Quien lee el texto legal de un banner de cookies encuentra casi siempre dos normas mencionadas una junto a la otra: la Directiva ePrivacy (o su transposición nacional) y el Reglamento General de Protección de Datos, o RGPD. No se trata de un descuido ni de una doble cautela: ambas normas regulan, en efecto, cuestiones distintas pero estrechamente entrelazadas.
El RGPD, formalmente Reglamento (UE) 2016/679, se aprobó el 27 de abril de 2016 y, tras un período transitorio de dos años, entró en vigor de forma directa en toda la Unión el 25 de mayo de 2018; al ser un reglamento, y no una directiva, no necesitó ninguna transposición nacional. Regula, en términos generales, cómo puede tratarse los datos personales: qué base jurídica necesita un tratamiento, qué derechos tienen los afectados y qué obligaciones recaen sobre los responsables.
La Directiva ePrivacy, en cambio, es más específica: regula exclusivamente el acceso a la información almacenada en los dispositivos terminales, y su almacenamiento, con independencia de que ello genere o no datos personales en el sentido del RGPD. Precisamente por eso, para una cookie basta el mero acceso al dispositivo para que se active la obligación de consentimiento, incluso si la información almacenada, por sí sola, no identifica a nadie.
La interacción funciona así: la Directiva ePrivacy establece QUE se necesita consentimiento para las cookies no esenciales. Pero no detalla QUÉ hace válido en concreto a un consentimiento; esa definición la aporta el RGPD. Según el artículo 4, punto 11, del RGPD, un consentimiento solo es válido si se presta libremente, para el caso concreto, de forma informada e inequívoca, mediante una declaración o una clara acción afirmativa. Una casilla premarcada no cumple este último requisito, porque en ella no hay ninguna acción activa por parte del usuario (más al respecto en la entrada sobre la sentencia Planet49).
Del RGPD proceden además otras exigencias que hoy forman parte natural de cualquier banner de cookies: la retirada del consentimiento debe ser tan fácil como su concesión (artículo 7, apartado 3), y quien recaba un consentimiento debe poder demostrar, en caso de conflicto, que este se otorgó realmente (artículo 5, apartado 2, el llamado principio de responsabilidad proactiva). Esta obligación de prueba es una de las razones por las que un simple «probablemente el usuario hizo clic» no basta: sin un registro que deje constancia del momento, el alcance y la versión exacta del banner mostrado, en caso de duda no hay nada que demostrar.
Para quienes gestionan sitios web, esto significa en la práctica que un banner de cookies debe cumplir dos normas a la vez, no solo una. La Directiva ePrivacy exige el consentimiento como tal; el RGPD define su calidad y las obligaciones que lleva aparejadas: revocabilidad, demostrabilidad, carácter informado. Un banner que recaba un consentimiento pero no lo documenta de forma verificable puede cumplir formalmente con la exigencia de la Directiva ePrivacy y, aun así, vulnerar el RGPD.
Este doble fundamento explica también por qué el RGPD no cambió de forma sustancial el consentimiento de cookies, aunque a menudo se le atribuye erróneamente su origen: llegó 16 años después de la Directiva ePrivacy original y se limitó a afinar el criterio con el que se mide una obligación ya existente. Cómo se tradujeron en concreto estas dos normas europeas al derecho nacional alemán es el tema de la siguiente entrada de esta serie.