Directiva ePrivacy.

Qué regula realmente la Directiva ePrivacy

La Directiva ePrivacy (2002/58/CE, modificada por la 2009/136/CE) es conocida sobre todo como la «ley de cookies», pero reducirla a las cookies hace perder la mayor parte de su peso. Su verdadero objeto es la confidencialidad de las comunicaciones electrónicas y la protección del equipo terminal del usuario.

Establece que las comunicaciones y sus datos de tráfico asociados son confidenciales, que la interceptación y la vigilancia necesitan una base jurídica, y que almacenar o leer información en el dispositivo de una persona, ya sea una cookie, un píxel de seguimiento, una huella digital o un SDK, requiere por lo general consentimiento previo. La parte de consentimiento y seguimiento es la que la mayoría de los equipos implementa; la parte de confidencialidad es la que la mayoría de los equipos olvida que existe.

Es una directiva, no un reglamento. Esa distinción es el origen de la mitad de la confusión en la práctica. Una directiva fija el objetivo y deja a cada Estado miembro transponerla a su derecho nacional, de modo que la redacción exacta, el umbral de consentimiento y el estilo de aplicación difieren de un país a otro. En Francia, las disposiciones pertinentes figuran en el Code des postes et des communications électroniques, y la CNIL publica sus propias directrices y recomendaciones sobre cookies y rastreadores. No existe un único texto a escala de la Unión que se pueda citar como se cita el GDPR.

ePrivacy junto al GDPR

Los dos instrumentos son complementarios, no intercambiables. La Directiva ePrivacy es lex specialis: allí donde establece una norma específica, esa norma prevalece sobre la disposición más general del GDPR. El ejemplo más claro son las cookies y el almacenamiento en el dispositivo. El GDPR regula cómo tratas los datos personales que recopilas; ePrivacy regula el acto de acceder a información en el dispositivo o de almacenarla en él en primer lugar, y se aplica incluso cuando no hay datos personales de por medio. Así, un rastreador que deposita un identificador puramente técnico sigue cayendo bajo ePrivacy, aunque argumentaras que no es un dato personal con arreglo al GDPR.

El consentimiento bajo ePrivacy toma su definición del GDPR. Cuando ePrivacy exige consentimiento, este debe cumplir el estándar del GDPR: libre, específico, informado, inequívoco y tan fácil de retirar como de otorgar. Por eso las casillas premarcadas, los banners de «al continuar navegando, aceptas» y los muros de cookies que no ofrecen una opción real siguen suspendiendo la revisión de las autoridades de control. Los dos textos se leen conjuntamente.

Qué hacen realmente los profesionales

En el trabajo diario, el cumplimiento de ePrivacy gira sobre todo en torno a la capa de consentimiento y el inventario que la sustenta. El programa práctico es así:

• Inventariar cada cookie, etiqueta, píxel, SDK y script que lee del dispositivo o escribe en él, y clasificar cada uno como estrictamente necesario o no. Solo los estrictamente necesarios están exentos de consentimiento.
• Bloquear los rastreadores no esenciales hasta que el usuario haya dado su consentimiento, en lugar de dispararlos al cargar la página y preguntar después. Una plataforma de gestión del consentimiento suele imponer esto.
• Hacer que rechazar sea tan fácil como aceptar, registrar el consentimiento y su alcance, y ofrecer una forma sencilla de retirarlo más adelante.
• Tener presentes también las obligaciones de confidencialidad: el marketing directo por correo electrónico o SMS necesita por lo general un consentimiento previo (opt-in), con una excepción estrecha para los clientes existentes en productos similares.

La aplicación es nacional. Como no hay un regulador central de la UE para ePrivacy, cada autoridad de protección de datos vigila su propio territorio. La CNIL en Francia, el Garante en Italia y la AEPD en España emiten cada una directrices, realizan auditorías e imponen sanciones con arreglo a sus transposiciones nacionales. Eso significa que un sitio paneuropeo no puede dar por sentado que un solo banner satisface a todos; el enfoque prudente es cumplir la interpretación más estricta entre los mercados a los que sirves y documentar las decisiones que tomaste.