En esta tercera entrega de Todo lo que tienes que saber para adaptar tu web WordPress al RGPD, te hablaré de qué son las cookies, de qué tipos pueden ser y cómo adecuar la política de cookies y el aviso de cookies de tu web al RGPD
Índice de contenidos
Como no quiero extenderme con esto, aquí sólo me limitaré a definirte de manera resumida qué es eso de las cookies (pero si quieres informarte de manera más extensa sobre ellas, te animo a leer el post que dediqué al episodio 19 de mi podcast, titulado El coco y las cookies).
Las cookies son pequeños archivos de información en formato texto que se instalan en el navegador del usuario al visitar tu web o interactuar con ella.
Cuando en tu web permites que se recuerden los datos de inicio de sesión del usuario, cuando permites que se recuerden las preferencias de idioma al visitarla, cuando pones botones de compartir en redes sociales, cuando incluyes enlaces de afiliado para recomendar productos o instalas aplicaciones del tipo Google Analytics que te permiten hacer estadísticas de uso del sitio, estás usando cookies.
Si quieres informarte más sobre qué cosas implican usar cookies en tu sitio web, puedes echarle un vistazo a la Guía sobre las normas de uso de cookies que ha creado la AEPD.
Pero ya te digo que, hoy en día, es prácticamente imposible encontrar alguna web que no incluya cookies.
Para empezar, conviene remarcar que existen una serie de cookies exceptuadas, es decir de cuyo uso no es necesario informar y que no precisan consentimiento por parte del usuario a la hora de ser instaladas (en general, se trata de cookies técnicas y de personalización).
Tal es el caso de las cookies de sesión y entrada del usuario, las de seguridad, las de sesión de reproducción multimedia, las de sesión para equilibrar la carga, las de personalización de la interfaz, de complemento (plug-in) para intercambiar contenidos sociales.
Para instalar cualquier otro tipo de cookies de manera legal, tenemos que informar al usuario y tenemos que obtener su consentimiento antes de instalarlas.
¿De qué otro tipo de cookies hablamos?
- De las cookies de análisis: permiten seguir y analizar el comportamiento de los usuarios en los sitios web (lo que hace p. ej. Google Analytics).
- De las cookies publicitarias: permiten la gestión eficaz de los espacios publicitarios incluidos en una web.
- De las cookies de publicidad comportamental: como las publicitarias, pero en este caso permiten desarrollar un perfil específico del usuario para mostrarle publicidad en función del mismo.
En cualquier caso, como las cookies no exceptuadas se instalan en los dispositivos de los usuarios, para respetar su derecho a la privacidad y facilitarles el tomar decisiones informadas al respecto, tenemos que hacer dos cosas:
- Informar de que usamos cookies, de qué tipo son las cookies que usamos y con qué finalidad lo hacemos.
- Obtener el consentimiento del usuario antes de instalárselas.
Además, esa información, así como la información relativa a cómo el usuario puede revocar el consentimiento dado en un momento dado, la de cómo puede eliminar esas cookies que un día le instalamos y la de cómo puede gestionarlas, deberemos de tenerla accesible de manera permanente en nuestra web y tendremos que ofrecerla en un lenguaje comprensible para la mayoría de usuarios.
Precisamente de eso va el texto legal de la Política de cookies, que puede ir incluido en la Política de Privacidad (en este caso deberá destacarse de manera suficiente dentro del resto del texto y se deberá de facilitar la opción de acceder directamente a ella) u ofrecerse por separado para una mayor claridad.
En cualquier caso tiene que estar en un lugar bien visible y puede ofrecerse de diferentes maneras:
- En una barra en el encabezamiento o pie de página.
- Junto con la Política de Privacidad, en los términos y condiciones de un servicio antes de contratarlo.
- Haciendo uso de dos capas de información.
Información en dos capas
Quizás eso de “información en dos capas”, así de primeras, te suene un poco a chino, pero seguro que si te digo que eso es lo que se hace con los famosos avisos de cookies que encontramos nada más entrar en cualquier web, ya lo entiendes mejor.
En estos avisos (primera capa) tenemos que dar una información básica sobre las cookies que usamos en el sitio: tipo de cookies, finalidad, advertencia de que determinada acción del usuario supondrá la aceptación de su uso (p.ej. seguir navegando, hacer clic en un botón de “Aceptar”, etc.) y un enlace a la información más detallada sobre las cookies de nuestro sitio (lo que constituye la segunda capa, lo que viene a ser la “Política de Cookies” o la “Política de Privacidad y Cookies” si es el caso).
Esa información de la primera capa debe de permanecer en pantalla hasta que el usuario lleve a cabo la acción requerida para su aceptación o rechazo.
A propósito de la aceptación del uso de cookies por parte del usuario, siempre habrá que requerirle una acción consciente para confirmar su consentimiento y ofrecerle también la opción de rechazar la instalación de cookies (aún cuando eso signifique que no podrá disfrutar del sitio web en plenas condiciones o, directamente, que no disfrutar de él).
