Guía de cumplimiento de la Ley de Protección de Datos Personales de Jordania para el consentimiento de cookies: Ley núm. 24 de 2023 para editores en 2026
Jordania se convirtió en el primer país del Levante en promulgar un estatuto integral de protección de datos con la Ley de Protección de Datos Personales núm. 24 de 2023, publicada en el Official Gazette el 17 September 2023, con un período de gracia de seis meses que la puso en vigor vinculante en marzo de 2024. La Ley es administrada por el Consejo de Protección de Datos Personales, un órgano independiente que la Ley estableció bajo el Ministerio de Economía Digital y Emprendimiento, con responsabilidades de supervisión diarias y la autoridad para emitir regulaciones ejecutivas, designar jurisdicciones adecuadas para la transferencia transfronteriza e imponer sanciones administrativas. Para 2026, el Consejo tiene personal, las regulaciones ejecutivas cubren la superficie procedimental y sustantiva, y la aplicación jordana ha pasado de una posibilidad teórica a un historial documentado. La implicación para los editores es directa: una postura de consentimiento de cookies que funcionaba bajo el sistema fragmentado anterior a 2023 ya no es suficiente, y una postura que satisface el GDPR satisfará el PDPL jordano solo cuando la integración tenga en cuenta los puntos específicos en que los regímenes divergen.
Qué exige realmente el PDPL jordano
La Ley se aplica al tratamiento de datos personales de personas ubicadas en Jordania independientemente de dónde esté establecido el responsable o el encargado, y a los responsables y encargados ubicados en Jordania independientemente de dónde se encuentren los interesados. El ámbito territorial es, por tanto, amplio y abarca a la mayoría de editores que prestan servicios a lectores jordanos; el caso límite más común — un editor no jordano sin infraestructura jordana pero con visitantes jordanos — se resuelve por referencia a si el responsable ha dirigido activamente servicios hacia Jordania. Los datos personales se definen ampliamente como cualquier información que identifique o haga identificable a una persona física; los datos personales sensibles — incluidos los datos relativos a origen étnico, opinión política, creencias religiosas, salud, vida sexual, antecedentes penales y datos financieros — están sujetos a un umbral de consentimiento más alto y protecciones procedimentales adicionales.
La Ley establece bases legítimas para el tratamiento, el conjunto estándar de derechos de los interesados — acceso, rectificación, supresión, limitación, oposición y portabilidad — un marco de responsabilidad responsable-encargado con nombramiento obligatorio de delegado de protección de datos para categorías de mayor riesgo, obligaciones de notificación de brechas al Consejo en las 72 horas siguientes al conocimiento, controles de transferencia transfronteriza que dependen de las designaciones de adecuación del Consejo o garantías aprobadas, y un régimen de sanciones administrativas con multas de hasta JOD 1 millón por infracción más sanciones penales para las categorías más graves, incluyendo la transferencia transfronteriza no autorizada y el tratamiento de datos sensibles sin base adecuada.
Cómo trata el PDPL el consentimiento de cookies
El PDPL jordano no contiene una disposición separada al estilo ePrivacy sobre las cookies; las cookies y las tecnologías análogas de almacenamiento y acceso quedan dentro del marco de consentimiento general. El estándar es un acuerdo explícito, voluntario, específico e informado evidenciado por un acto afirmativo — la familia de requisitos que el GDPR estableció como referencia mundial y que Jordania ha importado con su propia capa procedimental. El Consejo, en sus orientaciones emitidas, ha confirmado que las casillas premarcadas, el consentimiento implícito inferido de la navegación continua y los banners de consentimiento agrupado no satisfacen el umbral de la Ley. Esto sitúa a Jordania firmemente en línea con la trayectoria global y significa que la postura que los editores ya mantienen para el tráfico del EEE es el punto de partida correcto para el tráfico jordano.
El efecto práctico es que las cookies y las tecnologías análogas que no son estrictamente necesarias para prestar el servicio que el usuario ha solicitado activamente no deben establecerse antes de que el usuario haya dado su consentimiento. Las cookies estrictamente necesarias — identificadores de sesión, contenidos del carrito, tokens de seguridad, cookies de equilibrio de carga — pueden establecerse sobre la base de que el usuario ha solicitado activamente el servicio. Todo lo demás — analítica, publicidad, personalización, pruebas A/B, reproducción de sesión y cualquier etiqueta de terceros — requiere consentimiento previo.
Cómo diverge el PDPL jordano del GDPR en la práctica
Tres diferencias importan al conectar un CMP. En primer lugar, el PDPL exige que los responsables que traten datos personales de más de un umbral de interesados definido por el Consejo, o que traten datos personales sensibles, se registren en el Consejo y obtengan una licencia de tratamiento — una autorización documentada que debe renovarse en el ciclo definido por el Consejo y presentarse a petición. En segundo lugar, las reglas de transferencia transfronteriza del PDPL requieren que el Consejo designe jurisdicciones de destino; las transferencias a jurisdicciones no designadas requieren el consentimiento explícito del interesado, garantías contractuales aprobadas por el Consejo o una de las derogaciones legales estrictas. En tercer lugar, el PDPL impone el nombramiento obligatorio de un delegado de protección de datos para responsables que superen el umbral definido por el Consejo, con el DPO designado en las comunicaciones del responsable ante el Consejo y sirviendo como punto de contacto para solicitudes de los interesados y consultas del Consejo.
