Política de privacidad vs. política de cookies vs. banner de cookies

Sigue este camino de decisión rápido:

1. Cuenta las herramientas no esenciales que carga tu web: analítica, píxeles publicitarios, widgets de chat, vídeos insertados y herramientas de pruebas.
2. Si son pocas y rara vez cambian, pon una sección de cookies dentro de la política de privacidad.
3. Si son muchas, o tu equipo de marketing añade etiquetas a menudo, publica una página de cookies aparte y enlázala desde la política de privacidad y desde tu herramienta de consentimiento.
4. Elijas lo que elijas, nombra cada herramienta de forma coherente y ofrece a los usuarios un lugar evidente para cambiar sus preferencias.

Hay una opción más que muchas webs pequeñas pasan por alto: usar menos tecnologías de seguimiento. Cada etiqueta que eliminas es una información menos que mantener, un consentimiento menos que recoger y un proveedor menos que evaluar. Las configuraciones de analítica respetuosas con la privacidad, las fuentes alojadas en tu servidor y los vídeos insertados de clic para cargar pueden reducir drásticamente tu lista de cookies.

Si estás creando la web desde cero, nuestra guía sobre cómo crear la política de privacidad de una web repasa todo el proceso, incluido dónde encaja la información sobre cookies.

Una política de privacidad cubre todas las formas en que tratas datos personales: formularios, cuentas, compras, correos, soporte, analítica, publicidad y más. Explica finalidades, bases jurídicas, destinatarios, transferencias, conservación y derechos.

Una política de cookies cubre una cuestión más limitada: qué tecnologías almacenan información en el dispositivo de un visitante o acceden a ella, y por qué. Eso incluye:

• cookies HTTP, tanto propias como de terceros
• almacenamiento local y almacenamiento de sesión
• píxeles de seguimiento y balizas web
• SDK y scripts que leen identificadores del dispositivo
• técnicas de huella digital del dispositivo

El solapamiento es grande. La mayoría de las cookies de analítica y publicidad tratan datos personales, así que deben figurar de todos modos en la política de privacidad. Lo que añade una política de cookies es detalle: herramientas concretas o nombres de cookies, duraciones y cómo cambiar tus preferencias.

Así que la respuesta honesta a política de privacidad vs. política de cookies es que una política de cookies suele ser una extensión especializada de la política de privacidad, no un régimen jurídico aparte con su propio requisito documental. Las verdaderas cuestiones legales son si tu información está completa y si tienes consentimiento cuando la ley lo exige.

No por ley. La obligación es dar información clara y completa que la gente pueda encontrar fácilmente. Dónde la colocas es decisión tuya.

Una sección dentro de la política de privacidad funciona bien cuando:

• usas un puñado de herramientas, como un servicio de analítica y cookies de sesión esenciales
• la información sobre cookies cabe en una lista o tabla breve
• quieres mantener un único documento

Una página de política de cookies aparte funciona mejor cuando:

• cargas muchas etiquetas, píxeles o proveedores publicitarios
• la lista de proveedores cambia a menudo y quieres actualizarla sin volver a publicar toda la política de privacidad
• tu herramienta de consentimiento enlaza a una lista detallada de cookies

Si las separas, enlaza las dos páginas entre sí y usa los mismos nombres para cada herramienta. Una política de privacidad que dice que no usas cookies publicitarias junto a una lista de cookies que muestra un píxel publicitario es exactamente el tipo de contradicción que detectan los reguladores y los visitantes dispuestos a reclamar.

Si además necesitas un banner de cookies es otra cuestión, que tratamos en ¿necesitas un banner de cookies?.

Tanto si es una página aparte como una sección de la política de privacidad, una información útil sobre cookies cubre:

1. Qué son las tecnologías, en términos sencillos: cookies, almacenamiento local, píxeles, SDK.
2. Categorías y finalidades: estrictamente necesarias, de preferencias, de analítica, de publicidad, y lo que hace realmente cada una en tu web.
3. Quién las instala: tus propias cookies y terceros identificados, como un proveedor de analítica o de publicidad.
4. Duración: solo durante la sesión, o cuánto tiempo persiste cada una.
5. Consentimiento y opciones: qué categorías necesitan consentimiento, cómo aceptar o rechazar y cómo retirarlo después.
6. Controles del navegador: una referencia a los ajustes del navegador y a las herramientas de exclusión que admitas de verdad.
7. Enlaces: a tu política de privacidad para derechos, bases jurídicas, transferencias y datos de contacto.
8. Una fecha de última actualización.

Un pequeño ejemplo de una entrada: «Analítica. Nuestro proveedor de analítica instala cookies que registran las páginas vistas y la duración de la visita para que podamos entender cómo se usa el sitio. Solo se instalan con tu consentimiento. Caducan a los 12 meses.» Es concreto, comprobable y honesto.

Para textos específicos de cada herramienta, consulta la información de privacidad sobre analítica y la guía de política de privacidad para Google Analytics.

