Cumplimiento de cookies y privacidad web: guía práctica
Resumen del artículo
El cumplimiento de cookies y privacidad web exige coordinar la información legal, la configuración técnica del banner, el bloqueo previo de tecnologías no necesarias y la conservación de evidencias sobre las decisiones del usuario. Esta guía explica cómo aplicar el RGPD, la LSSI-CE y las reglas sobre cookies en una arquitectura de analítica y marketing, cómo trabajar con proveedores externos y qué comprobaciones conviene realizar para reducir riesgos sin perder el control de la medición.
El cumplimiento de cookies y privacidad web no se resuelve instalando un banner y dándolo por terminado. El aviso visible es solo la parte más evidente de un sistema que también incluye inventario de tecnologías, bases jurídicas, contratos con proveedores, registros del consentimiento, políticas accesibles y controles técnicos capaces de respetar las preferencias del visitante.
Para los equipos de analítica y CRO, el reto consiste en medir lo necesario sin activar identificadores, píxeles o cookies que el usuario no haya autorizado. Eso obliga a alinear a marketing, desarrollo, asesoría jurídica y responsables de datos. Cuando cada área trabaja por separado aparecen los problemas habituales: el banner declara una cosa, Google Tag Manager ejecuta otra y la política de cookies describe una tercera.
La Guía de cookies de la AEPD sirve como referencia práctica, pero la configuración concreta debe revisarse según las tecnologías utilizadas, las finalidades del tratamiento y el público al que se dirige el sitio.
👉 Si necesitas descargarte infografías sobre Cumplimiento de cookies y privacidad web, descuentos en cursos y herramientas y mucho más puedes hacerlo aquí: descargar infografías y recursos
| Aspecto | Ventajas | Retos o costes |
|---|---|---|
| Riesgo normativo | Reduce incoherencias y facilita acreditar las medidas adoptadas. | Exige revisiones cuando cambian etiquetas, plugins o proveedores. |
| Calidad de la medición | Aclara qué datos proceden de usuarios que han consentido y evita mezclas difíciles de interpretar. | Puede reducir el volumen observable y obliga a documentar las limitaciones. |
| Experiencia de usuario | Un banner claro transmite control y transparencia. | Una interfaz mal diseñada añade fricción o interrumpe la navegación. |
| Operación interna | Define responsables, procesos y evidencias reutilizables. | Requiere coordinación entre áreas técnicas, legales y de marketing. |
Los tres documentos cubren necesidades distintas. Pueden formar parte de una misma arquitectura informativa, pero cada contenido debe identificarse con claridad, mantenerse actualizado y estar disponible desde los puntos donde resulte relevante. Fundirlos en un único texto sin una estructura comprensible puede dificultar que el usuario encuentre la información que necesita.
| Documento | Finalidad principal | Contenido habitual |
|---|---|---|
| Política de privacidad | Informar sobre tratamientos de datos personales. | Responsable, finalidades, bases jurídicas, destinatarios, conservación y derechos. |
| Aviso legal | Identificar al titular y regular el uso del sitio. | Datos identificativos, contacto, condiciones de uso y propiedad intelectual. |
| Política de cookies | Explicar el almacenamiento o acceso a información en el dispositivo. | Categorías, finalidades, duración, terceros y forma de cambiar preferencias. |
- El principio de minimización aplicado a la analítica y el consentimiento
- ¿Qué obligaciones contractuales impone el RGPD con proveedores como Google?
- Auditoría continua: cómo documentar el cumplimiento ante la AEPD
- Consent Mode v2: impacto en marketing y analítica sin sacrificar privacidad
- Conclusiones: lo que no puede faltar en tu estrategia de privacidad
- ¿Cómo gestionar y registrar el consentimiento de forma técnica y legalmente válida?
- RGPD y Directiva ePrivacy: diferencias clave para equipos de analítica
- ¿Cómo implementar un banner de consentimiento conforme a la normativa?
