La obligación de recabar consentimiento antes de instalar cookies no figura en el RGPD: es anterior y procede de otra norma, la Directiva ePrivacy, formalmente Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en las comunicaciones electrónicas. Se aprobó el 12 de julio de 2002, cuando las cookies se usaban sobre todo para sesiones de inicio de sesión y personalización básica; el rastreo entre varios sitios web era técnicamente posible, pero aún no un fenómeno masivo.
En su versión original, el artículo 5, apartado 3, de la Directiva exigía poco más que informar a los usuarios sobre la instalación de cookies y ofrecerles una posibilidad de oponerse: un modelo de exclusión (opt-out). Quien no hacía nada se consideraba que había consentido implícitamente. En la práctica, esto solía ser un pequeño aviso escondido en algún lugar de la página que casi nadie leía, con cookies ya instaladas antes de que nadie llegara siquiera a reparar en el aviso.
Esto cambió con la Directiva 2009/136/CE, de 25 de noviembre de 2009, que reformuló por completo el artículo 5, apartado 3 —conocida como «Directiva de cookies», aunque formalmente solo modifica la Directiva ePrivacy original—. El modelo de exclusión se convirtió en una auténtica obligación de consentimiento: desde entonces, las cookies no estrictamente necesarias para un servicio expresamente solicitado solo pueden instalarse después de que el usuario haya dado su consentimiento informado, no después ni de forma tácita.
El motivo de este endurecimiento fue el vertiginoso desarrollo del mercado de la publicidad en línea en la década de 2000: las cookies de rastreo se convirtieron en la base de modelos de negocio enteros, y se generaban perfiles de usuario a partir de datos recopilados en diez, veinte, cien sitios web distintos, casi siempre sin que los afectados lo supieran. El legislador europeo respondió invirtiendo la carga: ya no era el usuario quien debía oponerse, sino el sitio web quien debía obtener el consentimiento.
Conviene tener presente que la Directiva ePrivacy es precisamente eso, una directiva, y no derecho de la UE de aplicación directa como un reglamento. Las directivas fijan un objetivo que cada Estado miembro debe transponer a su propio derecho nacional, y en esa transposición residió durante años el verdadero problema. El plazo terminaba el 25 de mayo de 2011, pero muchos Estados miembros —Alemania entre ellos— adoptaron la nueva obligación solo a regañadientes, o en una forma cercana a la antigua lógica de exclusión. Cómo resolvió Alemania este problema es el tema de otra entrada de esta serie.
Hasta hoy, la Directiva ePrivacy sigue siendo el fundamento jurídico real del consentimiento de cookies, y no el RGPD, que solo entró en vigor en 2018 y regula una cuestión distinta, aunque relacionada: el tratamiento de datos personales en general. Ambas normas se entrelazan, y esa interacción es el tema de la siguiente entrada.
Un sucesor planeado, el Reglamento ePrivacy, debía sustituir a la directiva y entrar en vigor como derecho de aplicación directa, sin transposición nacional. Lleva años en negociación entre las instituciones de la UE y, hasta la fecha, no se ha aprobado; hasta que eso ocurra, la directiva de 2002/2009 sigue siendo la base determinante.
Para quienes gestionan sitios web merece la pena conocer estos antecedentes: explican por qué el consentimiento de cookies no surgió como reacción a un escándalo puntual, sino como respuesta gradual a una práctica de años. La norma de 2009 no fue una sorpresa, sino la continuación lógica de una idea ya formulada en 2002: acceder a un dispositivo ajeno no es una operación técnica neutra, sino una injerencia que necesita justificación.