Grandes empresas que hacen uso ilegal de cookies.

[Raquímedes]

Hola!

Me llamo Raquel, soy nuevecita en el foro. Me he registrado siguiendo el consejo de un profesor, para ver si podéis echarme un cable.

Hace unas tres semanas me creé un canal en Youtube y subí este vídeo sobre el uso ilegal de cookies por parte de grandes entidades, que incluye fragmentos de la grabación de la sesión abierta de la AEPD sobre el RGPD y extractos del texto con las directrices para el consentimiento del GT29:

[youtube=640,360]https://www.youtube.com/watch?v=QHS7J_awf4c&t=1s[/youtube]

Como por ahora el vídeo no alcanza (ni siquiera... xD) ni 900 (miserables...) reproducciones, he pensado que, para atraer tráfico, podría intentar modificar las páginas de Wikipedia de esas 50 entidades añadiéndoles un apartado tal como por ejemplo "Acusaciones por uso ilegal de cookies", o algo similar, que me permitiera hablar de cada caso individualmente y hacer referencia a mi tristemente desconocidísimo vídeo.

Entonces, antes de ponerme el chaleco de dinamita, me gustaría que si, por casualidad, alguno de vosotros está interesado en esta materia, le echaseis un vistazo al vídeo para asegurar que no me meto en un lío de cojones xD La información relevante empieza a partir del minuto 1:51 aproximadamente.

Muchas gracias en cualquier caso

[Markks]

Hola, me gusto tu video pero no te recomiendo que hagas eso en wikipedia... Saludos

[Raquímedes]

Hola Markks! Muchas gracias por responder! Lo cierto es que ni siquiera estoy muy segura de que pudiera llegar a hacerse una edición de casi 50 páginas de Wikipedia desde una misma cuenta en un periodo de tiempo corto sin que salte algún filtro de Wikipedia que mande todo al carallo, como decimos aquí en Galicia xD. Lo mismo incluso me bloquearían la cuenta.

Aunque supongo que tu recomendación viene más por si me meto en un problema legal con alguna de las empresas, no?

[#!drvy]

Sinceramente, estas tratando y exagerando solo un apartado de los varios que hay sobre la ley.

Hay varios "niveles" regulados por las normativas europeas sobre cookies. El primer nivel, las cookies funcionales son las que: no hace falta pedir permiso, se pueden iniciar desde primer instante, se debe informar sobre su uso.

En este caso, estas exponiendo ejemplos de como estas compañías están utilizando cookies (avisan de ello) pero no expones que tipo de cookies y por lo tanto, no sabes/sabemos si utilizan cookies de analíticas sin o con consentimiento o simplemente están avisando de que utilizan cookies funcionales y piden permiso para utilizar cookies de un nivel más "invasivo".

Segundo, estas basándote en una conferencia, que no es una ley. La ley no define ninguno de esos puntos de forma explicita, lo que se ve en el vídeo son simples recomendaciones/sugerencias.

La ley dice esto:

2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones.

Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.

Y ya.

Por otro lado estas mezclando cosas. La RGPD no tiene casi nada que ver con la ley de Cookies.. El único momento en el que las cookies entran a formar parte del RGPD es cuando son usadas para "elaborar perfiles de las personas físicas e identificarlas", por lo tanto, todo el GT29 (Directrices para el consentimiento) NO tienen nada que ver con las Cookies.

....

En fin, lo primero que tendrías que hacer para demostrar que esas empresas están incumpliendo la ley, es asegurarte de que las cookies sobre las que avisan no son técnicas sino que se utilizan para "elaborar perfiles de las personas físicas e identificarlas". Luego tendrías que mirar si realmente es ilegal el informar o pedir la aceptación tal y como se hace y no simplemente basarte en una directriz para decir que es incorrecto y/o ilegal.


Dicho esto, en mi opinión, la única culpa aquí la tiene la burocracia europea que no sabe como funciona un CDN o una simple comunicación y que se han puesto a legislar gilipolleces con las que casi nadie puede cumplir de forma adecuada (refiriendome estrictamente a la ley de cookies).


Pero vamos, el video es un poco desinformativo pues asumes desde el primer momento que las cookies solo sirven para trackearte y desde luego, no te recomiendo para nada crear una sección para cada una de estas empresas en la Wikipedia pues lo que va a pasar es que te van a banear el usuario y punto.