- Cookies propias frente a cookies de terceros: implicaciones en el cumplimiento
- Sanciones e incumplimientos: qué protocolos aplicar
- Auditorías periódicas para garantizar el cumplimiento continuado
- Lgdataone audita y valida tu configuración de consentimiento
- Puntos clave
- Preguntas frecuentes
Marco legal y alcance extraterritorial en la normativa europea
El RGPD puede aplicarse a responsables o encargados establecidos fuera de la Unión Europea cuando ofrecen bienes o servicios a personas que se encuentran en la UE o controlan su comportamiento dentro del territorio europeo. La ubicación del servidor o de la empresa, por tanto, no es el único criterio relevante.
En España, la regulación de cookies se articula principalmente a través del artículo 22.2 de la LSSI-CE, interpretado junto con el RGPD y las orientaciones de la AEPD. La pregunta práctica no es solo si una tecnología recibe el nombre de cookie, sino si almacena información o accede a información del terminal del usuario. Píxeles, identificadores locales y otras técnicas de seguimiento pueden quedar sometidos a reglas equivalentes.
| Marco | Qué regula | Aplicación práctica en una web |
|---|---|---|
| RGPD | Tratamiento de datos personales y derechos de las personas. | Bases jurídicas, información, contratos, seguridad, transferencias y responsabilidad proactiva. |
| LSSI-CE y ePrivacy | Acceso o almacenamiento de información en el dispositivo. | Consentimiento previo para tecnologías no exentas e información sobre su uso. |
| Alcance extraterritorial | Actividad dirigida a personas de la UE o seguimiento de su conducta. | Un sitio extranjero puede quedar obligado aunque no tenga sede física en Europa. |
| Normas sectoriales | Requisitos adicionales según actividad y datos tratados. | Salud, finanzas, menores o comunicaciones comerciales pueden requerir controles reforzados. |
El principio de minimización aplicado a la analítica y el consentimiento
La minimización implica recoger datos adecuados, pertinentes y limitados a lo necesario. En analítica web se traduce en revisar parámetros, identificadores y periodos de conservación antes de enviarlos a cualquier plataforma.
- Separar las finalidades analíticas, publicitarias y de personalización.
- Evitar correos electrónicos, teléfonos, nombres o identificadores oficiales en URL, variables o eventos.
- Limitar los parámetros personalizados a decisiones de negocio concretas.
- Definir periodos de conservación y accesos internos coherentes.
- Revisar qué etiquetas continúan siendo útiles y retirar las obsoletas.
Una arquitectura más pequeña suele ser también más fácil de auditar. Acumular eventos “por si acaso” eleva el coste técnico, complica la interpretación y aumenta la superficie de riesgo.
¿Qué obligaciones contractuales impone el RGPD con proveedores como Google?
Antes de firmar o aceptar las condiciones de un proveedor hay que determinar qué papel desempeña en cada tratamiento. Puede actuar como encargado, como responsable independiente o asumir funciones diferentes según el producto y la configuración. El artículo 28 del RGPD se aplica cuando el proveedor trata datos personales por cuenta del responsable.
En ese supuesto, el acuerdo debe concretar el objeto, la duración, las finalidades, las categorías de datos, las instrucciones, la confidencialidad, la seguridad, los subencargados, la asistencia para atender derechos, la devolución o supresión de datos y la información necesaria para demostrar el cumplimiento. También deben revisarse las transferencias internacionales y las garantías aplicables.
El artículo 28 del RGPD no se cumple únicamente marcando una casilla de condiciones. El responsable debe poder explicar qué servicio utiliza, qué datos salen de su entorno, con qué finalidad y bajo qué configuración.
| Comprobación | Pregunta de control | Evidencia recomendable |
|---|---|---|
| Rol de las partes | ¿El proveedor actúa por instrucciones o decide finalidades propias? | Análisis del servicio y condiciones aplicables. |
| Contrato | ¿Incluye los elementos exigibles cuando existe encargo? | Acuerdo de tratamiento y versión aceptada. |
| Subencargados | ¿Se conocen y existe un mecanismo para comunicar cambios? | Listado, notificaciones y procedimiento de oposición. |
| Transferencias | ¿Los datos salen del EEE y qué garantía se utiliza? | Evaluación y documentación de la garantía aplicable. |
| Configuración | ¿Se han desactivado funciones que no son necesarias? | Capturas, inventario de ajustes y registro de cambios. |
¿Cómo gestionar y registrar el consentimiento de forma técnica y legalmente válida?
