La Unión Europea tiene sobre la mesa una propuesta que podría cambiar una de las experiencias más repetitivas de la web actual: configurar la privacidad desde el navegador o el sistema operativo y hacer que las páginas respeten automáticamente esa elección. Una coalición de 19 organizaciones, empresas y entidades académicas agrupadas bajo la campaña Kill the Cookie Banner reclama que este mecanismo sobreviva a la negociación del Ómnibus Digital europeo.
Las claves del futuro de los banners de cookies en 20 segundos
- El artículo 88b propone dar efectos legales a señales automáticas de privacidad.
- Navegadores y otros agentes podrían transmitir consentimiento, rechazo, retirada u oposición.
- GPC y ADPC demuestran que la idea ya cuenta con tecnologías de referencia.
- La coalición quiere preferencias diferenciadas por empresa y finalidad.
- El artículo sigue negociándose y los banners no van a desaparecer todavía.
La propuesta resulta especialmente interesante desde el punto de vista tecnológico porque cambia dónde se produce la interacción. Actualmente cada web despliega su propia plataforma de gestión del consentimiento, conocida habitualmente como CMP (Consent Management Platform). El usuario responde y la página registra qué categorías puede activar.
El modelo defendido por la coalición invierte parte de ese proceso.
El navegador, sistema operativo, aplicación o agente del usuario podría convertirse en el origen de una señal estandarizada que comunicase previamente sus preferencias. Cuando una página recibiese una señal jurídicamente válida, tendría que actuar conforme a ella sin volver a plantear innecesariamente la misma pregunta.
No sería un bloqueador de cookies ni una opción universal para rechazarlas todas. La propuesta contempla un mecanismo bastante más granular: permitir decisiones distintas dependiendo del responsable que trate los datos y de la finalidad para la que quiera utilizarlos.
Del CMP de cada web a una señal transmitida por el navegador
Los banners actuales existen por una combinación de requisitos legales y decisiones de diseño.
Las cookies estrictamente necesarias para prestar determinados servicios no requieren el mismo tratamiento que las utilizadas para publicidad, medición o seguimiento. Cuando una actividad necesita consentimiento, este debe cumplir las condiciones establecidas por el Reglamento General de Protección de Datos (RGPD).
La propuesta del artículo 88b no pretende eliminar esos requisitos.
Lo que intenta cambiar es la interfaz utilizada para expresar la decisión.
Una implementación simplificada podría funcionar así:
Usuario → navegador o sistema operativo → señal de privacidad → web o app → CMP/sistema de consentimiento
La página recibiría la preferencia antes de decidir si necesita mostrar una interfaz adicional.
La carta de Kill the Cookie Banner reclama que las señales puedan representar cuatro acciones principales: consentir, rechazar, retirar un consentimiento anterior y oponerse a determinados tratamientos.
Además, el consentimiento transmitido de esta manera tendría que continuar cumpliendo el artículo 4.11 del RGPD. Es decir, automatizar la comunicación no permitiría rebajar los requisitos jurídicos que hacen válido un consentimiento.
| Capa | Modelo actual | Modelo propuesto |
|---|---|---|
| Navegador | Carga la página y sus controles | También comunica preferencias |
| Web | Pregunta al visitante | Primero interpreta la señal |
| CMP | Recoge y almacena la decisión | Puede procesar una decisión previa |
| Usuario | Configura cada web | Define preferencias previamente |
| Persistencia | Depende de cada servicio | La negativa permanece hasta cambiarla |
| Finalidades | Selección dentro del banner | Podrían expresarse mediante señales |
La diferencia técnica parece pequeña, pero podría modificar considerablemente el funcionamiento de la industria del consentimiento online.
Las CMP no tendrían necesariamente que desaparecer. Podrían evolucionar para interpretar señales externas, comprobar su alcance, almacenar la evidencia correspondiente y determinar cuándo sigue siendo necesaria una interacción adicional.
GPC y ADPC ya anticipan parte de este modelo
Europa tampoco tendría que comenzar desde cero.
Global Privacy Control (GPC) permite que navegadores y otras herramientas transmitan una señal indicando determinadas preferencias de privacidad del usuario.
El concepto recuerda al antiguo Do Not Track (DNT), aunque existe una diferencia decisiva: enviar una cabecera técnica sirve de poco si las páginas no están jurídicamente obligadas a respetarla.
Ese fue uno de los grandes problemas de DNT.
GPC cuenta actualmente con reconocimiento legal en determinadas jurisdicciones estadounidenses. La campaña europea lo cita como demostración de que una señal enviada automáticamente por el usuario puede integrarse en un marco regulatorio.
El artículo 88b quiere ir más allá de un simple opt-out.
La carta también menciona Advanced Data Protection Control (ADPC), desarrollado con participación de la Universidad de Economía y Empresa de Viena y organizaciones como noyb.
ADPC busca expresar preferencias más complejas, incluyendo consentimiento para determinadas finalidades o responsables.
La coalición propone que el futuro estándar europeo aproveche el trabajo técnico existente, pero considera que el significado jurídico de cada señal debe establecerlo la legislación de la UE y no el propio estándar tecnológico.
