Se trata de los resultados del primer análisis coordinado sobre el uso de cookies en Europa. El estudio analiza un total de 478 sitios web agrupados en tres sectores: comercio electrónico, medios de comunicación y servicios públicos. La iniciativa tiene como objetivo obtener una visión transnacional y conjunta sobre la utilización de cookies en Europa, así como fomentar el cumplimiento de la legislación y promover la concienciación de los usuarios. Las páginas analizadas instalaron 16.555 cookies, con una media de 34.6 cookies por sitio web. El 70% de las cookies encontradas son de tercera parte, y más de la mitad de ese porcentaje son instaladas por sólo 25 proveedores. 22 de las páginas examinadas instalan más de 100 cookies cuando el usuario visita su página principal La caducidad media de las cookies está establecida entre uno y dos años, aunque tres de ellas prolongan su caducidad hasta el 31 de diciembre del año 9999
El objetivo de este estudio es obtener una visión transnacional, integral y conjunta sobre las condiciones en las que se instalan las cookies en los ordenadores de los usuarios, fomentar el cumplimiento de la protección de datos y la privacidad por parte de los responsables, y promover la concienciación de los usuarios.
El análisis –en el que la AEPD ha participado junto a las Autoridades competentes en privacidad y telecomunicaciones de Dinamarca, Eslovenia, Francia, Grecia, Países Bajos, Reino Unido y República Checa– ha examinado un total de 478 sitios web, seleccionados entre las 250 páginas más visitadas en cada uno de los países, revisando tanto las cookies instaladas como la información ofrecida sobre las mismas y los mecanismos establecidos para recabar el consentimiento de los usuarios. Las páginas analizadas pertenecen a tres sectores específicos: comercio electrónico, medios de comunicación y servicios públicos.
Una cookie es una pequeña pieza de información que la mayoría de las páginas web colocan en los equipos de los usuarios cuando estos acceden a ellas. Sus finalidades son diversas y permiten desde controlar el tráfico y la comunicación de datos a la observación continuada de los hábitos de navegación de los usuarios, permitiendo trazar un perfil específico.
Las conclusiones del estudio ponen de manifiesto que, con carácter general, los responsables de los sitios web han tomado medidas para informar a sus usuarios sobre la instalación de cookies en los dispositivos de sus visitantes, pero que aún deben mejorar en la obtención del consentimiento necesario para su uso.
El estudio se ha llevado a cabo en dos etapas: la primera incluyó una revisión estadística de las cookies utilizadas por sitios web y sus características técnicas y en la segunda se realizó una revisión manual a fondo sobre la información ofrecida acerca de las cookies y los mecanismos implantados para la obtención del consentimiento. Características como el mecanismo de notificación utilizado, la visibilidad del mismo, la calidad de la información proporcionada o el tipo de sistema utilizado para que un usuario exprese su consentimiento han sido algunos de los factores analizados.
Los resultados globales muestran que las 478 páginas analizadas instalaron más de 16.000 cookies. 22 de esos sitios colocan más de 100 cookies en el equipo del usuario cuando este visita su página principal, mientras que siete no instalan ninguna. De la cifra total de cookies instaladas, 2.302 se corresponden con cookies de sesión (las diseñadas para recabar y almacenar datos mientras el usuario accede a una página web) y 14.253 son cookies persistentes (aquellas que permiten al responsable de la misma acceder y tratar los datos obtenidos durante un periodo definido por este).
En este sentido, la caducidad media de las cookies está establecida entre uno y dos años, aunque un 20% de las analizadas tenían una caducidad entre dos y cinco años y 374 contaban con una fecha de caducidad superior a 10 años. Tres cookies observadas en el análisis tenían establecida como fecha de vencimiento el 31 de diciembre del año 9999, el máximo valor posible y una caducidad establecida en casi 8.000 años.
El 70% de las cookies encontradas en el análisis global son de tercera parte, y más de la mitad de ese porcentaje son instaladas y gestionadas por un grupo compuesto por tan solo 25 proveedores. Las cookies de tercera parte son aquellas que se envían al dispositivo del usuario desde un equipo o dominio que no es gestionado por el editor o aquellas en las que la información obtenida es gestionada por un tercero.
En cuanto a la información proporcionada a los usuarios, el 26% de los sitios analizados no ofrece información de que se están utilizando cookies. En los que sí se facilitaba esa información, la visibilidad de la misma podría ser mejorada en un 39% de los casos y la mitad únicamente informa a los usuarios sobre el uso de cookies, sin requerir el consentimiento para su instalación. Además, sólo el 16% de los sitios analizados ofrece a sus visitantes un nivel granular de control sobre la instalación de estos archivos.
Las Autoridades recuerdan que, aunque el estudio se ha centrado en el uso de cookies HTTP, otras tecnologías similares están igualmente sujetas a la obtención de un consentimiento válido, incluido el denominado device fingerprinting, como quedó recogido en el Dictamen 9/2014 realizado por las Autoridades europeas de protección de datos (GT29).
Mostrar información al usuario sobre qué son las cookies, qué tipo de información van a obtener de él y con qué fin se van a utilizar esos datos de forma que pueda tomar una decisión consciente es una obligación recogida en la Directiva 2002/58/CE y, en España, por la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI). La Agencia Española de Protección de Datos dispone de un espacio web en el que ofrece información sobre la legislación aplicable, las resoluciones e informes elaborados por la Agencia, así como guías y otros documentos de interés.
