Una guía práctica de banner de cookies conforme al RGPD

Nada obliga a poner un banner de cookies solo porque tu web reciba visitantes europeos. Hace falta cuando el sitio almacena o accede a información no esencial en el dispositivo, o cuando el tratamiento asociado requiere consentimiento.

No se requiere un banner de cookies GDPR porque un sitio web tiene visitantes de Europa. Es necesario cuando su sitio almacena o accede a información no esencial en el dispositivo de un usuario, o cuando el procesamiento de datos personales relacionado necesita consentimiento. Las cookies de análisis, los píxeles publicitarios, los scripts de seguimiento, los mapas de calor y las herramientas de prueba A/B suelen entrar en esa categoría.

La regla práctica es simple: no pida consentimiento a menos que lo necesite y, si lo necesita, haga que la elección sea real.

GDPR, ePrivacy y por qué existen los banners

Los banners de cookies se encuentran en la intersección de dos regímenes legales. GDPR regula el procesamiento de datos personales. Las reglas ePrivacy, implementadas a través de leyes nacionales, rigen el almacenamiento o el acceso a información en el dispositivo de un usuario. El informe del grupo de trabajo sobre banners de cookies EDPB explica esta división: la colocación y lectura de cookies se evalúan en ePrivacy, mientras que el procesamiento posterior se puede evaluar en GDPR (Grupo de trabajo sobre banners de cookies EDPB).

Eso significa que una cookie puede requerir consentimiento incluso antes de que usted llegue a la pregunta de si los datos resultantes son datos personales. También significa que una implementación sin cookies aún puede necesitar el análisis GDPR si recopila datos personales de otra manera.

Qué requiere un consentimiento válido

GDPR El consentimiento debe ser otorgado libremente, específico, informado e inequívoco. Las pautas de consentimiento de EDPB enfatizan que el consentimiento no es válido si la persona no tiene una opción genuina o sufre un perjuicio por negarse (pautas de consentimiento de EDPB).

Por lo general, un banner compatible debería:

• Rechazar las cookies no esenciales por defecto hasta que se dé el consentimiento.
• Ofrezca una opción de rechazo tan fácilmente como una opción de aceptación.
• Evite las casillas marcadas previamente.
• Explicar propósitos en lenguaje sencillo.
• Separar fines analíticos, publicitarios, de personalización y funcionales.
• Permitir la retirada tan fácilmente como el consentimiento.
• Registre las opciones de consentimiento sin recopilar datos innecesarios.

La sentencia Planet49 del TJUE dejó claro que las casillas de consentimiento marcadas previamente para las cookies no constituyen un consentimiento válido (TJUE Planet49).

Problemas comunes con los banners

Muchas banners fracasan porque maximizan la aceptación en lugar de respetar la elección. Esté atento a:

• "Aceptar todo" en la primera capa pero "rechazar" oculto en la configuración.
• Colores o etiquetas de botones confusos.
• Combinar análisis con publicidad.
• Disparar etiquetas antes de que el usuario elija.
• No hay una manera fácil de retirar el consentimiento.
• Listas de proveedores imposibles de entender.
• Muros de consentimiento que bloquean el acceso al servicio sin una alternativa válida.

Un banner engañoso puede ser peor que ningún banner porque crea evidencia de que el sitio sabía que el consentimiento era importante pero lo implementó mal.

Cuando quizás no necesites un banner

Es posible que no necesite un banner de cookies para las cookies estrictamente necesarias, como autenticación de sesión, estado del carrito de compras, seguridad, equilibrio de carga o preferencias solicitadas por el usuario. El análisis depende del propósito y de la legislación local.

Para el análisis, la respuesta depende de la implementación. Algunas autoridades han permitido exenciones limitadas para la medición de audiencia bajo condiciones estrictas, pero no para análisis publicitarios o seguimiento amplio de terceros. Si utiliza una herramienta de análisis sin cookies que evita el almacenamiento en el dispositivo, no crea perfiles, minimiza los datos personales y solo ofrece mediciones agregadas del sitio, el análisis del banner es mucho más fácil. Aún así, documente la decisión.