Estas tres cosas se confunden a menudo:

• Banner de cookies o herramienta de consentimiento: la interfaz que pide consentimiento antes de que se carguen las tecnologías no esenciales y permite a los usuarios cambiar su decisión más tarde. Tiene que ver con el comportamiento de tu web.
• Política de cookies o sección de cookies: la explicación escrita de las tecnologías, finalidades, proveedores y duraciones. Tiene que ver con la información.
• Política de privacidad: el aviso completo sobre todo el tratamiento de datos personales, incluidas las cookies cuando intervienen datos personales.

Un banner sin política pide a los usuarios que consientan algo sobre lo que no pueden leer. Una política sin banner, cuando se requiere consentimiento, explica lo que haces pero no lo hace lícito. En la UE y el Reino Unido, una web que usa cookies de analítica o publicidad normalmente necesita ambos: consentimiento mediante un mecanismo que funcione e información mediante la política.

Para que quede claro qué hace cada herramienta: Legal Policy Generator redacta el texto de la política de privacidad, incluida la información sobre cookies, analítica y seguimiento según tus respuestas. No ofrece un banner de cookies ni una herramienta de gestión del consentimiento. Tú combinas la política con el mecanismo de consentimiento que prefieras y te aseguras de que ambos describen las mismas herramientas de la misma manera.

En la UE, la norma procede del artículo 5(3) de la Directiva ePrivacy. Almacenar información en el dispositivo de un usuario, o acceder a información ya almacenada en él, solo está permitido si el usuario ha dado su consentimiento después de recibir información clara y completa, en particular sobre las finalidades. Las excepciones cubren el almacenamiento o el acceso necesario únicamente para efectuar una comunicación, o estrictamente necesario para prestar un servicio que el usuario ha solicitado expresamente.

Las Directrices 2/2023 del Comité Europeo de Protección de Datos confirman que esta norma va más allá de las cookies clásicas y alcanza tecnologías como los píxeles de seguimiento, los enlaces de seguimiento, el almacenamiento local y algunas formas de huella digital del dispositivo.

En el Reino Unido, el reglamento 6 de las Privacy and Electronic Communications Regulations establece la norma equivalente. Las orientaciones vigentes de la ICO sobre tecnologías de almacenamiento y acceso dicen que la información debe cubrir las tecnologías usadas, sus finalidades, los terceros implicados y durante cuánto tiempo se almacena la información. El Reino Unido también ha añadido algunas excepciones nuevas a su norma de consentimiento, así que consulta las orientaciones vigentes de la ICO para conocer los detalles.

Cuando las cookies implican datos personales, también se aplican los deberes de transparencia de los artículos 12 a 14 del RGPD y del RGPD del Reino Unido. Ninguna de estas normas impone un título de documento.

La legislación de EE. UU. no tiene una norma general de consentimiento de cookies como la Directiva ePrivacy, pero la información sobre cookies sigue importando.

• La CalOPPA exige que la política de privacidad de una web comercial indique cómo responde a las señales Do Not Track del navegador y si otras partes pueden recoger información de identificación personal sobre las actividades online de los usuarios a lo largo del tiempo y en distintas webs.
• La CCPA y la CPRA consideran información personal los identificadores recogidos mediante cookies. Tu política de privacidad debe describir las categorías que recoges y si vendes o compartes información personal, lo que puede incluir muchas configuraciones de publicidad entre contextos, además de cómo pueden excluirse las personas.
• Otras leyes estatales de privacidad exigen un aviso similar sobre la publicidad dirigida y el derecho a excluirse de ella.

Ninguna de ellas exige una política de cookies con título propio. Una sección de cookies y seguimiento bien estructurada en tu política de privacidad suele cubrir la parte informativa, mientras que los enlaces de exclusión y las señales de preferencia se gestionan en la propia web.

Para más detalle, consulta los requisitos de política de privacidad de la CCPA y la CPRA y la información de privacidad sobre publicidad.

La información sobre cookies se queda desfasada más rápido que casi cualquier otra parte de una política de privacidad, porque las herramientas de marketing a menudo cambian sin revisión de código. Crea una rutina sencilla:

• Escanea con regularidad. Abre tu web en un perfil de navegador limpio, rechaza y luego acepta el consentimiento, y anota qué se carga en cada estado.
• Revisa cada etiqueta nueva. Añade la revisión de la información a la lista de lanzamiento de cualquier píxel, contenido insertado o script nuevo.
• Compara política, banner y realidad. Los tres deben nombrar las mismas herramientas.
• Actualiza la fecha cada vez que cambie la lista.

Cuando generas una política con Legal Policy Generator, le indicas qué tecnologías de analítica, publicidad y seguimiento usas, y la información sobre cookies y seguimiento se deriva de esas respuestas. Cuando cambien tus herramientas, actualiza las respuestas y vuelve a generarla en lugar de parchear el texto a mano. El cuestionario y la vista previa completa son gratuitos y no requieren cuenta, y la descarga simple en HTML o PDF es gratuita.

El texto generado refleja tus respuestas y no es asesoramiento jurídico. El consentimiento en sí sigue teniendo que gestionarlo el mecanismo de consentimiento de tu web.