económica, debes cumplir la Ley de Cookies en toda su extensión.
Además, te recomiendo echar un vistazo a este post: Qué debo declarar a Hacienda si pongo publicidad en mi blog.
16 abril, 2012 a las 6:58 pm
Hola Pablo, interesantísimo tu artículo. Gracias por el esfuerzo, se agradece verdaderamente.
Después de leerlo se me queda una pregunta: en el “apartado” 10 de tu artículo dices que “Ley de Cookies hace plenamente responsable al titular de la web”. Esto es así siempre? Incluso cuando hay un anunciante, por ejemplo, que es el que pone las cookies en la web? Hay algún sitio de la ley en que se diga esto de forma expresa?
Muchas gracias, mucho ánimo y sigue así.
PD. Totalmente de acuerdo con tu conclusión: nos estamos autoboicoteando con cosas inútiles.
17 abril, 2012 a las 11:37 am
En atención a tu pregunta, te indico que todo el Capítulo II del Título I de la Ley 34/2002 está dedicado a especificar de forma expresa a quiénes les será de aplicación la norma.
La duda no queda resuelta, pero gracias por la atención!
17 abril, 2012 a las 12:20 pm
Considero que la LSSI es bastante clara al respecto. Basta con poner en relación el Capítulo citado con el artículo 22 de la misma norma para advertir quién es el sujeto obligado. A salvo, por su puesto, de las cuestiones sobre determinación de la responsabilidad que se puedan suscitar por, por ejemplo, de la generación inadvertida de cookies derivada de órdendes emitidas por terceros por razón de cambios -no debidamente notificados y, en su caso, autorizados- en creatividades activas mostradas a través de códigos de invocación.
En cualquier caso, si sigues con dudas al respecto, tu abogado tecnólogo de confianza seguro que te sabe indicar cómo interpretar la norma para el caso concreto que le plantées.
Gracias Pablo. Te agradezco mucho el tiempo, el esfuerzo y el resultado. Da gusto. Perdón si ha parecido un tanto impertinente mi anterior respuesta.
Un abrazo, suerte y animo!
Pingback: La ley de cookies | El blog de Enrique González-Herrero
23 abril, 2012 a las 11:33 am
Gracias por el enorme esfuerzo invertido en este post, con una buena disección de casuísticas. Creo que tanto la opción original de la ICO en Reino Unido como la que has adoptado en tu web (faldón pidiendo permiso) caerán en el olvido en muy pocas semanas.
Para empezar, las directrices GDS ya emitidas en aquel país, y aplicadas a webs gubernamentales, ya dejan fuera de permiso las cookies “analíticas”. Además, acaban de entrar en vigor varias transposiciones nacionales que permiten volcar esfuerzos en la notificación y auditado (sobre todo en el caso de cookies de baja “intrusión”). En cualquier caso, he puesto aquí todo lo que hemos podido recabar estos días a nivel de derecho comparado, con otro ejemplo de cumplimiento.
27 mayo, 2012 a las 10:15 pm
muchas gracias, voy a ver como es eso.
Pingback: Cómo afecta la Ley Cookie a Google Analytics | Potics
Severo Tabares dice:
9 julio, 2012 a las 2:25 pm
Negando la mayor!
Muchas felicidades por el artículo, y a todos los participantes en los comentarios pues me parece bastante interesante la mayoría de las opiniones leidas. Yo planteo el siguiente caso tanto para tí como para tus lectores.
En una página web determinada, existen cookies para facilitar pasar parámetros de una página a otra, así como de análisis estadístico, pero la navegación en la web es anónima, el usuario no se ha identificado, luego todos esos datos previos recavados no son asociados a un usario identificado por lo que a mi entender no son datos de caracter personal y no es aplicable la LOPD. Luego una vez que el usuario se registre o de sus datos para la compra online, o quiera enviar sus datos mediante un formulario, etc si se debe informar al usuario y recabar su consentimiento expreso. En esa fase el usuario ya está “educado” a aceptar condiciones de uso, aviso legal, etc.
Severo Tabares.
(ti-consulting.com)
Pingback: ¿Sabéis que existe una ley de cookies?. Las cookies y Google Analytics | javiervicho.es
Pingback: Por qué tu blog te puede traer problemas jurídicos y cómo evitarlos con un aviso legal
Pingback: Cookies, WordPress y legislación : CarWarez
Pingback: Cookies, WordPress y legislación descargar gratis | Zonadictz
Pingback: ¿Se cumple la ley europea de cookies? | El blog de Ecommerce
Pingback: Derecho en Red | Candidaturas definitivas III Edición del premio Derecho En Red: Mejor blog, post y perfil en twitter jurídico
Pingback: Derecho en Red | Ganadores y entrega de premios III Edición del premio Derecho En Red: Mejor blog, post y perfil en twitter jurídico 2012
Pingback: La nova llei de Galetes – Com implementar-la i on cercar informació | El blog d'en Pali
Pingback: Internet y derecho: la extraña pareja de blogs y abogados | Contencioso es un pedazo de la blogosfera pública
Pingback: Triplete de eventos sobre Internet y Derecho | Policías Locales Andalucía
Si aún no se cumple en un altísimo porcentaje con la obligación de información del art. 10 LSSI-CE, pedirle a los sitios web profesionales que se adapten a la nueva normativa sobre cookies me parece una quimera. No hace más que reafirmarme en la sensación de que la legislación TIC parece elaborada por personas ajenas a la nueva realidad que se nos presenta (por no hablar de las resoluciones judiciales).
