RGPD6 min de lectura
Qué enseñan las sanciones por cookies a los propietarios de sitios web
De las multas de la CNIL a Google y Facebook a la sentencia Planet49: qué errores de consentimiento de cookies sancionan las autoridades y cómo revisar tu sitio.
Las sanciones por cookies castigan una y otra vez los mismos pocos errores: hacer que “rechazar” sea más difícil que “aceptar”, tratar las casillas premarcadas o el hecho de seguir navegando como consentimiento, y cargar rastreadores antes de que nadie haya elegido. Las lecciones más claras proceden de la sentencia Planet49 del tribunal de la UE y de las multas impuestas en 2021 por Francia a Google y Facebook. Corrige esos patrones y revisa tu sitio como lo haría una autoridad de control.
¿Qué ocurrió en las decisiones de la CNIL sobre Google y Facebook?
En diciembre de 2021, la autoridad francesa de protección de datos, la CNIL, multó a Google con 150 millones de euros y a Facebook con 60 millones de euros. La conclusión central era sencilla: en sus sitios, aceptar las cookies requería un solo clic, mientras que rechazarlas exigía varios.
La CNIL razonó que esta asimetría empujaba a las personas a aceptar, por lo que el consentimiento obtenido no era libre. Nadie estaba obligado a aceptar, pero el camino de menor resistencia llevaba al sí, y eso bastó. La autoridad también ordenó a ambas empresas ofrecer una forma de rechazar las cookies tan sencilla como la de aceptarlas.
Las decisiones demostraron además que las normas sobre cookies tienen su propia vía de aplicación. La CNIL actuó en virtud de la ley francesa que transpone la Directiva ePrivacy, y no a través del procedimiento transfronterizo del RGPD, por lo que no tuvo que remitirse a una autoridad de control principal de otro país.
La lección: coloca una opción de rechazo en la primera capa con la misma prominencia que la de aceptar. Nuestra guía sobre los patrones oscuros en los banners de cookies repasa los trucos de diseño relacionados en los que se fijan las autoridades.
¿Qué dejó zanjado la sentencia Planet49?
En Planet49 (C-673/17, 2019), el Tribunal de Justicia de la Unión Europea (TJUE) declaró que una casilla premarcada no da lugar a un consentimiento válido para las cookies. El visitante tiene que dar un paso activo.
El caso se refería a un sorteo promocional en línea en el que una casilla que autorizaba las cookies venía marcada por defecto. El tribunal declaró que el consentimiento requiere un comportamiento activo, por lo que no basta con dejar intacta una opción predeterminada. También confirmó que el requisito de consentimiento se aplica a la información almacenada en el dispositivo tanto si es un dato personal como si no, y que hay que informar a los usuarios de cuánto tiempo funcionarán las cookies y de si terceros pueden acceder a ellas.
La lección: empieza con todas las categorías no esenciales desactivadas y asegúrate de que tu banner o tu panel de configuración explique la duración de las cookies y el acceso de terceros.
¿Qué errores siguen encontrando las autoridades?
El mismo puñado de problemas aparece una y otra vez. La mayoría están a la vista de cualquiera que abra las herramientas para desarrolladores del navegador.
| Error habitual | Por qué no cumple | Qué hacer en su lugar |
|---|---|---|
| No hay botón de rechazo en la primera capa | Rechazar es más difícil que aceptar, así que el consentimiento no es libre | Muestra aceptar y rechazar uno al lado del otro con la misma prominencia |
| Casillas premarcadas o interruptores activados de antemano | No es una elección activa e inequívoca | Empieza con todas las categorías no esenciales desactivadas |
| Rastreadores que se activan al cargar la página | El consentimiento no se obtiene antes del acceso | Bloquea los scripts hasta que se conceda la categoría correspondiente |
| Avisos del tipo “si usas este sitio, aceptas” | Seguir navegando no es una acción afirmativa | Exige un clic explícito para aceptar |
| Cookies que se siguen instalando tras un rechazo | La elección se registra, pero no se aplica | Prueba el camino de rechazo en cada plantilla de página |
| Listas de cookies desactualizadas | El consentimiento no está debidamente informado | Vuelve a escanear y actualiza la política cuando cambien las etiquetas |
| No hay una forma sencilla de retirar el consentimiento | Retirarlo debe ser tan fácil como darlo | Mantén un enlace permanente que vuelva a abrir la configuración |
Las filas tercera y quinta merecen especial atención. Un banner bien diseñado no ofrece ninguna protección si los scripts que hay detrás ignoran la respuesta. Nuestra guía sobre cómo bloquear scripts de terceros hasta obtener el consentimiento cubre la parte técnica.
¿Por qué actúan tan a menudo las autoridades nacionales en materia de cookies?
Las infracciones relacionadas con cookies son fáciles de verificar, fáciles de denunciar y se pueden perseguir a nivel local. Esa combinación las convierte en un objetivo frecuente.