Los organismos de normalización deberían resolver cuestiones como interoperabilidad, formatos y transmisión, sin redefinir los derechos establecidos por la normativa.
El rechazo tendría que sobrevivir a las siguientes visitas
Aquí aparece probablemente el cambio más relevante para la experiencia del usuario.
Si una persona comunica mediante el navegador que rechaza un tratamiento, la coalición quiere que esa negativa siga siendo válida hasta que el propio usuario decida modificarla.
Una web no debería poder ignorarla mostrando inmediatamente otro cuadro preguntando esencialmente lo mismo.
Los firmantes solicitan que la señal tenga prioridad sobre posteriores peticiones relacionadas con el mismo tratamiento y que las empresas no puedan esquivarla mediante cambios en la interfaz, terminología diferente o solicitudes repetitivas.
Esto atacaría directamente uno de los problemas del sistema actual: la denominada fatiga del consentimiento.
Cuando una persona responde decenas o cientos de veces a interfaces parecidas, la interacción termina convirtiéndose en un trámite. Además, el diseño de algunos banners introduce más pasos para rechazar que para aceptar, algo que las autoridades europeas de protección de datos llevan años examinando.
Con una señal persistente, la arquitectura sería diferente. La decisión se tomaría en una capa controlada principalmente por el usuario y se transmitiría automáticamente a los servicios.
Chrome, Safari y Edge podrían convertirse en una pieza crítica
Trasladar las preferencias al navegador resuelve un problema, pero introduce otro: quién controla el navegador.
Google Chrome, Apple Safari y Microsoft Edge forman parte de plataformas gestionadas por algunas de las mayores compañías tecnológicas del mundo. Android e iOS añaden una segunda capa de control cuando la preferencia se administra desde el sistema operativo.
La carta dedica atención específica a este riesgo.
Los firmantes quieren impedir que empresas dominantes o gatekeepers diseñen las señales de forma que puedan favorecer sus propios intereses comerciales o reforzar su posición en el mercado.
El documento utiliza expresamente como ejemplo a Google en relación con los navegadores y reclama que los sistemas dominantes permitan transmitir preferencias sin interferencias adicionales.
También pide que puedan emitirlas aplicaciones y agentes independientes.
Este detalle puede adquirir todavía más importancia con el crecimiento de los navegadores y agentes basados en inteligencia artificial. Si una parte de la navegación termina realizándose mediante asistentes que visitan servicios, comparan información o realizan acciones por el usuario, también será necesario determinar qué preferencias de privacidad deben acompañar esas operaciones.
El principio tecnológico sería el mismo: la elección debería pertenecer al usuario y viajar con su agente, en lugar de depender de la interfaz diseñada por cada página.
El precedente de Do Not Track explica por qué hace falta una obligación legal
La historia de Internet ya contiene un intento parecido.
Do Not Track permitía enviar una señal HTTP para indicar que el usuario prefería no ser rastreado. Los principales navegadores llegaron a ofrecer soporte para ella, pero el sistema nunca consiguió una aceptación general.
Una de sus debilidades era que la señal no obligaba por sí misma a los servicios a actuar de una manera determinada.
El artículo 88b intenta evitar ese problema estableciendo una conexión entre señal técnica y obligación jurídica.
La coalición quiere que proveedores y demás actores que acceden a información almacenada en los dispositivos tengan que respetar las señales automatizadas legalmente válidas.
Ese componente es el que podría convertir una preferencia del navegador en algo muy diferente de otra opción más dentro del menú de configuración.
Los banners no tienen todavía fecha de caducidad
El proyecto está lejos de convertirse en una función que pueda activarse mañana en Firefox, Chrome o Safari.
El artículo 88b forma parte de la negociación del Ómnibus Digital y la carta del 10 de septiembre refleja precisamente que su continuidad no está garantizada.
Los firmantes piden a la Presidencia irlandesa del Consejo que vuelva a incorporar el artículo en su siguiente texto de compromiso. También reclaman apoyo a los Estados miembros, al Parlamento Europeo y a la Comisión para preservar una versión reforzada de la propuesta.
Por tanto, afirmar que la UE ha decidido eliminar los banners sería prematuro.
Incluso si finalmente se aprueba, todavía habría que concretar el estándar, desarrollar las implementaciones y adaptar navegadores, sistemas operativos, CMP, plataformas publicitarias, aplicaciones y páginas web.
El cambio puede ser considerable precisamente porque el banner es solamente la parte visible de una infraestructura técnica mucho mayor.
Detrás existen gestores de etiquetas, plataformas publicitarias, herramientas analíticas, CMP, APIs de consentimiento y sistemas encargados de conservar las decisiones de cada visitante.
Kill the Cookie Banner propone modificar el punto de entrada de toda esa cadena.
En vez de obligar a cada página a preguntarle nuevamente al usuario qué quiere hacer, el navegador podría llegar con la respuesta preparada.
Si el artículo 88b supera finalmente la negociación europea, el mayor cambio no será que desaparezca una ventana molesta. Será que la preferencia de privacidad pase a convertirse en una señal interoperable que acompañe técnicamente al usuario por la web.
Fuente: Redes Sociales