La alternativa sin cookies

El análisis sin cookies cambia la ecuación porque puede realizar mediciones sin cookies de análisis ni identificadores entre sitios. Una configuración que prioriza la privacidad recopila visitas a páginas, referencias, campañas, clase de dispositivo, geografía aproximada y eventos de objetivos, evitando al mismo tiempo identificaciones persistentes, huellas digitales y perfiles publicitarios.

Eso no significa "sin aviso de privacidad". Aún así se debe informar a los usuarios qué datos se recopilan y por qué. Pero un aviso claro es muy diferente de un banner de consentimiento cargado con proveedores externos de tecnología publicitaria.

Lista de verificación de implementación

Audite todos los scripts del sitio:

1. Enumere las cookies, el almacenamiento local, el almacenamiento de sesiones, los píxeles y las etiquetas.
2. Clasificar cada finalidad: necesaria, análisis, publicitaria, de personalización, funcional.
3. Elimine las etiquetas no utilizadas antes de diseñar flujos de consentimiento.
4. Bloquear guiones no esenciales hasta el consentimiento.
5. Pruebe con un perfil de navegador nuevo para confirmar que no se establezcan cookies prematuras.
6. Hacer que rechazar y aceptar sea igualmente fácil.
7. Registre el consentimiento sin recopilar en exceso.
8. Volver a auditar después de los cambios de marketing.

Para análisis específicamente, pregunte si la misma decisión se puede respaldar con menos datos. Si solo necesita tráfico y conversiones agregados, una herramienta de análisis sin cookies puede reducir la carga operativa de la obtención del consentimiento cuando evita el almacenamiento o el acceso no esencial y la ley local lo permite.

Un buen banner de cookies es un recurso alternativo, no una insignia de cumplimiento. La mejor experiencia de privacidad suele ser aquella en la que el sitio no necesita interrumpir a los visitantes porque, en primer lugar, decidió no realizar un seguimiento invasivo.

Lista de verificación de pruebas de consentimiento

Pruebe el banner como usuario, no sólo como administrador. Abra un navegador limpio, cargue la página, rechace las cookies opcionales, navegue a dos o tres páginas y envíe una conversión de prueba no confidencial. Las etiquetas de publicidad y análisis opcionales deben permanecer bloqueadas. Luego retire el consentimiento después de aceptar y confirme que las cargas futuras de la página respeten el cambio.

Pruebe también el comportamiento regional. Un sitio puede mostrar diferentes banners en la UE, el Reino Unido, California y el resto del mundo. Esto está bien si es intencional, pero el comportamiento de la etiqueta debe coincidir con la opción mostrada. Mantenga capturas de pantalla y registros de red fechados para cada divulgación de consentimiento importante. Ayudan a demostrar que el banner está relacionado con controles reales, no solo con texto legal.

Lista de verificación de reducción de banners

Para reducir la dependencia de los banners, primero elimine las etiquetas de terceros no utilizadas y luego verifique que la analítica de referencia no establezca ni lea el almacenamiento no esencial del navegador, no cree identificaciones persistentes, tome huellas dactilares de los visitantes, alimente sistemas de publicidad ni recopile URL confidenciales. Documente el análisis de las leyes locales en lugar de confiar en la palabra "sin cookies".

Si un banner sigue siendo necesario, pruébelo como una funcionalidad de producción: no hay etiquetas opcionales antes de elegir, rechazar es tan fácil como aceptar, el retiro funciona y la evidencia de red/almacenamiento coincide con el texto que ven los usuarios.

Preguntas frecuentes

¿Necesito un banner de cookies solo porque tengo visitantes de Europa?

Un banner de cookies según el RGPD no es obligatorio solo porque un sitio tenga visitantes de Europa. Se vuelve necesario cuando el sitio almacena o accede a información no esencial en el dispositivo del usuario, o cuando el tratamiento de datos personales relacionado requiere consentimiento.

