El 1 de octubre 2020, la Autoridad Francesa de Protección de Datos (CNIL) publicó una versión revista de las directivas sobre los cookies y las tecnologías similares, con las propias recomendaciones finales sobre las modalidades prácticas para obtener el consentimiento de los usuarios a la memorización o al uso de cookies no esenciales y tecnologías similares en los propios dispositivos, así como una serie de FAQ.
El 18 julio 2020, la CNIL publicó las directivas para especificar las reglas aplicables al uso de cookies y tecnologías similares en Francia a la luz de los requisitos de consentimiento reforzados del GDPR, que tendrían que ser integrados desde recomendaciones para ofrecer las directivas a las empresas en la actuación de estas reglas, ofreciendo ejemplos concretos. El 14 enero 2020, la CNIL publicó una primera versión de las recomendaciones, que han sido en consulta hasta el pasado 25 febrero.
El 19 junio 2020, el más alto tribunal administrativo francés (el “Conseil d’Etat”) emitió una decisión de anulamiento parcial de las directivas.
El Conseil d’Etat anuló la disposición de las directivas que impone una prohibición general absoluta sobre los cookies wall que impiden a los usuarios que no permiten el uso de los cookies de tener el acceso a un sitio o a una aplicación , el mismo dia de la sentencia de la CNIL publicó una declaración en la cual anunciaba que abría revisto las propias directivas.
Los puntos clave de las nuevas directivas y recomendaciones incluyen:
El consentimiento del usuario que se obtendrá en cada sitio – La CNIL consideraba aceptable anteriormente exigir el consentimiento del usuario para un grupo de sitios si se informaba a los usuarios del alcance exacto de su consentimiento. Cuando entidades distintas del editor de la web establecen cookies no esenciales y esas cookies permiten rastrear la actividad del usuario a través de otros sitios, la CNIL recomienda encarecidamente que se solicite el consentimiento del usuario de forma individual para cada sitio.
Información que se ha de proporcionar a los usuarios para obtener su consentimiento informado: Las Directrices amplían ligeramente la lista de información que se ha de proporcionar como mínimo a los usuarios para obtener su consentimiento informado. Los usuarios no sólo deben ser informados de la identidad del encargado o encargados del tratamiento de los datos, de los fines del uso de cookies y tecnologías similares y de la existencia de su derecho a retirar el consentimiento, sino que también deben ser informados, al menos, de la forma en que pueden aceptar o rechazar las cookies y tecnologías similares y de las consecuencias de dicha aceptación o rechazo.
Capacidad de rechazar las cookies con la misma facilidad con la que se da el consentimiento – Tanto las directrices como las recomendaciones subrayan que debe ser igual de fácil aceptar o rechazar el uso de cookies. Las interfaces de consentimiento que incluyen sólo los botones de «aceptar todas» y «personalizar la configuración», en las que los usuarios pueden aceptar todas las cookies con un solo clic pero pueden rechazarlas con múltiples clics, no son legales. Si hay un botón de «aceptar todo», debe haber un botón de «rechazar todo» del mismo tamaño y nivel en la interfaz. Alternativamente, la interfaz de consentimiento puede incluir un enlace de «continuar sin aceptar». Debe quedar claro para los usuarios cómo pueden rechazar las cookies.
El rechazo de los usuarios se dedujo de su silencio: la CNIL había reconocido previamente la posibilidad de que los usuarios retrasaran su elección y recomendó que se colocara una «marca» en la interfaz de consentimiento a tal efecto. La CNIL cree ahora que el silencio, la falta de reacción o de acción por parte de los usuarios (aparte de un claro acto positivo que exprese su consentimiento) debe interpretarse como una negativa a colocar cookies en sus dispositivos.
Condiciones de exención de consentimiento más flexibles para las cookies analíticas: la CNIL ha considerado que las cookies analíticas podrían quedar exentas del requisito de consentimiento, con sujeción a condiciones estrictas, incluida la posibilidad de que los usuarios opten por no utilizarlas. En consecuencia, muy pocas soluciones analíticas podrían beneficiarse de la exención por consentimiento. La CNIL ha suavizado estas condiciones. Sin embargo, la exención por consentimiento sigue aplicándose únicamente a las cookies analíticas cuyo propósito se limita a medir la audiencia del sitio web o la aplicación sólo en nombre del editor de la web. Estas cookies analíticas sólo deben utilizarse para producir estadísticas anónimas y los datos personales recogidos mediante cookies no deben combinarse con otros datos o actividades de procesamiento y no deben compartirse con terceros.
Pared de galletas – Las directrices ya no imponen una prohibición general y absoluta de las «paredes de galletas». Sin embargo, la CNIL considera que esta práctica puede afectar a la libertad de consentimiento en algunos casos y que la legitimidad de la práctica debe evaluarse caso por caso. Además, si se pone en marcha un muro de cookies, se debe informar claramente a los usuarios de las consecuencias de sus elecciones, en particular de la imposibilidad de acceder al contenido del sitio o aplicación o servicio si no dan su consentimiento.
Próximos pasos – La CNIL concederá un período de transición de seis meses para cumplir con las nuevas normas de la Ley de Galletas (es decir, hasta finales de marzo de 2021), después del cual podrá realizar inspecciones para hacer cumplir las directrices. No obstante, de conformidad con la jurisprudencia del Consejo de Estado, la CNIL se reserva el derecho de adoptar medidas contra determinadas violaciones, en particular en el caso de violaciones especialmente graves del derecho a la intimidad. Además, durante el período de transición, la CNIL seguirá investigando las violaciones de las normas anteriores sobre la Ley de las Galletas. FUENTE: FEDERPRIVACY