La autoridad neerlandesa de protección de datos investiga el uso de banners de cookies engañosos y refuerza la exigencia de que rechazar el seguimiento sea tan fácil y visible como aceptarlo.
La Autoridad de Protección de Datos de los Países Bajos (AP) ha abierto investigaciones contra dos organizaciones que siguieron utilizando banners de cookies engañosos después de recibir orientaciones y una advertencia. Sus sitios web no mostraban un botón inmediatamente visible para rechazar las tecnologías de seguimiento, lo que aumentaba la probabilidad de que los visitantes aceptaran las cookies de seguimiento.
Estas investigaciones reflejan el paso de las recomendaciones de la autoridad a una supervisión formal cuando las organizaciones no corrigen las deficiencias en sus mecanismos de consentimiento. Desde 2024, la AP ha intensificado la vigilancia sobre la forma en que los sitios web solicitan el consentimiento para utilizar cookies de seguimiento y tecnologías similares. Según la autoridad, recientemente se ha advertido a unas 100 organizaciones de sectores como los medios de comunicación, la salud y el bienestar y los seguros. Aproximadamente el 70 % modificó sus banners tras la intervención, mientras que aquellas que no lo hagan podrían enfrentarse a una investigación y, potencialmente, a una sanción.
La investigación se centra en si rechazar el seguimiento es tan fácil como aceptarlo
La cuestión principal se centra en que los visitantes no deberían tener que buscar, desplazarse por la página o acceder a una capa adicional para rechazar el seguimiento cuando aceptarlo requiere una única acción visible. La AP señala que los banners de cookies deben incluir un botón de rechazo directamente visible junto a la opción de aceptación.
Más allá de tratarse simplemente de una preferencia de diseño, el consentimiento debe reflejar una decisión verdaderamente libre, informada e inequívoca. Una interfaz que destaque la opción de aceptar mientras dificulta el acceso a la de rechazar puede influir en el comportamiento de los usuarios y comprometer la validez del consentimiento obtenido.
El diseño de los banners de consentimiento forma parte de los controles de cumplimiento normativo
En ocasiones, las organizaciones consideran el banner de cookies como un componente técnico cuya gestión se delega en el equipo de marketing, una agencia web o una plataforma de gestión del consentimiento. El enfoque de la AP demuestra por qué debería integrarse en los controles internos de privacidad de la organización. El responsable del tratamiento sigue siendo responsable de las opciones que se presentan a los usuarios, la información que se facilita y las tecnologías que se activan tras cada elección.
Por tanto, una configuración conforme a la normativa exige algo más que incorporar textos estándar. El banner, la plataforma de gestión del consentimiento, el gestor de etiquetas y los scripts del sitio web deben funcionar de forma coordinada para garantizar que el seguimiento no esencial no comience antes de obtener el consentimiento, que se respete la decisión de rechazarlo y que una posterior retirada del consentimiento modifique efectivamente los flujos de datos.
Ofrecer opciones claras requiere algo más que añadir un botón de rechazo
La guía de la AP sobre banners de cookies claros y engañosos identifica otras prácticas que pueden comprometer la validez del consentimiento. Las opciones no deben aparecer premarcadas, las etiquetas de los botones deben ser claras y las alternativas para aceptar o rechazar deben mostrarse en la misma capa. La opción de rechazo no debe ocultarse dentro del texto, resultar difícil de leer ni exigir clics adicionales.
La información presentada antes de que el usuario tome una decisión debe explicar que se tratarán datos personales, identificar al responsable del tratamiento y describir las finalidades. Cuando se compartan datos con terceros, el banner debe proporcionar información significativa sobre dicha comunicación. Las organizaciones también deben explicar cómo puede retirarse el consentimiento antes de que el visitante tome una decisión y mantener posteriormente un mecanismo de retirada fácilmente accesible.
