La
sentencia del Tribunal de Justicia
de hoy en el asunto C-673/17, Planet49,
EU:C:2019:801 aborda la ineficacia de las casillas marcadas por defecto como declaración
del consentimiento en relación con el almacenamiento de información o el acceso
a información almacenada en el equipo terminal del usuario de un sitio de
Internet a través de cookies. En línea con el planteamiento adoptado hace ya
años por el llamado Grupo de Trabajo del artículo 29, entre otros, en su Dictamen
15/2011 sobre la definición de consentimiento (al que me referí al tiempo de su
publicación aquí), y avalado por el
Abogado General en sus conclusiones
en este asunto, el Tribunal de Justicia rechaza la eficacia de tales casillas,
en las que el usuario debe retirar la marca en caso de que no desee prestar su
consentimiento, a los efectos del artículo 5.3 de la Directiva 2002/58 sobre la
privacidad y las comunicaciones electrónicas (pendiente, por cierto, de
revisión para su adaptación al marco del Reglamento (UE) 2016/679 o RGPD,
respecto del que el Tribunal confirma que es claro que ese tipo de casillas no
son eficaces para prestar el consentimiento en materia de tratamiento de datos
personales, que conforme al RGPD requiere una manifestación de voluntad “libre,
específica, informada e inequívoca” (apdos. 61 y 62 de la sentencia).
El
Tribunal considera que también en el marco del artículo 5.3 de la Directiva
2002/58 relativo a las cookies se requiere un comportamiento activo por parte
del usuario, pues solo en este caso cabe entender que hay una manifestación de
consentimiento (apdo. 52). La no desactivación por parte del usuario de la
casilla premarcada se considera que no es suficiente para apreciar un
consentimiento informado, ya que “no puede descartarse que dicho usuario no
haya leído la información que acompaña a la casilla marcada por defecto, o que
ni tan siquiera la haya visto, antes de proseguir con su actividad en el sitio
de Internet que visita” (apdo. 55).
Dos
precisiones adicionales del Tribunal de Justicia resultan de interés. Por una
parte, la sentencia establece que la interpretación reseñada del artículo 5.3
de la Directiva 2002/58 resulta de aplicación incluso con respecto a
información almacenada en el equipo terminal del usuario en cuestión que no
constituya datos personales, habida cuenta de que esa norma de la Directiva sobre
la privacidad y las comunicaciones electrónicas protege toda información
almacenada en el equipo terminal de los usuarios como parte de su esfera
privada (apdo. 70).
Por otra, el Tribunal precisa que la exigencia de que al obtener
el consentimiento del usuario se le facilite información clara y completa, en
particular sobre los fines del tratamiento de los datos, requiere proporcionar
información que permita al usuario “determinar fácilmente las consecuencias de
cualquier consentimiento que pueda dar y garantizar que dicho consentimiento se
otorgue con pleno conocimiento de causa”. Además, la información “(d)ebe ser claramente
comprensible y suficientemente detallada para que el usuario pueda comprender
el funcionamiento de las cookies empleadas” (apdo. 74). Por ello, concluye que cuando las
cookies están destinadas a recabar información con fines publicitarios para
productos de empresas colaboradoras de quien las instala, para que la
información suministrada sea considerada “clara y completa” debe incluir, entre
otros aspectos, “información acerca del tiempo durante el cual las cookies
estarán activas y la posibilidad de que terceros tengan acceso a ellas” (apdo.
75). La sentencia atribuye singular relevancia al artículo 13 del RGPD,
relativo a la información que debe facilitarse cuando los datos personales se
obtengan del interesado, como referente hermenéutico de cara a concretar la
información clara y precisa que debe facilitarse en el marco del artículo 5.3 de
la Directiva 2002/58.
