Significado de cookies
Las cookies juegan un papel fundamental en el marco de la RGPD. Los motivos son especialmente:
- La sentencia del TJUE sobre cookies . En este caso, sin embargo, no se trataba principalmente de cookies, sino que la información periodística lo presentó así
- La nueva versión de la directiva sobre protección de datos personales en el ámbito de las comunicaciones electrónicas se conoce erróneamente como directiva sobre cookies.
- La comercialización de la trama de algunos proveedores de Herramientas de Consentimiento y algunas plataformas de asesoramiento
- La realidad de que los cookies son más fáciles de demostrar como mecanismo de procesamiento de datos y no pueden ser discutidos
¿Qué es un cookie?
Un cookie consta de una clave y un valor y es gestionado por el navegador del usuario. Por lo común, los navegadores almacenan las cookies en la unidad del dispositivo del usuario en forma de archivos de texto. En su momento, los navegadores almacenaban las cookies de manera habitual en forma de archivos de texto en la unidad del dispositivo del usuario. Hoy en día, se colocan a menudo en bases de datos. Las cookies no son archivos de texto y nunca lo fueron, porque cada navegador podía elegir libremente la forma de almacenamiento y puede hacerlo todavía.
Un cookie tiene especialmente las siguientes propiedades (valores de ejemplo están entre paréntesis):
- Nombre: NID
- Valor: 200=UxxxxxxsGiW99MK4GuykyVJnK8PMOWi02EBAwQ-juoMaximilia-injksa728lslsn
- Duración de vida: 1 año
- Configuración de seguridad: HttpOnly
- Dominio: google.com
Sobre la dominio del cookie se determina si existe un cookie de primera parte o tercera parte.
First-Party Cookies
Cookies de primera parte son gestionados por la página web que se ha llamado recientemente y solo pueden ser leídos por esta. Si el cookie tiene la dominio webseite4711.de y la página web también tiene esta dirección, es un cookie de primera parte para esta página web.
Third-Party Cookies
Cookies de Terceros por el contrario son gestionados por terceros. Un tercero es un proveedor de herramientas como por ejemplo Google reCAPTCHA. Cuando se carga una herramienta de este tipo, el navegador anexa todos los cookies que están en la misma dominio al llamado, incluidos los del propio sitio web.
Un cookie de tercer partido solo puede ser generado en el servidor del que se está solicitando una archivo.
Un ejemplo práctico para Google reCAPTCHA: Este herramienta se pone a disposición sobre la dominio google.com. Al llamar una página web que incorpora reCAPTCHA, ocurre lo siguiente:
- La página web se llama en el navegador al introducir la dirección _www.webseite4711.de
- La página web incorpora Google reCAPTCHA a través de la siguiente archivo: https://www.google.com/recaptcha/api.js
- El navegador solicita la archivo y envía todos los cookies ya existentes para el dominio google.com. En particular, se transmite el cookie NID, que contiene la ID de usuario de Google. Este cookie se establece, por ejemplo, cuando un usuario inicia sesión en su cuenta de Google.
- El herramienta llamada puede leer el cookie o cambiar su valor.
Cookies de Tercera Parte son así solo accesibles para las herramientas que se encuentran en la misma dominio que el cookie, donde la dominio por definición es diferente a la del sitio web llamado (por eso el nombre _Third-Party, es decir, Tercera Parte).
Compartir cookies de terceros entre diferentes herramientas
El mismo herramienta mencionada Google reCAPTCHA tiene acceso a varias dominios, entre ellos google.com y gstatic.com. Todos los cookies que se hayan establecido para estas dominios antes de incorporar Google reCAPTCHA se vuelven automáticamente accesibles para esta herramienta. Con ello, reCAPTCHA puede no solo leer los cookies administrados por sí mismo, sino también los de todos los otros herramientas de Google que establezcan cookies en alguna de las dos dominios mencionadas de Google. Por lo tanto, reCAPTCHA tiene acceso a una amplia variedad de cookies que técnicamente pertenecen a otras herramientas. Esto hace prácticamente imposible utilizar Google reCAPTCHA sin una solicitud de consentimiento conforme a derecho. La solicitud de consentimiento en sí misma es difícil porque nadie sabe cómo Google procesa los datos.