El consentimiento se puede llevar a cabo de diferentes formas, por ejemplo, mediante una acción tipo “clic” o mediante un comportamiento determinado (p. ej. hacer scroll o usar la barra de desplazamiento y continuar navegando, aunque para el usuario tendrá que tener visible la información sobre cookies con antelación, es decir, sin necesidad de realizar dicha acción para poder verla).
Podéis encontrar un ejemplo de este tipo de texto en la guía sobre el uso de cookies que os he enlazado más arriba. Y también podéis ver cómo se aplica de manera práctica en mi web Tesacu.com, si entráis por primera vez o si lo hacéis usando el modo incógnito de vuestro navegador.
En cuanto a la segunda capa (texto de la Política de Cookies), tiene que contener la siguiente información:
- Definición y función de las cookies.
- Información sobre el tipo de cookies que usa la página web y su finalidad (en formato listado o cuadro).
- Información sobre la forma de desactivar o eliminar las cookies enunciadas y la revocación del consentimiento ya prestado (basta con enlazar a las herramientas que cada uno de los navegadores más usados tiene habilitadas para ello).
- Información sobre la identificación de quien usa las cookies: nosotros mismos (en el caso de las cookies propias) o terceras personas o entidades (en este caso también hay que identificarlas).
Mientras nuestro uso de las cookies no cambie, no es necesario obtener el consentimiento del usuario en cada sesión (con que lo acepte una vez sería suficiente). Si el uso que hacemos de ellas en nuestro sitio web cambia, tendremos que volver a informar y obtener de nuevo el consentimiento.
En el caso de que prestemos servicios desde más de una web (p. ej. cuando usamos un dominio como principal y otro como secundario para alojar cursos u ofrecer un área privada), bastará con incluir los diferentes dominios en la Política de Privacidad y Cookies y no habrá que informar y obtener el consentimiento en cada uno de ellos, siempre que ambos sean de nuestra titularidad y ofrezcan contenidos y características similares con la finalidad de prestar servicios solicitados por el usuario.
Seguramente, te estarás preguntando ¿pero cómo demonios sé yo qué cookies instala mi web a las personas que entran en ella?
A veces no es tarea fácil saberlo y si no lo sabemos ¿cómo vamos a dar cuenta de ellas?
Tranqui, que aquí te traigo unas cuantas opciones:
- Estando en tu propia página web y utilizando el inspector web de tu navegador: vas al apartado de Aplicaciones y, dentro de éste, al de Cookies, y podrás ver todas las que carga.
- Instalando una extensión en tu navegador Google Chrome que se llama Awesome Cookie Manager (existen extensiones similares para otros navegadores) y haciendo «clic» sobre ella mientras estás dentro de tu web, podrás ver qué cookies instala.
Ambas opciones informan, además, del tiempo de permanencia de cada una de las cookies. Con lo que lo tienes bastante fácil.
¡Otra cosa!
Te aconsejo que pruebes a mirar las cookies antes y después de aceptar el aviso de cookies de tu web, así sabrás también si el plugin que usas para ello es realmente efectivo a la hora de cumplir la legalidad marcada por el RGPD o no.
Hasta ahora, puedo decirte que he probado y experimentado con muchos plugins para cumplir con el RGPD en el tema de las cookies y que muchos no cumplen lo que dicen o lo hacen perjudicando el rendimiento de la web.
De hecho, yo en mis webs lo he resuelto usando Google Tag Manager, pero como depende de factores específicos de cada cada web y es algo complejo de implementar, te dejo por aquí un par de plugins que te pueden facilitar el cumplimiento del RGPD en el tema de las cookies.
- Añade el consentimiento de cookies y da total control sobre él al visitante.
- Añade la casilla de verificación obligatoria en los plugins soportados.
- Guardar prueba del consentimiento de los plugins soportados (WooCommerce, Contact Form 7, Gravity Forms…).
- Implementa el aviso de cookies (personalizable de acuerdo con la estética de tu web).
- Bloquea las cookies hasta la aceptación por parte del usuario.
- Incluye un módulo para auditar las cookies que instala la web y referirlas en la política de cookies.
- Permite al administrador de WordPress añadir detalles sobre las cookies utilizadas.
- Es compatible con plugins de traducción como WPML y qTranslate.
Elijas la opción que elijas, no olvides probar si realmente bloquea las cookies de tu web o no hasta que el usuario las acepta.
El tema de las cookies es muy puntilloso porque, como te digo, no es tan generalizable y lo que puede funcionar en una web, puede no funcionar en otra.
Si estás usando otra solución en tu web para bloquear las cookies y te funciona, puedes compartirla en los comentarios para ayudar a más gente.
Espectacular! Super claro y aplicable. Exactamente la información que estaba buscando. Muchas gracias!
