Resposta rápida: LocalStorage é un mecanismo de almacenamento baseado no navegador que, como as cookies, está suxeito ás normativas de privacidade de datos, incluíndo a Directiva ePrivacy da UE e o GDPR. Almacenar ou acceder a datos non esenciais en LocalStorage sen o consentimento previo, informado e libremente outorgado do usuario é unha violación do cumprimento. A maioría das organizacións pasan isto por alto porque as súas ferramentas de xestión de consentimento están configuradas só para cookies, deixando LocalStorage completamente sen xestionar.
Puntos clave
- LocalStorage é tratado legalmente como unha "tecnoloxía similar" ás cookies segundo a lexislación do Reino Unido e da UE, o que significa que se aplican as mesmas regras de consentimento.
- O Comité Europeo de Protección de Datos (EDPB) confirmou que tecnoloxías como LocalStorage requiren o consentimento previo, informado e libremente outorgado antes de que se almacene ou acceda a calquera dato non esencial [2].
- O ICO distingue entre o almacenamento que é estritamente necesario para un servizo e o almacenamento non necesario utilizado para o seguimento ou a análise; só este último require o consentimento explícito [1].
- Moitas plataformas de xestión de consentimento regulan as cookies por defecto, pero deixan LocalStorage sen supervisión, creando unha importante brecha de cumprimento [3].
- SessionStorage ten as mesmas implicacións de privacidade que LocalStorage cando se usa para fins de seguimento ou análise.
- A retirada do consentimento obriga a un sitio web a eliminar calquera dato de LocalStorage recollido baixo ese consentimento.
- Os scripts de terceiros que escriben en LocalStorage tamén requiren cobertura de consentimento; a responsabilidade recae no operador do sitio.
- As sancións por incumprimento do GDPR poden ser substanciais; o risco agrávase cando as violacións son sistémicas e non reveladas.
Que é LocalStorage e como funciona
LocalStorage é unha API de almacenamento web integrada nos navegadores modernos que permite aos sitios web almacenar pares clave-valor directamente no dispositivo dun usuario, sen data de caducidade e cun límite típico por orixe de aproximadamente 5-10 MB. A diferenza das cookies, os datos de LocalStorage nunca se envían automaticamente a un servidor con solicitudes HTTP, persisten ata que o JavaScript do sitio web ou o usuario os borran explicitamente.
Así é como funciona na práctica:
- O JavaScript dun sitio web chama a
localStorage.setItem('key', 'value')para escribir datos. - Eses datos permanecen no dispositivo durante as sesións do navegador ata que se chama a
localStorage.removeItem('key')oulocalStorage.clear(). - Só os scripts da mesma orixe (protocolo + dominio + porto) poden ler ou escribir eses datos.
Os usos comúns inclúen: almacenar preferencias do usuario (tema, idioma), tokens de sesión, identificadores de análise, contidos do carro da compra e asignacións de variantes de probas A/B.
O punto crítico de cumprimento: debido a que LocalStorage almacena datos no dispositivo dun usuario, activa o mesmo marco legal que as cookies baixo a Directiva ePrivacy e o GDPR, independentemente de se eses datos se transmiten algunha vez a un servidor [4].
Necesitas o consentimento do usuario para LocalStorage baixo o GDPR
Si, para calquera uso non esencial de LocalStorage, requírese o consentimento explícito do usuario antes de que se almacenen ou accedan aos datos. O EDPB confirmou que tecnoloxías como LocalStorage están suxeitas aos mesmos requisitos de consentimento que as cookies, o que require un consentimento previo, informado e libremente outorgado [2]. O ICO especifica ademais que o consentimento debe ser afirmado mediante unha acción clara e inequívoca, non inferido do comportamento de navegación nin asumido polo uso continuado do sitio [1].
A excepción de necesidade: Se LocalStorage se usa unicamente para ofrecer unha función que o usuario solicitou explicitamente, por exemplo, preservar elementos nun carro da compra durante unha sesión activa, isto pode cualificarse como almacenamento estritamente necesario e non requirir consentimento. Non obstante, se eses mesmos datos do carro se usan para análise, retargeting ou elaboración de perfís de comportamento, a exención de necesidade xa non se aplica.
