Cuándo hace falta un banner de cookies y cuándo es teatro
La norma trata del dispositivo, no de las galletas. Almacenar información en el equipo terminal del usuario o acceder a la ya almacenada exige consentimiento basado en información clara y completa, salvo que sirva solo para transmitir una comunicación o sea estrictamente necesario para un servicio que el usuario pidió de forma expresa. Quien retira lo innecesario suele perder también el banner.
Qué regula de verdad la norma
El texto no menciona galletas. Cubre almacenar información en el equipo terminal del usuario final y acceder a la información ya almacenada allí, y por eso el almacenamiento local, la huella de dispositivo y técnicas afines caen bajo la misma regla.
El consentimiento debe apoyarse en información clara y completa. Ahí fallan casi todos los banners: un muro con aceptar y un enlace escondido a los ajustes no ha informado, ha extraído un clic.
Las dos excepciones y lo que dejan
Hay exactamente 2 excepciones. La primera se aplica cuando el almacenamiento o el acceso sirven solo para llevar a cabo la transmisión de una comunicación por una red pública de telecomunicaciones. La segunda cuando es estrictamente necesario para prestar un servicio digital que el usuario ha pedido de forma expresa.
Pase su propia web por esas dos frases y cuente qué sobrevive. Una galleta de sesión que sostiene un carrito es estrictamente necesaria para un servicio pedido. Una preferencia de idioma fijada por el visitante es defendible. Un identificador de analítica, un mapa incrustado que contacta con un tercero y un reproductor que fija identificadores antes de reproducir no son nada de eso.
En una web informativa pequeña el recuento honesto es a menudo 0 tecnologías no exentas una vez retiradas las tres añadiduras habituales, y 0 significa sin banner. Es la mejora de privacidad más barata que existe: no preguntar, porque no hay nada que preguntar.
El reverso también está tasado. El artículo 28 de la misma ley enumera 13 tipos de infracción en 4 escalones de 300.000, 100.000, 50.000 y 10.000 euros, y quien almacena o accede a información contra el artículo 25, apartado 1, primera frase, queda en el escalón de 300.000 euros. Es la banda más alta, por el mismo acto que un mapa incrustado retirado habría evitado en unos 20 minutos de trabajo.
| Elemento | Exento | Por qué |
|---|---|---|
| Galleta de sesión para carrito o acceso | Sí | Estrictamente necesaria para un servicio pedido |
| Idioma o moneda fijados por el visitante | Por lo general | Presta lo pedido de forma expresa |
| Identificador de analítica | No | No necesario para el servicio pedido |
| Mapa incrustado de un tercero | No | Contacta con otro antes de cualquier petición |
| Fuentes alojadas por usted | Nada se almacena | No hay acceso al dispositivo |
El orden de trabajo
Enumere cada petición que sus páginas hacen a un dominio ajeno. Fuentes, mapas, vídeo, analítica, chat, widgets de valoración. Decida en cada caso si el visitante lo pidió, y retire o aloje usted mismo lo que no.
Solo después diseñe un banner, si queda algo. Un banner es el recurso para lo que decidió conservar, no la entrada para tener una web.
Preguntas y respuestas
¿Hace falta banner siempre?
¿La norma cubre solo galletas?
¿La analítica es estrictamente necesaria?
¿Cuál es el arreglo más barato?
Fuentes
- Artículo 25 de la Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz La exigencia de consentimiento y las dos excepciones
- Artículo 5 de la Digitale-Dienste-Gesetz (DDG) Las obligaciones de información que se aplican en paralelo
