El problema de Abanca partió del desconocimiento de lo que son cookies necesarias.
Abanca fue sancionada por instalar cookies innecesarias técnicamente, sin obtener previamente el consentimiento del interesado que navegaba por su página web. El procedimiento en su contra inició por una reclamación de un usuario que observó que al acceder al sitio se descargaban cookies antes de que se aceptaran expresamente.
Y esto incluía las de terceros tales como la de YouTube o Google. La web, según esta persona, las cargaba sin dar la opción a rechazarla previamente y, por tanto, no es posible evitar ser trackeado.
La Agencia Española de Protección de Datos, tras recibir esta reclamación, dio trámite de audiencia a Abanca. Esta alegó que se había realizado una revisión y análisis del funcionamiento de sus cookies y consideraban que cumplían plenamente con la normativa. Según la empresa, previo al consentimiento solamente se descargan las que ellos catalogaron como técnicas o estrictamente necesarias.
El problema parte de definir qué se puede considerar como una cookie técnica necesaria. No depende de lo que considere el responsable como tal, sino que debe de cumplir una serie de requisitos.
La AEPD comprobó la política de cookies y observó que sin aceptarlas, estas ya se instalaban, inclusive las cookies de terceros como Google, YouTube y Weborama. También destacó el hecho de que en el panel de configuración no había una opción de rechazarlas, sino solo de aceptarlas o configurarlas. Y en el segundo caso, sí que aparecían desmarcadas todas las de carácter no técnico o necesario.
Cookies técnicas y necesarias: qué son y qué no son
La AEPD no comparte el criterio de Abanca sobre cuáles son cookies técnicas y necesarias. Así las define como aquellas que permiten al usuario la navegación a través de la propia página web, plataforma o aplicación y la utilización de sus diferentes servicios.
Por ejemplo, aparte de las que facilitan el control del tráfico y la comunicación de datos, podrían ser las de seguimiento de sesión para evitar que se te cierre el carro de la compra. Y esto porque claramente mejora el servicio al usuario, de manera que la convierte en una cookie técnica dirigida directamente a prestar el servicio propio de la web. Asimismo, podría ser una cookie técnica aquella cookie de idioma que permite que cada vez que cambiamos de URL mantengamos el mismo idioma en el navegador.
Las cookies de terceros se consideran como innecesarias, pues su finalidad es presentar anuncios basados en la visita del usuario en otros sitios web, lo que no es necesario para el funcionamiento de la web de Abanca.
Sanción y recomendaciones para Abanca
Al final, la AEPD le impuso una sanción por utilizar dispositivos de almacenamiento y recuperación de datos –cookies– en el terminal del usuario sin su previo consentimiento. Y al no considerarse como técnicas o necesarias, la multa era de hasta 30.000 €, pero se impuso solamente 5.000 €, con la posibilidad de pronto pago y una reducción a 4.000 €.
¿Cuál es la lección que tenemos que sacar de este caso? Primero, que es importante realizar una auditoría de cookies en la que un experto analice su verdadera finalidad para determinar cuáles son necesarias y cuáles no.
Por otro lado, también es importante una revisión continua y establecer un procedimiento para que el equipo de programación consulte con el departamento de privacidad al instalar una nueva cookie. De lo contrario, puede suceder que una adecuación plenamente correcta de hace un año quede obsoleta por la rápida evolución de tecnología web para dotarla de mayores funcionalidades.
En definitiva, cumplir con la normativa es muy importante. Además, debemos prever que estas sanciones relativas a cookies, que ahora mismo parecen bajas, vayan creciendo en cuantía, puesto que la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico es previa al RGPD, que impone sanciones mucho mayores. Por lo cual, es probable que en la próxima actualización de esta normativa, se amplíen las sanciones por incumplimientos en materia de cookies.