El consentimiento debe ser libre, específico, informado e inequívoco. Permanecer en la página, mover el cursor o continuar navegando no constituye una aceptación válida. Las categorías no necesarias deben permanecer desactivadas hasta que el visitante realice una acción afirmativa.
La CMP debe conservar la preferencia, permitir modificarla posteriormente y comunicarla a las herramientas conectadas. El registro no tiene por qué identificar nominalmente a cada visitante, pero debe permitir acreditar la versión del banner y de la política, la fecha, las finalidades ofrecidas y la selección realizada.
Conviene separar dos funciones que suelen confundirse: la CMP solicita y guarda las preferencias; Consent Mode comunica determinados estados a las etiquetas de Google. Consent Mode no sustituye al banner ni mantiene por sí mismo el historial de decisiones.
| Fase | Requisito práctico | Error que conviene evitar |
|---|---|---|
| Antes de elegir | Mantener bloqueadas las tecnologías no exentas. | Cargar etiquetas y ocultarlas solo visualmente. |
| Presentación | Ofrecer aceptar, rechazar y configurar de forma comprensible. | Dar más peso visual a aceptar o exigir más pasos para rechazar. |
| Registro | Guardar versión, fecha, categorías y decisión. | Conservar un estado sin poder demostrar qué información se mostró. |
| Actualización | Enviar el cambio antes de nuevas cargas o eventos. | Actualizar la interfaz sin modificar el estado técnico. |
| Revocación | Mantener un acceso permanente al panel de preferencias. | Obligar al usuario a borrar manualmente datos o buscar el enlace. |
Herramientas tecnológicas y plataformas de gestión del consentimiento
Una plataforma de gestión del consentimiento debe hacer algo más que mostrar un diseño atractivo. Debe detectar o permitir clasificar tecnologías, bloquearlas antes de la elección, conservar preferencias, exponer un panel para modificarlas y comunicarse con el gestor de etiquetas.
Soluciones como Cookiebot, Complianz, CookieFirst, OneTrust, Usercentrics o Lawwwing pueden resolver parte del proceso, pero ninguna configuración es correcta por el mero hecho de utilizar una marca conocida. Plugins, scripts personalizados, etiquetas incorporadas en el tema y recursos de terceros pueden escapar del bloqueo automático.
También conviene distinguir una CMP de los generadores de textos legales. Herramientas como Termly pueden ayudar a preparar borradores y formularios informativos, pero no sustituyen la revisión jurídica ni garantizan que la práctica técnica coincida con lo declarado.
| Capacidad | Qué debe aportar | Cómo validarla |
|---|---|---|
| Escaneo | Inventario inicial y detección de cambios. | Comparar el escaneo con la red del navegador y GTM. |
| Bloqueo previo | Impedir la ejecución antes de la autorización. | Probar en incógnito sin interactuar con el banner. |
| Granularidad | Separar finalidades y proveedores cuando sea necesario. | Revisar categorías, textos y etiquetas vinculadas. |
| Registro | Conservar evidencias de la preferencia y su versión. | Exportar una muestra y verificar su trazabilidad. |
| Integraciones | Sincronizar CMP, GTM, analítica y plataformas publicitarias. | Comprobar estados antes y después de cada elección. |
RGPD y Directiva ePrivacy: diferencias clave para equipos de analítica
El RGPD regula el tratamiento de datos personales. La normativa de cookies añade reglas específicas sobre el acceso a información del dispositivo, incluso en escenarios donde se discuta si existe identificación personal. Por eso una evaluación de cookies no puede limitarse a preguntar si la herramienta muestra nombres y apellidos.
Algunas tecnologías técnicas necesarias para prestar un servicio solicitado pueden estar exentas de consentimiento. La exención debe justificarse por su finalidad y funcionamiento, no por la etiqueta comercial que el proveedor les asigne. Una cookie de seguridad puede ser necesaria; una cookie utilizada para perfilar campañas no pasa a ser técnica porque se instale desde el mismo dominio.
