El artículo 22.2 de la LSSI y el sistema de información por capas

La Ley 34/2002 de 11 de julio, de la Servicios de la Sociedad de la Información y el Comercio Electrónico (LSSI), dispone en su artículo 22.2 lo siguiente:

“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. 

Este artículo fue introducido por medio del art.4.3 del RD Ley 13/2012, el cual tenía por objeto la trasposición a nuestro Ordenamiento de Directivas europeas en materia de mercados interiores de electricidad y gas y en materia de comunicaciones electrónicas. Estas Directivas en concreto son las siguientes:

• Directiva 2009/136/CE, del Parlamento Europeo y del Consejo 
• Directiva 2009/140/CE, del Parlamento Europeo y del Consejo 

Este Real Decreto Ley que efectuaba la trasposición de las Directivas modificó tanto la Ley General de Telecomunicaciones y la Ley de Servicios de la Sociedad de la Información y del comercio electrónico (LSSI).

Dentro de las modificaciones de la LSSI encontramos la nueva redacción del art.22.2, el cual pasa a exigir el consentimiento del usuario sobre los archivos o programas informáticos (como las llamadas «cookies») que almacenan información en el equipo de usuario y permiten que se acceda a ésta; dispositivos que pueden facilitar la navegación por la red pero con cuyo uso pueden desvelarse aspectos de la esfera privada de los usuarios, por lo que es importante que los usuarios estén adecuadamente informados y dispongan de mecanismos que les permitan preservar su privacidad. 

Así pues, la normativa nacional y comunitaria requiere la obtención de un consentimiento informado con el fin de asegurar que los usuarios son conscientes del uso de sus datos y las finalidades para las que son utilizados. 

Pues bien, la Agencia Española de Protección de Datos (AEPD) plantea a este respecto un sistema de información por capas para los sitios web que empleen cookies no exentas. Dichas capas serían las siguientes:

1. Primera capa: muestra la información esencial sobre la existencia de cookies (tanto propias como de terceros) y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento. 
2. Segunda capa: a la que se accede mediante enlace o hipervínculo de la primera, se ofrece información adicional sobre las cookies. Esta información comprenderá:
1. Que son y para qué se emplean las cookies
2. Tipos de cookies empleadas
3. Finalidad de las cookies empleadas
4. Forma de desactivar o eliminar las cookies
5. Identificación de quien emplea las cookies (si la información es tratada solo por el editor y/o también por terceros, identificando a éstos). 

Información a incluir en la primera capa 

De acuerdo con la AEPD, la primera capa debe ofrecer información esencial cuando se acceda al sitio web o aplicación. Los extremos incluidos en esta primera capa son:

• Advertencia sobre el uso de cookies no exceptuadas que se instalan al navegar por los sitios web o al utilizar el servicio solicitado.
• Identificación de las finalidades de las cookies que se instalan, con información sobre si se trata de cookies propias o de terceros. 
• Advertencia, en su caso, de que si se realiza una determinada acción se entenderá que el usuario acepta el uso de las cookies. 
• Un enlace a la segunda capa informativa en la que se indica una información más detallada.

 Información a incluir en la segunda capa

Por otra parte, la información adicional previamente mencionada debe incluir:

• Definición y función de las cookies. 
• Tipo de cookies que utiliza la página web y su finalidad. 
• Forma de desactivar o eliminar las cookies descritas y forma de revocación del consentimiento ya prestado. 
• Identificación de quienes utilizan las cookies, incluidos los terceros con lo que el editor haya contratado la prestación de un servicio que suponga el uso de cookies.

 Lo esencial a efectos de la segunda capa es que sea identificable y accesible. Así sería válida tanto una segunda capa denominada "Política de cookies" como una denominada "Política de privacidad y cookies". Lo esencial es que su denominación incluya el término “cookies” u otro equivalente que permita determinar su contenido, y que tenga el contenido mínimo

 

En este sentido, la Resolución R/02990/2013 dictada en el PS/00321/2013 disponible en la página web de esta Agencia sancionó a dos entidades por instalar y utilizar cookies sin informar a los visitantes de los sitios web de forma clara y completa al respecto. 

En un primer momento, los sitios web no contenían ningún tipo de información sobre cookies o bien contenían una mención en un enlace al pie de la página principal, que no puede conceptuarse como una primera capa al no ser directamente visible para el usuario en los términos expuestos; es decir, esta Agencia considera que la mera inclusión de información sobre cookies en una Política de privacidad o Política de cookies o Política de privacidad y cookies sin una primera capa no es suficiente para obtener un consentimiento informado en los términos del art. 22.2 LSSI. Es por ello que el Fundamento de Derecho VIII de dicha resolución señala: “Además, teniendo en cuenta el diseño y mecánica de las páginas web analizadas se considera que la información anteriormente señalada se facilitaba de forma poco accesible y sin suficiente visibilidad para el usuario, ya que estaba distribuida en diferentes apartados de distintos documentos cuya denominación (“Condiciones de Uso”, “Política de Uso” o “Política de Privacidad”) no permitía su fácil localización”.