TL;DR
El RGPD no es la única normativa que impone reglas sobre las cookies y el consentimiento. Brasil (LGPD), Sudáfrica (POPIA), Tailandia (PDPA), la India (DPDPA) y otros países han adoptado sus propias leyes de protección de datos, cada una con requisitos específicos sobre los rastreadores. Para los sitios con audiencia internacional, gestionar las cookies fuera de Europa se ha vuelto tan importante como cumplir el RGPD.
Por qué las cookies están reguladas más allá de Europa
Europa fue pionera con el RGPD y la Directiva ePrivacy, pero la tendencia a regular la privacidad en internet es mundial. Entre 2018 y 2026, más de 40 países han adoptado o reforzado leyes de protección de datos personales. La mayoría incluye disposiciones que afectan directamente a la instalación de cookies y al seguimiento en línea.
Incluso en Europa el marco sigue evolucionando, como explica nuestro artículo sobre lo que cambia el Reglamento ePrivacy para las cookies.
Si su sitio recibe tráfico de Brasil, Sudáfrica, el Sudeste Asiático o la India, es posible que esté sujeto a estas normativas, además del RGPD y la CCPA. Este artículo repasa las principales leyes fuera de Europa y lo que implican para sus cookies.
LGPD (Brasil): ¿qué reglas se aplican a las cookies?
La Lei Geral de Proteção de Dados (LGPD) es la ley brasileña de protección de datos personales, en vigor desde septiembre de 2020. Está muy inspirada en el RGPD, pero presenta diferencias importantes en cuanto al consentimiento y a las bases jurídicas aplicables a las cookies.
El consentimiento no es la única base jurídica
A diferencia del RGPD, donde el consentimiento es la base jurídica predominante para las cookies no esenciales, la LGPD prevé diez bases jurídicas para el tratamiento de datos. El interés legítimo es una base jurídica válida en Brasil, lo que significa que algunas cookies (las analíticas, por ejemplo) podrían, en teoría, instalarse sin consentimiento previo, siempre que se respeten los principios de transparencia y necesidad.
En la práctica, la autoridad brasileña (ANPD) recomienda, no obstante, obtener el consentimiento para las cookies de seguimiento y publicitarias. El consentimiento según la LGPD debe ser libre, informado, inequívoco y específico para cada finalidad.
Estos criterios se parecen a los europeos, detallados en nuestra guía sobre las 7 condiciones de validez del consentimiento RGPD.
Lo que exige la LGPD en concreto
La LGPD exige una política de privacidad clara, la identificación de las cookies instaladas y de sus finalidades, un mecanismo para retirar el consentimiento y el nombramiento de un responsable del tratamiento (encarregado). Las categorías de cookies (necesarias, analíticas, publicitarias) son relevantes en este contexto brasileño.
POPIA (Sudáfrica): el RGPD del continente africano
La Protection of Personal Information Act (POPIA) es la ley sudafricana de protección de datos, plenamente aplicable desde julio de 2021. Se aplica a cualquier organización que trate datos personales de residentes en Sudáfrica, incluidos los sitios web extranjeros.
Consentimiento y cookies según la POPIA
La POPIA exige que el tratamiento de datos se justifique en una de las bases jurídicas previstas por la ley. El consentimiento es una de ellas, pero el interés legítimo (sección 11(1)(f)) también puede aplicarse en algunos casos. Para las cookies publicitarias y de seguimiento, el Information Regulator (la autoridad sudafricana) recomienda el consentimiento previo.
El consentimiento según la POPIA debe ser voluntario, específico e informado. El usuario debe poder retirarlo en cualquier momento. La POPIA también exige un mecanismo de exclusión (opt-out) para el marketing directo, lo que afecta a las cookies utilizadas con fines de remarketing.
Guardar un registro con fecha y hora de cada elección facilita demostrarlo, como explica nuestra guía sobre la prueba del consentimiento de cookies.