Saludos

[Raquímedes]

Creo que tú mismo te respondes a muchas de tus argumentaciones, pero igualmente daré explicaciones:

las cookies funcionales son las que: no hace falta pedir permiso, se pueden iniciar desde primer instante, se debe informar sobre su uso.

estas exponiendo ejemplos de como estas compañías están utilizando cookies (avisan de ello) pero no expones que tipo de cookies y por lo tanto, no sabes/sabemos si utilizan cookies de analíticas sin o con consentimiento o simplemente están avisando de que utilizan cookies funcionales y piden permiso para utilizar cookies de un nivel más "invasivo"

Me parece evidente que no se trata de cookies funcionales cuando

1. Los avisos de cookies de estas compañías hacen referencia a funciones que no son las imprescindibles para el correcto funcionamiento de la web, como "personalización de contenidos", "ofrecerte publicidad basada en tus intereses", "mejorar nuestros productos"...

2. Como bien dices, el uso de cookies funcionales es legítimo y no requiere consentimiento del usuario, por tanto, si estas compañías están solicitando consentimiento ("Si sigues navegando consideramos que aceptas su uso" "Al navegar por la web aceptas el uso que hacemos de las cookies") únicamente puede ser porque están haciendo uso de ciertos tipos de cookies cuyo uso sí tiene que consentir el usuario.

estas basándote en una conferencia, que no es una ley. La ley no define ninguno de esos puntos de forma explicita, lo que se ve en el vídeo son simples recomendaciones/sugerencias

Si utilizo como base una conferencia que utiliza como base la ley, estoy utilizando como base la ley. La conferencia no está haciendo sugerencias o recomendaciones, está explicando la ley: lo que se considera consentimiento informado y lo que no, lo que se considera consentimiento inequívoco y lo que no, lo que se considera consentimiento libre y lo que no.

Por otro lado estas mezclando cosas. La RGPD no tiene casi nada que ver con la ley de Cookies.. El único momento en el que las cookies entran a formar parte del RGPD es cuando son usadas para "elaborar perfiles de las personas físicas e identificarlas", por lo tanto, todo el GT29 (Directrices para el consentimiento) NO tienen nada que ver con las Cookies.

Esto es totalmente falso. El RGPD tiene mucho que ver con la ley de cookies puesto que define los requisitos del consentimiento para el uso de cookies. No entiendo que digas que las directrices sobre el consentimiento para el uso de cookies del GT29 no tienen que ver con las cookies, no tiene ningún sentido. Las directrices del GT29 ofrecen indicaciones para una obtención del consentimiento para el uso de cookies coherente al RGPD. Cómo no va a tener que ver con las cookies? Cuando además en el vídeo incluyo fragmentos íntegros de estas directrices donde se hace referencia exclusivamente a los avisos de cookies.

asegurarte de que las cookies sobre las que avisan no son técnicas sino que se utilizan para "elaborar perfiles de las personas físicas e identificarlas". Luego tendrías que mirar si realmente es ilegal el informar o pedir la aceptación tal y como se hace y no simplemente basarte en una directriz para decir que es incorrecto y/o ilegal.

A esto ya he respondido arriba. La ley dice que el consentimiento tiene que ser informado (y no lo es), inequívoco (y no lo es), y libre (y no lo es). La ley ofrece definiciones de lo que se considera informado, inequívoco, y libre. Lo que, naturalmente, no puede hacer la ley, es hacer una valoración de todos y cada uno de los casos que pueden producirse a lo largo y ancho de internet.

Creo que está claro que si a una persona le dices "Usamos cookies para ofrecerte contenido basado en tus intereses" esa persona no puede deducir cuál es realmente el uso que se hace de las cookies, ni tan siquiera sabrá seguramente qué coño son las cookies (y según la ley el consentimiento se considerará informado cuando el sujeto de los datos pueda determinar con claridad el alcance y repercusión totales consecuentes a dar su consentimiento). Igualmente claro está que "Si sigues navegando aceptas su uso" no puede considerarse un consentimiento libre, sino más bien una contraprestación del servicio, ya que no puedes negarte salvo que dejes de hacer uso de las webs, ni inequívoco, porque puedes ni haberte leído el aviso de cookies. Y lo mismo para todos los ejemplos del vídeo.

