Multas por infracciones de cookies: a qué se exponen realmente las empresas
Las infracciones de la obligación de consentimiento de cookies no son un riesgo teórico: las autoridades de protección de datos de varios países de la UE han impuesto en los últimos años, de forma reiterada, multas de importes considerables. El marco jurídico para ello procede del artículo 83, apartado 5, del RGPD: en caso de infracciones graves son posibles multas de hasta 20 millones de euros o de hasta el 4 % de la facturación mundial anual, la cifra que sea más alta, aunque el desencadenante propiamente dicho, como se explicó en las entradas anteriores, proceda formalmente de la Directiva ePrivacy o de su transposición nacional.
Uno de los ejemplos más conocidos procede de la autoridad francesa de protección de datos, la CNIL: en diciembre de 2020 impuso a Google multas por un total de 100 millones de euros y a Amazon una de 35 millones de euros, porque ambas empresas habían instalado cookies publicitarias antes de que los usuarios hubieran dado su consentimiento. En enero de 2022 le siguió otra multa a Google, de 150 millones de euros, junto con una a Facebook (hoy Meta) de 60 millones de euros, esta vez porque rechazar las cookies en sus respectivos sitios web resultaba claramente más engorroso que aceptarlas: quien quería aceptar necesitaba un solo clic, mientras que quien quería rechazar tenía que abrirse paso a través de varios menús. La CNIL consideró que esto vulneraba la exigencia de que el consentimiento sea tan fácil de rechazar como de otorgar.
También otras autoridades de protección de datos actuaron, aunque por lo general con importes menores, frente a pequeñas y medianas empresas: falta de clasificación de las cookies, scripts de terceros que ya se cargaban antes de cualquier interacción con el banner, o un botón de «rechazar» que simplemente no existía y obligaba a los visitantes a aceptar, porque no había una alternativa real. Precisamente este último punto —un banner sin una opción de rechazo equivalente— figura entre las objeciones más frecuentes en las inspecciones, porque contradice directamente la exigencia de una decisión libre confirmada por la sentencia Planet49.
Lo que las autoridades de protección de datos quieren comprobar en concreto durante una inspección puede deducirse de estos casos y de las directrices publicadas por los organismos de control: ¿se instalaron las cookies no esenciales solo DESPUÉS de un consentimiento activo, y no antes? ¿existía una posibilidad real y equiparable de rechazar? ¿estaban las categorías y finalidades descritas con la concreción suficiente? Y, a menudo el punto decisivo en un litigio concreto, ¿puede el responsable del sitio web demostrar a posteriori que un determinado consentimiento se otorgó realmente en un momento determinado?
Precisamente este último punto suele subestimarse en la práctica. De poco sirve un banner técnicamente impecable si, en caso de conflicto —tras una reclamación o una inspección aleatoria, por ejemplo—, ya no existe ninguna prueba de que se prestó el consentimiento y de cómo exactamente. La obligación de responsabilidad proactiva del artículo 5, apartado 2, del RGPD recae sobre el responsable del sitio web, no sobre el visitante: en caso de duda, es él quien debe demostrarlo, no el usuario quien debe refutarlo.
Para la mayoría de los sitios web pequeños y medianos, las multas del orden de magnitud de los casos citados son poco probables: en la práctica, las autoridades de control se concentran en el gran alcance, las infracciones reiteradas o las reclamaciones específicas. Pero esto no cambia el principio subyacente: un consentimiento informado, activo y registrado no es una formalidad, sino la única base sobre la que un banner de cookies llega siquiera a cumplir su propósito.