Consentimiento o interés legítimo: cómo decidir

En el sector hay dos bandos. Uno dice: quien solo reconoce empresas no necesita consentimiento, basta el interés legítimo. El otro dice: sin aceptación en el banner de cookies no funciona nada. Ambos tienen una parte de razón, porque hablan de capas distintas. Este artículo separa las capas y al final le da cinco preguntas para decidir.

Es una valoración objetiva y no asesoramiento jurídico. Para su configuración concreta, la decisión corresponde a su asesoría de protección de datos.

Lo que se aplica antes: el acceso al dispositivo terminal

Antes de llegar al RGPD se plantea otra cuestión: ¿accede el script al dispositivo del visitante? La Directiva ePrivacy (art. 5, apartado 3) exige en principio un consentimiento para almacenar información en el dispositivo terminal y para leer esa información. Se exceptúa lo que es técnicamente necesario para el servicio expresamente solicitado por el usuario.

Esto se aplica en Alemania en el § 25 TDDDG y en Austria en el § 165 apdo. 3 TKG 2021. Ambas reglas valen con independencia de si al final surgen datos personales. Lo decisivo es el propio acceso.

Esto afecta a más que las cookies:

• Una entrada en el almacenamiento de sesión del navegador (sessionStorage) es un almacenamiento en el dispositivo terminal.
• La lectura del tamaño de pantalla y del idioma del navegador es una lectura de información del dispositivo terminal, aunque cada dato individual parezca inofensivo.
• Los registros de clics y movimientos del ratón no son en todo caso algo que un visitante necesite para que se muestre la página.

Las autoridades de control alemanas defienden al respecto una línea estricta: la medición de alcance y la estadística no se consideran por regla general técnicamente necesarias. Quien utiliza un script que realiza esos accesos debería partir, por tanto, de que hace falta un consentimiento. No es cuestión de gusto, sino el requisito sin el cual ni siquiera se llega al resto.

Art. 6, apartado 1, letra a frente a letra f

Solo después llega la pregunta de en qué base jurídica del RGPD se apoya el tratamiento posterior, en la medida en que sea personal.

Si una dirección IP es personal en absoluto lo aclara Dirección IP y RGPD: ¿es un dato personal?. Cómo se relacionan ambos pasos de comprobación lo muestra Reconocimiento de visitantes y RGPD: una valoración objetiva.

Consentimiento (letra a). Debe ser libre, informado, específico e inequívoco. Puede revocarse en cualquier momento. La situación jurídica es clara en cuanto el banner está bien construido.

Interés legítimo (letra f). Aquí se comprueban tres cosas: ¿existe un interés legítimo (por ejemplo, iniciar ventas en el B2B)? ¿Es necesario el tratamiento para ello? ¿Y no prevalecen los intereses o derechos fundamentales de las personas afectadas? El considerando 47 nombra como criterio las expectativas razonables de los interesados. La venta directa puede ser, según el mismo considerando, un interés legítimo.

A ello se suma el derecho de oposición del art. 21: los interesados pueden oponerse al tratamiento basado en la letra f. Usted debe hacerlo posible en la práctica. También las obligaciones de información de los arts. 13 y 14 se aplican en ambos casos.

Por qué los datos de comportamiento dificultan la ponderación

Una asignación de empresa por sí sola suele poder justificarse bien en la ponderación: la información es escueta. El fin es claro. Se complica en cuanto se añade el comportamiento. Qué páginas lee alguien, cuánto se desplaza y dónde hace clic dice mucho sobre una persona, aunque solo aparezca como visitante de una empresa. Un vídeo del ratón muestra aún más. Cuanto más fina es la observación, menos la esperan los visitantes. En consecuencia, resulta más difícil justificar que su interés prevalece.

A esto se suma un problema práctico: aunque pudiera ganar la ponderación, no le sirve de nada mientras exista la obligación de consentimiento para el acceso al dispositivo. El consentimiento ya está ahí de todos modos. Hay muchos motivos para usarlo también como base jurídica del tratamiento, en lugar de mantener dos bases paralelas.

El camino práctico: categoría de estadística, script solo después

La solución que más funciona en la práctica es sencilla:

1. Su banner tiene una categoría propia, normalmente „Estadística“ o „Análisis“.
2. El script de reconocimiento de visitantes se carga solo después de que el visitante haya aceptado esa categoría.
3. Sin aceptación no hay acceso al dispositivo ni solicitud al servicio.

Técnicamente se hace mediante su gestor de etiquetas con Consent Mode o mediante la gestión de consentimiento de su banner. Encontrará una guía en la ayuda, en Consentimiento en el gestor de etiquetas. Whovisit, por ejemplo, ofrece una plantilla de etiqueta que espera al consentimiento de estadística otorgado antes de cargar el script. Para que el camino sea sólido, su banner debe reflejar realmente la categoría y transmitir la decisión correctamente al gestor de etiquetas.

También Google Analytics suele funcionar tras la misma categoría. Qué revela Analytics sobre las empresas y qué no se explica en Reconocer empresas con Google Analytics: qué es posible y qué no.

Suiza: lógica de opt-out

En Suiza la situación de partida es distinta. La Ley de telecomunicaciones (art. 45c) exige que se informe a los usuarios sobre el tratamiento de datos en su dispositivo y que puedan rechazarlo. Es, pues, una solución de oposición en lugar de un consentimiento previo. La Ley de protección de datos revisada (desde el 1 de septiembre de 2023) trabaja también en principio con transparencia y posibilidad de oposición en lugar de con una obligación general de consentimiento.

Si tiene visitantes de Suiza y de la UE en la misma página, para los visitantes de la UE se aplica igualmente el derecho más estricto. En la práctica significa: un banner unificado con consentimiento es normalmente el camino más sencillo, también porque no puede separar con seguridad a los visitantes por país.

Su camino de decisión en cinco preguntas

1. ¿Accede el script al dispositivo? (Almacenar o leer, también almacenamiento de sesión, tamaño de pantalla, idioma.) Si es así, para DE y AT necesita por regla general un consentimiento. Continúe con la pregunta 2.
2. ¿Es el acceso técnicamente necesario para la visualización solicitada de la página? En estadística y reconocimiento de visitantes, casi siempre no.
3. ¿Tiene su banner una categoría que encaje con el fin? Si no, ajústelo antes de incorporar el script.
4. ¿Carga el script realmente solo tras la aceptación? Compruébelo en la pestaña de red de su navegador: antes de la aceptación no debe enviarse ninguna solicitud al servicio.
5. ¿Está completa la información en la política de privacidad? ¿Hay una vía para la revocación? Fin, base jurídica, destinatarios, duración de almacenamiento.

Si responde que no a la pregunta 1, puede pensar en la letra f. En procedimientos con acceso al dispositivo terminal, eso es en la práctica poco frecuente.

Fuentes

• Directiva 2002/58/CE (ePrivacy), art. 5, apartado 3
• RGPD, art. 6, apartado 1, arts. 13, 14, 21 y considerando 47
• § 25 TDDDG (Alemania), § 165 apdo. 3 TKG 2021 (Austria)
• Art. 45c de la Ley de telecomunicaciones (Suiza), Ley de protección de datos (Suiza) en la versión del 1 de septiembre de 2023
• Orientierungshilfe de la Conferencia de Protección de Datos para proveedores de telemedios (versión actual)