En cualquier caso esta “Ley de cookies” no hace más que aplicar alguno de los preceptos (también en algunos casos desorbitados) de la LOPD-RLOPD.
Aprovecho para enviarte un saludo Pablo.
10 mayo, 2013 a las 8:22 pm
Sería más razonable permitir el uso libre de la tecnología, limitar el alcance de la regulación al establecimiento de las sanciones oportunas cuando la explotación referida afecte a derechos de terceros y perseguir los incumplimientos existentes de normas de importancia relevante.
Determinar que una Red libre de cookies y repleta de pop-ups es segura solo es propio de legisladores más pendientes de las excepciones merecedoras de sanción que de las generalidades comerciales nacionales.
Saludos a ti también, Javier. Un placer verte por aquí.
10 mayo, 2013 a las 2:47 pm
Hola Javier! Yo también soy escéptico con que la ley se cumpla (al menos de forma correcta).. Pero más dudas tenía con que se dejase de fumar en los bares y mira.
Creo que la negociación de la IAB con la AEPD ha sido un fracaso… Pues no han conseguido el objetivo primordial (que las cookies se pudieran instalar por el mero acceso).
En fin, veremos cómo evoluciona el asunto.
Resulta sorprendente el resultado del diálogo con la AEPD y la posterior edición de la “Guía sobre el uso de las cookies” sellada por la propia Agencia: incumplen aún esta norma dos de las tres asociaciones que dialogaron con la AEPD y editaron la guía.
Pingback: Legalidad en Internet | Competitividad y E.Comerce
Pingback: La Asociación Derecho en Red premia la divulgación en internet del Derecho relacionado con la tecnología
Pingback: Premio al mejor post jurídico otorgado a Burgueño, abogado de Abanlex | Abanlex Abogados
Pingback: Todo sobre la Ley de Cookies
5 agosto, 2013 a las 4:52 pm
Muchas gracias por el artículo. Muy aclaratorio para desarrolladores como yo, no muy duchos en cuestiones legales.
Inspirado por vuestro ejemplo voy a aplicar el mismo plugin a uno de mis clientes.
Por cierto, parece que ha cambiado el enlace a la ficha de google en safeharbor por: http://safeharbor.export.gov/companyinfo.aspx?id=16626
5 agosto, 2013 a las 5:59 pm
Y gracias por la anotación sobre la URI. La acabo de actualizar.
Ángel M. dice:
17 agosto, 2013 a las 4:26 pm
Muchas gracias por el artículo me ha parecido muy esclarecedor.
Me quedaría una duda:
En el punto 3.A, comentas que esos dos tipos de cookies quedarían excluidas del deber de obtención del consentimiento, pero no del deber de información (en el aviso legal).
¿No quedarían eximidas de ambas obligaciones: consentimiento + información?
¿No quedarían fuera de todas las obligaciones del artículo 22.2 de la LSSI-CE?
O sea, si alguien tiene una Web que solo usa una cookie puramente técnica para permitir la comunicación con la red, por ejemplo, ¿tiene que modificar su Política de Privacidad para informar de esta cookie?
19 agosto, 2013 a las 10:16 am
Las cookies técnicas estrictamente necesarias para una comunicación telco o para un fin expresamente solicitado por el usuario no necesitan ser indicadas en el aviso legal, a menos que por medio de ellas se traten datos personales.
26 agosto, 2013 a las 4:30 pm
Pero en ese caso (tratar datos personales) sería también obligatorio el mecanismo de consentimiento (botón, popup, etc.), ¿no?
Lo que quiero decir es que no veo en la Ley o en la Guía casos de cookies con obligación única de “solo informar”. Las cookies que no requieren consentimiento, en realidad tampoco necesitan información (no digo que no sea buena práctica informar por ejemplo en la Política de privacidad o de Cookies de cookies que no requieren consentimiento, digo que creo no sería obligatorio hacerlo por Ley).
¿No van siempre información y consentimiento juntos, para todas las cookies?
Pingback: Sanción por instalar cookies de Google Analytics (y otras) | Blog de Derecho - Pablo Fdez. Burgueño
26 agosto, 2013 a las 11:37 am
Excelente artículo y merecido premio. Si alguien está interesado en incorporar un módulo relacionado para Prestashop, puede echarle un vistazo a CookiesLaw, es gratuito y cumple la función perfectamente.
En este artículo hay más información sobre el mismo así como posiblidad de descargar directamente el zip con la traducción en español, ya que como bien comentabas ninguna de estos scripts y aplicaciones tiene la versión en español.
