martes, 1 de octubre de 2019

Precisiones acerca del consentimiento en materia de cookies


               La sentencia del Tribunal de Justicia de hoy en el asunto C-673/17, Planet49, EU:C:2019:801 aborda la ineficacia de las casillas marcadas por defecto como declaración del consentimiento en relación con el almacenamiento de información o el acceso a información almacenada en el equipo terminal del usuario de un sitio de Internet a través de cookies. En línea con el planteamiento adoptado hace ya años por el llamado Grupo de Trabajo del artículo 29, entre otros, en su Dictamen 15/2011 sobre la definición de consentimiento (al que me referí al tiempo de su publicación aquí), y avalado por el Abogado General en sus conclusiones en este asunto, el Tribunal de Justicia rechaza la eficacia de tales casillas, en las que el usuario debe retirar la marca en caso de que no desee prestar su consentimiento, a los efectos del artículo 5.3 de la Directiva 2002/58 sobre la privacidad y las comunicaciones electrónicas (pendiente, por cierto, de revisión para su adaptación al marco del Reglamento (UE) 2016/679 o RGPD, respecto del que el Tribunal confirma que es claro que ese tipo de casillas no son eficaces para prestar el consentimiento en materia de tratamiento de datos personales, que conforme al RGPD requiere una manifestación de voluntad “libre, específica, informada e inequívoca” (apdos. 61 y 62 de la sentencia).


               El Tribunal considera que también en el marco del artículo 5.3 de la Directiva 2002/58 relativo a las cookies se requiere un comportamiento activo por parte del usuario, pues solo en este caso cabe entender que hay una manifestación de consentimiento (apdo. 52). La no desactivación por parte del usuario de la casilla premarcada se considera que no es suficiente para apreciar un consentimiento informado, ya que “no puede descartarse que dicho usuario no haya leído la información que acompaña a la casilla marcada por defecto, o que ni tan siquiera la haya visto, antes de proseguir con su actividad en el sitio de Internet que visita” (apdo. 55).

               Dos precisiones adicionales del Tribunal de Justicia resultan de interés. Por una parte, la sentencia establece que la interpretación reseñada del artículo 5.3 de la Directiva 2002/58 resulta de aplicación incluso con respecto a información almacenada en el equipo terminal del usuario en cuestión que no constituya datos personales, habida cuenta de que esa norma de la Directiva sobre la privacidad y las comunicaciones electrónicas protege toda información almacenada en el equipo terminal de los usuarios como parte de su esfera privada (apdo. 70). 

               Por otra, el Tribunal precisa que la exigencia de que al obtener el consentimiento del usuario se le facilite información clara y completa, en particular sobre los fines del tratamiento de los datos, requiere proporcionar información que permita al usuario “determinar fácilmente las consecuencias de cualquier consentimiento que pueda dar y garantizar que dicho consentimiento se otorgue con pleno conocimiento de causa”. Además, la información “(d)ebe ser claramente comprensible y suficientemente detallada para que el usuario pueda comprender el funcionamiento de las cookies empleadas”  (apdo. 74). Por ello, concluye que cuando las cookies están destinadas a recabar información con fines publicitarios para productos de empresas colaboradoras de quien las instala, para que la información suministrada sea considerada “clara y completa” debe incluir, entre otros aspectos, “información acerca del tiempo durante el cual las cookies estarán activas y la posibilidad de que terceros tengan acceso a ellas” (apdo. 75). La sentencia atribuye singular relevancia al artículo 13 del RGPD, relativo a la información que debe facilitarse cuando los datos personales se obtengan del interesado, como referente hermenéutico de cara a concretar la información clara y precisa que debe facilitarse en el marco del artículo 5.3 de la Directiva 2002/58.