Novedades normativas en la propuesta del Reglamento E-Privacy
En la evaluación REFIT se examinó si la Directiva 2002/58/CE sobre privacidad y comunicaciones electrónicas contribuyó de manera eficaz a una protección adecuada del respeto de la vida privada y la confidencialidad de las comunicaciones en la Unión Europea.
En términos de eficacia y eficiencia, dicha evaluación REFIT llegó a la conclusión de la que la Directiva no ha alcanzado de manera plena sus objetivos.
Así, por ejemplo, la norma relativa al consentimiento, destinada a proteger la confidencialidad de los equipos terminales, no ha logrado alcanzar sus objetivos por cuanto los usuarios finales pueden acceder a que se les instalen cookies de rastreo sin comprender lo que ello significa y, en algunos casos, se ven incluso expuestos a cookies instaladas sin su consentimiento.
La Comisión Europea organizó una consulta pública, siendo su principal conclusión entre otras, el apoyo a las soluciones propuestas para la cuestión del consentimiento del uso de cookies: el 81,2% de los ciudadanos y el 63% de las administraciones públicas abogan por que se imponga a los fabricantes de equipos terminales la obligación de comercializar productos con las opciones de privacidad predeterminadas activadas.
En una evaluación de impacto realizada, sobre la que el Comité de Control Reglamentario emitió un informe favorable el 28 de septiembre de 2016, se examinaron entre otras opciones de actuación en función de los criterios de eficacia, eficiencia y coherencia, la opción del refuerzo moderado de la privacidad/confidencialidad y simplificación. Esta opción destacó en muchos aspectos como opción preferida para alcanzar los objetivos fijados, teniendo en cuenta al mismo tiempo su eficiencia y coherencia. Siendo sus principales ventajas las siguientes:
- Aumenta la protección de la confidencialidad de las comunicaciones electrónicas.
- Incrementa la protección contra las comunicaciones no solicitadas.
- Simplifica y aclara el marco regulador reduciendo el margen de maniobra de los Estados Miembros, derogando disposiciones obsoletas y ampliando las excepciones a las normas de consentimiento.
Con esta opción se centraliza el consentimiento en programas o aplicaciones tales como los navegadores de Internet, se incita a los usuarios a elegir su configuración de privacidad y se amplian las excepciones a la norma de consentimiento del uso de cookies, gracias a lo cual es posible que una proporción significativa de empresas suprima los mensajes y anuncios de cookies, lo que entrañará ahorros de costes potencialmente considerables y una mayor simplificación.
Considerandos de la propuesta del Reglamento
A continuación pasamos a reproducir los considerandos más destacados de la propuesta del Reglamento E-Privacy, en relación con el uso y la gestión de las Cookies:
Los equipos terminales de los usuarios finales de redes de comunicaciones electrónicas y toda la información relativa a la utilización de dichos equipos, en particular la almacenada o emitida por ellos, solicitada o tratada para permitir que puedan conectarse a otro dispositivo o equipo de red, forman parte de la esfera privada de los usuarios finales, que debe ser protegida en virtud de la Carta de los Derechos Fundamentales de la Unión Europea y el Convenio Europeo para la Protección de los Derechos Humanos y las Libertades Fundamentales.
Dado que dichos equipos contienen o tratan información que puede desvelar pormenores de una persona en los ámbitos afectivo, político o social, incluyendo el contenido de las comunicaciones, las imágenes, la localización de personas a través del acceso a las capacidades de GPS del dispositivo, las listas de contactos y otros datos ya almacenados en el dispositivo, la información relativa a esos equipos requiere una mayor protección de la privacidad.
Por otra parte, los denominados «programas espías», las balizas web, los identificadores ocultos, las cookies de rastreo y otros dispositivos similares de seguimiento no deseados pueden introducirse en el equipo terminal del usuario final sin su conocimiento para acceder a los datos, archivar información oculta o rastrear actividades.
Por consiguiente, las interferencias de ese tipo en el equipo terminal del usuario final solo han de permitirse con el consentimiento de dicho usuario final y para fines específicos y transparentes.
Las excepciones a la obligación de obtener consentimiento para hacer uso de las capacidades de tratamiento y almacenamiento de equipos terminales o acceder a la información almacenada en ellos deberían limitarse a situaciones que no entrañen intromisión alguna, o una intromisión muy limitada en la vida privada. Por ejemplo, no ha de solicitarse consentimiento para autorizar el acceso o almacenamiento técnico que sean estrictamente necesarios y proporcionados al fin legítimo de permitir el uso de un servicio específico expresamente solicitado por el usuario final.
Los métodos empleados para suministrar información y obtener el consentimiento del usuario final deben ser lo más sencillos posibles. Habida cuenta de la utilización generalizada de cookies de rastreo y otras técnicas de seguimiento, a los usuarios finales se les pide cada vez más que den su consentimiento para almacenar dichas cookies en sus equipos terminales. Como consecuencia de ello, los usuarios finales se ven agobiados por las solicitudes de consetimiento. Este problema se puede resolver con el uso de medios técnicos para dar el consentimiento, por ejemplo a través de parámetros transparentes y sencillos. El presente Reglamento debe prever, pues, la posibilidad de manifestar el consentimiento mediante el uso de los ajustes adecuados del navegador o de otra aplicación. Las opciones que elijan los usuarios finales al establecer la configuración general de privacidad de un navegador u otra aplicación deben ser vinculantes y oponibles frente a terceros.
Los principios de protección de datos desde el diseño y por defecto quedaron codificados en el artículo 25 del Reglamento UE 2016/679. En la actualidad, la mayoría de los navegadores están configurados por defecto para «aceptar todas las cookies».
Por consiguiente, conviene que los proveedores de programas informáticos que permiten la recuperación y presentación de información de Internet estén obligados a configurar los programas de modo que ofrezcan la posibilidad de impedir a terceros almacenar información en el equipo terminal; esta opción suele presentarse con la frase «rechazar cookies de terceros».
Los usuarios finales han de disponer de una serie de opciones de configuración que les permitan elegir entre distintos niveles de privacidad, desde el nivel más elevado (por ejemplo, «no aceptar nunca cookies») hasta el nivel más bajo (por ejemplo, «aceptar cookies siempre»), pasando por el nivel intermedio (por ejemplo, «rechazar cookies de terceros» o «solo aceptar cookies de origen»). Estos ajustes de privacidad han de presentarse de forma bien visible e inteligible.
Fuente: Propuesta de Reglamento sobre la Privacidad y las Comunicaciones Electrónicas.
Enlace a la Guía sobre el Uso de las Cookies de la AEPD (versión Julio 2020):
