AEPD

Qué es y qué hace

La Agencia Española de Protección de Datos es la autoridad de control española en materia de protección de datos personales. Es un organismo público independiente y es la contraparte española del RGPD: el reglamento es europeo, pero quien lo supervisa y lo aplica en España es ella.

Aviso previo, igual que en el resto de esta parte del glosario:

No soy abogado ni delegado de protección de datos: escribo desde el lado de quien implanta la medición. Para decidir qué es lícito en tu caso, consulta con un profesional del derecho.

Sus funciones, resumidas en lo que afecta a una web:

• Publica criterio. Guías, informes del gabinete jurídico y resoluciones que concretan cómo se interpreta la norma en España. La más citada, con diferencia, es la Guía sobre el uso de las cookies.
• Atiende reclamaciones. Cualquier persona puede reclamar si cree que se han tratado mal sus datos. Es una de las vías por las que arranca un procedimiento: no hace falta una inspección de oficio, basta con que alguien se moleste en reclamar.
• Investiga y sanciona. Es el organismo con potestad para abrir expediente y sancionar los incumplimientos.
• Divulga. Publica materiales, herramientas de autoevaluación y avisos sobre prácticas que considera problemáticas.

Por qué su guía de cookies es la referencia práctica

La obligación de pedir permiso antes de escribir o leer algo en el dispositivo de quien te visita no sale del RGPD: sale del artículo 22.2 de la Ley 34/2002 (LSSI), que traspone la directiva ePrivacy. Esa norma dice qué hay que hacer, pero no baja al detalle de cómo debe verse un banner. Ese hueco es el que rellena la guía de la AEPD, y por eso en España es el documento que abro cuando alguien me pregunta si su aviso vale o no vale.

Los puntos de esa guía que determinan una implantación técnica:

• Las cookies técnicas necesarias para prestar el servicio no requieren consentimiento. Todo lo demás —medición, personalización, publicidad— sí.
• El consentimiento debe obtenerse antes de instalar nada. No mientras se navega, no «al hacer scroll».
• Rechazar debe ser tan fácil como aceptar. Si en la primera capa hay un botón de aceptar, tiene que haber uno de rechazar en igualdad de condiciones.
• Hay que informar antes de quién trata los datos, con qué finalidad y por cuánto tiempo, y ofrecer una segunda capa con el detalle.
• El consentimiento debe poder retirarse con la misma facilidad, lo que implica dejar accesible de forma permanente el panel de preferencias.

Ese último punto es el que más webs incumplen sin darse cuenta: el banner sale una vez, la persona acepta, y no vuelve a haber ningún sitio donde cambiar de opinión.

Lo que me encuentro cuando audito

En una auditoría de medición, mi rutina con esto es corta y siempre da fruto. Entro en la web con el navegador limpio y miro qué se ha cargado antes de que yo toque el banner. Ahí aparece casi todo lo que hay que arreglar.

El patrón más común no es la mala fe: es la desconexión. Alguien instaló un banner de cookies —a menudo un plugin— y alguien distinto instaló las etiquetas de medición. Los dos hicieron su parte, nadie conectó una cosa con la otra, y el resultado es un aviso perfectamente redactado que no controla nada. La web se ve conforme y no lo es.

El segundo patrón es el inventario desactualizado. La política de cookies enumera tres, y el navegador muestra once, porque en estos años se añadió un píxel para una campaña, un chat, un mapa y un vídeo incrustado. Cada integración externa mete lo suyo. Por eso el inventario no es un documento que se escribe una vez: es una lista que se revisa cada vez que se toca el sitio.

Y el tercero, el más caro de corregir después: medir en analítica sin haber pensado la arquitectura de consentimiento desde el principio. Reconstruir eso con seis meses de datos ya recogidos es mucho más trabajo que haberlo montado bien el primer día.

Por qué le importa a un negocio

Por el riesgo, evidentemente, y no voy a citar cuantías ni expedientes que no pueda verificar. Pero el argumento que de verdad mueve una decisión de negocio es otro: sin consentimiento no hay datos, y sin datos las decisiones de inversión se toman a ciegas.

Cuando el banner está mal montado pasa una de dos cosas, y las dos cuestan dinero. O se dispara todo antes de tiempo —y entonces tienes datos que no deberías tener, con el riesgo encima— o se bloquea de más y te quedas con informes vacíos. Los dos casos pueden darse en la misma empresa con pocos meses de diferencia, y el segundo lleva a repartir presupuesto de publicidad mirando cifras que solo representan a una parte de los visitantes.

Hay un tercer motivo, menos comentado: la confianza. Un aviso honesto, corto y con las dos opciones visibles genera mejor tasa de aceptación que uno diseñado para agotar a la gente. Quien acepta porque entiende lo que acepta te deja datos que puedes usar sin mirar por encima del hombro.

Errores frecuentes

Creer que la AEPD solo va a por las grandes. Un procedimiento puede arrancar por la reclamación de una persona concreta, sin que medie ninguna inspección. Cualquiera que se moleste en reclamar puede iniciarlo, independientemente del tamaño de la empresa.

Copiar el banner de otra web. Los textos de un aviso describen tus tratamientos, tus proveedores y tus plazos. Copiado de otro sitio, describe los de otro. Y suele venir con la misma desconexión técnica del original.

Confundir «tengo plugin de cookies» con «cumplo». El plugin es la herramienta, no el cumplimiento. Si no bloquea de verdad las etiquetas hasta que hay respuesta, solo ha puesto un cartel bonito.

No dejar forma de cambiar de opinión. Aceptar una vez y no volver a encontrar nunca el panel de preferencias incumple el requisito de que retirar el consentimiento sea tan fácil como darlo. Se soluciona con un enlace permanente en el pie.

Tratar el aviso de cookies como el único frente. Formularios, newsletters, currículums recibidos por correo, grabaciones de videovigilancia, contratos con proveedores. Las cookies son lo más visible, no lo único que mira la AEPD.