26 agosto, 2013 a las 11:38 am
Se me olvidaba el enlace: http://abrasutiendaeninternet.blogspot.com/2013/08/modulo-gratis-cumplir-ley-cookies-prestashop.html
27 agosto, 2013 a las 10:10 am
Según he leido en un informe de la agencia no es necesario que el usuario acepte mediante la pulsación de un botón, continuando con la navegación hacia otra página o simplemente haciendo scroll sobre ella está dando su consentimiento, este dato es importante porque conseguir que den el click puede ser una odisea con la desinformación que hay y lo cagona que es la gente, por no decir que la mayoría no saben ni de que les hablas y piensan que les vas a instalar una bomba en su ordenador.
Jose Julián dice:
29 agosto, 2013 a las 11:00 am
Mi más sinceras felicitaciones por el artículo, que me ha sido de enorme utilidad.
Ya fue un placer disfrutarte este año como profesor y todavía mayor como profesional del Derecho.
29 agosto, 2013 a las 12:00 pm
Muchas gracias por la información. Estudiaré las diferentes opciones.
Me gustaría enviarte una compensación por la información recibida.
Ofrezco servicios de aceleración web (WPO).
Veo que la página principal de abanlex ocupa aprox. 880KB
Fácilmente se podría dejar en los 330KB, por lo que se aceleraría notablemente su carga, con los beneficios que ello conlleva: mejor experiencia de usuario, ahorro de ancho de banda, mejoras SEO,…
¿Dónde puedo enviarte las mejoras?
Pingback: Ley de Cookies: Este sitio web usa cookies | forInformática
Pingback: La Ley de Cookies no se aplica a las páginas web de la Administración | Protección de datos personales
Creo que no se ha interpretado correctamente la ley::
“Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto.”
Si Vds. aseguran que su cumplimiento aplicando sus propias técnicas de consentimiento están abocadas al fracaso eso quiere decir que NO debemos hacerlo como Vds. aseguran.
El método que yo usaría sería el siguiente: incluir un enlace que explique qué cookies hay y para qué se usan (lo cual es trivial para quien las haya programado, salvo que haya fines perversos; aunque puede ser tedioso para los que usen publicidad, pues tendrían que informarse sobre las cookies que ellos aplican) y, si el usuario está de acuerdo, entonces es obligación suya reactivar las cookies con el navegador para esa página.
Esto es, quien hace click en el navegador es como quien conduce un coche, debe tener una culturilla general porque o si no, todas las leyes que lo protejan serían de imposible cumplimiento por parte de todos los administradores que tendrían que preocuparse por cada uno de los tipos de torpezas que tengan los internautas.
3 septiembre, 2013 a las 2:25 pm
Enhorabuena por el artículo! Un poco de luz ante tanta oscuridad!
Estoy de acuerdo con que la puesta en marcha del aviso por el uso de Cookies resulta intimidatorio para los usuarios. El concepto resulta técnico para el usuario “de a pie” y por lo tanto, como le suena que le están entrando en el ordenador, prefiere abandonar la página.
Mientras no encuentre fórmula aceptable, mi recomendación será el incorporar dentro de Aviso Legal que se están utilizando Cookies.
Miquel Peguera dice:
Enhorabuena por el post y la calidad de la discusión en los comentarios
Pingback: ¿Te afecta la Ley de Cookies? | Proyecto ESTER
Pingback: Cumple la ley: haz visibles tus cookies | Alcalá de Henares Social Media
Santiago ÁlvarezRojo (@santi_alvarez) dice:
11 septiembre, 2013 a las 10:29 am
Brillante el artículo! Comentas que habéis adaptado la página de vuestro despacho (www.abanlex.com) pero entrando en ella se fijan dos cookies (PHPSESSID/abanlex.com y PREF/google.com). Siendo estrictos con el cumplimiento de la ley, ¿no se debería evitar incluso que se fijen esas dos cookies?
11 septiembre, 2013 a las 6:51 pm
Lo que comenta Santiago es verdad, no predicáis con el ejemplo, en la web de http://www.abanlex.com sin llegar a aceptar nada directamente te instala una cookie, creo que deberíais corregirlo.
XD Voy a tener que dar un premio al que se lea el aviso legal!! http://www.abanlex.com/aviso-legal/
Son cookies técnicas, Santiago y Mario. Están exentas de info y consentimiento previo.
11 septiembre, 2013 a las 7:25 pm
Por favor no ser paranoicos, que las cookies están permitidas, las que no están permitidas son las relativas a la captación de datos personales.
Next Derecho aplicado a la fotografía. Charla en Fotofreak Tenerife 2012
Previous Cómo usar Facebook en el trabajo y conservar el empleo

References: artículo 38
 artículo 22

Artículo 38
 artículo 22

Artículo 38
 artículo 22
 artículo 38
 artículo 22
 artículo 38
 artículo 38
 artículo 38
 artículo 22
 artículo 22
 artículo 22
 artículo 22
 artículo 22
 artículo 22