PDPA (Tailandia): la ley asiática más estricta
La Personal Data Protection Act (PDPA) tailandesa está en vigor desde junio de 2022. A menudo se considera el equivalente asiático del RGPD, con requisitos similares en materia de consentimiento y de derechos de los interesados.
Se exige un consentimiento explícito
La PDPA tailandesa exige un consentimiento explícito antes de cualquier recogida de datos personales, también mediante cookies. El consentimiento debe ser libre, específico, informado y otorgado mediante una acción afirmativa clara. Las casillas premarcadas o los banners sin opción de rechazo no son conformes con la PDPA.
La autoridad tailandesa (PDPC) ha publicado directrices que alinean los requisitos de la PDPA con los estándares europeos. Un banner de consentimiento conforme al RGPD suele ser conforme a la PDPA, con algunos ajustes menores en el idioma y los avisos legales.
Para ver modelos concretos, consulte estos ejemplos de banners de cookies RGPD y buenas prácticas.
DPDPA (India): la nueva ley que hay que vigilar
La Digital Personal Data Protection Act (DPDPA) de la India se aprobó en agosto de 2023. Con 1.400 millones de habitantes y una economía digital en fuerte crecimiento, la India es un mercado de primer orden. La DPDPA establece el consentimiento como base jurídica principal para el tratamiento de datos personales.
La DPDPA prevé un consentimiento libre, específico, informado e inequívoco. Las normas de aplicación (mediante notificaciones) aún se están publicando. Las sanciones previstas son considerables: hasta 250 crores de rupias (unos 27 millones de euros) por infracción.
Para los sitios que se dirigen al mercado indio, se recomienda mostrar un banner de consentimiento en inglés y en hindi, con una política de cookies adaptada al marco de la DPDPA.
Comparativa de las leyes de cookies fuera de Europa
Las cuatro principales leyes fuera de Europa tienen enfoques distintos sobre el consentimiento de cookies. La siguiente tabla resume los puntos clave para adaptar su CMP a cada jurisdicción.
Cómo adaptar su CMP a varias jurisdicciones
La estrategia más eficaz consiste en adoptar un enfoque basado en la geolocalización de sus visitantes. En lugar de aplicar las mismas reglas a todos, puede adaptar el comportamiento de su banner de consentimiento según el país del usuario.
Enfoque por geolocalización
Una CMP moderna permite detectar la ubicación del visitante y mostrar el banner adecuado. Para los visitantes europeos: banner RGPD completo con opt-in. Para los visitantes brasileños: banner adaptado con mención a la LGPD y opt-out. Para los visitantes tailandeses: banner opt-in similar al del RGPD. Para los visitantes indios: banner de consentimiento con mención a la DPDPA. FlowConsent ofrece esta función de geolocalización integrada para adaptar automáticamente el banner al país del visitante.
La estrategia del máximo nivel de protección
Un enfoque alternativo consiste en aplicar el nivel de protección más alto a todos los visitantes, sea cual sea su país. Esta estrategia simplifica el cumplimiento, pero puede reducir las tasas de consentimiento en los países menos estrictos. Se recomienda para sitios con un tráfico moderado fuera de Europa, donde la geolocalización no se justifica en términos de retorno de la inversión.
Si elige esta vía, siga su efecto con nuestra guía para medir y mejorar su tasa de consentimiento de cookies.
Lo que debe recordar
La gestión de las cookies ya no es una cuestión puramente europea. Las leyes se multiplican, las sanciones aumentan y los usuarios de todo el mundo son cada vez más sensibles a la protección de sus datos. Para un sitio con audiencia internacional, invertir en una CMP capaz de gestionar varias jurisdicciones se ha vuelto imprescindible.
Identifique de dónde procede su tráfico, compruebe si le afectan estas normativas y adapte su banner en consecuencia. Analice su sitio con FlowConsent para comprobar su configuración e identificar posibles optimizaciones.