Protección de datos / TIC

Dictamen jurídico — protección de datos (RGPD)

ES Protección de datos / TIC
Muestra ilustrativa preparada para una empresa ficticia. No constituye asesoramiento jurídico; sería necesaria la revisión de un abogado local antes de cualquier uso o presentación.

Muestra ilustrativa con cliente ficticio, preparada con fines de portafolio. No constituye asesoramiento jurídico.

DICTAMEN JURÍDICO

Solicitante: NovaMarket Tech, S.L. (cliente ficticio)

Objeto: Cumplimiento en materia de protección de datos del despliegue de cookies analíticas y publicitarias en la plataforma de comercio electrónico del solicitante y de la transferencia internacional de datos personales a un proveedor de servicios en la nube establecido en los Estados Unidos de América.

Fecha: 30 de julio de 2026.

Emitido por: Isabel Contreras San Lucas, Abogada.

I. ANTECEDENTES Y OBJETO

NovaMarket Tech, S.L. (en adelante, «NovaMarket» o «la sociedad») es una empresa emergente española dedicada a la comercialización de productos a través de una plataforma de comercio electrónico dirigida a consumidores residentes en España y en el resto del Espacio Económico Europeo (EEE). La sociedad actúa, respecto de los datos personales de las personas usuarias de su plataforma, en condición de responsable del tratamiento en el sentido del artículo 4.7 del RGPD.

La sociedad ha solicitado dictamen sobre dos cuestiones diferenciadas pero conexas. En primer lugar, pretende desplegar en su sitio web dispositivos de almacenamiento y recuperación de datos en los equipos terminales de las personas usuarias —esto es, cookies y tecnologías equivalentes— con finalidades analíticas (medición de audiencia mediante un proveedor de terceros) y publicitarias (personalización de anuncios y elaboración de perfiles). En segundo lugar, la sociedad tiene previsto contratar los servicios de alojamiento e infraestructura de un proveedor de computación en la nube establecido en los Estados Unidos, lo que implica una transferencia internacional de datos personales a un tercer país.

El presente dictamen tiene por objeto analizar la conformidad de ambas actuaciones con el marco normativo vigente e identificar las medidas y garantías exigibles, así como formular conclusiones accionables para la sociedad.

II. NORMATIVA APLICABLE

  1. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, «RGPD»), y en particular sus artículos 5, 6, 7, 13, 14, 28, 30, 35 y 44 a 49.
  2. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»).
  3. Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, «LSSI-CE»), y en particular su artículo 22.2, que regula el empleo de dispositivos de almacenamiento y recuperación de datos en equipos terminales.
  4. Directrices 05/2020 del Comité Europeo de Protección de Datos (EDPB) sobre el consentimiento en el sentido del Reglamento 2016/679, así como las Recomendaciones 01/2020 del EDPB sobre medidas que complementan los instrumentos de transferencia para garantizar el nivel de protección de los datos personales de la UE.
  5. Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos (AEPD), en su versión vigente.
  6. Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, con arreglo al Reglamento (UE) 2016/679 relativa al nivel adecuado de protección de los datos personales al amparo del Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework, «DPF»).
  7. Artículos 44 a 49 del RGPD, reguladores de las transferencias internacionales de datos, y en particular el artículo 45 (decisión de adecuación), el artículo 46 (garantías adecuadas) y el artículo 49 (excepciones para situaciones específicas).
  8. Sentencia del Tribunal de Justicia de la Unión Europea de 16 de julio de 2020, asunto C-311/18, Data Protection Commissioner contra Facebook Ireland Ltd y Maximillian Schrems («Schrems II»), que invalidó la Decisión 2016/1250 (Privacy Shield) y confirmó la validez de las cláusulas contractuales tipo (SCC) supeditada a una evaluación caso por caso.

III. ANÁLISIS

1. Cookies y consentimiento (art. 22.2 LSSI-CE y art. 6.1.a RGPD)

El artículo 22.2 de la LSSI-CE exige que los prestadores de servicios que empleen dispositivos de almacenamiento y recuperación de datos en los equipos terminales de las personas destinatarias obtengan el consentimiento de estas, informándolas previamente de forma clara y completa sobre su utilización, salvo cuando la cookie sea estrictamente necesaria para prestar un servicio expresamente solicitado. Las cookies analíticas y publicitarias que NovaMarket pretende desplegar no están comprendidas en dicha excepción, por lo que requieren consentimiento.

