Política de cookies: qué tiene que llevar tu web

La pide el artículo 22.2 de la LSSI, la ley de los negocios en internet, a cualquier web que use cookies que no sean imprescindibles para funcionar: las de medir visitas, las de publicidad, las de un vídeo o un mapa de otra empresa.

Y va siempre con su aviso, el que sale al entrar con los botones de aceptar y rechazar. La Agencia Española de Protección de Datos los llama primera y segunda capa, y cada uno tiene su lista de lo que debe decir.

Si tu web solo usa las técnicas, las que hacen falta para que funcione, no tienes que pedir permiso, aunque la Agencia recomienda contarlo igual.

El aviso legal es un tercer texto, y contesta otra pregunta: quién está detrás de la web. Lo cuento en qué lleva el aviso legal.

• Rechazar, al mismo nivel que aceptar.

  La guía lo pide «al mismo tiempo, al mismo nivel y con la misma visibilidad». Si aceptar es un botón, rechazar es otro botón igual, en el mismo sitio.

• Seguir navegando no es aceptar.

  Si nadie pulsa «Aceptar», no hay permiso, por mucho que baje por la página.

• Nada marcado de antemano.

  Las casillas del panel empiezan vacías, y guardar sin marcar ninguna equivale a rechazarlas todas.

• Nada se guarda antes del sí.

  Las cookies de medición o de publicidad llegan después de aceptar, nunca antes.

• Un tercer botón para elegir.

  «Configurar» o «Ver el detalle», que deja decidir por finalidades: medición sí, publicidad no.

Además, el aviso dice quién edita la web y enlaza a la política. Funciona como un timbre: se llama y se espera a que abran, no se entra y después se pregunta.

La propia guía pone ejemplos de frases que no valen: «usamos cookies para mejorar su navegación» no dice nada. Y pide que la política esté a no más de dos clics, con un enlace que se llame «Política de cookies».

Ese último grupo es el que más se cuela: un vídeo incrustado pone las cookies de quien lo sirve, aunque tú no hayas puesto ninguna.

La medición tiene un matiz. En enero de 2024 la Agencia publicó una guía que admite medir visitas sin permiso, con condiciones estrictas: solo para contar audiencia, en nombre de la propia web, con datos anónimos, sin cruzarlos ni pasárselos a nadie, con una cookie que dure como mucho 13 meses y los datos guardados 25 como máximo.

La guía no nombra ninguna herramienta. Si la tuya comparte los datos con su proveedor para otros fines, no entra, y lo prudente es pedir permiso.

En ese tiempo la web recuerda lo que eligió el visitante y no le vuelve a preguntar en cada página. Pasado el plazo, se le pregunta otra vez. Y si cambias para qué usas las cookies, o con quién, también.

Quien dice que no tiene que poder usar la web igual. Un muro de cookies, la web que no deja pasar sin aceptar, solo vale si ofrece otra forma de entrar de verdad equivalente, aunque no sea gratis. Es lo que hacen algunos periódicos con su suscripción.

Si tu web se ve igual se acepte o no, no hay muro del que preocuparse.

Si se repite después de una sanción firme en los tres años anteriores, pasa a grave, de 30.001 a 150.000. Y la ley permite que, en vez de abrir un expediente, la Agencia avise para que se corrija en un plazo.

Las tres son empresas grandes, y Vueling y SEAT pagaron con la rebaja por reconocerlo y pagar pronto. No he encontrado una sanción publicada a un negocio pequeño. Y dos de las tres van por lo mismo: cómo se rechazaba.

Guarda una cookie propia para recordar tu respuesta, que dura 6 meses, y solo si aceptas, las de medición de Google, que duran 400 días. Aceptar y rechazar son dos botones iguales, y «Ver el detalle» abre el panel por finalidades. Antes del sí no se pide nada de medición, y la web se ve igual digas lo que digas.

Que los dos botones sean iguales hay que medirlo. Al montarlo, por una regla heredada de cuando iban uno encima del otro, rechazar medía 44 píxeles de alto y aceptar 50. A simple vista no se notaba, y la ley pide justo eso: que pesen lo mismo.

Lo que dura cada cookie también se escribe en un solo sitio. El panel decía dos años para la de medición y la política, 400 días, que es lo real. Desde el 17 de septiembre los dos leen el mismo dato y no se pueden contradecir.

Y una que no esperaba: la librería del aviso se esconde de los robots, para no estorbar a los buscadores. Mis pruebas automáticas se presentaban como robot, el aviso no salía, y la prueba de que no se medía nada sin permiso pasaba por el motivo equivocado. Ahora la prueba entra como un navegador normal, y el aviso sale.

Lo tienes todo en mi política de cookies, y lo cambias cuando quieras desde «Gestionar cookies», en el pie.

Un buen aviso no se nota. Se nota el que deja aceptar en un clic y esconde el rechazo.