Aviso sobre este artículo: aunque tengo conocimientos académicos en derecho, no soy jurista ni especialista en la materia, por lo que algunas afirmaciones podrían contener imprecisiones o interpretaciones erróneas. Si detectas alguna, te invito a comentarlo en esta publicación de LinkedIn. Actualizaré el artículo si resulta pertinente. ¡Muchas gracias de antemano por tu colaboración!
Para elaborar este post, me he basado en tres documentos muy útiles y divulgativos publicados por la Agencia Española de Protección de Datos (AEPD):
- Guía sobre el uso de las cookies, actualizada periódicamente. Al momento de redactar este post, la versión vigente es la de mayo de 2024.
- Orientaciones sobre cookies y analítica web en portales de las Administraciones Públicas, versión de febrero de 2023.
- Guía sobre el uso de cookies para herramientas de medición de audiencia, versión de enero de 2024.
Las principales leyes que regulan el uso de cookies en España son:
- Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI).
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos (RGPD).
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales (LOPDGDD).
En el caso de las Administraciones Públicas (AAPP), es necesario determinar si el portal en cuestión:
- Se considera un “servicio de la sociedad de la información” (según la LSSI) o no.
- Trata datos personales o no.
Con base en esta clasificación, se presentan tres posibles casos.
A. Portal web de una administración pública que NO tenga consideración de servicio de la sociedad de la información NI trate mediante cookies datos de carácter personal
No será obligatorio obtener el consentimiento para el uso de cookies, informar a los interesados mediante políticas de cookies o de privacidad, ni cumplir ninguna otra obligación. Incluir políticas informativas innecesarias puede generar confusión y contribuir a la fatiga informativa del usuario.
B. Portal web de una administración pública que NO tenga consideración de servicio de la sociedad de la información y SÍ trate datos de carácter personal mediante la utilización de cookies
Esto implica el cumplimiento de todas las obligaciones establecidas en la normativa de protección de datos, entre ellas, informar a los interesados a través de la política de privacidad (y no mediante una política de cookies).
No será obligatorio obtener el consentimiento para el uso de cookies ni informar a los interesados mediante políticas de cookies.
C. Portal web de una administración pública que SÍ tenga consideración de servicio de la sociedad de la información
En este caso hay que remitirse a la totalidad de lo indicado en la Guía sobre el uso de las cookies de la AEPD.
Lo cual implica obtener el consentimiento para el uso de las cookies, informar a los interesados mediante la política de cookies y, en el caso de tratar datos de carácter personal, informar mediante la política de privacidad.
En qué casos un portal web de la AAPP se considera un servicio de la sociedad de la información
Como mencioné anteriormente, si el portal web de una AAPP es considerado un servicio de la sociedad de la información según la LSSI, debe cumplir los mismos requisitos que una entidad privada, incluido el consentimiento para el uso de cookies, entre otros.
Lo primero que hay que tener en cuenta es que la aplicabilidad de la LSSI debe analizarse por separado para cada dominio, canal y servicio que ofrezca una AAPP.
La clave está en determinar cuándo se considera un “servicio de la sociedad de la información” y cuándo no.
Os recomiendo consultar las Orientaciones sobre cookies y analítica web en portales de las Administraciones Públicas para comprender mejor este concepto.
A continuación, menciono algunos casos prácticos recogidos en el documento que pueden servir de ejemplo.
No se consideran “servicio de la sociedad información”:
- La gestión electrónica de la recaudación de tributos.
- La difusión de información sobre los servicios de un tercero (por ejemplo, la mera publicación en la página web de un ayuntamiento sobre las casas rurales del término municipal).
- El cobro de tasas.
Todas estas actividades se consideran funciones públicas o de interés general y, por lo tanto, son distintas de la “actividad económica” a la que hace referencia la LSSI.
Sí se consideran “servicio de la sociedad información”:
- La venta de libros.
- La venta de entradas.
- Un portal web de una Administración Pública que permita el uso de cookies de terceros a cambio de la inclusión de servicios web de terceros en dicho portal, siempre que estos servicios estén embebidos en el propio dominio o canal de la Administración Pública. Por ejemplo, captchas o servicios de verificación de humanos, vídeos, mapas o botones para compartir contenido en redes sociales.
En el caso de los servicios web de terceros, pueden incluirse algunos servicios de analítica web.
Los servicios de analítica web son un caso delicado, ya que se utilizan ampliamente en todo tipo de sitios web. La Guía sobre el uso de cookies para herramientas de medición de audiencia de la AEPD explica en qué condiciones las cookies empleadas para obtener estadísticas de tráfico o medir el rendimiento podrían estar exentas de consentimiento.
La lista de requisitos puede consultarse en la Guía. A mi juicio, es muy restrictiva y difícil de cumplir. Por ejemplo, establece que la información recopilada solo podrá conservarse por un máximo de veinticinco meses.
¿Hay que pedir consentimiento para utilizar Google Analytics?
No estoy completamente seguro en este aspecto. Si tienes información al respecto, te agradeceré mucho que la compartas en esta publicación de Linkedin; actualizaré el artículo si resulta pertinente.
Entiendo que Google Analytics forma parte de los servicios de terceros que utilizan cookies. Como consecuencia, el portal web pasaría a considerarse un “servicio de la sociedad de la información” según la LSSI, lo que implica la obligación de obtener el consentimiento para el uso de cookies.
Quizá, aunque no estoy seguro, sea posible configurar Google Analytics de manera que cumpla con los requisitos de la Guía sobre el uso de cookies para herramientas de medición de audiencia, lo que evitaría la necesidad de solicitar el consentimiento. Sin embargo, con los valores de configuración predeterminados y más habituales de Google Analytics, dichos requisitos no se cumplen.