Normativa de Cookies en webs y publidad online

europeanjust Internet y su dimensión móvil es un sector clave en la economía. Gran parte de la inversión en la red se hace en la publicidad en todo tipo de dispositivos y una de las técnicas en que la publicidad se lleva a cabo es a través de las cookies. Éstas sirven para la prestación de servicios y facilitan la navegación del usuario, pero también para ofrecer publicidad basada en los hábitos de navegación. Ante este escenario, y atendiendo a diversas asociaciones de consumidores y usuarios, se debe garantizar la efectiva tutela de los derechos y la privacidad de los ciudadanos. Y es en este sentido, en el que la LSSI regula los Servicios de la sociedad de la Información, una ley que afecta a los sitios web de las empresas, comercios electrónicos y a la publicidad en internet, entre otros servicios.

La normativa sobre cookies se trata en el texto correspondiente al apartado segundo del artículo 22 de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (o LSSI), una vez modificado por el Real Decreto-ley 13/2012 atendiendo a directivas europeas.

El texto en concreto dice lo siguiente:

2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto.

La normativa exige permitir a los usuarios saber, de forma sencilla, si navegan por una página que instala cookies y, de ser así, entender para qué se instalan y por parte de quién. Explicando qué es una cookie y sus funcionalidades, aportando un listado de los tipos de cookies que instala el sitio web e indicando su función. Añadiendo instrucciones para rechazar o eliminar las cookies que hemos citado e identificando a las empresas que las utilizan.

De este modo el usuario podrá decidir si desea aceptar o rechaza las cookies de un sitio web.

¿Pero qué son las cookies y a qué tipo de éstas afecta la ley?

La normativa es aplicable a cualquier tipo de archivo o dispositivo que se descarga en el equipo de un usuario con la finalidad de almacenar datos que podrán ser actualizados y recuperados por el responsable de su instalación. La cookie es uno de esos dispositivos de uso generalizado. En resumen, las cookies son archivos informáticos que se pueden descargar en el equipo de un usuario a través de las páginas web que visita. Son herramientas que entre otras funciones, permiten a un sitio web almacenar y recuperar información sobre los hábitos de navegación de un usuario o de su equipo, que luego se puede utilizar para reconocer al usuario y mejorar el servicio ofrecido.

Según su finalidad podemos distinguir entre cookies técnicas, de personalización, de análisis y publicitarias. No obstante la regulación se aplica sólo a algunas cookies.

Para poder almacenar cookies en el equipo es necesario obtener el consentimiento del usuario, con dos únicas excepciones: las llamadas “cookies técnicas” y las que sean “estrictamente necesarias” para prestar un servicio expresamente solicitado por el usuario.

De este modo, tenemos las llamadas cookies exceptuadas, que no están afectadas por la normativa, como por ejemplo aquellas que:

personalizan la interfaz de usuario: tamaño de letra, idioma…
son instaladas por motivos exclusivos de seguridad.
permiten mantener abierta la sesión del usuario mientras navega por la página web.

Mientras que las cookies afectadas por la norma son por ejemplo:

Las de analítica web, para obtener información estadística de la navegación. Por ejemplo si utilizamos Google Analitycs para analizar las visitas al sitio web.
Las de seguimiento para lanzar publicidad basada en el comportamiento.
Las que llevan ligadas ciertos plugins sociales, al realizar seguimiento de la actividad de los usuarios.

Las cookies pueden ser propias (cuando proceden directamente del servidor en el que está alojado el sitio web al que se accede) o de terceros: cuando proceden de otros servidores: redes de anunciantes, empresas de análisis estadístico, etc.

Las cookies de terceros están asociadas con un dominio que es independiente del sitio que visita un usuario. Es es caso de las cookies de una compañía de publicidad en Internet como por ejemplo Media Mind que desarrolla y ofrece servicios de anuncios en Internet le están asociadas a su dominio. Así, por ejemplo, si un usuario visita un diario digital, en el que se sirven anuncios desde Media Mind, el servidor de esta compañía se convierte en un servidor de terceros para el diario online, por lo que las cookies que envía el servidor en este contexto se denominan cookies de terceros, y de las que también está obligado a informar a sus usuarios el periódico digital.

Las cookies, fueron inicialmente desarrolladas en 1994 por los ingenieros del ya desaparecido navegador Netscape y desde entonces se han hecho imprescindibles para el funcionamiento de múltiples servicios de la Web. Se idearon con una misión fundamental en el comercio electrónico: la gestión del carrito de la compra. Un carro de la compra virtual funciona como un dispositivo virtual en el que el usuario va añadiendo los productos que quiere comprar, de forma que los usuarios puedan navegar por la tienda donde se muestran los artículos a la venta y añadirlos o eliminarlos de la cesta de la compra en cualquier momento gracias al uso de las cookies.