Erro común: Asumir que, debido a que os datos de LocalStorage non viaxan con solicitudes HTTP, están fóra do alcance da lei de privacidade. A lei aplícase ao acto de almacenar ou acceder a información no dispositivo dun usuario, non a se esa información se transmite.
A diferenza entre LocalStorage e Cookies: Requisitos de consentimento
Tanto LocalStorage como as cookies requiren consentimento cando se usan para fins non esenciais, pero difiren no comportamento técnico e en como as ferramentas de cumprimento as xestionan normalmente.
| Característica | Cookies | LocalStorage |
|---|---|---|
| Caducidade | Configurable | Ningunha (ata que se borra) |
| Enviado con solicitudes HTTP | Si | Non |
| Acceso no lado do servidor | Si | Non |
| Cuberto pola maioría dos CMPs por defecto | Si | Moitas veces non [3] |
| Consentimento requirido (non esencial) | Si | Si |
| Alcance | Por dominio/ruta | Por orixe |
A brecha práctica é significativa: a maioría das plataformas de xestión de consentimento están deseñadas para o bloqueo e a categorización de cookies. As escrituras de LocalStorage ocorren a través de JavaScript que os CMPs poden non interceptar a menos que estean configurados especificamente para facelo. É por iso que LocalStorage baixo o radar: por que tamén require o consentimento explícito do usuario non é simplemente unha preocupación teórica, é un punto cego de cumprimento activo para unha gran proporción de sitios web [3].
Por que LocalStorage necesita o consentimento explícito do usuario
LocalStorage require o consentimento explícito porque constitúe o acceso ou almacenamento de información no dispositivo dun usuario, un acto regulado pola Directiva ePrivacy (e as súas implementacións nacionais) independentemente de se se trata de datos persoais. Os expertos legais clasifican LocalStorage como unha "tecnoloxía similar" ás cookies segundo a lexislación do Reino Unido, que require o consentimento previo, informado e libremente outorgado antes de que se produza calquera almacenamento non esencial [4].
A lóxica subxacente é sinxela: a lei protexe o dispositivo do usuario como unha extensión da súa esfera privada. Tanto se os datos se almacenan nunha cookie, LocalStorage, IndexedDB ou unha caché de service worker, o desencadeante legal é o acto de almacenamento en si, non o formato.
Tres condicións para un consentimento válido (segundo a guía do ICO) [1]:
- Libremente outorgado, sen agrupar o consentimento coa aceptación dos termos de servizo.
- Específico e informado, o usuario debe saber o que se está almacenando e por que.
- Inequívoco, o consentimento debe provir dunha acción afirmativa clara, como marcar unha caixa.
Considérase LocalStorage seguimento segundo as leis de privacidade
LocalStorage considérase seguimento cando se usa para identificar, perfilar ou supervisar usuarios entre sesións ou páxinas. Almacenar un ID de usuario de análise, unha asignación de proba A/B ou unha etiqueta de segmento de comportamento en LocalStorage constitúe seguimento segundo a maioría das interpretacións reguladoras, independentemente de se eses datos se sincronizan posteriormente cun servidor.
Este é o núcleo de LocalStorage baixo o radar: por que tamén require o consentimento explícito do usuario, moitos desenvolvedores tratan LocalStorage como un mecanismo de caché neutral, cando os reguladores ven calquera identificador persistente no dispositivo como un posible vector de seguimento que require consentimento.
Podes almacenar datos persoais en LocalStorage
Tecnicamente, si, pero facelo leva un risco legal significativo e xeralmente é desaconsellable. Os datos persoais almacenados en LocalStorage (como enderezos de correo electrónico, compoñentes de pegadas dixitais do dispositivo ou IDs de usuario vinculados a perfís) están suxeitos a todas as obrigas do GDPR: base legal, minimización de datos, límites de retención e o dereito de supresión [1].
Riscos específicos de LocalStorage:
- Os datos persisten indefinidamente a menos que se borren explicitamente, o que dificulta o cumprimento da retención.
- Calquera JavaScript na páxina (incluídos os scripts de terceiros) pode acceder potencialmente aos datos de LocalStorage da mesma orixe.
- Non hai cifrado incorporado; os datos sensibles almacenados en texto plano son accesibles para calquera con acceso ao dispositivo ou a través de vulnerabilidades XSS.
Recomendación: Evite almacenar datos persoais identificables en LocalStorage. Se o almacenamento é necesario, asegúrese de que se obteña o consentimento, os datos se minimicen e exista un mecanismo de eliminación claro.
