La guia de l’AEPD estableix les següents categories de galetes.

Segons qui les gestiona:

• Pròpies: les envia i gestiona l’editor/a del web que s’està visitant.
• De tercers: instal·lades i gestionades per una altra empresa diferent a la del portal. Permeten crear perfils dels gustos dels usuaris/es, ja que poden tenir dades de diversos portals. Cal tenir en compte que cada cop més navegadors estan eliminant les galetes de tercers.

Segons la seva finalitat:

• Tècniques: permeten optimitzar o millorar el funcionament del web, per exemple, per gestionar un pagament, identificar la sessió, comptar les visites, habilitar continguts dinàmics... Les galetes tècniques, en general, queden fora de les obligacions establertes per l’LSSI, perquè “permeten oferir el servei sol·licitat per l’usuari”. Aquestes galetes no es poden fer servir amb altres objectius. No obstant això, com a novetat, si les decisions són preses per qui edita el web a partir de la informació del/la visitant (per exemple, l’idioma es posa en funció de l’idioma del cercador de la persona usuària i no com a elecció), cal informar i donar l’opció d’acceptar-les o no.
• De preferències o personalització: permeten personalitzar l’experiència dels usuaris/es, per exemple, l’idioma. En aquest cas, si l’usuari/ària determina aquestes preferències a través de les seves accions, com ara seleccionant l’idioma, també queden fora de les obligacions de l’LSSI.
• D’anàlisi o mesurament: permeten fer el seguiment i l’anàlisi dels comportaments de l’usuari/a dins del web per tal d’aplicar posteriorment millores.
• De publicitat conductual: permeten emmagatzemar informació del comportament de l’usuari/a a partir de la seva navegació i crear perfils específics per poder mostrar la publicitat segons els gustos.

Segons el temps que estan actives:

• De sessió: només recullen dades que són rellevants durant la sessió i, per tant, en finalitzar-la desapareixen.
• Persistents: les dades continuen emmagatzemades al terminal i poden ser tractades durant un temps variable que defineix el/la responsable de les galetes (des d’uns minuts a uns anys). Es recomana el mínim ús de cookies d’aquest estil i, en cas necessari, de la mínima durada possible. Perquè no s’hagi d’informar el consentiment d’una galeta, cal que la caducitat estigui en relació amb la seva finalitat.

Per saber les galetes que utilitza un lloc web es pot fer clicant la pàgina amb el botó dret i al menú desplegable seleccionar 'inspeccionar'. A la nova finestra, s’ha de clicar 'aplicació', situat a la part superior, i després a l'apartat 'cookies' es poden veure les que hi ha instal·lades.

L’obligació de transparència es tradueix en el fet d’haver de donar informació de les finalitats de les galetes i de l’ús de les dades obtingudes. Això es plasma en la política de cookies (informació diferent de la política de privacitat i l’avís legal), que ha d’incloure:

• Definició i funció genèrica de les galetes.
• Informació dels tipus de cookies que s’empren i la seva finalitat. En cas que s’utilitzin de tercers i no es pugui oferir la suficient informació, es pot enllaçar amb el lloc web del tercer.
• Informació de qui les tracta (l’editor/a del mateix web o una altra empresa). La identificació dels tercers es pot oferir de forma desplegable o emergent.
• Informació de la forma d’acceptar, denegar i revocar el consentiment d’ús. Si un cop acceptades les galetes de tercers es vol canviar la configuració, s’ha d’oferir informació de com gestionar-les a través dels diferents navegadors o dels webs de les altres empreses.
• Informació sobre les transferències de dades a tercers països que faci el mateix editor/a i remetre als webs dels tercers, en cas que siguin els que facin la transferència.
• En cas que es creïn perfils que comportin la presa de decisions automatitzades amb efectes jurídics per a l’usuari/a, cal informar d’allò que suposa (importància i conseqüències).
• Temps que es conserven les dades.
• Per donar altres informacions es pot remetre a la política de privacitat.

Sovint, aquesta informació es presenta en una única pàgina web que s’enllaça a la part inferior del portal. Seguir la localització habitual permet una millor visualització.

El consentiment s’ha de manifestar de forma expressa i evident, per exemple, a través d’un clic a un botó clarament identificat, o de qualsevol altra manera que suposi una acció inequívoca (i no complexa), sempre que s’hagi proporcionat la informació clara i accessible. En cas que es vulguin utilitzar altres mètodes, cal explicar-los. En cap cas continuar navegant pel web suposa una manera d’acceptació.

Cal especificar si el consentiment és únicament per a les galetes del web que s’està visitant o també per a les d’altres webs gestionats pel mateix editor/a o, fins i tot, si és per a les cookies d’altres empreses.

Per acceptar o no les galetes, s’han d’agrupar, com a mínim, per finalitat i també es pot fer segons el tercer, per tal que l’usuari/a pugui escollir unes o altres.

Mecanismes per demanar el consentiment:

• Quan la persona usuària demana l’alta en un servei (s’haurà de separar d’altres condicions).
• Quan es configura el funcionament del web o aplicació.
• A través de plataformes de gestió del consentiment (CMP per les sigles en anglès), que apareixen, per exemple, com una finestra emergent.
• Abans de descarregar un servei o aplicació, sempre que les cookies no siguin necessàries per al funcionament.
• A través del format d’informació per capes.
• A través de la configuració del navegador, sempre que es presenti el consentiment separat segons les finalitats i amb la identificació del/la responsable del tractament. No obstant això, des del web també s’ha de permetre revocar o denegar el consentiment, o donar la informació per fer-ho.

Fins i tot, és possible donar la informació i obtenir el consentiment de forma offline.

En cas dels webs dirigits a menors de catorze anys, la informació per demanar el consentiment del/la titular de la pàtria potestat o tutela ha de tenir les mínimes dades possibles i ha de ser senzilla. Per exemple, pot aparèixer un missatge que recomani avisar el pare, mare o tutor/a per acceptar les condicions.

En cas que es puguin recordar certes dades al web, caldrà demanar més informació per verificar que el consentiment és donat per la persona adulta, per exemple, indicant l’edat o any de naixement. A mesura que es vagin recopilant més dades, caldrà dificultar el procés de verificació, per exemple, amb un correu electrònic. En tot cas, es recomana no utilitzar galetes de publicitat conductual en webs dirigits a menors.