Otro ejemplo muy popular es el uso de las cookies para almacenar las preferencias de usuario como puede ser el idioma preferido para visualizar un sitio web. O las cookies de sesión son la información que pueden utilizar los sitios web para mantener tu sesión abierta en sitios como Gmail, de este modo, mientras no se cierra la sesión, al abrir el gmail de nuevo no nos pedirá los datos de usuario (opción que solo se recomienda en ordenadores privados y no compartidos).

Funcionamiento de una cookie

El cliente realiza una solicitud inicial al servidor (visita un sitio web):
El servidor recibe la petición y crea una cookie para la máquina cliente y también un objeto de sesión correspondiente para el servidor.
El servidor responde a cliente con la página web, más la información de la cookie.
El cliente realiza una solicitud posterior de otra página, y el navegador coloca la información de la cookie en el encabezado de la solicitud.
El servidor reconoce que el cliente ha regresado debido a la cookie que ha regresado, y el servidor localiza el objeto de sesión adecuado en función de la información almacenada en la cookie.

Las especificación de las cookies las podemos encontrar en el documento Request For Comments 6265 HTTP State Management Mechanism , donde se explica que una cookie se compone de los siguientes atributos:

una pareja nombre/valor, que es la información de la cookie
un dominio, que revela en qué dominio se puede utilizar la cookie
una ruta, que limita el uso de la cookie a páginas que se localicen en dicha ruta
una fecha de caducidad, que indica hasta cuándo la cookie es válida
una marca de sólo conexión segura, que fuerza a enviar la cookie mediante un protocolo de encriptación
y una marca de sólo HTTP, para limitar el uso de la cookie al protocolo HTTP.

Los navegadores permiten visualizar las cookies que se emplean en un sitio web y, si se quiere, también permiten borrarlas. Por ejemplo, el buscador Google emplea algunas cookies para almacenar información sobre las búsquedas que hemos realizado y para almacenar las preferencias del usuario sobre el idioma de búsqueda o el número de resultados a mostrar.

Para cada cookie que se almacena podemos consultar sus atributos, como dominio, ruta y fecha de caducidad.

Por ejemplo, con el navegador Google Chrome, a través del menú “Herramientas para desarrolladores”, se muestra una barra de herramientas en la que seleccionando el menú “Resources” y a continuación “Cookies veremos las cookies que envía a nuestro ordenador el dominio en el que nos encontramos.

De este modo, podemos ver que cookies envía cada sitio web a nuestro dispositivo. En el caso de la captura, vemos las cookies del site del Ministerio de Industria, Energía y Turismo.

En la captura podemos observar tanto las cookies propias como las de terceros, gracias a la columna Domain, donde encontramos cookies servidas por Google, Bing, Twitter, Semrush, etc. Es decir un conjunto de cookies de seguimiento de terceros con fines estadísticos. Mientras que el dominio www.minetur.gob.es está enviando cookies propias de inicio de sesión, de aceptación de la política de cookies (para no volver a mostrar el aviso) o estadísticas.

Los navegadores también proporcionan una serie de métodos para borrar el historial de exploración y entre las opciones que ofrecen se puede seleccionar borrar o no borrar las cookies (puede ser recomendable borrar las cookies si utilizamos un ordenador en un lugar público).

Publicidad comportamental y Cookies

Si alguna vez has tenido la sensación que algún anuncio te persigue por los sitios web que visitas es publicidad comportamental.

La llamada publicidad comportamental o behavioral targeting trata de enfocar la comunicación publicitaria según un público objetivo definido por su conducta, su comportamiento en la red en relación con las webs que visita e información que consulta, tal como se aprecia en el esquema siguiente. Mostrando publicidad de una marca determinada, por ejemplo, a aquellos usuarios que han visitado previamente el sitio web de esa marca.

El behavioral targeting:

El behavioral targeting no es un formato publicitario, es una técnica de marketing que se centra en el interés real del usuario por un producto, servicio, información o marca. Así, según la navegación y conducta en la Red, se define el perfil de usuario.

Y gracias a la creación de perfiles, el usuario cuando navegue en webs y en redes sociales verá publicidad sobre sus intereses. Por ello, las principales empresas que gestionan los perfiles o bien son las mismas compañías que tienen los usuarios, como Yahoo, Google o Facebook, o bien suscriben acuerdos con las páginas web (portales, diarios online, buscadores, etc.) que mostrarán esta publicidad en los perfiles que se han definido.

El behavioral targeting consiste en la identificación de las pautas de navegación de los usuarios mediante la utilización de cookies en los sitios asociados a un mismo grupo, o pertenecientes a la misma red publicitaria. De esta forma, se va rastreando la actividad del usuario en los diferentes apartados de determinada red de sitios por donde navega.

Una vez identificado el usuario dentro de un nicho de actividad, se le muestra publicidad relacionada con sus últimos hábitos de navegación. Es decir, si un usuario busca información sobre banca y navega por sitios dedicados a la economía de una red publicitaria, posiblemente empiece a recibir publicidad segmentada de ofertas bancarias al navegar por otras webs de la red de soporte publicitario.

