Aceptar o no aceptar las cookies es exactamente lo mismo

Cookies. Esos trocitos de información en nuestro navegador tan valiosos para los que mercadean con nuestros datos. Desde hace un par de años, se ha vuelto rutinario, tras visitar por primera vez una web, tener que esconder la capa que suele salir en la parte inferior y que nos avisan del uso de las mismas, por una cuestión meramente legal, tras la aprobación europea de la RGPD.

Pero, ¿sirven de algo? ¿están cumpliendo con lo que dicen? y lo más importante, ¿qué pasa si no las acepto? Es algo que me llevo preguntando desde hace días y he hecho un pequeño estudio del tema. ¡Allá vamos!

No acepto, ¿y ahora qué?

Hay una empresa que "domina" el mercado de "script que se usa para poner eso de las cookies". Se llama Quancast y aunque no te suene seguro que si ves una captura un poquito más abajo del "diseño" con el que presentan el tema de las cookies, seguro que te será familiar.

He realizado 9 tests en distintas webs que usan Quancast, con los mismos resultados. Pongo aquí capturas que hice con un ejemplo de epdata.es (una web de datos de EuropaPress). Visito la página web y, obviamente, como todos hemos "sufrido" lo primero que nos sale es el famoso letrero:

En estos momentos, sin haber respondido nada, y sin haber interactuado con la web sin pulsar en ningún sitio (es decir, sólo con el mero hecho de haber entrado en ella tras poner la dirección web en la barra), ya tengo 5 cookies, 3 de la propia web (llamadas _cmpQcif3pcsupported, ai_sssion y ai_user), y 2 externas (de Google Analytics, llamadas _ga y _gid).

Ahora pueden ocurrir dos cosas principalmente: que alguien ACEPTE o que NO ACEPTE.

Si le doy a NO ACEPTO, ocurren ciertas llamadas a los servidores de Quancast (que no voy a analizar pero deduzco que le dicen que no he aceptado, con lo que no quiero que se usen cookies en este navegador).

Tras navegar unas 12 o 15 páginas aleatoriamente por la web, veo de nuevo las cookies y me encuentro una sorpresa:

Ahora tengo una cookie nueva de Google Analytics (llamada _gat_gtag_UA_2197908_18), y tengo 4 cookies nuevas de la web (llamadas googlepersonalization, eupubconsent, .AspNetCore.Antiforgery.OwftFkdKI9Q y el uso de Almacenamiento local).

¿Cómo es posible? Si yo mismo he dado en NO ACEPTO COOKIES, no sólo debería de haber borrado las iniciales que creó tras mi primera visita, sino que no debería de haber creado nuevas cookies en mi navegador, puesto que no acepté expresamente su uso.

Si pulso de nuevo en su enlace de Privacidad, se me abre de nuevo la capa de Quancast y veo que, efectivamente, todos los selectores están deshabilitados, absolutamente todos, desde los suyos como empresa, hasta los de terceros (el de Google Analytics).

Por si acaso fue un error, le doy de nuevo a RECHAZAR TODO, y "GUARDO". Tras visitar de nuevo, y visito algunas páginas aleatorias de su sitio, las cookies siguen ahí (no se han borrado), y alguna de ellas ha cambiado de contenido, con lo que siguen funcionando pese a mi rechazo de su uso.

Bueno, ¿y qué hubiera pasado si le hubiera dado a ACEPTAR COOKIES?. Hago la prueba, inicio todo de nuevo (para evitar posibles contaminaciones de experimento a nivel ISP, lo hago no sólo con otro ordenador y navegador, sino con otra conexión a Internet, ya que afortunadamente, en la oficina tenemos 2 líneas independientes).

Al visitar la web por primera vez y aceptar, y ver un par de páginas más, están las mismas cookies que en el ejemplo anterior: 3 de Google Analytics y un total de 7 de ellos mismos. Es decir, no importa que pulses en ACEPTAR o RECHAZAR, ya que el uso de cookies es el mismo.

Como comentaba al principio, he hecho el test durante semanas con 9 sitios distintos que usan Quancast y el resultado es exactamente el mismo.

¿Y los que no usan Quancast?

Hay otras páginas webs que, sin usar Quancast, te invitan a aceptar sus cookies, como por ejemplo Booking.com (por poner un ejemplo pero lo he comprobado en todas las de este modelo).

En este caso te comentan que "al pulsar en el botón Aceptar, aceptas el uso de cookies". ¿Y si no le das a "Aceptar"? Si no lo haces, y sigues navegando por sus páginas, las cookies siguen usándose, y generándose y cada vez más cookies. Es decir, que te invitan a que "Aceptes" el uso, pero la frase induce a pensar que si no le doy a ese botón, estoy rechazando su uso, cuando no es así.

Por éste problema de semántica (al que seguro algún abogado se acogería para su defensa), están otras páginas webs como (de nuevo, por poner otro ejemplo), el Heraldo.es. En este caso te ponen una frase algo distinta:

Es decir, el mero hecho de "continuar navegando por su web, me hace aceptar el uso de cookies". Acompañado también de un botón de "Estoy de acuerdo", pero que no hace absolutamente nada (operativamente hablando), ya que pulsar en ese botón o, no pulsar y seguir navegando, genera las mismas cookies en tu navegador.