Cómo es un banner de cookies conforme bajo el PDPL
Los requisitos técnicos convergen con lo que ya produce cualquier CMP moderno, pero el etiquetado, la documentación y el registro de consentimiento deben reflejar las especificidades jordanas. El banner de primera capa debe presentar al usuario una elección real — aceptar, rechazar, gestionar — donde la opción de rechazo sea al menos tan prominente como la opción de aceptación. El consentimiento agrupado está prohibido, por lo que la segunda capa debe permitir opt-in por categoría cubriendo como mínimo analítica, publicidad y cualquier tratamiento dependiente de transferencias transfronterizas. Las categorías deben estar por defecto desactivadas; el banner no debe cargar etiquetas hasta que el usuario las haya activado afirmativamente.
El aviso de privacidad accesible desde el banner debe identificar al responsable, el número de registro del responsable en el Consejo donde corresponda, las categorías de datos personales recogidos, la base jurídica para cada finalidad de tratamiento, el período de conservación de datos, las categorías de destinatarios incluyendo cualquier subencargado ubicado fuera de Jordania, los derechos del interesado en virtud de la Ley, los datos de contacto del DPO donde el nombramiento sea obligatorio, y los datos de contacto del Consejo para reclamaciones. Un aviso que cumple el estándar del artículo 13 del GDPR se superpone sustancialmente, pero las líneas de registro en el Consejo y de contacto del DPO deben añadirse explícitamente.
El patrón de integración que supera una revisión del Consejo
La implementación de referencia tiene cuatro partes móviles. La primera es un CMP que admite opt-in por categoría con desactivación por defecto y expone la elección del usuario a través de una cadena de consentimiento estructurada que el editor puede persistir. La segunda es una capa de carga de etiquetas — un gestor de etiquetas del lado del servidor o una puerta nativa del CMP — que aplica estrictamente el estado de consentimiento antes de que se establezca cualquier cookie no esencial. La tercera es un registro de consentimiento, almacenado del lado del servidor, que registra para cada evento de consentimiento la elección del usuario por categoría, la marca de tiempo, la versión del banner y un identificador IP truncado o hasheado de manera que el responsable pueda presentar el registro a petición del Consejo. La cuarta es un camino de retirada al menos tan fácil como la concesión original — típicamente un enlace permanente de reapertura del banner en el pie de página.
- Etiquetas de analítica — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — deben cargarse únicamente después de concedida la categoría de analítica. Cada plataforma admite una configuración controlada por consentimiento que impide cualquier escritura de cookies antes de que la puerta cambie.
- Etiquetas de publicidad — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, pujadores de cabecera programática — deben estar igualmente condicionadas por consentimiento; y donde el socio publicitario transfiera datos fuera de Jordania a una jurisdicción que el Consejo no haya designado, la jurisdicción destinataria y la base de transferencia deben aparecer en el aviso de privacidad.
- Herramientas de reproducción de sesión y mapas de calor — Hotjar, Microsoft Clarity, FullStory, Contentsquare — deben estar detrás de una puerta separada y más estricta porque el Consejo se ha alineado con las directrices internacionales que señalan la representación de campos de entrada como una categoría que requiere consentimiento explícito y granular.
- Las divulgaciones de transferencia transfronteriza deben ser específicas para cada jurisdicción destinataria y hacer referencia a la designación de adecuación del Consejo, una garantía aprobada o el consentimiento explícito del interesado como base jurídica.
Validación, registro y postura de auditoría para 2026
Un despliegue jordano defendible en 2026 debe superar cuatro comprobaciones técnicas. En primer lugar, una sesión de navegador limpia servida desde una dirección IP jordana debe producir cero cookies no esenciales antes de que el banner haya sido accionado. En segundo lugar, el recorrido de rechazar todo debe resultar en la misma postura que una sesión sin acción — sin etiquetas de analítica, sin etiquetas de publicidad, sin scripts de reproducción de sesión. En tercer lugar, un flujo de aceptar todo debe producir únicamente las etiquetas con las que el usuario ha consentido, y el registro de consentimiento debe contener un registro coincidente. En cuarto lugar, un flujo de retirada debe detener inmediatamente el disparo de etiquetas adicionales, caducar las cookies establecidas durante la sesión consentida y activar cualquier señal de supresión u opción de exclusión que requieran los socios destinatarios.
Más allá de las comprobaciones técnicas, la postura de registro y auditoría es lo que hace defendible un despliegue. Los responsables que traten datos personales de residentes jordanos por encima de los umbrales definidos por el Consejo deben poseer el registro en el Consejo y la licencia de tratamiento correspondientes, y el registro — junto con el registro de consentimiento, el aviso de privacidad, los resultados de la evaluación de impacto en la protección de datos para el tratamiento de mayor riesgo, la documentación del nombramiento del DPO y las autorizaciones de transferencia transfronteriza — constituye la documentación que el Consejo puede solicitar durante una revisión de cumplimiento. Un CMP correctamente configurado con un registro del lado del servidor, una capa de carga de etiquetas que aplique el estado de consentimiento, un aviso de privacidad que nombre cada destino de transferencia transfronteriza, las líneas de contacto del DPO y el Consejo, y los documentos de registro en el archivo es lo que convierte el PDPL jordano de un desconocido regulatorio en una parte defendible de la postura de consentimiento de un editor en la región del Levante.