¿Cuál es la diferencia entre el RGPD y las normas de ePrivacy para las cookies?

El RGPD regula el tratamiento de datos personales, mientras que las normas de ePrivacy, aplicadas mediante leyes nacionales, regulan el almacenamiento o acceso a información en el dispositivo del usuario. El informe del grupo de trabajo sobre banners de cookies del EDPB explica que la colocación y lectura de cookies se evalúan bajo ePrivacy, mientras que el tratamiento posterior se evalúa bajo el RGPD. Eso significa que una cookie puede requerir consentimiento incluso antes de saber si los datos resultantes son personales.

¿Qué hace que un consentimiento de cookies sea válido según el RGPD?

El consentimiento válido debe ser libre, específico, informado e inequívoco, así que no es válido si la persona no tiene una elección real o sufre un perjuicio por rechazarlo. Un banner conforme rechaza las cookies no esenciales por defecto, ofrece la opción de rechazar tan fácilmente como aceptar y evita las casillas premarcadas. También separa los propósitos de analítica, publicidad, personalización y funcionalidad.

¿Por qué fue importante el caso Planet49 para los banners de cookies?

La sentencia Planet49 del TJUE estableció que las casillas premarcadas para cookies no constituyen un consentimiento válido. El usuario tiene que dar un paso activo para aceptar, así que cualquier banner que trate el silencio o una casilla ya marcada como aceptación no cumple el estándar.

¿Cuáles son los errores más comunes en los banners de cookies?

Muchos banners muestran "aceptar todo" en la primera capa mientras esconden "rechazar" dentro de la configuración, usan colores o etiquetas confusas en los botones, o mezclan analítica con publicidad. Otros activan las etiquetas de rastreo antes de que el usuario elija, o levantan muros de consentimiento que bloquean el acceso sin una alternativa válida. Un banner engañoso puede ser peor que no tener banner, porque demuestra que el sitio sabía que el consentimiento importaba y aun así lo implementó mal.

¿Qué cookies están exentas de necesitar un banner de consentimiento?

Las cookies estrictamente necesarias, como la autenticación de sesión, el estado del carrito de compra, la seguridad, el balanceo de carga y las preferencias solicitadas por el usuario, generalmente no necesitan un banner. La exención exacta depende del propósito de la cookie y de la ley local.

¿Puede la analítica funcionar alguna vez sin un banner de cookies?

Algunas autoridades de la UE permiten exenciones limitadas para la medición de audiencia bajo condiciones estrictas, aunque no para la analítica publicitaria ni el rastreo amplio de terceros. Una herramienta de analítica sin cookies que evita el acceso al dispositivo, no construye perfiles, minimiza los datos personales y se limita a la medición agregada facilita mucho el análisis del banner, pero la decisión debería quedar documentada igualmente.

¿Qué recopila realmente la analítica sin cookies?

Una configuración centrada en la privacidad recopila páginas vistas, referentes, campañas, clase de dispositivo, geografía aproximada y eventos de objetivo. Evita los identificadores persistentes, el fingerprinting y los perfiles publicitarios, que es justo lo que la distingue de la analítica que necesita un banner de consentimiento.

¿Pasar a analítica sin cookies significa que puedo omitir el aviso de privacidad?

La analítica sin cookies no elimina la necesidad de decir a los usuarios qué datos se recopilan y por qué. Solo simplifica ese aviso, porque ya no carga con el peso de un banner de consentimiento lleno de proveedores de ad-tech de terceros.

¿Cómo debería un equipo probar un banner de cookies antes del lanzamiento?

Cargue la página en un navegador limpio, rechace las cookies opcionales, navegue por unas cuantas páginas y envíe una conversión de prueba no sensible para confirmar que las etiquetas opcionales siguen bloqueadas. Luego acepte y retire el consentimiento para comprobar que las próximas cargas de página respetan el cambio, y conserve capturas de pantalla fechadas y registros de red del lanzamiento como evidencia.