Es más, en este caso, como en muchos periódicos, pasa una cosa muy curiosa. Los periódicos online suelen recargar la página cada pocos minutos (es una técnica para imprimir más banners y que ellos mismos engorden sus visitas para que se sientan mejor a final de mes). Si se da el caso de que visitas esta web, y te vas al baño y vuelves, al haberse recargado ha desaparecido el cartel de las cookies (ya que según su política el mero hecho de navegar por la web te hace aceptarlas), pero yo no he navegado por la web, sino es la propia web la que se ha recargado a sí misma. Así que en este caso, se están autoaceptando sin que el usuario siquiera sepa que hay una política de cookies (como ha de avisarse por ley y que el usuario sea conscience de ello).

Lo que se hace mal en este caso es que el mensaje de cookies desaparezca por el mero hecho de seguir navegando. El aviso con la gestión del consentimiento debería de aparecer en todas las páginas de la navegación hasta que el usuario elija algo.

¿Y de quién es la culpa?

Este artículo no pretende herir a nadie, pero Quancast (o cualquier otro software que se use para la "política y gestión de cookies para con tus usuarios"), simplemente facilita en aspecto visual y operativo, la gestión de hacer cumplir la Ley, pero el que tiene que cumplir la Ley siempre es el sitio web.

Es decir, si yo uso Quancast, y veo que el usuario ha dado a "Rechazo las cookies", soy yo, sitio web, el que tiene que borrarlas en última instancia, ya que Quancast no tiene permisos para ello, puesto que las cookies son "propiedad" del dominio que las genera, es decir, del sitio web.

Yo he hecho la prueba con 9 sitios que lo usan, y los 9 usan Quancast sólo por postureo (por decirlo de alguna manera). Los otros sitios que no lo usan y usan la frase de "Si sigues navegando es que las aceptas", no sé exactamente el marco legal en el que se amparan, pero por lo que sé, creo (mi opinión), que no lo hacen correctamente (menos aún el ejemplo del Heraldo que tras unos minutos se recarga la página y desaparece el cartel para siempre sin que (plausiblemente) lo haya podido leer y aceptar/rechazar.

Vamos a la parte legal de verdad

Según la Comisión Europea con la última Ley en la mano, la Directiva sobre Privacidad, en concreto su artículo 5(3), no se requiere consentimiento para el almacenamiento técnico o el acceso a las siguientes cookies si son utilizadas con el único fin de llevar a cabo la transmisión de una comunicación, o aquellas que sean estrictamente necesarias para que el prestador de un servicio de la sociedad de la información solicite expresamente al usuario la prestación de dicho servicio.

Es decir, como explica muy bien en su web, para la identificación de una sesión, o de un balanceo de carga, o de autenticación del sitio ... En los ejemplos expuestos en este artículo y en otros que he visto, las cookies usadas no sólo eran para estos fines, con lo que no cumplían la directiva europea.

Además, la directiva ordena que si un sitio usa cookies, requiere una página de aviso de cookies dedicada (no debe simplemente enlazar con la página de aviso de cookies general), que enumere todas las cookies de primera y tercera parte con información sobre su propósito, tipo de datos recogidos, almacenados o transmitidos por las cookies, período de retención de datos y su base legal.

Y por último, cita que la página también debe proporcionar medios para la gestión del consentimiento. Es decir, que el mero hecho de poner un cartel con un "si sigues navegando entendemos que aceptas nuestra política de cookies" no es correcto.

También citar (por si quieres leerlo en español), parte del artículo 66 de la DIRECTIVA 2009/136/CE, que reza: "Resulta, por tanto, capital que los usuarios reciban una información clara y completa cuando realicen una acción que pueda dar lugar a dicho almacenamiento u obtención de acceso. El modo en que se facilite la información y se ofrezca el derecho de negativa debe ser el más sencillo posible para el usuario."

¿Veis eso del "derecho de negativa"? Pues en los ejemplos de arriba de Heraldo y Booking, no lo hacen. Aun así, los que usan Quancast, y luego no programan sus sitios para lo acorde con lo elegido por el usuario, también están incumpliendo la normativa.

Y entonces, ¿para qué nos invitan a aceptar o rechazar?

Me alegra que te hagas esta pregunta, porque es la misma que yo me hice tras comprobar todo esto. Primero que nos están molestando en la experiencia web, teniendo que ver el "letrerito de las cookies" cada vez que vamos a una web nueva (unido además, al otro de "Permitir notificaciones" que tan popular se está haciendo). Segundo, que intentan cumplir la Ley sobre el uso de las cookies, pero es una pantomima, ya que ellos, Google y las 100 empresas a las que venden tus datos de navegación, siguen inyectando información en tu navegador para saber quien eres, cómo te comportas y qué información debes ver por ser quien eres (si, los anuncios, los artículos relacionados y mucha información que ves está diseñada para meterte en la cabeza lo que grandes corporaciones quieren, pero no me voy a poner conspiranoico, que no hace falta ;-)

A mi, el tema de las cookies, no me parece mal en su justa medida. Son necesarias para mejorar la experiencia del usuario (claro que como todo, tiene doble filo). Pero lo que más me molesta es que me mientan a la cara, que me den un botón para optar por una elección, que en verdad, no se está ejecutando.

¿Cómo te sientes al saber todo esto?