Ley que sanciona a los que instalan cookies de Google Analytics y otros

La Ley de Cookies sí se aplica. Seré breve, en el sentido “letrado”.

La AEPD acaba de notificar a Santiago A. J., mi cliente, que se inicia un procedimiento sancionador contra una empresa que no cumple la Ley de Cookies (disculpad que no ponga los datos identificativos reales). La sanción por el incumplimiento leve (art. 38.4.g LSSI) de la Ley de Cookies (art. 22.2 LSSI) es de hasta 30.000 (art 39.1.c LSSI). La sanción podría ser de hasta 150.000€ (art. 39.b LSSI) si el incumplimiento fuera significativo (art. 38.3.i LSSI), pero no es el caso.

Recuerda que los titulares de páginas web profesionales ahora tienen que impedir que se instalen chivatos (o cookies) en los ordenadores de sus usuarios, a menos que estos hayan dado antes su consentimiento informado para ello: Cómo cumplir la Ley de Cookies.

La sanción, si finalmente la hay, recaerá sobre una empresa que instalaba cookies antes de obtener el consentimiento informado del usuario.

Las cookies investigadas son las siguientes:

• Google Analytics: Permite analizar el tráfico de la web. Cookies: __utma, __utmb, __utmc, __utmz
• Google Maps: Permite insertar un mapa en la web. Cookies: NID, PREF, SNID, Khcookie
• Google YouTube: Permite insertar vídeos en la web. Cookies: PREF, VISITOR_INFO1_LIVE, use_hitbox, YSC
• Google Adsense: Permite mostrar publicidad en la web. Cookie: PREF
• Google: Flash cookies o Local share objects asociada a Ytimg; id, asociada a Doubleclick
• WordPress: Permite analizar el tráfico de la web. Cookie: __qca
• Otras detectadas: Seevolution (svlu), Zopim (_zlcid y __cfduid); Magento (fronted y petlab)

Son cookies prácticas y sencillas de servicios que prácticamente todas las web profesionales tienen.

Estas cookies pueden bloquearse de forma sencilla, como hemos hecho en Abanlex: prescindimos de la cookie de WP deshabilitando las estadísticas de JetPack; la de YouTube no la necesitamos, por lo que marcamos la opción de “” para no instalar la cookie; y bloqueamos la de Analytics con un complemento.

Ante la duda de si las cookies de Google Analytics están o no incluidas en la prohibición, la respuesta es… sí. Están incluidas. Así lo indica claramente tanto la Directiva como el RD-l, también la LSSI, el GTA29 ayuda en esta interpretación y esta resolución de la AEPD lo re-re-reconfirma.

Lo que tenemos, por ahora, es solo un inicio del procedimiento sancionador dictado por el Director de la AEPD (art. 127 RLOPD). La AEPD ha ofrecido al denunciado la posibilidad de presentar alegaciones o de reconocer su responsabilidad.

Fácticos son, por ahora, los cuatro siguientes:

1. La web del denunciado informaba sobre el hecho de que usa cookies: “Utilizamos cookies…” mediante un aviso no accesible desde todas las páginas.
2. En septiembre de 2012: El denunciante presenta la denuncia.
3. En enero de 2013, el denunciado aumenta el contenido de su aviso informativo: Sigue confirmando que las cookies ya se han instalado en el dispositivo del usuario y que si este no las quiere debe configurar su navegador, independientemente de cuál sea, para que las bloquee.
4. En julio de 2013 la AEPD inicia el procedimiento sancionador.

La AEPD ha realizado tres pruebas en diferentes momentos:

1. Google Chrome en el equipo del Subinspector.
2. IE8 y Google Chrome en el equipo del Subinspector.
3. Mozilla Firefox portable v.21 con Firebug v1.11.3 instalado.

Destaco el detalle de que la AEPD haya usado Firebug, además de haber auditado con varios navegadores. En mi caso, uso bastante Safari y Ópera, como la mayoría de los iPhoneros, no obstante, considero acertada la elección de la AEPD. Esta elección nos muestra algo más: los bloqueos de cookies por navegador deben tener en cuenta que hay multitud de navegadores (Konqueror, Arora, Flock, Camino), de versiones y de configuraciones.

También destaco que en este caso han sido cookies los «dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios» (art. 22.2 LSSI) estudiados, pero podrán ser otros en casos diferentes, como las etiquetas ETag o y ciertas librerías, con especial atención a las apps y los videojuegos.

La AEPD, asimismo, encargó la elaboración de una Guía sobre el uso de las cookies. Su plazo de solicitud y publicación coincide con el plazo del análisis del caso, por lo que parece indicar que o el caso se ha reconvertido en guía, o ésta ha ayudado a solucionar el caso. El contenido de la guía es sencillo y supongo que orientará a algunos.