Correcto, eso es lo que estoy haciendo (desafortunadamente) ahora.
Tengo mucha curiosidad por cómo leíste ese documento entonces. Quiero decir, 3.2 Cookies de autenticación lo expone bastante claramente:
Las cookies de autenticación se utilizan para identificar al usuario una vez que ha iniciado sesión (ejemplo: en un sitio web de banca en línea). Estas cookies son necesarias para permitir a los usuarios autenticarse en visitas sucesivas al sitio web y acceder a contenido autorizado, como ver el saldo de su cuenta, transacciones, etc. Las cookies de autenticación suelen ser cookies de sesión. El uso de cookies persistentes también es posible pero no deben considerarse idénticas, como se discute a continuación.
Reconoce la necesidad de cookies de autenticación (nota, no se llaman cookies técnicas). Indica explícitamente que la duración de estas cookies, es decir, sesión vs. persistente, implica que se traten de manera diferente.
Cuando un usuario inicia sesión, solicita explícitamente acceso al contenido o funcionalidad a la que está autorizado. Sin el uso de un token de autenticación almacenado en una cookie, el usuario tendría que proporcionar un nombre de usuario/contraseña en cada solicitud de página. Por lo tanto, esta funcionalidad de autenticación es una parte esencial del servicio de la sociedad de la información que está solicitando explícitamente. Como tales, estas cookies están exentas según el CRITERIO B.
Sin embargo, es importante tener en cuenta que el usuario solo ha solicitado acceso al sitio y a una funcionalidad específica para realizar la tarea que requiere. El acto de autenticación no debe tomarse como una oportunidad para utilizar la cookie para otros fines secundarios, como la monitorización del comportamiento o la publicidad sin consentimiento.
Iniciar sesión significa que el usuario dio su consentimiento para iniciar sesión, no para otros tipos de uso de datos a través de cualquier cookie de autenticación establecida.
Las cookies de inicio de sesión persistentes que almacenan un token de autenticación en varias sesiones del navegador no están exentas según el CRITERIO B. Esta es una distinción importante porque el usuario puede no ser consciente de que cerrar el navegador no borrará su configuración de autenticación. Puede volver al sitio web asumiendo que es anónimo, mientras que, de hecho, todavía está conectado al servicio. El método comúnmente visto de usar una casilla de verificación y una simple nota informativa como “recordarme (usa cookies)” junto al formulario de envío sería un medio apropiado para obtener el consentimiento, negando así la necesidad de aplicar una exención en este caso.
El CRITERIO B es:
la cookie es “estrictamente necesaria para que el proveedor de un servicio de la sociedad de la información solicitado explícitamente por el suscriptor o usuario preste el servicio”.
Por lo tanto, el usuario debe dar su consentimiento antes de que se puedan establecer cookies de autenticación persistentes. Razón: no se puede esperar que un usuario conozca las implicaciones de la autenticación persistente por defecto.
Sí, la legislación es difusa y compleja, con muchas actualizaciones diferentes a lo largo de casi dos décadas. E incluso los sitios oficiales de la UE que consulté parecen ser muy desordenados en cuanto a cómo manejan las cookies y sus políticas declaradas.