Consent Mode v2: impacto en marketing y analítica sin sacrificar privacidad
Consent Mode permite transmitir a las etiquetas de Google los estados relacionados con analytics_storage, ad_storage, ad_user_data y ad_personalization. Google exige señales de consentimiento para conservar determinadas funciones de medición publicitaria, personalización y remarketing vinculadas a usuarios del EEE. Ese requisito de producto no sustituye las obligaciones legales ni determina por sí solo qué base jurídica debe utilizar una empresa.
- Implementación básica: las etiquetas de Google permanecen bloqueadas hasta que el usuario concede la autorización correspondiente.
- Implementación avanzada: las etiquetas cargan con estados denegados y pueden enviar señales sin cookies mientras no exista autorización.
La elección debe documentarse y revisarse con el asesoramiento adecuado. El modo avanzado ofrece más posibilidades de modelado, pero también implica transmisión de información antes de que se conceda el consentimiento para almacenamiento, por lo que merece una evaluación específica.
- Inventariar tecnologías. Revisa cookies, almacenamiento local, píxeles, llamadas de red, scripts insertados directamente y etiquetas administradas desde GTM.
- Clasificar por finalidad. Separa lo técnicamente necesario de analítica, publicidad, personalización y otras finalidades.
- Configurar el estado inicial. Las categorías no exentas deben permanecer bloqueadas hasta la elección.
- Diseñar una primera capa equilibrada. Aceptar y rechazar deben mostrarse al mismo nivel, con acceso claro a la configuración.
- Conectar la CMP con GTM y el resto de scripts. No basta con configurar las etiquetas de Google si Meta, vídeos, chat o herramientas de mapas de calor siguen cargando.
- Probar todos los escenarios. Aceptar todo, rechazar todo, selección parcial, revocación y navegación entre páginas.
- Actualizar la política. El inventario real y la información publicada deben coincidir.
| Elemento | Configuración recomendada | Prueba de control |
|---|---|---|
| Botones | Aceptar y rechazar visibles, comprensibles y al mismo nivel. | Contar clics y comparar tamaño, contraste y posición. |
| Texto | Explicar finalidades con lenguaje directo y acceso a información ampliada. | Comprobar que no utiliza fórmulas vagas o engañosas. |
| Categorías | No necesarias desactivadas por defecto. | Abrir el panel antes de aceptar y revisar cada selector. |
| Bloqueo | Evitar peticiones no autorizadas desde el primer momento. | Recargar en incógnito y analizar Red, Application y Tag Assistant. |
| Revocación | Enlace o icono accesible durante toda la navegación. | Cambiar de concedido a denegado y verificar el resultado técnico. |
Auditoría continua: cómo documentar el cumplimiento ante la AEPD
La responsabilidad proactiva exige poder demostrar las decisiones adoptadas. No existe un único formato de auditoría ni un plazo trimestral impuesto con carácter general, pero sí conviene fijar una frecuencia proporcional al ritmo de cambios del sitio.
| Área | Qué revisar | Evidencia |
|---|---|---|
| Banner y CMP | Diseño, textos, bloqueo y revocación. | Capturas, exportaciones y pruebas fechadas. |
| Etiquetas | Disparadores, consentimientos requeridos y scripts directos. | Versión del contenedor y registro de cambios. |
| Políticas | Coherencia con cookies, proveedores y finalidades reales. | Versión publicada y fecha de revisión. |
| Proveedores | Roles, acuerdos, subencargados y transferencias. | Contratos, evaluaciones y comunicaciones. |
Las auditorías de cookies y configuración de consentimiento permiten detectar desviaciones antes de que se consoliden. Conviene repetirlas tras incorporar plugins, modificar el tema, publicar nuevos formularios o alterar el contenedor de etiquetas.
Que una cookie sea propia o de terceros describe quién la instala o desde qué dominio se sirve, pero no decide por sí mismo si necesita consentimiento. La finalidad y la necesidad técnica siguen siendo determinantes.
