Claves útiles - Seguimiento con cookies propias

Este resumen sitúa el tema Seguimiento con cookies propias en un contexto útil. Las pone tu propio dominio, pero el seguimiento con cookies propias no queda exento de consentimiento solo por eso.

Las cookies de origen las establece el sitio web que utiliza el visitante. Las cookies de terceros las establece otro dominio, a menudo para publicidad, retargeting o servicios integrados. Los navegadores y los usuarios suelen confiar más en las cookies de origen, pero no son automáticamente respetuosas con la privacidad ni están exentas de consentimiento.

Para análisis de marketing, las cookies de origen pueden mejorar la calidad de los datos y reducir la dependencia de identificadores de tecnología publicitaria de terceros. La pregunta importante es qué hace la cookie.

¿Para qué sirven las cookies propias?

Las cookies de origen son útiles para la autenticación, la continuidad de la sesión, los carritos de compras, las preferencias de idioma, los controles de seguridad y para recordar la elección de consentimiento del visitante. Suelen ser necesarios para el servicio que el usuario solicitó.

También pueden respaldar el análisis al recordar que el mismo navegador visitó varias páginas o regresó más tarde. Eso ayuda a calcular sesiones, visitas repetidas, embudos y atribución. Debido a que la cookie pertenece a su dominio, es menos probable que los navegadores la bloqueen que las cookies de terceros.

Por qué la propia parte no significa libre de consentimiento

Las reglas de cookies de la UE se centran en almacenar o acceder a información en el dispositivo del usuario, no solo en si la cookie es propia o de terceros. El informe del grupo de trabajo del banner de cookies EDPB explica que el acceso al dispositivo se rige por las reglas ePrivacy, mientras que el procesamiento posterior también puede involucrar a GDPR (Grupo de trabajo del banner de cookies EDPB).

Una cookie de análisis de origen aún puede no ser esencial. Si rastrea el comportamiento para medición, personalización o marketing, muchos sitios necesitarán consentimiento a menos que se aplique una exención local limitada. Si admite seguridad o funcionalidad de sesión estrictamente necesaria, el análisis es diferente.

Análisis propio frente a vigilancia propia

Existe una gran diferencia entre utilizar una cookie propia de corta duración para contar las visitas y utilizar el seguimiento propio para reconstruir el mismo perfil publicitario invasivo que solían soportar las cookies de terceros.

Tenga cuidado con las propuestas de "etiquetado del lado del servidor" o "seguimiento propio". Algunas configuraciones enrutan datos publicitarios a través de su propio dominio para que los navegadores los traten como propios y luego los reenvíen a las plataformas publicitarias. Esto puede mejorar la durabilidad del seguimiento, pero puede aumentar su responsabilidad porque la recopilación de datos parece provenir de su sitio.

El seguimiento propio que prioriza la privacidad debe seguir estas reglas:

• Utilice el período de retención más corto que respalde la métrica.
• Evite recopilar datos personales sin procesar en las propiedades del evento.
• No sincronice identificadores con redes publicitarias a menos que los usuarios lo den claramente.
• Elimina los parámetros de URL sensibles.
• Mantenga la analítica separados de las audiencias publicitarias.
• Explique claramente la finalidad en su aviso de privacidad.

Cuando es mejor sin cookies

Si solo necesita análisis agregado del sitio web, no es necesaria una cookie de análisis propia. La analítica sin cookies puede contar visitas a páginas, referencias, campañas, objetivos y clics salientes sin almacenar un identificador de análisis en el navegador.

Se pierde algo de precisión en torno a los visitantes que regresan y la atribución de sesiones múltiples, pero se obtiene un cumplimiento más sencillo, menos fricción con los banners y una historia de confianza más limpia. Para los sitios de contenido, organizaciones sin fines de lucro, páginas del sector público y muchos sitios de marketing, esa compensación suele ser favorable.

Criterios de decisión

Utilice cookies de origen cuando el usuario espere continuidad: inicio de sesión, carrito, preferencia guardada, seguridad o una función que el usuario solicitó. Considere el análisis sin cookies cuando el objetivo sea la medición agregada. Requerir consentimiento explícito cuando la cookie admita publicidad, elaboración de perfiles, medición entre sitios o personalización no esencial.

