Respuesta breve
Un banner de cookies válido pregunta antes de instalar las cookies no esenciales, permite rechazar con la misma facilidad que aceptar, explica las finalidades y deja cambiar de opinión. Google Consent Mode v2 traslada la elección a las etiquetas de Google para que analítica y publicidad la respeten. Es información general, no asesoramiento jurídico: consulta tu caso con un abogado.
Para qué sirve un banner de cookies y qué reglas hay detrás
Un banner de cookies es el recuadro que pregunta al visitante si el sitio puede guardar o leer información en su dispositivo. Existe porque las normas europeas de privacidad consideran las tecnologías de rastreo algo a lo que el visitante debe dar su acuerdo. En Francia, el regulador CNIL cita el artículo 82 de la ley francesa de protección de datos. Un banner que solo informa, o que adorna un sitio que rastrea igualmente, no cumple esa función.
Este texto resume lo que dicen los reguladores y Google en sus propios documentos. No es asesoramiento jurídico, y las reglas difieren entre países y cambian con el tiempo. El banner, además, es solo la mitad visible. La otra mitad es lo que hace tu sitio detrás de él, y ahí es donde se encuentran la mayoría de los fallos.
Primero el consentimiento: nada no esencial antes del clic
La CNIL afirma que los usuarios, por regla general, deben consentir antes de que se escriba o lea cualquier cookie o rastreador en su dispositivo, con algunas excepciones. Antes de decidir, hay que informarles de las finalidades de los rastreadores, de las consecuencias de aceptar o rechazar y de la identidad de cada parte que use rastreadores que requieran consentimiento. La organización debe poder demostrar en todo momento que obtuvo un consentimiento válido.
Las excepciones son estrechas. La CNIL enumera los rastreadores usados para autenticación, para conservar el contenido de un carrito y, bajo condiciones, para ciertas estadísticas de audiencia. Todo lo demás, que suele ser píxeles publicitarios, remarketing, widgets sociales y la mayoría de las configuraciones de analítica, espera un sí. La prueba práctica es sencilla: abre tu sitio en un navegador limpio, no pulses el banner y mira qué cookies y peticiones ya existen.
Rechazar debe ser tan fácil como aceptar
Las preguntas frecuentes de la CNIL dicen que debe ofrecerse una opción de rechazo, bien con un botón de rechazar todo en la primera capa, al mismo nivel y con la misma forma que el de aceptar todo, bien con otra opción que haga el rechazo tan sencillo como la aceptación. El rechazo no debe exigir pasos extra, como una segunda pantalla de ajustes, y los botones no deben engañar ni destacar una opción más que la otra.
La AEPD española, al anunciar la actualización de su guía de cookies, dice lo mismo: aceptar y rechazar deben mostrarse en un lugar y formato destacados, al mismo nivel, y rechazar no puede ser más complicado que aceptar. La guía actualizada añade ejemplos sobre el color, el tamaño y la ubicación de los botones. Para un diseñador es concreto: dos botones del mismo tamaño, peso y contraste en la misma pantalla.
Por qué hacer scroll, cerrar o seguir navegando no equivale a un sí
La CNIL es explícita: seguir navegando ya no se interpreta como consentimiento. El consentimiento exige una acción positiva clara, como pulsar un botón de aceptar, y sin ella no puede instalarse ningún rastreador no esencial. Sus preguntas frecuentes añaden que seguir navegando se interpreta como un rechazo. Un banner que desaparece a los diez segundos o tras un scroll no demuestra nada.
La CNIL indica también que el consentimiento debe ser libre, informado, específico e inequívoco, y que conviene guardar la elección, sea un rechazo o un consentimiento, para no preguntar en cada página. Considera buena práctica conservarla unos seis meses. Tómalo como una guía y no como un plazo, y anota el periodo que elijas para que el banner y la política de cookies digan lo mismo.
Finalidades, opciones y una forma de cambiar de opinión
Un banner con un solo sí para todo es difícil de defender, porque el consentimiento debe ser específico. Agrupa tus cookies por finalidad, por ejemplo medición, publicidad y funcionales, explica cada grupo en una frase y deja elegir por grupo. Usa palabras llanas. El visitante debe entender qué hace aceptar antes de pulsar el botón.
La retirada importa tanto como la primera elección. La CNIL dice que se puede retirar el consentimiento en cualquier momento y que retirarlo debe ser tan sencillo como darlo. Recomienda un enlace permanente con un nombre claro, como gestionar mis cookies, o un icono de cookies en cada página. Añade que la retirada debe ser efectiva: en las cookies de terceros, el editor debe detener toda lectura y escritura desde su sitio, lo que puede implicar desactivar las peticiones a esos dominios.
Google Consent Mode v2: cómo llega la elección a tus etiquetas
Consent Mode permite que las etiquetas de Google cambien su comportamiento según la elección del visitante. La guía de configuración de Google describe dos pasos: fijar un estado de consentimiento por defecto antes de nada y enviar una actualización cuando el visitante responde. Los parámetros son ad_storage y analytics_storage, más ad_user_data y ad_personalization, añadidos en la actualización de noviembre de 2023 conocida como v2. Consent Mode no guarda la elección por sí mismo, así que tu sitio debe almacenarla y reenviarla en las páginas siguientes.