Además, una etiqueta de terceros puede configurar cookies propias mediante el dominio visitado. Por eso la auditoría no debe basarse únicamente en el nombre del dominio observado en el navegador. Hay que documentar el proveedor, la finalidad, los datos enviados, la duración y las posibles conexiones posteriores.
Sanciones e incumplimientos: qué protocolos aplicar
Las consecuencias de un incumplimiento dependen de la norma afectada, la gravedad, la duración, el número de personas implicadas, la intencionalidad, la cooperación y las medidas correctoras. No todas las incidencias desembocan en la misma respuesta, pero ignorar una advertencia o carecer de evidencias empeora la posición de la organización.
Ante una reclamación o requerimiento conviene preservar pruebas, identificar el alcance, detener el tratamiento que no pueda justificarse, corregir la configuración, revisar la información ofrecida y coordinar la respuesta con el delegado de protección de datos o el asesor especializado.
Auditorías periódicas para garantizar el cumplimiento continuado
Una revisión operativa puede realizarse trimestralmente en sitios con cambios frecuentes, aunque la periodicidad debe ajustarse al riesgo y al ritmo de despliegue. Lo importante es combinar controles programados con revisiones activadas por cambios.
- Nueva CMP, plugin, píxel, reproductor, chat o sistema de personalización.
- Cambios en GTM, gtag.js, SDKs o integraciones server-side.
- Nuevos formularios, áreas privadas o procesos de compra.
- Modificación de proveedores, finalidades o transferencias.
- Actualizaciones importantes de políticas y requisitos de plataforma.
Las herramientas de análisis web pueden automatizar parte del inventario, pero la decisión jurídica y la evaluación de coherencia siguen requiriendo revisión humana. Para empresas en proceso de digitalización, incorporar estos controles al flujo de publicación evita que la privacidad se revise únicamente al final.
La mejor forma de mantener el cumplimiento no es revisar la web una vez al año, sino integrar la privacidad en el ciclo habitual de trabajo. Cada nueva herramienta de marketing, cada cambio de plantilla y cada integración con un proveedor puede modificar el tratamiento real de datos. Cuando esas decisiones se toman sin un procedimiento común, el inventario de cookies queda desactualizado en pocas semanas.
El primer paso es asignar responsabilidades concretas. Marketing debe informar antes de incorporar plataformas; desarrollo debe documentar dónde se carga cada script; analítica debe describir los eventos, parámetros y finalidades; y la persona responsable de privacidad debe evaluar la base jurídica, la información y los contratos. No hace falta convertir cada cambio menor en un proyecto burocrático. Basta con utilizar una ficha breve que responda quién solicita la herramienta, para qué se necesita, qué datos utiliza, dónde se alojan y qué categorías de consentimiento requiere.
El segundo paso es mantener un inventario técnico vivo. Una hoja estática puede servir al principio, pero pierde valor cuando nadie registra las modificaciones. El inventario debería incluir nombre de la tecnología, proveedor, finalidad, duración, dominio, datos enviados, categoría en la CMP, etiqueta o código que la activa y persona responsable. Si una cookie aparece en el navegador y no puede vincularse con una fila del inventario, existe una señal clara de que el proceso se ha roto.
También conviene crear un entorno de pruebas que reproduzca la configuración de producción. En él se pueden validar nuevas etiquetas sin exponer a los visitantes reales. Las comprobaciones deben cubrir al menos cuatro escenarios: usuario que no interactúa con el banner, usuario que rechaza, usuario que acepta una parte y usuario que acepta todo. Para cada caso se revisan las peticiones de red, el almacenamiento del navegador, los estados de consentimiento y los eventos recibidos por las plataformas.
Una dificultad frecuente aparece cuando la CMP y Google Tag Manager utilizan clasificaciones distintas. La CMP puede hablar de estadísticas, marketing y preferencias, mientras que GTM trabaja con estados específicos o excepciones personalizadas. Esta traducción debe quedar documentada. De lo contrario, una etiqueta puede activarse con consentimiento analítico cuando en realidad persigue una finalidad publicitaria. La nomenclatura es secundaria; lo importante es que cada categoría represente la misma finalidad en todos los sistemas.
