Una coalición de 19 organizaciones de derechos digitales, consumidores, empresas y entidades académicas ha reclamado a las instituciones europeas que mantengan y refuercen la propuesta para sustituir buena parte de los actuales banners de cookies por señales automáticas de privacidad. La campaña, denominada Kill the Cookie Banner, quiere que cada persona pueda configurar sus preferencias una vez y que páginas web, aplicaciones y otros servicios estén obligados a respetarlas. La iniciativa depende del artículo 88b del Ómnibus Digital y, por ahora, no supone la desaparición de los avisos de cookies.
Las claves de Kill the Cookie Banner en 30 segundos
- Una coalición de 19 entidades pide que las preferencias de privacidad puedan comunicarse automáticamente.
- El mecanismo permitiría aceptar, rechazar o retirar determinados consentimientos sin responder continuamente a banners.
- La propuesta se encuentra en el artículo 88b del Ómnibus Digital y sigue en negociación.
- Global Privacy Control y ADPC muestran que técnicamente ya existen mecanismos similares.
- Los firmantes quieren que una negativa permanezca vigente hasta que el usuario decida cambiarla.
La petición se formalizó mediante una carta abierta dirigida al Parlamento Europeo, al Consejo y a la Comisión Europea. Entre sus firmantes aparecen organizaciones como noyb, Electronic Frontier Foundation (EFF), European Consumer Organisation (BEUC) y la española CECU, junto a otras entidades relacionadas con privacidad, derechos digitales y protección de los consumidores.
La propuesta parte de una situación conocida por prácticamente cualquier usuario de Internet en Europa. Tras la entrada en vigor del Reglamento General de Protección de Datos (RGPD) y la aplicación de las reglas europeas sobre privacidad electrónica, miles de páginas introdujeron gestores de consentimiento para decidir qué tecnologías pueden utilizarse en el dispositivo y para qué tratamientos de datos se solicita permiso.
El resultado práctico ha sido una sucesión de ventanas donde cada página vuelve a formular una decisión parecida.
La campaña no plantea simplemente eliminar esos avisos dejando libertad a las empresas para rastrear al usuario. Su propuesta funciona en sentido contrario: trasladar la elección desde cada página hacia el navegador, sistema operativo, aplicación o agente utilizado por la persona, y convertir esa señal en una instrucción que los servicios tengan que respetar cuando sea jurídicamente válida.
Elegir una vez en lugar de responder web por web
El principio técnico es relativamente sencillo.
Un usuario podría establecer previamente sus preferencias sobre acceso al dispositivo, seguimiento y tratamiento de datos personales. Al visitar posteriormente una web o utilizar una aplicación, el dispositivo transmitiría automáticamente esa información.
La página recibiría la decisión sin necesitar mostrar continuamente el mismo cuadro de consentimiento.
La carta explica que las señales deberían contemplar no solamente el rechazo. Los firmantes quieren que puedan utilizarse para prestar consentimiento, denegarlo, retirarlo y oponerse a determinados tratamientos de datos.
Eso introduce una diferencia importante frente a una hipotética opción universal de «rechazar todas las cookies».
La coalición propone conservar capacidad de elección por responsable del tratamiento y por finalidad. Una persona podría tener unas preferencias para un periódico local de confianza y otras diferentes para una gran plataforma internacional.
| Situación | Modelo habitual | Modelo propuesto |
|---|---|---|
| Primera visita | Aparece el banner | El navegador transmite la preferencia |
| Rechazo | Se configura en cada servicio | Puede comunicarse automáticamente |
| Consentimiento | Se solicita en la web | También podría expresarse mediante la señal |
| Cambio de opinión | Hay que localizar la configuración | El usuario modifica su preferencia |
| Persistencia | Depende del servicio y configuración | La negativa debería mantenerse hasta cambiarla |
| Finalidades | Gestión mediante el CMP de cada web | Señales diferenciadas por finalidad y responsable |
El sistema no eliminaría necesariamente todos los mecanismos de consentimiento.
Si una página necesita una autorización específica que no pueda deducirse de las preferencias existentes, todavía podría ser necesaria una interacción con el usuario. La finalidad del artículo 88b sería reducir las solicitudes repetitivas cuando la decisión ya se ha comunicado de una forma jurídicamente válida.
Los firmantes insisten precisamente en que el consentimiento transmitido automáticamente tendría que seguir cumpliendo los requisitos del artículo 4.11 del RGPD. Automatizar el mecanismo no convertiría cualquier señal técnica en consentimiento válido.
Global Privacy Control y ADPC muestran que la idea no empieza de cero
La tecnología necesaria tampoco tendría que diseñarse completamente desde el principio.
Una referencia es Global Privacy Control (GPC), una señal mediante la que el navegador puede comunicar que el usuario no quiere determinados usos de sus datos.
GPC ya tiene efectos jurídicos en algunas jurisdicciones estadounidenses. California, por ejemplo, ha avanzado en el reconocimiento de mecanismos de exclusión enviados directamente desde el dispositivo.
Sin embargo, GPC está orientado principalmente al opt-out. La propuesta europea pretende contemplar situaciones más complejas.