El orden es la trampa clásica. Google indica que el valor por defecto debe ejecutarse antes de la etiqueta de Google, y que si se ejecuta después no se aplicará. Para las regiones, el valor puede limitarse por código de región, y gana la regla más específica. Google describe además el modo básico, donde las etiquetas quedan bloqueadas hasta que el visitante interactúa con el banner, y el avanzado, donde cargan con el consentimiento denegado y envían mediciones sin cookies. Para el tráfico del EEE, la política de Google pide a los anunciantes recoger el consentimiento y transmitir las señales, y avisa de que bloquear etiquetas hasta responder al banner puede perder datos.
Analítica que respeta la elección y los errores que se repiten
La analítica es donde los dueños esperan una exención. La CNIL la admite solo en condiciones estrictas: medición de audiencia propia del editor, solo estadísticas anónimas, sin rastreo entre sitios o aplicaciones, sin cruce ni intercambio con terceros, y el editor debe poder demostrar el cumplimiento. La CNIL añade que la seudonimización no cumple su definición de anonimización. Muchas configuraciones habituales incumplen alguna condición, así que da por hecho que necesitas consentimiento salvo que un experto confirme lo contrario.
Los errores se repiten. La etiqueta de Google carga antes de fijar el consentimiento por defecto. La opción de rechazo se esconde en una segunda capa o parece una nota al pie. La elección no se guarda y el banner reaparece en cada página. Siguen escribiéndose cookies tras un rechazo porque un script está fijado en la plantilla. No hay enlace para retirar el consentimiento. Cada uno se detecta en minutos con un navegador, un perfil limpio y las herramientas de desarrollo.
Hacerlo tú o encargar la configuración, y qué preparar
Un dueño cuidadoso puede instalar una plataforma de consentimiento, corregir el orden de las etiquetas y probar el resultado con un navegador limpio. Lo difícil es el inventario. Hay que encontrar cada script, píxel e inserción del sitio, clasificarlos por finalidad, vincularlos a la elección correcta y mantener esa lista al día cuando alguien añade un widget nuevo. Si el sitio tiene muchas herramientas o no sabes qué se carga, encargarlo ahorra tiempo.
VITON13 Studio lo ofrece como el paquete de consentimiento de cookies y privacidad. Incluye un banner de cookies al estilo RGPD con consentimiento real, configurado con Consent Mode v2; una lista de cookies de tu sitio; un borrador de política de privacidad; y analítica que respeta la elección del visitante. Ves el banner funcionando en una copia de pruebas de tu sitio como borrador gratuito antes de pagar. El precio es de 33 dólares fijos y el trabajo lleva de dos a cuatro días laborables. El borrador de la política es un texto de partida, así que pide a un abogado que lo confirme para tu caso. Trae la lista de herramientas que usas y acceso a tu sitio.
Lista práctica
- Abre el sitio en un navegador limpio sin pulsar el banner y anota todas las cookies ya instaladas.
- Da a aceptar y rechazar el mismo tamaño, peso, contraste y pantalla.
- Agrupa las cookies por finalidad y deja elegir por grupo con palabras sencillas.
- Fija el valor por defecto de Consent Mode antes de la etiqueta de Google y envía la actualización tras el clic.
- Añade un enlace o icono permanente para cambiar la elección y comprueba que retirarla detiene los rastreadores.
Preguntas frecuentes
¿Seguir navegando cuenta como consentimiento para las cookies?
Según la CNIL, no. Indica que seguir navegando se interpreta ahora como un rechazo y que el consentimiento exige una acción positiva clara, como pulsar un botón de aceptar. Un banner que se cierra solo no demuestra nada.
¿Debe el botón de rechazar verse igual que el de aceptar?
La CNIL exige una opción de rechazo al mismo nivel y con la misma forma que la aceptación, u otra opción igual de fácil. La AEPD dice que ambas opciones deben estar al mismo nivel. Lo más seguro es el mismo tamaño, peso y contraste.
¿Qué cambió con Google Consent Mode v2?
Google añadió dos parámetros, ad_user_data y ad_personalization, a los anteriores ad_storage y analytics_storage. Los anunciantes que usan personalización o medición para usuarios del EEE deben recoger el consentimiento y enviar las señales a Google.
¿Están las cookies de analítica exentas de consentimiento?
Solo en las condiciones estrictas que fija la CNIL: medición de audiencia propia del editor, estadísticas anónimas, sin rastreo entre sitios ni intercambio con terceros. Los datos seudonimizados no valen, así que la mayoría de las configuraciones necesitan consentimiento.
¿Cuánto tiempo debe conservarse la elección de cookies del visitante?
La CNIL considera buena práctica unos seis meses para guardar un consentimiento o un rechazo, y así no preguntar en cada página. Es una recomendación, y el plazo exacto conviene indicarlo en tu política de cookies.