La calidad del dato debe analizarse junto con el cumplimiento. Después de modificar el banner es normal observar cambios en sesiones, usuarios o conversiones. La reacción correcta no es desbloquear etiquetas para recuperar cifras, sino entender qué parte del descenso corresponde a preferencias reales, qué parte a errores de implementación y qué parte al modelado de la plataforma. Comparar datos consentidos, registros del CRM y resultados de negocio evita confundir menor observación con menor rendimiento.
El registro de cambios aporta otra capa de control. Debe indicar fecha, motivo, responsable, etiquetas afectadas, versión de la CMP, pruebas realizadas y resultado. Este historial permite investigar rápidamente una anomalía y demostrar que la organización no trabaja de forma improvisada. También facilita revertir una configuración cuando una actualización del CMS o un plugin altera el orden de carga.
La retirada del consentimiento merece la misma atención que la aceptación inicial. El usuario debe encontrar un acceso permanente a sus preferencias. Al revocar una categoría, la web tiene que actualizar el estado técnico y evitar nuevas operaciones asociadas. Dependiendo de la herramienta y del contexto, también habrá que valorar cómo gestionar los identificadores que ya se hubieran almacenado. Mostrar un mensaje de confirmación sin cambiar la conducta de las etiquetas genera una falsa sensación de control.
Otro punto práctico es la renovación de preferencias. La AEPD ha señalado como buena práctica que la validez del consentimiento para una cookie no supere los veinticuatro meses, sin perjuicio de solicitarlo de nuevo antes si cambian las finalidades, los terceros o la información relevante. Preguntar en cada visita resulta molesto, pero conservar una autorización indefinidamente tampoco es una estrategia prudente. La CMP debe permitir definir la vigencia y relacionarla con la versión de la política.
La formación interna completa el sistema. Quienes publican campañas o instalan extensiones deben reconocer cuándo una decisión aparentemente sencilla introduce un nuevo tratamiento. Una sesión breve con ejemplos reales suele ser más útil que un manual extenso que nadie consulta. También ayuda disponer de una lista de proveedores aprobados y de un canal para solicitar revisiones antes del lanzamiento. Así se evita que la urgencia comercial convierta herramientas temporales en componentes permanentes sin documentación, contrato ni categoría de consentimiento definida.
Por último, la revisión debe terminar con acciones priorizadas. No todas las incidencias tienen el mismo impacto. Una etiqueta publicitaria que se ejecuta antes de la elección requiere atención inmediata. Un texto secundario poco claro puede corregirse en el siguiente ciclo. Clasificar los hallazgos por riesgo legal, volumen de usuarios, sensibilidad de los datos e impacto técnico ayuda a utilizar mejor los recursos y evita que el informe de auditoría se convierta en una lista que nadie ejecuta.
Cuando este proceso se consolida, la privacidad deja de ser una barrera colocada al final del proyecto. Se convierte en una regla de diseño: solo se recopila lo necesario, las decisiones del usuario se respetan de verdad y cada cambio puede explicarse. Esa disciplina mejora la seguridad jurídica, pero también la confianza en los informes. Un dato obtenido mediante una arquitectura conocida y documentada resulta más útil que una cifra mayor cuyo origen nadie puede reconstruir.
Conclusiones: lo que no puede faltar en tu estrategia de privacidad
El cumplimiento de cookies y privacidad web se sostiene en la coherencia entre lo que la organización declara y lo que la tecnología ejecuta. Un banner correcto debe ir acompañado de bloqueo previo, información comprensible, registro de preferencias, contratos revisados y una forma sencilla de retirar el consentimiento.
Consent Mode, Google Tag Manager y las CMP son piezas técnicas, no soluciones legales automáticas. Su valor depende del diseño del tratamiento y de una validación que cubra todos los proveedores, no únicamente las etiquetas de Google.