Del mismo modo, también se puede utilizar este sistema publicitario entre los usuarios registrados de un sitio, al determinar qué páginas visitan, el tiempo y la frecuencia con que pasan por ellas así como si realizan algún clic en la publicidad de la página.

Con la técnica de behavioral targeting no se llega a dar un mensaje individualizado, sino que se identifica a grupos de usuarios según sus perfiles con intereses comunes.

No se trata de comunicación one-to-one, es comunicación dirigida a nichos o grupos de usuarios según conductas o hábitos de navegación.

Veamos un ejemplo tomado a partir del sitio web www.elmundo.es, donde según su política de cookies, utilizan cookies de terceros para publicidad y publicidad comportamental (behavioral targenting) informando de las cookies de terceros (empresas de publicidad) y de su finalidad.

Ejemplo de banner servido por un tercero (Admeta) en el diario El Mundo. Cookies de las que informa de manera correcta el periódico digital en su política de cookies.

Y la política de cookies de la empresa editora de El Mundo. Explicando que tipos de cookies utiliza para la publicidad online:

Tipo de Cookie	Empresa prestataria(cookies de terceros)	Información gestionada	Finalidad
Publicidad	CXense	Preferencias del usuario, información sobre la interacción con el sitio web (servicio solicitado, fecha y hora), tipo de navegador y lenguaje, localización geográfica	Mejorar y gestionar la exposición de anuncios publicitarios al usuario evitando que aparezcan anuncios que ya ha visto
	(CXense, AS)
		Información sobre los anuncios que han sido mostrados a un usuario, sobre los que le interesan y sobre si visita la página web del anunciante

	Admeta	Preferencias del usuario, páginas visitas y detalles del equipos del usuario, datos de flujo de clics
	(Admeta AB)
Publicidad comportamental	Audience Science	Información sobre las preferencias o intereses en productos y/o servicios recogida durante la navegación	Mostrar anuncios personalizados según el comportamiento o las preferencias mostradas por el usuario y mejorar las campañas publicitarias
	(AudienceScience, Inc.)
	Media Mind	Dirección IP, tipo de sistema operativo, tipo de navegador, páginas visitadas	Personalizar las campañas publicitarias y mostrar anuncios que se ajusten a las preferencias de los usuarios
	(Digital Generation, Inc.)

Tabla creada a partir de la información facilitada en la política de cookies de El Mundo.

El remarketing de Google Adwords

Pero quizás el ejemplo más conocido del uso de cookies es el remarketing de Google Adwords. Google es conocido por su buscador, pero en el mundo de la publicidad ha sido la empresa que ha sabido “democratizar la publicidad”, pues con Google Adwords cualquier pequeña empresa puede comunicar en la Red, y puede publicar sus anuncios en los principales buscadores y red de Display de Google, gracias a servicios económicos como el pago por clic. Con el programa Adwords de Google cualquier empresa puede publicar sus anuncios en la página de resultados de este buscador, o incluso utilizar el remarketing de google Adwords, que se basa en el uso de cookies. Adwords facilita al anunciante un código que debe insertarse en el sitio web del anunciante, y así, gracias a esta etiqueta, Google podrá mostrar publicidad a los usuarios que con anterioridad han visitado el sitio web del anunciante.

Esquema del proceso de remarketing. Fuente: Google Adwords.

Así de sencillo, gracias a insertar una etiqueta como la que vemos a continuación en el sitio web del anunciante, éste podrá realizar campañas de remarketing con Google Adwords. Cada sitio se diferencia por su id (en el caso del ejemplo simulado, el id 0000000000)

<!-- Google Code para etiquetas de remarketing -->
<script type="text/javascript">
/* <![CDATA[ */
var google_conversion_id = 0000000000;
var google_custom_params = window.google_tag_params;
var google_remarketing_only = true;
/* ]]> */
</script>
<script type="text/javascript" src="//www.googleadservices.com/pagead/conversion.js">
</script>
<noscript>
<div style="display:inline;">
<img height="1" width="1" style="border-style:none;" alt="" src="//googleads.g.doubleclick.net/pagead/viewthroughconversion/0000000000/?value=0&amp;guid=ON&amp;script=0"/>
</div>
</noscript>

Para comprender mejor el proceso, Google Adwords nos ofrece este vídeo explicativo.

El anunciante debe tener claro, que en el caso de utilizar remarketing, por el simple hecho de añadir la etiqueta de google, ya deberé cumplir con la normativa vigente sobre cookies, pues estará utilizando en su sitio web, cookies de terceros, y deberá mostrar el aviso de aceptación e informar al usuario.

Resumen

Si un sitio web de una empresa, organización o simplemente un blog en el que hay un servicio de analítica web (como Google Analytics) o bien incorpora anuncios servidos por un tercero como Google Adsense, este sitio web debe implementar las medidas informativas y de aceptación que requiere la ley. Pero además, al actuar de esta forma la empresa actúa con transparencia frente al usuario de su sitio web.