Para cada cookie, documente:

• Nombre y dominio.
• Objetivo.
• Caducidad.
• Datos almacenados.
• Si es necesario.
• Si los datos se comparten con los proveedores.
• Requisito de consentimiento y base jurídica.

Este inventario pertenece a sus registros más amplios de procesamiento y revisión de proveedores. También ayuda a los equipos de ingeniería a eliminar las cookies obsoletas que no pertenecen a nadie.

Configuración práctica de marketing

Un sitio de marketing consciente de la privacidad puede funcionar así:

• Cookies necesarias solo para la elección del consentimiento, la seguridad y las sesiones iniciadas.
• Análisis sin cookies para tráfico, campañas y objetivos.
• Eventos de compra o registro del lado del servidor sin datos personales enviados a análisis.
• Píxeles publicitarios opcionales cerrados tras un consentimiento claro.
• Revisión mensual de etiquetas para eliminar scripts no utilizados.

Las cookies de origen son una herramienta, no una estrategia de cumplimiento. Pueden ser legítimos y útiles, o pueden ser una forma de preservar las prácticas de seguimiento que los usuarios intentaban evitar. El camino que prioriza la privacidad es comenzar con la pregunta de medición, utilizar el mecanismo menos invasivo que la responda y documentar la compensación.

Preguntas de auditoría antes de establecer una

Antes de agregar una cookie de análisis propia, pregunte quién se beneficia de ella y si el mismo informe funciona sin ella. Si el único beneficio es un recuento de visitantes que regresan un poco más limpio, la medición sin cookies es suficiente. Si la cookie admite una función que el usuario solicitó, documente ese propósito por separado de la analítica de marketing.

Comprueba también la caducidad. Una cookie que dura dos años para facilitar la presentación de informes es difícil de defender. Los períodos más cortos, las métricas aproximadas y los informes agregados suelen brindar a los equipos de marketing los datos de tendencias que necesitan con un menor costo de privacidad.

Ejemplo de inventario de cookies

Documente cada cookie en una tabla antes de enviarla. Incluye name, domain, purpose, category, expiry, data stored, vendor, consent required y deletion owner. Una cookie llamada _site_session para la continuidad del inicio de sesión puede ser necesaria y de corta duración. Una cookie denominada _visitor_id para análisis de visitantes recurrentes puede requerir consentimiento y debe tener una caducidad clara.

El inventario debe coincidir con lo que realmente muestra un navegador, no con lo que dice el folleto de un proveedor. Pruebe en un perfil limpio, rechace el consentimiento opcional, acepte el consentimiento opcional, inicie sesión si es relevante y exporte las cookies resultantes. Este pequeño paso de control de calidad detecta cookies de origen accidentales establecidas por administradores de etiquetas, medios integrados o scripts publicitarios.

Auditoría final de cookies

Antes de aprobar una cookie análisis de origen, pruebe el sitio antes de cualquier elección, después del rechazo y después de la aceptación. Inspeccione las cookies, el almacenamiento local y de sesión, los píxeles, los activadores del administrador de etiquetas, las llamadas de red y los eventos del lado del servidor.

Si la cookie admite una función solicitada por el usuario, documente ese propósito por separado de la analítica de marketing. Si admite la medición, documente la caducidad, el requisito de consentimiento, el acceso del proveedor y si el mismo informe podría funcionar con datos agregados sin cookies.

Preguntas frecuentes

¿Establecer la cookie yo mismo elimina la necesidad de consentimiento?

Establecer la cookie en tu propio dominio cambia quién posee los datos, no si necesitabas permiso para recopilarlos. Las normas europeas sobre cookies se centran en almacenar o acceder a información en el dispositivo, no en si el dominio es propio o de terceros. Una cookie analítica propia que rastrea comportamiento para medición o marketing sigue necesitando consentimiento salvo que aplique una excepción local restringida.

¿Cuál es la diferencia entre cookies propias y de terceros?