Cookies de primera parte para terceros
Al conectar una página web a herramienta como Google Analytics, se carga un código Javascript en la página web. Con este código Javascript también pueden gestionarse los cookies de primera parte, porque el código Javascript "vive" en la página web que lo ha cargado y puede actuar en su lugar.
Un cookie de primera parte se convierte en un cookie de tercera parte
Un cookie de primera parte también puede convertirse en un tercer partido. Aquí hay un ejemplo popular:
- Un usuario llama a la página web google.com
- Al hacer esto, se crea un cookie de primera parte llamado NID en la dominio google.com (o se actualiza si ya existía)
- El usuario llama ahora a una página web uvwxyz.de, que incorpora _Google reCAPTCHA
- Google reCAPTCHA se carga principalmente desde la domenio google.com_. Al cargar el herramienta, también se carga el cookie original First-Party NID y ahora es un Third-Party Cookie, ya que el dominio de la página web actual es uvwxyz.de y es diferente a google.com.
Galletas y privacidad
Siempre que una página web carga un herramienta de una dominio, se transfieren automáticamente todos los cookies existentes en el dispositivo del usuario a esa dominio.
Carga un herramienta más scripts de otras dominios, pueden estos scripts generar, leer y cambiar Cookies de terceros. En la práctica ocurre esto aproximadamente (siempre, fecha 30.12.2020) al incorporar videos de YouTube con o sin cookies (!), donde se carga el rastreador DoubleClick para fines de publicidad. DoubleClick se carga desde la dominio doubleclick.net y puede acceder a los cookies de estas dominios.
Cuanto más archivos de diferentes dominios descargue una herramienta, más control sobre los cookies podría tener. Por ejemplo, las páginas web que incorporan videos de YouTube no solo cargan archivos desde youtube.com o youtube-nocookie.com, sino también desde ytimg.com, gstatic.com y doubleclick.net. Al mismo tiempo, Google Maps carga archivos desde gstatic.com, por lo que ambos herramientas podrían comunicarse entre sí a través de estas dominios. Dado que la empresa Google posee todos estos servidores, el negocio puede transmitir datos recopilados sin ser detectado.
Las cookies se utilizan para identificar y seguir a los usuarios durante varias sesiones. Una sesión es la visita a una página web que termina cuando el usuario abandona la página o cierra el navegador.
Un cookie existe solo dentro de un único navegador en el dispositivo del usuario. Si el usuario visita una página web desde otro navegador, este otro navegador no conoce los cookies de visitas anteriores a la página web.
Los cookies no se pueden utilizar en general para seguir a los usuarios de manera transversal entre navegadores o dispositivos.
El cuento de la dominio sin cookies
Probablemente hayan leído sobre el Google Tag Manager que es una dominio cookieless. Que esta afirmación en sí misma es un grosero disparate, porque un servicio no es una dominio, se puede pasar por alto.
La afirmación no es cierta, incluso cuando se considere la dominio googletagmanager.com como cookieless. Esto lo he demostrado y probado en un propio artículo sobre Google Tag Manager.
La solución para cookies
La solución es no utilizar herramientas que procesen cookies. Se deben eliminar las herramientas innecesarias. Los tipos de letra externos, imágenes y bibliotecas deben ser guardados localmente. Pregunte a su proveedor de servicios para una lista completa de todos los elementos utilizados en su sitio web.
Otras posibilidades de solución:
- Alternativas para herramientas de Google
- Lista de verificación Preguntas de consentimiento (como motivación para no utilizarlas)
Por favor tengan en cuenta que incluso herramientas en sitios web que no utilizan cookies a menudo son obligatorias para la aceptación.
Mensajes clave
Las cookies son pequeños archivos que los sitios web almacenan en tu navegador para recordar información sobre ti.
Incorporar herramientas de terceros a tu sitio web puede darles acceso a todas las cookies del usuario, incluso las de otras herramientas, lo que plantea serias preocupaciones de privacidad.
Google recopila datos de los usuarios a través de diferentes dominios y herramientas, incluso si un sitio web no utiliza cookies.
Me llamo Klaus Meffert. Soy doctor en informática y llevo más de 30 años dedicándome profesional y prácticamente a las tecnologías de la información. También trabajo como experto en informática y protección de datos. Obtengo mis resultados analizando la tecnología y el Derecho. Esto me parece absolutamente esencial cuando se trata de protección de datos digitales.
