En mi opinión, la idea clave del debate suscitado a raíz de la noticia aparecida este verano sobre el inicio del primer procedimiento sancionador relacionado con cookies, es que el artículo 22.2 LSSI habla de consentimiento previo a la UTILIZACIÓN de cookies no exentas y no habla en momento alguno de consentimiento previo a la INSTALACIÓN.

La diferencia es importante en términos de interpretación, ya que él término “utilización” puede incluir tanto la instalación de la cookie como la posterior recogida de datos a través de la misma, que es lo que realmente tiene trascendencia jurídica.

Algo parecido ocurre en el caso de las direcciones IP de los visitantes de una página web.   En el aviso legal se informa sobre la recogida de este dato y la navegación se interpreta como una manifestación del consentimiento sobre su tratamiento, pero lo cierto es que la IP ha quedado registrada en el log del servidor desde el primer momento.

En cualquier caso, cabe resaltar, en relación a este debate, que tanto en el comunicado de IAB como en el de adigital se aclara que el procedimiento se refiere a un posible incumplimiento de las obligaciones de información y no de la obligación de obtener consentimiento.

Independientemente de lo que se substancie en este procedimiento, lo cierto es que la principal preocupación de las empresas es que puedan surgir de nuevo dudas sobre la forma y el momento en que se tiene que recabar el consentimiento. Algo que ya se consideraba resuelto tras la publicación de la Guía Y en este sentido considero que los dos comunicados son clarificadores.

A mi modo de ver, la secuencia cronológica es la siguiente:

1. El artículo 22.2 de la LSSI tiene una redacción confusa que impide saber de forma categórica si el consentimiento de una cookie (de Google Analytics, por ejemplo, que asocia los datos obtenidos a una dirección IP estática o dinámica), se refiere a la utilización (considerada en este caso como la captura acumulativa de datos útiles para el análisis estadístico) o afecta también la primera instalación de la cookie. Las dudas se extienden a otros puntos de la norma y surgen distintas interpretaciones.

2. Dada la incertidumbre, se produce una situación de espera en el mercado. Nadie quiere ser el primero, pero tampoco el último.

3. IAB, Autocontrol y aDigital acuerdan con la AEPD unos criterios de interpretación del artículo 22.2 que quedan plasmados en la “Guía sobre el uso de las Cookies”, dejando cierto margen de interpretación sobre las diferentes formas de prestar el consentimiento y el momento de instalación de las cookies.

4. La Agencia aclara que esta Guía contiene una interpretación de la ley, y que por lo tanto, puede haber otras. Con ello advierte en cierta forma que la Guía no es vinculante y que tanto la Agencia como la Audiencia Nacional, pueden aplicar un criterio distinto si en un caso concreto se fundamenta legalmente una interpretación que merece prevalecer sobre la de la Guía.

5. Si una empresa sigue la interpretación de la Guía y la Agencia o la Audiencia Nacional considera que ha cometido una infracción, podría esgrimir en su defensa el principio de confianza legítima mantenido por adigital en su comunicado, ya que la empresa habría actuado con la debida diligencia al seguir las indicaciones de una Guía avalada por la propia Agencia. Entiendo que ello tendría como consecuencia que no habría sanción, o ésta se aplicaría en su grado mínimo en el peor de los casos.

Como decía un cliente: “Se nota que estamos en el primer mundo”, ya que este debate está muy arriba en la pirámide de Maslow.