Una cookie no es, en esencia, más que un pequeño archivo de texto que un sitio web guarda en el navegador de un visitante y vuelve a leer en cada visita posterior. Por sí sola, esta operación es técnicamente inofensiva: sin este mecanismo, ningún carrito de compra recordaría qué artículos contiene, y ninguna sesión de inicio de sesión se mantendría de una página a otra. En ese papel, las cookies son, sencillamente, la memoria de la web.
El problema aparece en cuanto una cookie deja de limitarse a la propia sesión y empieza a hacer reconocible a un visitante a lo largo del tiempo y a través de distintos sitios web. Una red publicitaria que coloca la misma cookie en cientos de páginas puede construir con ello un perfil de movimiento: qué páginas visita alguien, con qué frecuencia, cuándo. Esto ocurre de forma invisible: nada en la página deja ver que, en segundo plano, se están colocando una docena de cookies de este tipo.
Justo en este punto entra en juego la norma europea de la que nacieron los banners de cookies: quien almacena algo en el dispositivo de un usuario, o lee algo de él, que no sea estrictamente necesario para la función que este ha solicitado, necesita antes su consentimiento. Esto se aplica con independencia de que se generen datos personales en sentido estricto: basta con que se acceda al dispositivo. (El origen de esta norma, la llamada Directiva ePrivacy, es el tema de la siguiente entrada.)
De ahí surge una distinción que recorre cualquier banner de cookies bien construido: por un lado, las cookies necesarias —carrito de compra, sesión de inicio de sesión, funciones de seguridad, sin las cuales un sitio simplemente no funcionaría— y, por otro, todo lo demás: estadísticas, personalización, publicidad. El primer grupo no necesita consentimiento, porque el legislador lo considera un requisito previo del propio servicio solicitado. El segundo, sí.
Un banner de cookies no es, en el fondo, más que la puesta en práctica de esta distinción: muestra a un visitante qué es lo que un sitio pretende hacer más allá de lo estrictamente necesario, y recaba para ello una decisión consciente antes de que nada de eso entre en vigor. No después, sino antes. Un banner que solo aparece en la segunda visita a la página, mientras en segundo plano ya se ha cargado un script de rastreo, no cumple su propósito, por muy cuidado que parezca.
Con esto, un banner de cookies es también algo más que una simple pantalla. Debe poder demostrar que el consentimiento se otorgó realmente: cuándo, por parte de quién (o de qué navegador), para qué exactamente, y que resulta tan fácil retirarlo como concederlo. Esta obligación de prueba no recae sobre el visitante, sino sobre el responsable del sitio web: en caso de conflicto, es él quien debe demostrar que contaba con un consentimiento válido, no el usuario quien debe probar que no lo dio.
Esto explica precisamente por qué los banners de cookies tienen hoy el aspecto que tienen: con una opción real de rechazo equivalente a la de aceptar, con un desglose por categorías en lugar de un simple sí genérico, y con un registro en segundo plano que deja constancia de lo ocurrido. No es casualidad ni un formalismo exagerado: es la consecuencia directa de una única regla básica: solo puede acceder a un dispositivo ajeno quien cuenta con un consentimiento real, informado y activo. Todo lo demás se construye sobre esa única regla, y las siguientes entradas de esta serie rastrean su origen en el derecho europeo y alemán con más detalle.