Las cookies propias las establece el sitio que el visitante está usando, mientras que las de terceros las establece otro dominio, a menudo para publicidad, retargeting o servicios integrados. Los navegadores confían más en las cookies propias y es menos probable que las bloqueen. Esa confianza no las hace automáticamente respetuosas con la privacidad ni las exime del consentimiento.

¿Para qué se pueden usar las cookies propias sin consentimiento?

Autenticación, continuidad de sesión, carritos de compra, preferencias de idioma, controles de seguridad y recordar la decisión de consentimiento del visitante suelen ser necesarios para el servicio que el usuario solicitó. En el momento en que una cookie rastrea comportamiento para medición, personalización o marketing, el análisis cambia. La mayoría de los sitios necesita consentimiento para ese uso no esencial salvo que exista una excepción local restringida.

¿Qué es el etiquetado del lado del servidor y por qué eleva el riesgo de privacidad?

El etiquetado del lado del servidor enruta datos publicitarios a través de tu propio dominio para que los navegadores los traten como propios, y luego los reenvía a plataformas publicitarias. Eso puede mejorar la durabilidad del rastreo, pero también aumenta tu responsabilidad porque la recopilación de datos parece originarse en tu sitio. Trata las propuestas de "rastreo propio" de proveedores publicitarios con la misma cautela que aplicarías a un rastreador de terceros.

¿Qué diferencia hay entre análisis propio y vigilancia propia?

Una cookie propia de corta duración usada para contar visitas es análisis. Usar el rastreo propio para reconstruir el mismo perfil publicitario invasivo que antes sostenían las cookies de terceros es vigilancia con etiqueta de primera parte. La finalidad y el periodo de retención indican cuál de las dos estás ejecutando, no el dominio que establece la cookie.

¿Cuándo debería un sitio elegir análisis sin cookies en lugar de una cookie propia?

El análisis sin cookies puede contar páginas vistas, referencias, campañas, objetivos y clics salientes sin guardar un identificador analítico en el navegador, así que encaja cuando solo se necesita medición agregada. Se pierde precisión en visitantes recurrentes y atribución multisesión, pero se gana una conformidad más simple y menos fricción con el banner. Sitios de contenido, organizaciones sin ánimo de lucro, páginas del sector público y muchos sitios de marketing SaaS suelen encontrar favorable ese intercambio.

¿Qué reglas debería seguir un rastreo propio centrado en la privacidad?

Usa el periodo de retención más corto que soporte la métrica, evita recopilar datos personales en bruto en las propiedades de los eventos y elimina los parámetros sensibles de la URL. Mantén el análisis separado de las audiencias publicitarias y no sincronices identificadores con redes publicitarias salvo que los usuarios consientan claramente. Explica la finalidad con claridad en el aviso de privacidad en lugar de esconderla en un folleto de proveedor.

¿Qué información debe incluir un inventario de cookies?

Documenta para cada cookie el nombre, dominio, finalidad, expiración, datos almacenados, si es necesaria, si los datos se comparten con proveedores, y el requisito de consentimiento junto con la base legal. Ese inventario pertenece a tu registro de actividades de tratamiento y a la revisión de proveedores. También ayuda a los equipos de ingeniería a eliminar cookies obsoletas que ya nadie gestiona.

¿Cómo debería un sitio probar sus cookies antes de publicarlas?

Prueba en un perfil limpio antes de cualquier elección, después de rechazar el consentimiento opcional y después de aceptarlo, y exporta las cookies resultantes. Esto detecta cookies propias accidentales establecidas por gestores de etiquetas, medios embebidos o scripts publicitarios que ningún folleto de proveedor mencionaría. El inventario debe coincidir con lo que el navegador muestra realmente, no con lo que dice la documentación.

¿Cuánto debería durar una cookie analítica propia?

Una cookie que dura dos años por una conveniencia de reporte menor es difícil de justificar. Ventanas más cortas, métricas agregadas y reportes generales suelen dar a los equipos de marketing los datos de tendencia que necesitan con menos coste de privacidad. Revisa la expiración junto con la finalidad cada vez que audites una cookie.