El estándar de dicho consentimiento se determina conforme al RGPD por remisión: ha de ser una manifestación libre, específica, informada e inequívoca de la voluntad, prestada mediante una acción afirmativa clara (art. 4.11 RGPD), y con la base jurídica del artículo 6.1.a). De ello se derivan las siguientes exigencias, conformes con las Directrices 05/2020 del EDPB y con la Guía de la AEPD:

  1. La mera continuación de la navegación no constituye consentimiento válido; tampoco lo constituyen las casillas premarcadas ni los patrones que induzcan a la aceptación.
  2. Debe permitirse rechazar el uso de cookies con la misma facilidad con la que se acepta: si en el primer nivel del panel de configuración figura un botón «Aceptar», ha de figurar en igualdad de condiciones —mismo nivel, formato y visibilidad— un botón «Rechazar».
  3. No cabe condicionar el acceso al servicio a la aceptación de cookies no necesarias (prohibición de los denominados «muros de cookies» o cookie walls), salvo que se ofrezca una alternativa equivalente sin dicho tratamiento.
  4. El consentimiento ha de ser granular por finalidades (analítica, publicidad, personalización) y revocable en cualquier momento con la misma facilidad con la que se otorgó (art. 7.3 RGPD).
  5. Las cookies no necesarias no deben instalarse antes de la obtención del consentimiento.

2. Bases de legitimación (art. 6 RGPD)

Debe distinguirse con precisión la base jurídica del almacenamiento/lectura en el terminal —regida por el art. 22.2 LSSI-CE, que exige consentimiento— de la base jurídica del tratamiento ulterior de los datos personales así obtenidos, que se rige por el artículo 6 del RGPD. En el caso de las finalidades analíticas y publicitarias basadas en cookies, ambas capas descansan sobre el consentimiento (art. 6.1.a), y no procede invocar el interés legítimo (art. 6.1.f) para eludir el consentimiento exigido por la LSSI-CE. Para las operaciones nucleares de la relación de comercio electrónico (gestión del pedido, facturación, entrega), la base será la ejecución de un contrato (art. 6.1.b) o el cumplimiento de una obligación legal (art. 6.1.c) según corresponda.

3. Deber de información (arts. 13 y 14 RGPD)

NovaMarket debe facilitar a los interesados, en el momento de la obtención de los datos, la información exigida por el artículo 13 del RGPD cuando los datos se recaben del propio interesado, y por el artículo 14 cuando se obtengan de terceros. Dicha información comprende, entre otros extremos, la identidad y datos de contacto del responsable, las finalidades y bases jurídicas del tratamiento, los destinatarios o categorías de destinatarios, la existencia de transferencias internacionales y las garantías aplicables, los plazos de conservación y los derechos que asisten al interesado. Se recomienda una estructura de información por capas, con una capa básica en el propio panel de cookies y una política de privacidad y de cookies completa accesible de forma permanente.

4. Transferencias internacionales a los Estados Unidos (arts. 44 a 49 RGPD)

La contratación de un proveedor de nube establecido en los Estados Unidos constituye una transferencia internacional de datos sujeta al capítulo V del RGPD. El artículo 44 establece el principio general de que toda transferencia solo podrá realizarse si se respetan las restantes disposiciones del Reglamento y si el nivel de protección de las personas físicas garantizado por este no se ve menoscabado. Se contemplan dos vías principales:

  1. Decisión de adecuación (art. 45 RGPD) — Marco de Privacidad de Datos UE-EE. UU. Mediante la Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023, la Comisión declaró que los Estados Unidos garantizan un nivel de protección adecuado para los datos personales transferidos a entidades estadounidenses certificadas y adheridas al DPF. Por tanto, si el proveedor de nube figura en la lista de organizaciones certificadas del Data Privacy Framework, la transferencia podrá ampararse en la decisión de adecuación sin necesidad de instrumento adicional. Es imprescindible verificar y documentar que la certificación del proveedor está vigente y que cubre la categoría de datos objeto de transferencia.
  2. Garantías adecuadas (art. 46 RGPD) — cláusulas contractuales tipo (SCC). Si el proveedor no estuviera certificado en el DPF, la transferencia deberá ampararse en las cláusulas contractuales tipo adoptadas por la Comisión. Conforme a la doctrina Schrems II (asunto C-311/18) y a las Recomendaciones 01/2020 del EDPB, la mera suscripción de las SCC no basta: es preciso realizar una evaluación de las transferencias (Transfer Impact Assessment, TIA) que valore si la legislación del país de destino —singularmente las facultades de acceso de las autoridades públicas estadounidenses— permite cumplir el nivel de protección de las SCC y, en caso contrario, adoptar medidas complementarias de carácter técnico (cifrado, seudonimización), contractual y organizativo.

