Cómo el juicio Planet 49 mejora el Marco de Transparencia y Consentimiento (TCF)

Hace un año, tras años de batalla judicial, el Tribunal de Justicia de la Unión Europea presentó un juicio definitivo del caso C-673/17, también conocido como el caso "Planet 49". Básicamente prohíbe marcar previamente casillas en un aviso de cookie, considerando que el consentimiento válido sólo puede basarse en una acción positiva y afirmativa por parte del usuario. El veredicto tiene un efecto dominó en toda la industria de la publicidad, lo que ha llevado a la Junta de Auditores Internos a actualizar su Marco de Transparencia y Consentimiento (TCF). Aquí se explica cómo.

¿Por qué un tribunal europeo abordó el tema del consentimiento de las cookies?

¿Qué determinó el Tribunal de Justicia de la Unión Europea? ¿Por qué un tribunal europeo se ocupó de un caso sobre el aviso de consentimiento de cookies de un sitio web alemán llamado Planet 49, una empresa alemana que ofrecía un servicio de lotería en línea que utilizaba dos casillas de verificación en su sitio web en la página de inicio de sesión de la lotería en línea?

Porque los profesionales de la privacidad querían respuestas a tres preguntas principales:

• ¿Es válido el consentimiento recogido a través de casillas premarcadas?
• ¿Qué tipo de información de las cookies debería estar disponible para el usuario para obtener un consentimiento válido?
• ¿Debería recogerse el consentimiento sólo para las cookies utilizadas para leer o acceder a datos personales?

Los expertos en privacidad esperaban con impaciencia el fallo, esperando que el tribunal europeo afirmara normas firmes sobre el consentimiento explícito. Antes, las marcas y los editores de Alemania se basaban principalmente en la base jurídica del "interés legítimo" para utilizar cookies y trackers en los visitantes de los sitios web alemanes.

Tomorrow is a big day for #ePrivacy as the #CJEU issue judgment on Case C‑673/17 (#planet49).

Highly expect that Court will rule #consent *must* be an affirmative & separate action (per purpose); *must* include names of 3rd parties & duration of #cookies

— Alexander Hanff (@alexanderhanff) September 30, 2019

Y tenían razón. El Tribunal de Justicia de la Unión Europea respondió a una serie de preguntas relacionadas con el consentimiento de las cookies, exigiendo a los propietarios de los sitios web que implementen o adapten sus mecanismos de consentimiento de las cookies para asegurarse de que cumplen con la sentencia. 

The Court of Justice of the European Union has clearly reaffirmed the fundamental elements of valid cookie consent today in its Judgment in Case C-673/17 #Planet49 https://t.co/DT7FWgHeET #cookies #consent #eudatap

— Paolo Balboni (@balbonipaolo) October 1, 2019

El fallo decía básicamente que las casillas premarcadas y la agrupación de los fines de la recopilación de datos están prohibidas para recoger un consentimiento válido, independientemente de que se utilicen para acceder a datos personales o no personales. Además, los usuarios deben ser informados de la fecha de caducidad de las cookies, así como de todos los terceros que lean o instalen cookies en el sitio web, antes de poder dar su consentimiento.

También expresó que se necesita "un comportamiento activo con una visión clara" del consentimiento para obtener un consentimiento válido, lo que debería poner fin efectivamente al uso del desplazamiento o la navegación continua como modo de consentimiento.

{{discover-our-cmp}}

¿Qué consecuencias tiene la sentencia para los propietarios de sitios web alemanes? 

¿Qué tengo que hacer como propietario de un sitio web si recojo datos de usuarios alemanes? ¿Qué tiene que cambiar concretamente si tú, o tu empresa, dirigen un sitio web que utiliza cookies?

• Enumerar todas las cookies que se dejan caer o se leen en tu sitio web y recopilar la fecha de caducidad y la categoría
• Informar al usuario sobre el uso de cookies (propósito e información de las cookies) en el aviso de cookies
• Asegúrate de ofrecer una opción neutral para el consentimiento, y recoge el consentimiento sólo cuando el usuario ha tenido un "comportamiento activo" (sin desplazamiento o navegación continua)
• Sólo se pueden eliminar o leer las cookies después de que el usuario haya sido informado y haya consentido
• Asegúrate de que los socios/el tercero en tu sitio web sigan esta regla.

Además, hay que tener en cuenta que, en Francia, la CNIL considera que la analítica es funcional, por lo que las cookies son esenciales para las que no es necesario el consentimiento, mientras que el Tribunal de Justicia de la Unión Europea las considera no esenciales, por lo que requieren consentimiento. Si deseas saber más sobre las recomendaciones de la CNIL para 2020, consulta nuestra página dedicada a este tema. O, si tienes preguntas sobre la regulación de la AEPD española, organiza una demostración con nosotros hoy.

Si usas una plataforma de gestión de consentimiento (CMP), como la de Didomi, estas comprobaciones deberían ser fáciles de completar. Las CMP permiten, de hecho, reunir, almacenar y distribuir el consentimiento de los usuarios, no sólo para los operadores de los sitios web, sino también entre los proveedores que forman parte de la Lista Global de Proveedores (GVL).

¿Pero qué cambiará con el estándar de la industria para obtener el consentimiento de los consumidores, el TCF?

{{discover-didomi-for-compliance}}

¿Cómo cambió el TCF como resultado del juicio Planet 49? 

Si bien muchos actores de la industria se encuentran todavía en medio de la transición del TCF v1 al TCF v2, la organización del Marco de Transparencia y Consentimiento de la IAB aprobó una enmienda a sus políticas para apoyar los cambios requeridos por el fallo del Planet 49. Esto es lo que dicen las directrices del "TCF v2.1":

1. Se requiere que los vendedores de TCF revelen la duración máxima de almacenamiento de cookies en el GVL y si se utilizan otros medios de almacenamiento/acceso
2. Las CMP deben revelar la duración máxima de almacenamiento de cookies de cada vendedor, y si se utilizan otros medios de almacenamiento/acceso al usuario en una capa secundaria de la interfaz de usuario
3. Las CMP están obligadas a revelar la información más detallada y específica de almacenamiento y acceso de cada vendedor, cuando los vendedores ponen esta información a disposición
4. Los vendedores de TCF están prohibidos de renovar la duración máxima de almacenamiento cuando la duración máxima de almacenamiento indicada en el GVL no sea indefinida y a menos que las señales del marco indiquen que el usuario ha renovado su consentimiento.

Opcionalmente, los vendedores pueden revelar información más detallada y específica sobre el almacenamiento y el acceso a la información cuando quieran demostrar el cumplimiento detallado de los requisitos del juicio. 

Estos nuevos requisitos vienen acompañados de nuevas especificaciones técnicas. La información adicional de los proveedores con respecto a sus cookies se añadirá a la Lista Global de Proveedores (ver detalles aquí).

¿Cuál es el calendario para actualizar las notificaciones de consentimiento? 

En cuanto al calendario, los proveedores deben completar sus requisitos de información adicional antes del 30 de septiembre de 2020, y las CMP deben actualizar su interfaz de usuario (UI) para adaptarla a los nuevos requisitos antes del 31 de enero de 2021. No hay nada que hacer para los operadores de sitios web y aplicaciones, si están correctamente equipados por una CMP.

{{discover-our-cmp}}

Estos cambios facilitarán a los propietarios de los sitios web la divulgación de información sobre los cookies de sus terceros pertenecientes a la TCF y, por lo tanto, les ayudarán a cumplir con el fallo Planet 49.

Por favor, ponte en contacto con nuestro equipo en Didomi si podemos ayudarte en el proceso.