Ley de cookies, ¿es necesaria su aplicación?

Ley de cookies europea de obligado cumplimiento

El origen de la comúnmente conocida ley de cookies, tiene su origen en el año 2009, donde la Unión europea publicó la Directiva 2009/136/CE, en la que se puede leer en su punto numero 66 el siguiente texto:

Puede que haya terceros que deseen almacenar información sobre el equipo de un usuario o acceder a información ya almacenada, con distintos fines, que van desde los fines legítimos (como algunos tipos de cookies) hasta aquellos que suponen una intrusión injustificada en la esfera privada (como los programas espía o los virus). Resulta, por tanto, capital que los usuarios reciban una información clara y completa cuando realicen una acción que pueda dar lugar a dicho almacenamiento u obtención de acceso. El modo en que se facilite la información y se ofrezca el derecho de negativa debe ser el más sencillo posible para el usuario. Las excepciones a la obligación de facilitar información y proponer el derecho de negativa deben limitarse a aquellas situaciones en las que el almacenamiento técnico o el acceso sean estrictamente necesarios con el fin legítimo de permitir el uso de un servicio específico solicitado específicamente por el abonado o usuario. Cuando sea técnicamente posible y eficaz, de conformidad con las disposiciones pertinentes de la Directiva 95/46/CE, el consentimiento del usuario para aceptar el tratamiento de los datos puede facilitarse mediante el uso de los parámetros adecuados del navegador o de otra aplicación. La aplicación de estos requisitos debe ganar en eficacia gracias a las competencias reforzadas concedidas a las autoridades nacionales.

 

El estado español, en el Real Decreto 13/2012 modificó el artículo 22.2 de la Ley de la Sociedad de Servicios de la Información (LSSICE) adecuándose a la directiva europea, quedando el texto como se expone a continuación:

Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto.

Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.

Qué es una cookie

Muchos se dirán: Sí, muy bien que me protejáis con la ley de cookies de estos elementos de datos, pero realmente, ¿qué son y qué peligros entrañan?

De forma sencilla explicaremos que una cookie tiene el formato de un archivo de texto que se almacena en nuestro dispositivo utilizado para navegar por Internet, un móvil, una tablet, o un ordenador, entre otros. Este archivo de texto puede tener múltiples utilidades, desde guardar las preferencias de como mostrar un determinado sitio web hasta unas credenciales de acceso. De por si una cookie no es peligrosa, ya que se trata de un archivo que contiene texto.

Queda en manos del desarrollador del sitio web, el uso que se les dará a las cookies que este establezca, así como el formato y los datos almacenados en éstas. Adicionalmente, las medidas de seguridad asociadas a los datos registrados también recaerán sobre el desarrollador del sitio web. Al delegar este punto en el propio desarrollador, nos podemos encontrar con diferentes ejemplos de seguridad aplicada, pudiendo dejar parte de la información privada expuesta.

¿Me estás diciendo que un sitio web puede exponer datos míos?, ¿Pero expuestos a todo el mundo?
Como respuesta breve, No. No es posible que debido a visitar un sitio web, éste tenga acceso a las cookies de otra web. Un navegador de Internet no puede exponer datos de otros sitios web.

Como respuesta larga, son archivos de texto, y como tales, podrían llegar a ser leídos mediante software de terceros malintencionados. En el caso que se nos instalase un programa espía en nuestro equipo informático e intentase acceder al lugar donde nuestro navegador almacena estas cookies, el atacante podría llegar a obtener estos datos. Pero de por sí, este tendría de ser la menor de nuestras preocupaciones si un software espía se instalase en nuestro sistema. En nuestros equipos informáticos seguramente tenemos datos más críticos sensibles de ser leídos que no en una simple cookie de navegador, donde el desarrollador habitualmente tomará medidas para ofuscar datos importantes.

Sanciones por incumplimiento

Nos encontramos en este caso con una situación curiosa, todo y desarrollarse esta ley de cookies para la protección de los datos de los usuarios que empleen y/o accedan a sitios web, la forma que se ha implementado, ha provocado que se llene Internet con los diferentes pop-up y/o ventanas informativas del uso de esta tecnología. Los navegadores de por sí ya incorporan mecanismos que pueden usarse para aceptar o denegar ciertas cookies, pero el desconocimiento general del usuario medio, impulsó la creación de este requisito.

Como propietario de un sitio web, la obligación de la implantación de avisos sobre cookies no puede eludirse. Las sanciones por incumplimiento pueden observarse en el siguiente cuadro:

Leves	El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos.	Hasta 30.000€
Graves	El incumplimiento significativo de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos.	De 30.001€ a 150.000€

 

En agosto de 2013 la Agencia Española de Protección de Datos emitió la primera sanción ejemplar referente a un incumplimiento de la LSSICE. El incremento de denuncias y el incumplimiento sistemático ha supuesto un aumento de las actuaciones inspectoras y sanciones, por parte de la Agencia Española de Protección de Datos, de la Secretaría de Estado de Telecomunicaciones, y resto de organismos y tribunales competentes. No podemos obviar este requisito, aunque podamos considerarlo banal, dado que las consecuencias pueden acarrear importantes pérdidas económicas.