¡Muchas gracias, Flor! :-)
La verdad es que lo de las Cookies tiene tela, porque depende mucho de las funcionalidades que use cada web, los plugins que tenga instalados y demás. Lo que en una web puede funcionar, en otra no (en cuanto al aspecto técnico me refiero), o en una web puede funcionar sin afectar al rendimiento y en otra sí lo afecta, o funciona durante un tiempo y de repente instalamos algo nuevo o se actualiza algo y lo que teníamos deja de servir.
Se trata de algo que hay que estar revisando cada cierto tiempo…
A mí misma dejó de servirme el Ginger en esta web y tuve que buscarme la vida de nuevo para encontrar otras opciones… cada web de las que tengo es un caso diferente.
Espero que te funcione ;)
Gracias por el comentario.
En que legislacion dice que las cookies son obligatorias?
Que las cookies son obligatorias no lo dice ninguna legislación (ni yo tampoco). Lo que sí dice la legislación es que si tu web las instala al usuario que la visita, además de avisarle, tienes que llevar a cabo obligatoriamente una serie de acciones.
Tienes toda la información en la guía de cookies creada por la AEPD que enlazo en el artículo. Échale un vistazo.
Saludos :-)
Hola Teresa:
Te felicito, es la web con información más clara y precisa sobre el tema de las cookies y el cumplimiento con el RGDP.
Instalé Ginger en mi web, pero como a ti tampoco funciona bien. Este que tienes observo que bloquea las cookies hasta que aceptas. Lo que no encuentro qué plugin es. ¿Serías tan amable de decirme qué plugin es o dónde encontrarlo?
Una duda más: observo que en tu política de cookies no relacionas las cookies instaladas, yo pensaba que era obligatorio relacionarlas.
Gracias y recibe un saludo cordial,
José Ramón
Gracias, José Ramón.
Si te interesa el tema, estate atento, porque en breve actualizaré varios posts, ya que ya está disponible la nueva LOPD (adaptación española del RGPD). No es que cambie mucho respecto del RGPD, porque el RGPD está por encima de ésta, pero alguna variación hay.
En cuanto a lo del plugin, no lo encuentras porque no lo uso. Lo hago sin plugin. Pero todo depende de lo que tengas instalado en tu web y de las cookies que instales al usuario.
Y ya no es obligatorio relacionar las cookies, sólo decir de que tipo son y su función.
Saludos.
Teresa
Buenas al visitar tu web veo que la barra de cookies me da la opcion de acepto como la de no acepto. Es obligatorio por ley incluir el boton o enlace de no aceptar? Es aconsejable si voy a monetizar con adsense? Veo que muchas webs no lo llevan y no se si es porque no es obligatorio o porque no se han actualizado. Un saludo.
Hola, Rafa.
El botón de “No aceptar” no es obligatorio. Lo que te dice el reglamento es que tienes que dar la opción de no aceptar las cookies al usuario (eso sí es obligatorio). La forma cómo lo hagas ya depende de ti.
Hay webs que no dejan navegar al usuario si no acepta las cookies (es el caso de las webs de las cadenas de TV, por ejemplo, que viven de la publicidad), pero lo tienen bien implementado y no instalan ni una cookie al usuario si no acepta antes. Eso sí, le obliga a aceptar o irse (esto es legal en el caso de este tipo de webs, pero en otro tipo de web puede no ser legal; depende de la naturaleza de la web).
Y luego hay otras webs que no lo tienen bien implementado y no incluyen el botón de “No aceptar”, pero permiten navegar al usuario sin que haya hecho clic antes en “Aceptar” y le instalan las cookies. Eso es ilegal.
Para saber si una web cumple o no, hay que ver qué tipo de cookies instala y en qué momento lo hace (antes o después de la aceptación).
Espero haberte aclarado el asunto.
Saludos.
Hola, gracias por tu texto. Está muy claro.
Tengo una consulta respecto a lo que dices en el anterior comentario:
«Y luego hay otras webs que no lo tienen bien implementado y no incluyen el botón de “No aceptar”, pero permiten navegar al usuario sin que haya hecho clic antes en “Aceptar” y le instalan las cookies. Eso es ilegal».
Es que en mi caso, no tengo botón de «no acepto», pero en el banner dejo claro que si sigue navegando en la web, entonces acepta las cookies. Si no da «aceptar», igual puede navegar, y luego las cookies se instalan. Piensas que está mal?
Gracias por la info!
Hola, Andrea.
Eso no es legal. Mira los comentarios de más abajo, donde ya lo preguntaron y lo tienes explicado.
¡Saludos! :-)
Buenas tardes, agradecerte que hayas publicado de forma tan clara este tema tan enrevesado. Yo mismo me he llevado un par de días en la web de la AEPD intentando comprender el asunto, con resultados pocos satisfactorios.
Tengo una duda, yo quiero hacer una página con enlaces de afiliados, ¿tengo que informar de las cookies que pueden dejar las páginas a las que enlazo?.
Un abrazo y muchas gracias.
Hola, Jose.
Sí, claro, tienes que informar, tanto en el aviso de cookies como en la política de cookies.
Un abrazo.