Pero vamos, el video es un poco desinformativo pues asumes desde el primer momento que las cookies solo sirven para trackearte

Yo no asumo que las cookies solo sirven para trackear, es que el vídeo habla de las cookies que se usan para trackear.

Sospecho que tienes una página web con un aviso de cookies similar a los que denuncio en el vídeo, es así?

[#!drvy]

1. Los avisos de cookies de estas compañías hacen referencia a funciones que no son las imprescindibles para el correcto funcionamiento de la web, como "personalización de contenidos", "ofrecerte publicidad basada en tus intereses", "mejorar nuestros productos"...

Eso es parte del mensaje que pide el consentimiento, por eso el texto está al lado de un botón de "Aceptar".

Si utilizo como base una conferencia que utiliza como base la ley, estoy utilizando como base la ley. La conferencia no está haciendo sugerencias o recomendaciones, está explicando la ley: lo que se considera consentimiento informado y lo que no, lo que se considera consentimiento inequívoco y lo que no, lo que se considera consentimiento libre y lo que no.

La ley no dice nada de eso.

https://www.aepd.es/agencia/transparencia/jornadas/common/10-sesion/4-jesus-rubi.pdf

Es una presentación. No forma parte de la ley ni nada parecido. De hecho en la página 6 tienes un ejemplo de como el "si sigues navegando..." puede seguir funcionando.

La ley LSSI dice en su Articulo 22, puto 2:
https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758&p=20140510&tn=1#a22

2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.

La Ley Orgánica 15/1999 sobre la Protección de datos de Caracter personal en su Articulo 3, punto h, define que eso es:

Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.

Y ya.. las interpretaciones que pueda hacer cada uno de esas palabras son cosas a discutir en el ámbito personal, habría que acudir ante un juez / tribunal para saber que opinan ellos...

Esto es totalmente falso. El RGPD tiene mucho que ver con la ley de cookies puesto que define los requisitos del consentimiento para el uso de cookies. No entiendo que digas que las directrices sobre el consentimiento para el uso de cookies del GT29 no tienen que ver con las cookies, no tiene ningún sentido. Las directrices del GT29 ofrecen indicaciones para una obtención del consentimiento para el uso de cookies coherente al RGPD. Cómo no va a tener que ver con las cookies? Cuando además en el vídeo incluyo fragmentos íntegros de estas directrices donde se hace referencia exclusivamente a los avisos de cookies.

Te invito a leerlo:
https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32016R0679&from=EN

La palabra "cookies" aparece una vez en todo el texto:

(30) Las personas físicas pueden ser asociadas a identificadores en línea facilitados por sus dispositivos, aplicaciones, herramientas y protocolos, como direcciones de los protocolos de internet, identificadores de sesión en forma de «cookies» u otros identificadores, como etiquetas de identificación por radiofrecuencia. Esto puede dejar huellas que, en particular, al ser combinadas con identificadores únicos y otros datos recibidos por los servidores, pueden ser utilizadas para elaborar perfiles de las personas físicas e identificarlas.

Es decir, aplica a las cookies solo cuando se trata de "elaborar perfiles de las personas físicas e identificarlas.".

Creo que está claro que si a una persona le dices "Usamos cookies para ofrecerte contenido basado en tus intereses" esa persona no puede deducir cuál es realmente el uso que se hace de las cookies, ni tan siquiera sabrá seguramente qué coño son las cookies (y según la ley el consentimiento se considerará informado cuando el sujeto de los datos pueda determinar con claridad el alcance y repercusión totales consecuentes a dar su consentimiento).

Para eso esta la "segunda capa", donde se informa de donde proviene cada cookie, para que sirve, y quien la maneja. Cabe destacar que esa segunda capa, se puede mostrar en una segunda página.


No tiene mucho sentido discutir todo eso, ambas "leyes" han sido creadas por burocráticos con conocimiento mínimo sobre como funciona Internet.


Saludos

[Raquímedes]

https://www.aepd.es/agencia/transparencia/jornadas/common/10-sesion/4-jesus-rubi.pdf

Es una presentación. No forma parte de la ley ni nada parecido.

Pero es una presentación cuyo propósito es explicar la ley.

La ley LSSI dice en su Articulo 22, puto 2:
https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758&p=20140510&tn=1#a22

2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.

La Ley Orgánica 15/1999 sobre la Protección de datos de Caracter personal en su Articulo 3, punto h, define que eso es:

Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.