La carta cita también Advanced Data Protection Control (ADPC), desarrollado con participación de la Universidad de Economía y Empresa de Viena y organizaciones de la sociedad civil, entre ellas noyb.
ADPC pretende permitir comunicaciones más detalladas entre usuario y servicio, incluyendo decisiones asociadas a diferentes finalidades y responsables.
Los promotores de Kill the Cookie Banner no solicitan que la UE adopte sin cambios una de estas tecnologías. El artículo 88b contempla el desarrollo de un estándar europeo interoperable, que podría apoyarse en el trabajo existente.
La parte jurídica tendría que quedar definida por la legislación europea, mientras que los organismos de normalización deberían concentrarse en cómo comunicar técnicamente esas decisiones.
La separación es relevante. La coalición rechaza que un estándar técnico pueda terminar redefiniendo o reduciendo derechos reconocidos por el RGPD.
Rechazar una vez debería impedir que la web vuelva a insistir
Uno de los puntos más interesantes de la propuesta está en la persistencia de la decisión.
Los firmantes quieren que una señal que exprese rechazo, retirada del consentimiento u oposición continúe siendo efectiva hasta que la propia persona la modifique.
Eso impediría utilizar nuevas ventanas para intentar conseguir posteriormente una respuesta diferente sobre el mismo tratamiento.
La carta reclama expresamente que las empresas no puedan sortear la decisión mediante solicitudes repetidas, cambios de terminología, diseño de interfaces u otros mecanismos técnicos. También sostiene que un usuario no debería recibir un servicio degradado simplemente por haber comunicado automáticamente una negativa.
Este último punto puede tener implicaciones importantes para los modelos denominados consent or pay, utilizados por algunos medios y plataformas: aceptar determinados tratamientos publicitarios o contratar una alternativa de pago.
El alcance definitivo dependería, no obstante, del texto legal finalmente aprobado y de su relación con el RGPD, la normativa de privacidad electrónica y la jurisprudencia europea. La carta expresa las condiciones que desean los promotores de la campaña, no reglas que ya estén actualmente en vigor.
La coalición también quiere evitar que Google controle la decisión
La propuesta tiene además una dimensión relacionada con la competencia.
Si el navegador se convierte en el encargado de transmitir las preferencias, las compañías que controlan los principales navegadores y sistemas operativos ocuparían una posición especialmente sensible.
La coalición menciona explícitamente a las empresas dominantes y utiliza como ejemplo a Google en relación con los navegadores.
Su petición es que los denominados gatekeepers no puedan diseñar o administrar las señales de una manera que refuerce todavía más su posición en el mercado.
La preocupación tiene una explicación técnica.
Una preferencia automática puede parecer una pequeña cabecera o señal enviada durante una conexión, pero quien controla su configuración, interfaz y comportamiento predeterminado podría influir sobre millones de decisiones de privacidad.
Los firmantes quieren que navegadores, sistemas operativos, aplicaciones y agentes independientes puedan transmitir esas preferencias sin interferencia de los guardianes de acceso ni seguimiento adicional.
La campaña presenta así la eliminación de los banners como un problema tanto de privacidad como de arquitectura de Internet.
El artículo 88b todavía puede desaparecer de la reforma
La principal limitación de Kill the Cookie Banner es política: el mecanismo todavía no está aprobado.
La Comisión Europea introdujo en el Ómnibus Digital una propuesta para reconocer estas señales automatizadas. Los promotores consideran que el artículo 88b constituye una de las pocas medidas de simplificación del paquete que beneficia directamente al ciudadano.
Pero el texto continúa dentro del proceso legislativo europeo.
Según la carta, el artículo ha encontrado resistencias durante las negociaciones entre los Estados miembros y la coalición solicita a la Presidencia irlandesa del Consejo que vuelva a introducirlo en el próximo texto de compromiso y reabra su discusión.
También reclama a los Estados que han mostrado dudas que reconsideren su postura y pide a los eurodiputados que preserven y mejoren el artículo durante la tramitación parlamentaria.
Por tanto, Europa no ha decidido todavía eliminar los banners de cookies y tampoco existe una fecha a partir de la cual vayan a desaparecer.
Lo que existe es una batalla legislativa sobre cómo debería funcionar el consentimiento en los próximos años.
Para las páginas web el cambio podría ser considerable. Los gestores de consentimiento actuales están diseñados alrededor de una interacción directa: mostrar opciones, registrar la elección y conservar una prueba de lo decidido.
Con señales automatizadas habría que incorporar una capa anterior: comprobar si el usuario ya ha comunicado una preferencia jurídicamente válida y actuar conforme a ella antes de solicitar nuevamente su consentimiento.
Para los usuarios el cambio sería mucho más visible y sencillo: configurar determinadas preferencias y dejar de contestar una y otra vez la misma pregunta.
Ese es precisamente el argumento que las 19 entidades intentan trasladar a Bruselas. Los banners no desaparecerían porque Europa relajase las normas de privacidad, sino porque la decisión podría viajar automáticamente con el usuario en lugar de tener que repetirse en cada página que visita.