LocalStorage vs SessionStorage: Implicacións de privacidade
SessionStorage compórtase de forma idéntica a LocalStorage en termos da API de almacenamento web, pero os datos bórranse cando se pecha a pestana ou xanela do navegador. A pesar desta vida útil máis curta, SessionStorage está suxeito aos mesmos requisitos de consentimento cando se usa para seguimento ou análise [6].
A distinción clave para fins de cumprimento:
- SessionStorage pode cualificarse como estritamente necesario máis facilmente (por exemplo, manter o estado durante un proceso de compra de varios pasos), porque os datos non persisten máis alá da sesión.
- LocalStorage case sempre require consentimento para os casos de uso de seguimento porque a súa persistencia crea un identificador a longo prazo no dispositivo do usuario.
Ningún dos mecanismos está inherentemente exento da lei de privacidade. O propósito e o contido dos datos almacenados determinan a obriga de consentimento, non o tipo de almacenamento en si.
Que ocorre se usas LocalStorage sen consentimento
Usar LocalStorage para fins non esenciais sen obter un consentimento previo válido é unha violación da Directiva ePrivacy e, cando se trata de datos persoais, do GDPR. As consecuencias poden incluír investigacións reguladoras, accións de execución e danos á reputación.
Ademais do risco regulatorio, hai unha crecente dimensión de execución técnica: as funcións de privacidade do navegador e os bloqueadores de anuncios diríxense cada vez máis ao seguimento baseado en LocalStorage. Os sitios que dependen de LocalStorage sen consentimento para análise ou personalización poden atopar os seus datos cada vez máis pouco fiables a medida que estas ferramentas se fan máis frecuentes.
Lista de verificación de exposición práctica:
- Scripts de análise de terceiros que escriben identificadores de LocalStorage sen cobertura de consentimento.
- Ferramentas de probas A/B que almacenan asignacións de variantes antes de que se recolla o consentimento.
- Widgets de chat ou ferramentas de soporte que inicializan LocalStorage ao cargar a páxina antes de calquera interacción do usuario.
- Píxeles de retargeting que usan LocalStorage como respaldo de sincronización de cookies.
Como implementar o consentimento de LocalStorage no teu sitio web
A implementación do consentimento de LocalStorage require unha plataforma de xestión de consentimento que poida bloquear a execución de JavaScript, non só a configuración de cookies, ata que o usuario faga unha elección de consentimento válida. Os banners de cookies estándar que operan só na capa HTTP non interceptarán as escrituras de LocalStorage realizadas por JavaScript [3].
Enfoque de implementación paso a paso:
- Audita o teu uso de LocalStorage. Usa as ferramentas de desenvolvemento do navegador (pestana Aplicación) e un escáner de scripts para identificar cada clave escrita en LocalStorage, que script a escribe e con que propósito.
- Categoriza cada uso. Clasifica o almacenamento como estritamente necesario, funcional, de análise ou de marketing. Só o almacenamento estritamente necesario pode proceder sen consentimento.
- Selecciona un CMP que cubra LocalStorage. Asegúrate de que a túa plataforma de xestión de consentimento poida bloquear ou aprazar a execución de JavaScript para scripts non necesarios ata que se outorgue o consentimento. Biscotti CMP está deseñado para xestionar este nivel de xestión de consentimento a nivel de script.
- Implementa a carga de scripts con consentimento. Os scripts non esenciais que escriben en LocalStorage só deben cargarse despois de que o usuario aceptara a categoría de consentimento relevante.
- Proporciona unha interface de usuario de consentimento clara. O banner de consentimento debe describir o uso de LocalStorage en linguaxe sinxela, categorizado por propósito, con opcións de aceptación granular.
- Implementa un mecanismo de retirada e eliminación. Cando un usuario retira o consentimento, as claves de LocalStorage relevantes deben borrarse inmediatamente.
Como eliminar os datos de LocalStorage despois de que o usuario retire o consentimento
Cando un usuario retira o consentimento, o sitio web debe eliminar rapidamente calquera dato de LocalStorage que se recollera baixo ese consentimento. Isto non é opcional; o dereito a retirar o consentimento e a que se eliminen os datos asociados é un principio fundamental do GDPR.
Patrón de implementación: