Por qué importa la exención

Según la Directiva ePrivacy (artículo 5, apartado 3), almacenar o leer información en el dispositivo de un usuario normalmente requiere consentimiento previo. Hay dos excepciones, y la que más utilizan los publishers es la del almacenamiento estrictamente necesario para prestar un servicio que el usuario ha solicitado expresamente. Todo lo que no cubre esa exención queda detrás de tu banner de consentimiento.

Muchos sitios amplían esta exención para cubrir analítica, pruebas A/B, limitación de frecuencia de anuncios y personalización. Los reguladores han rechazado esa interpretación en repetidas ocasiones, así que conviene entender exactamente dónde está el límite.

La prueba en dos partes

La exención no trata de lo que te resulta cómodo. Plantea dos preguntas:

1. ¿Solicitó el usuario expresamente el servicio? Cargar un artículo es una solicitud. Añadir un producto a la cesta es una solicitud. Abrir un widget de chat que impones en todas las páginas no lo es.
2. ¿Es el almacenamiento estrictamente necesario para prestar exactamente ese servicio? Si el servicio seguiría funcionando, aunque de forma menos cómoda, sin la cookie o el identificador, es probable que el almacenamiento no sea estrictamente necesario.

Ten en cuenta que «necesario para nuestro modelo de negocio» no es lo mismo que «necesario para el servicio que pidió el usuario». Los ingresos publicitarios mantienen vivo un sitio gratuito, pero los identificadores de segmentación publicitaria no hacen falta para mostrar un artículo.

Ejemplos comúnmente aceptados

• Cookies de sesión y autenticación que mantienen conectado a un usuario durante una sesión.
• Cookies de la cesta de la compra que recuerdan los artículos mientras el usuario completa el pedido.
• Identificadores de balanceo de carga que dirigen una solicitud al servidor correcto.
• Cookies de seguridad utilizadas para detectar inicios de sesión fallidos repetidos o defenderse de solicitudes falsificadas.
• El propio registro de consentimiento, porque recordar la elección del usuario es necesario para respetarla.
• Preferencias de interfaz que el usuario estableció deliberadamente, como el idioma, cuando se almacenan para la sesión o porque el usuario las eligió.

Ejemplos comúnmente mal clasificados

• Cookies de analítica. Algunas autoridades permiten una medición de audiencia limitada y respetuosa con la privacidad bajo condiciones estrictas, pero las etiquetas de analítica estándar generalmente requieren consentimiento. Consulta las directrices de la autoridad que se aplique a tu audiencia.
• Identificadores de publicidad y retargeting. Nunca hacen falta para entregar el contenido en sí.
• Botones para compartir en redes sociales y widgets incrustados que establecen cookies de terceros al cargar la página.
• Pruebas A/B y personalización que el usuario no ha solicitado.
• Limitación de frecuencia de anuncios. Mejora la experiencia del usuario, pero no es esencial para entregar la página.

La duración y el alcance siguen importando

Una cookie realmente esencial puede volverse problemática si dura más o recopila más de lo que necesita la función. Una cookie de sesión que persiste un año, o una cookie de seguridad que además escribe un perfil de marketing, pierde su protección. Mantén la vida útil corta y el contenido mínimo.

Documenta tu razonamiento

Para cada cookie o elemento de almacenamiento que clasifiques como estrictamente necesario, anota tres cosas: la función solicitada por el usuario que respalda, por qué esa función dejaría de funcionar sin él y su duración. Basta con una tabla breve mantenida junto a tu inventario de cookies. Cuando revises la lista, cuestiona cada entrada: si el único argumento es «siempre lo hemos hecho así», pásala detrás del consentimiento.

La exención también se aplica a más que las cookies. El almacenamiento local, el almacenamiento de sesión, el fingerprinting de dispositivos y los identificadores de SDK en apps caen bajo la misma lógica del artículo 5, apartado 3, así que inclúyelos en tu revisión.

Dónde encaja FlexyConsent

FlexyConsent es una CMP certificada por Google (CMP ID 317), certificada por IAB Europe e IAB Canada, con un banner disponible en 57 idiomas. Una CMP te permite retener las etiquetas no esenciales hasta que el usuario haya elegido, mientras tus elementos realmente esenciales siguen cargándose. Decidir a qué categoría pertenece cada cookie sigue siendo cosa tuya, así que mantén actualizado tu razonamiento documentado.

Conclusiones clave

• La exención cubre el almacenamiento estrictamente necesario para un servicio solicitado expresamente por el usuario, no el necesario para tus ingresos.
• Las cookies de sesión, cesta, balanceo de carga, seguridad y registro de consentimiento son los ejemplos típicos que cumplen.
• La analítica, la publicidad, los widgets sociales y la personalización generalmente requieren consentimiento.
• La duración y el contenido importan: mantén las cookies esenciales de corta vida y mínimas.
• Aplica la misma prueba al almacenamiento local, al almacenamiento de sesión y a los identificadores de apps.
• Documenta el razonamiento de cada elemento que clasifiques como estrictamente necesario y revísalo con regularidad.