La estrategia más sólida es mantener un inventario vivo, revisar los cambios antes de publicarlos, probar escenarios de consentimiento y conservar evidencias. Así se reduce el riesgo de sanción, se protege la confianza del usuario y se trabaja con datos cuyo origen puede explicarse.
Gestionar el cumplimiento manualmente consume tiempo y puede dejar errores ocultos en el orden de ejecución, los estados predeterminados o los activadores de Google Tag Manager.
Lgdataone ayuda a revisar GA4, Google Tag Manager y Consent Mode, detectar incoherencias y priorizar correcciones técnicas. La auditoría automatizada no sustituye el asesoramiento jurídico, pero reduce el tiempo necesario para identificar etiquetas que cargan antes de la elección o señales que no se actualizan correctamente.
Prueba Lgdataone en lgdataone.io y revisa la implementación con la herramienta de verificación de Consent Mode.
Puntos clave
| Punto | Aplicación práctica |
|---|---|
| Consentimiento equilibrado | Aceptar y rechazar deben presentarse al mismo nivel y sin opciones no necesarias activadas. |
| Bloqueo real | El banner no sirve si las etiquetas se ejecutan antes de la elección. |
| Contratos según el rol | Hay que determinar si el proveedor actúa como encargado, responsable o con funciones distintas. |
| Consent Mode no es una CMP | Comunica estados a Google, pero no solicita ni conserva por sí mismo las preferencias. |
| Revisión continua | Cada cambio de plugin, etiqueta o proveedor puede alterar el cumplimiento real. |
En una implementación habitual de GA4 se utilizan identificadores y almacenamiento analítico que no son estrictamente necesarios para prestar el servicio solicitado por el usuario. Por ello, normalmente debe bloquearse la analítica hasta obtener el consentimiento correspondiente. La evaluación debe realizarse sobre la configuración efectiva, no únicamente sobre el nombre de la herramienta.
La normativa exige que la información sea accesible, clara y completa, pero no convierte el nombre del archivo en el criterio principal. Separar los documentos suele mejorar la navegación y el mantenimiento. Si se integran, cada materia debe quedar claramente identificada y ser fácil de localizar.
¿Qué diferencia hay entre el modo básico y el modo avanzado de Consent Mode v2?
En el modo básico las etiquetas de Google permanecen bloqueadas hasta la autorización. En el avanzado cargan con estados denegados y pueden enviar señales sin cookies antes de una aceptación. La segunda opción permite un modelado más específico, pero requiere evaluar la transmisión que se produce en ausencia de consentimiento.
No existe una periodicidad trimestral obligatoria para todos los sitios. Puede ser una frecuencia razonable cuando hay cambios frecuentes. También debe revisarse la configuración tras añadir herramientas, modificar GTM, actualizar plugins o cambiar proveedores y finalidades.
Hay que revisar la presentación de aceptar y rechazar, las categorías activas por defecto, las peticiones de red antes de elegir, la revocación y la coherencia entre el inventario real y la política publicada. Las pruebas deben realizarse con un navegador limpio o en modo incógnito.
No. Continuar navegando, hacer scroll o cerrar el aviso no permiten deducir de forma inequívoca que el usuario ha aceptado las cookies no necesarias.
¿Deben tener exactamente el mismo color los botones de aceptar y rechazar?
No es imprescindible que sean idénticos, pero ambas acciones deben aparecer al mismo nivel, con visibilidad y facilidad equivalentes. El diseño no debe empujar al usuario a aceptar mediante contraste, tamaño, ubicación o pasos adicionales.
¿Consent Mode v2 es obligatorio por el RGPD?
No es una obligación legal autónoma creada por el RGPD. Es un mecanismo de Google para recibir señales de consentimiento y mantener determinadas funciones publicitarias y de medición. La organización sigue siendo responsable de decidir cómo cumple la normativa y de configurar correctamente la CMP y las etiquetas.
¿Cuándo hay que volver a solicitar el consentimiento?
Debe solicitarse de nuevo cuando cambien de manera relevante las finalidades, los proveedores o la información ofrecida. Además, la AEPD considera buena práctica que la validez para una cookie no sea superior a veinticuatro meses.