Derecho · 7 de noviembre de 2026 · 5 min de lectura
Cookies en Austria: el § 165 TKG 2021 explicado
Qué exige el § 165 apdo. 3 TKG 2021 para cookies y seguimiento: consentimiento, excepciones, relación con el RGPD y quién controla en Austria.
En Austria no existe un artículo propio sobre cookies en la ley de protección de datos. La regla figura en la Ley de Telecomunicaciones 2021 (TKG 2021) y por eso se pasa fácilmente por alto. Este artículo explica qué exige el § 165 apdo. 3 TKG 2021, qué excepciones se aplican y cómo interactúa la norma con el RGPD.
Qué dice la ley
El texto del § 165 apdo. 3 TKG 2021 se encuentra en el Sistema de Información Jurídica de la Federación. Contiene dos obligaciones para los proveedores de un servicio de la sociedad de la información, es decir, también para los operadores de sitios web:
- Información. Debe informar al usuario de qué datos personales trata, sobre qué base jurídica, con qué fines y durante cuánto tiempo se almacenan los datos.
- Consentimiento. La obtención de estos datos solo es lícita si el usuario ha otorgado su consentimiento de forma activa y sobre la base de información clara y completa.
La norma transpone el art. 5, apartado 3 de la Directiva ePrivacy. Para empresas en Alemania se aplica la regla paralela del § 25 TDDDG.
¿Qué técnica entra aquí?
El texto legal no menciona las cookies. La Autoridad de Protección de Datos (DSB) lee la norma en sus preguntas frecuentes sobre cookies de forma amplia: según esta lectura abarca el almacenamiento de información en el dispositivo terminal y el acceso a ella, no solo las cookies. Eso incluye técnicas comparables como el almacenamiento local del navegador.
También existe una lectura más estricta. Refiere el texto („obtención de estos datos“) a datos personales y con ello limita el ámbito de aplicación. En la práctica es un riesgo, no una licencia libre. Quien se apoye en la lectura estricta debería comentarlo con su asesoría de protección de datos.
Las excepciones
No hace falta consentimiento cuando
- el único fin es efectuar la transmisión de un mensaje a través de una red de comunicaciones, o
- el almacenamiento o el acceso es estrictamente necesario para que el proveedor pueda prestar un servicio expresamente solicitado por el usuario.
Ambas son de interpretación estricta. Según la DSB, las cookies técnicamente necesarias no requieren consentimiento. Pero ni la directiva ni la TKG 2021 ofrecen una lista, la DSB se apoya en criterios del antiguo Grupo de Trabajo del Artículo 29. Las cookies de seguimiento no forman parte, en su opinión. Casos típicos sin consentimiento previo son el carrito, el inicio de sesión y el almacenamiento de la decisión del banner. Las herramientas de estadística y marketing por regla general no entran aquí.
Relación con el RGPD
Se aplican dos pasos de comprobación a la vez, como en el resto de la UE:
| Paso de comprobación | Pregunta | Regla determinante |
|---|---|---|
| 1. Dispositivo terminal | ¿Se almacena o se lee algo en el dispositivo? | § 165 apdo. 3 TKG 2021 |
| 2. Tratamiento | ¿Existe una base jurídica para los datos? | Art. 6 RGPD |
Superar el primer paso no sustituye el segundo. Quien obtiene un consentimiento para el script puede utilizarlo a menudo también como base según el art. 6, apartado 1, letra a del RGPD. Cuándo sostiene en su lugar el interés legítimo lo explica Interés legítimo según el RGPD: los 3 pasos de la ponderación.
Quién controla y qué se arriesga
Según las preguntas frecuentes de la DSB, la ejecución en caso de infracciones del § 165 apdo. 3 TKG 2021 corresponde a las autoridades de telecomunicaciones. La DSB puede ser competente si con el uso se tratan a la vez datos personales, por ejemplo al crear perfiles. Para infracciones del RGPD se aplican las multas del art. 83 del RGPD.
La propia TKG 2021 prevé en el § 188 apdo. 4 n.º 24 una sanción administrativa de hasta 50.000 euros si no se informa a los usuarios contraviniendo el § 165 apdo. 3. Para el caso de un consentimiento ausente, esta disposición no menciona una sanción propia. Eso no significa que una infracción quede sin consecuencias, porque además se aplica el RGPD.
Lista de comprobación para Austria
- Enumere todos los scripts, píxeles y accesos a memoria de su sitio web.
- Clasifique entre „estrictamente necesario“ y „todo lo demás“.
- Cargue todo lo demás solo tras un consentimiento activo.
- Informe en la política de privacidad y en el banner sobre datos, base, fin y duración de almacenamiento.
- Ofrezca rechazar y revocar tan fácilmente como aceptar.
Preguntas frecuentes
¿Se aplica el § 165 apdo. 3 TKG 2021 también a empresas alemanas? Depende del caso concreto, por ejemplo de dónde tenga su sede su empresa y a quién se dirija la oferta. Aclárelo con su asesoría de protección de datos. En Alemania se aplica el § 25 TDDDG, y en ambos países la práctica es la misma: los scripts no necesarios, solo tras el consentimiento.
¿Basta un aviso „Al usarlo, usted acepta“? No. La ley exige un consentimiento activo. Seguir usando la página no es una acción activa.
¿Es Suiza igual de estricta? No, allí se aplica otro modelo con información y posibilidad de rechazo. Lo explica Seguimiento de sitios web en Suiza: revDSG y FMG.