Las prácticas de seguimiento deben revisarse antes de rediseñar la interfaz
La revisión de un banner debe comenzar con una identificación precisa de las tecnologías utilizadas en el sitio web, y no limitarse a su redacción. Las organizaciones necesitan conocer qué cookies, píxeles, herramientas de almacenamiento local, kits de desarrollo de software (SDK) y técnicas de identificación mediante huella digital (fingerprinting) funcionan en cada página, qué información recopilan y qué terceros la reciben.
Este análisis permite clasificar correctamente las tecnologías esenciales, las de analítica limitada y las de seguimiento. También ayuda a evitar que el consentimiento se confunda con otras bases jurídicas. La AP advierte expresamente a las organizaciones de que no deben presentar el interés legítimo como si fuera una opción de consentimiento y recuerda que la publicidad personalizada no puede justificarse sin más sobre esa base.
Las herramientas de terceros no eximen de responsabilidad al operador del sitio web
Las plataformas de gestión del consentimiento pueden ayudar a analizar los sitios web, bloquear tecnologías antes de obtener el consentimiento y transmitir las preferencias de los usuarios. Sin embargo, las configuraciones predeterminadas y las plantillas de los proveedores pueden no reflejar el tratamiento real de la organización ni las expectativas de la AP. Los cambios en las herramientas de analítica, publicidad o contenido integrado también pueden introducir nuevos mecanismos de seguimiento sin que se actualice el banner correspondiente.
Por ello, los contratos deben complementarse con comprobaciones técnicas. Los responsables de los sitios web deben verificar qué elementos se cargan antes de que el usuario elija, después de aceptar, después de rechazar y tras retirar el consentimiento. También deben confirmar que las señales de consentimiento llegan a todos los destinatarios pertinentes y que las pruebas de las decisiones de los visitantes se conservan únicamente durante el tiempo necesario.
Los DPD deben comprobar en la práctica todo el proceso de consentimiento
Para los delegados de protección de datos (DPD), este anuncio ofrece una razón práctica para incorporar la gestión de cookies a sus actividades habituales de supervisión. Las comprobaciones deben abarcar las versiones de escritorio y móvil, los navegadores más habituales, las distintas configuraciones de idioma y las páginas que integran contenidos de terceros. El número de clics necesarios para aceptar y rechazar, su visibilidad y los textos utilizados deben compararse entre sí, en lugar de evaluarse de forma aislada.
La revisión también debe examinar si retirar el consentimiento es tan fácil como otorgarlo, si la decisión de rechazo se mantiene y si la organización puede demostrar qué información y opciones se presentaron al usuario en el momento correspondiente. Las capturas de pantalla, los registros de configuración, los resultados de los análisis técnicos y los historiales de cambios pueden aportar pruebas útiles, pero deben reflejar la experiencia real de los usuarios.
La tendencia sancionadora favorece las correcciones rápidas y aumenta el riesgo de retrasarlas
Las cifras de la AP muestran que las advertencias de la autoridad están impulsando cambios en el mercado. También ponen de manifiesto que una advertencia no debe tratarse como una comunicación informal que puede quedar sin resolver. Las dos investigaciones afectan a organizaciones que siguieron utilizando diseños engañosos pese a haber recibido explicaciones y advertencias.
Las empresas deberían responder a los requerimientos de las autoridades mediante un proceso de corrección documentado: conservar pruebas de la configuración original, identificar los tratamientos afectados, suspender las tecnologías de seguimiento cuestionables cuando sea necesario, implementar y comprobar las correcciones y aportar pruebas claras de su ejecución. Este mismo enfoque resulta útil incluso antes de que intervenga una autoridad de control.
Descubre cómo Aphaia ayuda a las organizaciones a gestionar el consentimiento de forma transparente
Aphaia ayuda a las organizaciones a evaluar sus tecnologías de cookies y seguimiento, revisar las interfaces de consentimiento, identificar los flujos de datos hacia terceros y traducir las expectativas regulatorias en medidas de cumplimiento viables. Las comprobaciones independientes y una asignación clara de responsabilidades pueden contribuir a garantizar que la experiencia ofrecida a los visitantes del sitio web sea coherente con la documentación de privacidad y la configuración técnica de la organización.