Como las normas de ePrivacy se transponen al derecho nacional, una autoridad puede, por lo general, actuar contra cualquier sitio que preste servicio a personas de su país, sin la coordinación transfronteriza del RGPD. Nuestro artículo sobre la Directiva ePrivacy frente al RGPD explica por qué ambos regímenes se aplican de forma diferente.
Muchas investigaciones empiezan con reclamaciones de usuarios o de organizaciones de defensa de la privacidad, algunas de las cuales han presentado reclamaciones en bloque contra sitios con banners que no cumplen la normativa. Las autoridades también realizan sus propias revisiones y campañas de cumplimiento. Reunir pruebas es sencillo: basta con una captura de pantalla del banner y una lista de las solicitudes enviadas antes de que se haga ninguna elección.
Las sanciones dependen de la vía. Según el artículo 83, apartado 5, del RGPD, las infracciones más graves pueden sancionarse con multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, si esta cifra es superior. Las sanciones previstas en las leyes nacionales de ePrivacy siguen las normas propias de cada país. En cualquier caso, las autoridades también pueden ordenar cambios, a veces con plazos.
¿Cómo puedes revisar tu sitio como lo haría una autoridad?
Carga tu sitio como un visitante que entra por primera vez, anota lo que ocurre antes de cualquier clic y prueba después cada opción que ofrece el banner. Una comprobación básica cabe en una sola jornada de trabajo.
- Empieza desde cero. Abre una ventana privada del navegador con las herramientas para desarrolladores en las pestañas Red y Aplicación (o Almacenamiento).
- Carga las páginas clave sin interactuar. Revisa la página de inicio, una página de contenido y una página de pago o de registro, y anota cada cookie, entrada de almacenamiento local y solicitud a terceros.
- Señala todo lo no esencial. Las solicitudes de analítica, publicidad o redes sociales en esta fase son un problema.
- Cuenta los clics. Compara el esfuerzo necesario para aceptarlo todo con el necesario para rechazarlo todo.
- Rechaza y navega. Rechaza todo y, después, navega y recarga. No deberían aparecer nuevas cookies ni solicitudes no esenciales.
- Acepta una categoría. Concede, por ejemplo, solo la analítica y confirma que únicamente se cargan las etiquetas de analítica.
- Retira el consentimiento. Vuelve a abrir la configuración, revoca el consentimiento y confirma que las etiquetas afectadas se detienen.
- Compara y recupera. Comprueba que tu política de cookies coincide con lo que has observado y que puedes encontrar el registro de consentimiento de tu propia visita de prueba.
Para obtener un inventario completo de todo lo que instala tu sitio, sigue nuestra guía sobre cómo hacer una auditoría de cookies.
En resumen
El historial de sanciones es inusualmente coherente: las autoridades castigan las opciones asimétricas, el consentimiento activado por defecto y los rastreadores que ignoran la respuesta del visitante. Nada de esto es difícil de detectar, y por eso sigue apareciendo en las resoluciones. Herramientas como Cookiesh pueden escanear cookies de forma automatizada y conservar registros de consentimiento encadenados mediante hash, pero el primer paso más útil es probar manualmente tu propio banner con la lista de comprobación anterior.
Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.
Preguntas frecuentes
¿Las autoridades solo van a por las grandes tecnológicas?
No. Las multas más cuantiosas acaparan los titulares, pero las autoridades también han llevado a cabo campañas de cumplimiento más amplias que han enviado advertencias a muchos operadores de sitios web corrientes. Muchas investigaciones empiezan con reclamaciones de usuarios, que cualquier sitio puede recibir.
¿Cómo detectan las autoridades las infracciones relacionadas con cookies?
A menudo, mediante reclamaciones de usuarios o de organizaciones de defensa de la privacidad, y a veces mediante sus propias revisiones de sitios web. Para comprobar qué cookies y solicitudes envía una página antes de que se haga ninguna elección basta con un navegador, así que las infracciones son fáciles de documentar.
¿Qué debo hacer si recibo una carta de una autoridad sobre cookies?
Responde dentro del plazo indicado, documenta tu configuración actual y corrige cuanto antes los problemas evidentes. Recurre pronto a un profesional cualificado en privacidad, sobre todo si la carta es un requerimiento formal.
¿Las multas son la única consecuencia de unas cookies que no cumplen la normativa?
No. Las autoridades también pueden ordenarte que cambies tu banner o que detengas determinados tratamientos, a veces con plazos y multas diarias por cada día de retraso. Las decisiones publicadas también pueden dañar la confianza de clientes y socios.
Fuentes
Equipo editorial de Cookiesh
Ingenieros de privacidad y especialistas en cumplimiento normativo que escriben guías prácticas sobre consentimiento, cookies y protección de datos para equipos de producto.