En la misma presentación, en la página 2, dice lo siguiente en relación al art. 22.2 de la LSSI:

"En tanto que la LSSI, en su art. 22.2, se remite a la Ley Orgánica 15/1999,
de protección de datos de carácter personal, en lo relativo a los requisitos
del consentimiento informado, a partir del 25 de mayo esta remisión deberá
entenderse hecha al RGPD. En definitiva, los requisitos aplicables al
consentimiento informado para el uso de cookies serán los establecidos en
el RGPD."

Que es lo que trataba de explicar en cuanto a la relación del RGPD y las cookies.

Y ya.. las interpretaciones que pueda hacer cada uno de esas palabras son cosas a discutir en el ámbito personal, habría que acudir ante un juez / tribunal para saber que opinan ellos...

El objetivo de las directrices proporcionadas por el GT29, y el de esa sesión de la AEPD es enseñar a interpretar correctamente la ley, aunque desde luego que, al menos la AEPD, ha rizado bastante el rizo en algunos puntos, como en lo de "seguir navegando".

De hecho en la página 6 tienes un ejemplo de como el "si sigues navegando..." puede seguir funcionando.

En la sesión de la AEPD, Jesús Rubí dice esto "Hay sitios web que incorporan un botón de aceptar, pero aunque no se pinche el botón de aceptar, utilizan las cookies si el usuario sigue con la navegación, y no han informado previamente de que, en realidad, la modalidad de obtención de consentimiento es ésa" (se refiere a "pulsar el botón de aceptar").

Creo que la página 6 de la presentación es un lamentable intento de la AEPD de salir algo airosa de la épica metedura de pata que cometieron en su Guía para la Adaptación de las Empresas de enero de 2017, donde contradijeron descaradamente las directrices del GT29 diciendo lo siguiente:

"El consentimiento puede ser inequívoco y otorgarse de forma implícita cuando se deduzca de una acción del interesado (por ejemplo, cuando el usuario continúa navegando por una web y acepta así que el se utilicen cookies para monitorizar su navegación)"

Porque es del todo incongruente que digan que la fórmula "seguir navegando" puede seguir siendo válida si se refuerza la toma de decisiones sobre cookies, al mismo tiempo que dicen que "la modalidad de obtención de consentimiento válida es pulsar el botón de aceptar", al mismo tiempo que dicen que "la inclusión del botón de aceptar y la opción de seguir navegando deben considerarse incompatibles puesto que inducen a error en la manifestación del consentimiento".

Además, es de coña también que, en la página 6, como fórmula para reforzar la toma de decisiones sobre cookies y que la opción de "seguir navegando" sea válida se plantea incluir un botón de aceptar y otro de rechazar, o bien uno de aceptar y otro de configurar (blablabla...). Porque según esto, entonces, estamos en las mismas: la web no obtiene el consentimiento mientras el usuario no pulse el botón de aceptar, por lo tanto, ¿"seguir navegando" qué papel juega en eso? ninguno xD

Sea como sea, ninguna web cumple tampoco con las "fórmulas de refuerzo de toma de decisiones sobre cookies".

En cualquier caso, el GT29 es una autoridad superior a la AEPD y por tanto si el GT29 determina que no ha de usarse la fórmula de "seguir navegando", da igual lo que diga la AEPD.

Para eso esta la "segunda capa", donde se informa de donde proviene cada cookie, para que sirve, y quien la maneja.

La primera capa tiene que ofrecer una información básica general sobre el tipo de cookies y su finalidad, la mínima necesaria al menos para que si el usuario pulsa "aceptar" su consentimiento pueda considerarse "informado".

No tiene mucho sentido discutir todo eso, ambas "leyes" han sido creadas por burocráticos con conocimiento mínimo sobre como funciona Internet.

Esto último por ahora no voy a discutírtelo mucho... tengo que investigarlo más a fondo xD

Gracias por responder de todas formas, aunque no estemos del todo de acuerdo ^^

[Machacador]

No me gusto el vídeo(solo vi la mitad)... es poco atractivo y el lenguaje es algo vulgar... ademas de que no incluye perros... grrrrrrrrr...



Saludos.

[Raquímedes]

Pues justamente iba a incluir perros en mi siguiente vídeo! pero ahora ya no los incluyo! 

jajajajaj