El Informe 0093/2014 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda cuestiones relacionadas con el cumplimiento del artículo 22.2 de la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), específicamente en lo que respecta al uso de cookies y otros dispositivos de almacenamiento y recuperación de datos en equipos terminales de los usuarios.
El informe comienza recordando que, según la LSSI, los prestadores de servicios pueden utilizar estos dispositivos siempre que obtengan el consentimiento previo de los usuarios, proporcionándoles información clara y completa sobre su uso y finalidades. Este consentimiento puede facilitarse mediante los parámetros adecuados del navegador o de otras aplicaciones, siempre que sea técnicamente posible y eficaz.
La consulta planteada se centra en la validez de un sistema de información por capas para cumplir con el deber de información sobre el uso de cookies. La AEPD considera que este sistema es válido, siempre que se cumplan ciertos requisitos. En una primera capa, debe mostrarse información esencial sobre la existencia de cookies, si son propias o de terceros, sus finalidades y los modos de prestar el consentimiento. Esta información debe ser visible y destacada, no pudiendo limitarse a la mención en una Política de Privacidad o de Cookies.
En una segunda capa, accesible mediante un enlace o hipervínculo de la primera, debe ofrecerse información adicional sobre las cookies, incluyendo qué son, los tipos utilizados, su finalidad, cómo desactivarlas o eliminarlas, y quiénes las utilizan. Esta segunda capa puede denominarse «Política de Cookies» o «Política de Privacidad y Cookies», siempre que su contenido sea identificable y accesible.
El informe también hace referencia a la Resolución R/02990/2013, que sancionó a dos entidades por no informar adecuadamente sobre el uso de cookies. La AEPD subraya que la mera inclusión de información sobre cookies en una Política de Privacidad o de Cookies sin una primera capa visible no es suficiente para obtener un consentimiento informado.
En conclusión, la AEPD valida el uso de un sistema de información por capas para el cumplimiento del artículo 22.2 de la LSSI, siempre que se cumplan los requisitos de visibilidad, accesibilidad y contenido mínimo de la información proporcionada. La segunda capa puede integrarse en una «Política de Privacidad y Cookies», siempre que su contenido sea claramente identificable y accesible.