La política de cookies es el documento que explica que archivos guarda tu web en el dispositivo de quien la visita, para que sirven y como se pueden rechazar. Va siempre acompanada de un aviso de cookies, y ese aviso es donde se cometen casi todos los errores.
La norma que se aplica
El artículo 22.2 de la LSSI permite usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario a condición de que este haya dado su consentimiento después de recibir información clara y completa. El RGPD añade que ese consentimiento debe ser libre, específico, informado e inequivoco, y tan fácil de retirar como de dar.
La Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos concreta cómo aplicar todo eso en la práctica. Es el documento que consultan los inspectores, así que conviene seguirlo.
Qué cookies puedes usar sin consentimiento
Solo las estrictamente necesarias: las que permiten la comunicación o son imprescindibles para prestar el servicio que el usuario ha solicitado expresamente. Entre otras:
- Cookies de sesión y de autenticación de usuario.
- Cookies de seguridad, como los tokens que protegen los formularios.
- Cookies del carrito de la compra.
- Cookies que guardan la elección del propio usuario sobre las cookies.
- Cookies de personalización básica solicitadas por el usuario, como el idioma.
Todo lo demas (analítica, publicidad, redes sociales, mapas incrustados, vídeos de terceros) necesita consentimiento previo.
Cómo debe ser el aviso de cookies
Este es el punto en el que la AEPD ha sido más estricta:
- Rechazar tiene que ser tan fácil como aceptar. Si hay un boton "Aceptar todas", tiene que haber otro "Rechazar todas" con el mismo peso visual, en la misma capa.
- Seguir navegando no es consentir. Desplazarse por la página o cerrar el aviso con la X no vale como aceptación.
- No se pueden instalar cookies antes de que el usuario decida, salvo las estrictamente necesarias.
- Nada de casillas premarcadas en la configuración por categorías.
- Los muros de cookies (obligar a aceptar para acceder) solo son admisibles si se ofrece una alternativa real y equivalente.
- Debe existir una vía permanente para cambiar de opinión, normalmente un enlace en el pie.
Qué debe contener la política
- Que son las cookies, en lenguaje claro.
- Tipos de cookies según titularidad (propias o de terceros), finalidad (técnicas, preferencias, análisis, publicidad) y duración (sesión o persistentes).
- Relación concreta de las cookies que usa la web, con nombre, titular, finalidad y plazo de conservación. Este es el apartado que casi nadie completa y el que primero se mira.
- Identidad del responsable y de los terceros que instalan cookies.
- Transferencias internacionales, si alguno de esos terceros está fuera del Espacio Económico Europeo.
- Cómo retirar el consentimiento y cómo eliminar las cookies desde cada navegador.
- Derechos del usuario y forma de ejercerlos.
Cómo saber qué cookies instala tu web
No hace falta ninguna herramienta de pago. Abre tu web en el navegador, entra en las herramientas para desarrolladores (F12 en la mayoría de navegadores) y busca el apartado de Almacenamiento o Aplicación. Allí aparecen las cookies con su nombre, dominio y caducidad. Anota las que no reconozcas y localiza a que servicio pertenecen antes de publicar la política.
Plazo de conservación
La AEPD considera que las cookies no deberían tener una duración superior a veinticuatro meses, y que el consentimiento debe renovarse cuando ese plazo vence o cuando cambian las finalidades.
Nuestra herramienta gratuita genera la estructura completa de la política de cookies; solo tendrás que completar la tabla con las cookies concretas de tu web.