En el ámbito europeo, la Directiva 2002/58/CE, con la redacción dada por la Directiva 2009/136/CE, introduce la obligación de obtener el consentimiento informado de los usuarios antes de instalar cookies en sus equipos.

En este sentido, el artículo 5.3 de la citada Directiva 2002/58/CE señala que únicamente se permite el uso de cookies cuando se facilite al usuario información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE (es decir, información sobre el tratamiento, sobre posibles cesiones a terceros, la posibilidad de ejercer los derechos de acceso, rectificación, etc…) y de que el responsable del tratamiento de los datos le ofrezca el derecho de negarse a dicho tratamiento.

No obstante, lo anterior, la normativa europea permite el almacenamiento de cookies con el fin único de realizar o facilitar técnicamente una comunicación electrónica o cuando sea estrictamente necesario para la prestación de un servicio expresamente solicitado por el usuario, como por ejemplo la contratación de un producto a través de una tienda online.

El Dictamen 4/2012 concluye que las siguientes cookies pueden estar exentas del requisito de consentimiento informado en determinadas condiciones, si no se utilizan para otros fines adicionales:

• Cookies de entrada del usuario (identificador de sesión) para la duración de una sesión cookies persistentes limitados a unas horas en ciertos casos.
• Cookies de autenticación utilizados para prestar servicios autenticados para la duración de una sesión.
• Cookies de seguridad centrados en el usuario que se utilizan para detectar abusos de autenticación para una duración limitada y persistente.
• Cookies de sesión de reproductor multimedia, tales como los flash player cookies, para la duración de una sesión.
• Cookies de sesión para equilibrar la carga, para la duración de la sesión.
• Cookies persistentes de personalización de la interfaz de usuario, para la duración de una sesión (o algo más).
• Cookies de terceros para compartir contenidos sociales por los miembros conectados a una red social.

En España, la regulación de las cookies la encontramos en el artículo 22.2 de la Ley 34/2002, de 11 de Julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSICE), con la nueva redacción dada por el Real Decreto-Ley 13/2012, de 30 de Marzo, que viene a transponer las directivas comunitarias en materia de comunicaciones electrónicas y en la Ley 9/2014, de 9 de Mayo, General de Telecomunicaciones.

La redacción actual del artículo 22.2 de la LSSICE permite el uso de cookies (las llama «dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios») siempre y cuando los usuarios hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la LOPD. Por tanto, la obtención de un consentimiento informado constituye el eje de la regulación sobre cookies.

Por tanto, la modificación del sistema de garantías de los usuarios ha pasado de un régimen basado en el derecho a obtener información sobre las cookies y disponer de un derecho de oposición (opt-out) a una exigencia de obtener su consentimiento informado (opt-in), establecida por el meritado Real Decreto-Ley 13/2012, de 30 de Marzo.

Por otro lado, se considera válido el consentimiento de los usuarios para aceptar el tratamiento de los datos mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones.

Finalmente, el último párrafo del artículo 22, en los mismos términos que la Directiva que traspone, indica que lo anterior no impide el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.