¿Cómo configurar las cookies de GDPR? Aspectos prácticos, desde el consentimiento en la ventana emergente hasta la conservación de registros

Primero delimita el alcance: ¿qué cookies estás gestionando exactamente?

　　Muchas personas empiezan buscando el estilo de la ventana emergente y terminan omitiendo el paso más importante. La configuración de las cookies conforme al GDPR no termina con “añadir un botón de consentimiento”. Lo que realmente determina cómo debe configurarse todo lo demás es saber qué cookies existen en tu sitio web, quién las instala, cuál es su finalidad y si se cargan en la primera pantalla o solo se activan después de una acción del usuario.

　　En la práctica, se recomienda preparar primero una tabla de activos que incluya, como mínimo, estas cuatro categorías: necesarias para el funcionamiento del sitio, análisis estadístico, publicidad y marketing, e integraciones de terceros. El estado de inicio de sesión, el carrito de compras y las preferencias de idioma suelen pertenecer a la categoría de necesarias; las estadísticas de visitas, los mapas de calor, los píxeles de remarketing, los reproductores de vídeo y el servicio de atención al cliente en línea, en cambio, requieren comprobar si pueden bloquearse antes de obtener el consentimiento del usuario.

　　Los dos errores más comunes son: primero, clasificar todas las cookies como “necesarias”; segundo, revisar únicamente el código añadido por el propio equipo sin comprobar el gestor de etiquetas, las plataformas publicitarias, los plugins y los componentes integrados. Este último error es especialmente fácil de cometer, porque muchas cookies no las instala un script escrito por ti, sino que se generan en cuanto se carga un script de terceros.

　　Al evaluarlas, no te fijes únicamente en el nombre de la cookie. También debes revisar el origen del activador, el periodo de almacenamiento, la descripción de su finalidad y si implica seguimiento entre sitios. Si no sirve exclusivamente para una función solicitada de forma explícita por el usuario, no la clasifiques apresuradamente como necesaria.

No priorices la apariencia de la ventana emergente; primero asegúrate de que el mecanismo de consentimiento sea correcto

　　La clave de una ventana emergente de consentimiento adecuada no es simplemente “tener una capa emergente”, sino garantizar que las cookies no necesarias no se instalen antes de que el usuario tome una decisión. Muchos sitios muestran aparentemente las opciones “Aceptar” y “Configurar preferencias”, pero en realidad, en cuanto se abre la página, los scripts de análisis y publicidad ya se han ejecutado. Este tipo de configuración implica un riesgo considerable.

　　Puedes realizar directamente las siguientes comprobaciones:

• En la primera visita, ¿las categorías no necesarias se rechazan de forma predeterminada?
• ¿Las opciones “Aceptar” y “Rechazar” son visibles al mismo nivel, en lugar de que una sea evidente y la otra esté escondida?
• ¿Se permite seleccionar las categorías individualmente, en lugar de obligar a aceptar todo?
• ¿Existe una entrada independiente para que el usuario pueda modificar posteriormente su selección?
• ¿El texto explicativo indica claramente la finalidad de cada categoría de cookies, en lugar de limitarse a decir de forma genérica “mejorar la experiencia”?

　　Hay un detalle que suele pasarse por alto: cerrar la ventana emergente no equivale a dar consentimiento. Si el usuario simplemente hace clic en el botón de cierre situado en la esquina superior derecha o continúa navegando por la página, no se puede considerar automáticamente que ha autorizado las cookies de marketing y análisis.

El bloqueo de scripts debe bloquear realmente, no limitarse a cambiar el texto

　　Muchos problemas de los proyectos se originan aquí. En la interfaz parece que ya existe una ventana emergente de cookies conforme al GDPR, pero técnicamente no hay ninguna lógica de bloqueo: Google Analytics, las etiquetas de conversión publicitaria, Meta Pixel, Hotjar y los scripts integrados de YouTube siguen ejecutándose.

