La Directiva ePrivacy es, como se explicó en la segunda entrada de esta serie, una directiva y no derecho de la UE de aplicación directa: cada Estado miembro tuvo que trasladarla a su propio derecho nacional. A Alemania le costó mucho hacerlo, y esa historia merece una mirada propia, porque explica por qué los banners de cookies alemanes invocan hoy una ley que solo existe desde finales de 2021.
Tras el endurecimiento de la Directiva ePrivacy en 2009 (plazo de transposición: 25 de mayo de 2011), Alemania se mantuvo primero en la ley de telemedios vigente, la TMG. Su artículo 15, apartado 3, preveía oponerse a las cookies, pero seguía la antigua lógica de exclusión anterior a 2009, no la nueva obligación de consentimiento. Durante años, el Gobierno federal sostuvo que la TMG ya transponía la directiva de forma suficiente, una postura cada vez más cuestionada por las autoridades de protección de datos, los tribunales y la Comisión Europea. Esto generó una prolongada inseguridad jurídica: unos sitios seguían la interpretación europea más estricta, otros se amparaban en la normativa nacional, más débil.
Esta falta de claridad terminó con la entrada en vigor, el 1 de diciembre de 2021, de la Ley de Protección de Datos en las Telecomunicaciones y los Telemedios (TTDSG). El artículo 25 de la TTDSG trasladó de forma expresa e inequívoca al derecho alemán las exigencias del artículo 5, apartado 3, de la Directiva ePrivacy: almacenar información en los dispositivos terminales, o acceder a ella, solo está permitido si el usuario ha dado su consentimiento, con una excepción limitada para fines técnicamente imprescindibles, por ejemplo para prestar una función expresamente solicitada. La TTDSG reunió además, por primera vez, el derecho de las telecomunicaciones y el de los telemedios en una ley propia, en lugar de repartirlos entre varias normativas.
En mayo de 2024, la TTDSG pasó a llamarse Ley de Protección de Datos en las Telecomunicaciones y los Servicios Digitales (TDDDG), al adaptar el derecho alemán a la Ley de Servicios Digitales europea (DSA), que introdujo normas comunes para toda la UE en materia de servicios digitales y plataformas. La regla sobre cookies en sí no cambió: la disposición antes citada como artículo 25 de la TTDSG se encuentra desde entonces bajo el mismo número, como artículo 25 de la TDDDG; solo cambió el nombre de la ley en la que está integrada.
En la práctica, un banner de cookies en Alemania se apoya hoy en dos fundamentos jurídicos a la vez: el artículo 25 de la TDDDG para saber si siquiera es necesario un consentimiento, y el artículo 6 del RGPD (junto con los artículos 4, punto 11, y 7) para la calidad de ese consentimiento. Quien conoce esta historia no ve ahí una doble mención innecesaria, sino dos normas que responden a preguntas distintas y se apoyan mutuamente: la transposición de una directiva europea al derecho nacional, por un lado, y un reglamento europeo de aplicación directa, por otro.
La siguiente entrada de esta serie se dedica a un caso concreto que perfiló de manera decisiva las exigencias para que un consentimiento sea válido: la sentencia del Tribunal de Justicia de la Unión Europea en el asunto Planet49.
Para quien gestiona un sitio web, esta doble cita es algo más que una formalidad: indica qué autoridad es competente en cada caso. Las cuestiones sobre la licitud del uso de cookies —si siquiera era necesario un consentimiento— quedan bajo el artículo 25 de la TDDDG y, por tanto, en manos de la autoridad de protección de datos del estado federado correspondiente. Las cuestiones sobre la calidad del consentimiento otorgado, por ejemplo si fue lo bastante informado, quedan bajo el RGPD. En la práctica suelen ser las mismas autoridades las que examinan ambos aspectos juntos, pero el fundamento jurídico sigue siendo distinto, un detalle que importa al recurrir una resolución.