Pocas sentencias han cambiado la práctica de los banners de cookies en Europa de forma tan directa como la resolución del Tribunal de Justicia de la Unión Europea (TJUE) de 1 de octubre de 2019 contra la empresa Planet49 (asunto C-673/17). Lo que parecía una cuestión marginal surgida de un sorteo en línea se convirtió en una decisión de principio sobre qué hace válido un consentimiento de cookies.
Los hechos eran poco espectaculares: Planet49 organizaba un sorteo en línea y mostraba a los participantes dos casillas. Una —ya premarcada— se refería al consentimiento para que socios publicitarios instalaran cookies con fines publicitarios. La otra, que había que marcar por separado, se refería a la cesión de datos personales a patrocinadores con fines publicitarios por teléfono o correo electrónico. Quien quería participar tenía que marcar activamente la segunda casilla, pero podía dejar la primera —premarcada— tal cual, sin llegar siquiera a percatarse de ella.
El Tribunal Supremo Federal alemán (BGH) planteó la cuestión ante el TJUE: ¿basta una casilla ya activada de antemano como consentimiento en el sentido de la Directiva ePrivacy? La respuesta fue inequívoca: no. Un consentimiento presupone una acción activa y consciente del usuario: una casilla que el propio usuario debe marcar para consentir, no una que tendría que desmarcar para NO consentir. La diferencia entre «consentir activamente» y «no oponerse» es exactamente la que estaba en juego en la historia de la Directiva ePrivacy desde 2009, y el TJUE confirmó que ese endurecimiento iba realmente en serio.
Un segundo aspecto destacable: el TJUE aclaró que la obligación de consentimiento no depende de si la información almacenada en la cookie constituye o no un dato personal en el sentido del RGPD. La Directiva ePrivacy protege ya el acceso al dispositivo terminal como tal, con independencia de lo que finalmente se almacene. Fue una aclaración importante, porque algunos proveedores habían argumentado que los identificadores seudónimos o puramente técnicos ni siquiera quedaban sujetos a la obligación de consentimiento.
En tercer lugar, el tribunal exigió informar a los usuarios, antes de prestar su consentimiento, sobre el período de funcionamiento de las cookies y sobre si terceros tienen acceso a ellas. Desde entonces, una información genérica y vaga ya no basta: las explicaciones sobre cookies deben ser lo bastante concretas para que un usuario pueda valorar realmente a qué está dando su consentimiento.
Las consecuencias prácticas se notaron de inmediato: las casillas premarcadas desaparecieron de los banners europeos, los botones de «aceptar» tuvieron que activarse con un clic real y consciente, y la clasificación de cookies con indicaciones precisas de finalidad y duración se convirtió en la norma. Varias autoridades de protección de datos revisaron sus directrices inmediatamente después de la sentencia, que desde entonces sirve de referencia en numerosos procedimientos posteriores, por ejemplo sobre si un banner que hace «rechazar» deliberadamente más difícil de encontrar que «aceptar» también vulnera la exigencia de una decisión libre e inequívoca.
Planet49 muestra así, de forma ejemplar, cómo un único procedimiento judicial traduce las exigencias abstractas de un texto legal en requisitos concretos y técnicos, y por qué un banner de cookies tiene hoy el aspecto que tiene, en lugar del habitual antes de 2019.
Es destacable, además, la rapidez con que el efecto de la sentencia se extendió más allá del litigio: aunque formalmente solo aclaraba la interpretación de la Directiva ePrivacy para un caso alemán concreto, las autoridades de control de toda Europa se orientaron por la misma línea, prueba de hasta qué punto una sola sentencia del TJUE puede marcar la práctica más allá de las fronteras del procedimiento del que surgió.