Se recomienda, como vía preferente por su mayor seguridad jurídica, la contratación de un proveedor certificado en el DPF, sin perjuicio de mantener las SCC y una TIA actualizada como mecanismo de contingencia frente a una eventual invalidación futura de la decisión de adecuación —posibilidad no descartable a la vista del precedente de Privacy Shield.

5. Encargado del tratamiento (art. 28 RGPD)

El proveedor de nube tendrá la condición de encargado del tratamiento, por lo que su relación con NovaMarket deberá regularse mediante un contrato de encargo de tratamiento que reúna el contenido mínimo del artículo 28.3 del RGPD: objeto, duración, naturaleza y finalidad del tratamiento; tipo de datos y categorías de interesados; y las obligaciones del encargado, en particular tratar los datos únicamente siguiendo instrucciones documentadas del responsable, garantizar la confidencialidad, aplicar las medidas de seguridad del artículo 32, respetar las condiciones para la subcontratación (art. 28.2 y 28.4), asistir al responsable en el ejercicio de los derechos de los interesados y en el cumplimiento de los artículos 32 a 36, y suprimir o devolver los datos a la finalización del servicio. El contrato debe contemplar asimismo las garantías aplicables a las transferencias internacionales analizadas en el apartado anterior.

6. Registro de actividades de tratamiento (art. 30) y evaluación de impacto (art. 35)

NovaMarket debe mantener un registro de las actividades de tratamiento conforme al artículo 30 del RGPD, con el contenido allí previsto, incluidas las transferencias internacionales y las garantías que las amparan. Por lo que respecta a la evaluación de impacto relativa a la protección de datos (EIPD) del artículo 35, esta resulta exigible cuando el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. La elaboración de perfiles con fines publicitarios a gran escala, apoyada en el seguimiento sistemático mediante cookies, figura entre los tratamientos que, según los criterios del EDPB y las listas de la AEPD, pueden requerir una EIPD. Se recomienda documentar el análisis de necesidad de la EIPD y, en su caso, realizarla con carácter previo al inicio del tratamiento.

IV. CONCLUSIONES

  1. Las cookies analíticas y publicitarias exigen el consentimiento previo, libre, específico, informado e inequívoco de las personas usuarias (art. 22.2 LSSI-CE en relación con el art. 6.1.a RGPD); no cabe instalarlas antes de obtenerlo ni ampararlas en el interés legítimo.
  2. El panel de cookies debe permitir rechazar con la misma facilidad con la que se acepta, ofrecer configuración granular por finalidades y hacer posible la revocación en todo momento; quedan proscritos los muros de cookies y los patrones engañosos.
  3. Debe publicarse una información por capas que satisfaga los artículos 13 y 14 del RGPD, con mención expresa de las transferencias internacionales y sus garantías.
  4. Respecto de la nube estadounidense, se recomienda contratar un proveedor certificado en el Data Privacy Framework (art. 45 RGPD, Decisión (UE) 2023/1795), verificando y documentando la vigencia y el alcance de su certificación.
  5. Con carácter subsidiario o de contingencia, deberán suscribirse las cláusulas contractuales tipo (art. 46 RGPD) acompañadas de una evaluación de las transferencias (TIA) y de las medidas complementarias que resulten necesarias conforme a la doctrina Schrems II.
  6. Debe formalizarse un contrato de encargo de tratamiento con el proveedor conforme al artículo 28 del RGPD, con regulación expresa de la subcontratación y de las garantías de transferencia.
  7. NovaMarket debe mantener actualizado el registro de actividades de tratamiento (art. 30) y valorar y, en su caso, realizar una evaluación de impacto (art. 35) por la elaboración de perfiles publicitarios, dejando constancia documental del análisis.

Este es mi dictamen, que someto a cualquier otro mejor fundado en Derecho.

Isabel Contreras San Lucas
Abogada