　　El método de comprobación es sencillo: abre una ventana de incógnito, visita el sitio por primera vez, no hagas clic en ningún botón de consentimiento y utiliza las herramientas para desarrolladores del navegador para revisar las solicitudes de red y la escritura de cookies. Si antes de que el usuario haya dado su autorización ya aparecen solicitudes relacionadas con estadísticas, publicidad o redireccionamientos, significa que tu CMP o tu estrategia de gestión de etiquetas no está funcionando realmente.

　　Existen dos soluciones habituales. Una consiste en controlar las condiciones de activación según el estado del consentimiento desde el gestor de etiquetas; la otra, en bloquear primero la carga de scripts de terceros desde la capa de la página e inyectarlos solo después de obtener el consentimiento del usuario. La opción depende de la arquitectura actual de tu sitio, pero el principio es el mismo: bloquear primero y permitir después, nunca al revés.

Al configurar las categorías, no mezcles “estadísticas” y “marketing” en una sola opción

　　Cuando los usuarios toman una decisión, lo que menos quieren ver es un conjunto de términos técnicos difíciles de entender. Sin embargo, desde el punto de vista de la configuración, cuanto más ambiguas sean las categorías, más difícil será gestionarlas después. En la práctica, como mínimo deberían separarse las categorías de necesarias, estadísticas, preferencias y marketing. Esto no solo aporta claridad en la interfaz, sino que también facilita identificar posteriormente qué tipo de script está fuera de control.

　　Si gestionas un sitio independiente multilingüe, este paso es especialmente importante. La interfaz de consentimiento, la estrategia de carga de scripts y el contenido de la página de información sobre cookies que ven los visitantes europeos deberían diferenciarse de los de otras regiones, en lugar de aplicar una única lógica a todo el sitio. Esto se debe a que las combinaciones de herramientas de publicidad, análisis y remarketing son diferentes en cada mercado.

No olvides el contenido de terceros: muchas cookies están “integradas”

　　Lo que más fácilmente se pasa por alto en un sitio web no es el código de análisis, sino todo tipo de contenido integrado. Los vídeos, mapas, plugins de redes sociales, servicios de atención al cliente en línea, herramientas de formularios y ventanas de chat pueden eludir tu evaluación intuitiva. El equipo encargado de editar la página puede pensar que solo ha añadido un módulo, cuando en realidad, en cuanto el usuario abre la página, ya se ha enviado una solicitud a un tercero.

　　Por ejemplo, cuando una empresa exportadora de alimentos crea un sitio web de marca, suele utilizar imágenes grandes, vídeos y cuadrículas de productos para reforzar la presentación visual. Si utilizas una solución de sitio web de estilo visual, como agricultura, productos agrícolas y alimentos, y la página también incluye un blog de noticias, formularios personalizados y efectos dinámicos adaptables, debes revisar con mayor atención la cadena de carga de los recursos de terceros. No significa que estos módulos no puedan utilizarse, sino que debes confirmar si, antes de obtener el consentimiento del usuario, ya han llamado a dominios externos, escrito identificadores o activado mecanismos de seguimiento.

　　En la práctica, se recomienda marcar el dominio de origen de cada módulo integrado y probar uno por uno el comportamiento de carga en la primera pantalla. Así descubrirás rápidamente que lo más difícil de gestionar no suele ser la ventana emergente de la página de inicio, sino los distintos componentes que el equipo de contenidos añade posteriormente.

El almacenamiento de registros no es un elemento secundario: es la base para explicar después los criterios de configuración

　　Muchos equipos concentran toda su atención en la interacción de la interfaz y, cuando alguien pregunta “cuándo dio su consentimiento el usuario, qué categorías aceptó, cuál era la versión del texto y si posteriormente retiró el consentimiento”, el sistema no dispone de un registro completo. Sin estos registros, es muy difícil demostrar que la configuración se ejecutó de acuerdo con la selección del usuario.

　　Como mínimo, deberían conservarse los siguientes campos:

• Marca de tiempo del consentimiento.
• Estado del consentimiento y resultado de la selección de categorías.
• Versión correspondiente del texto de privacidad o de cookies.
• Identificador anonimizado utilizado para identificar el registro.
• Registro de retirada o modificación del consentimiento.

　　La cuestión no es “almacenar más”, sino “almacenar de forma que todo pueda relacionarse”. Si cambia la versión de la ventana emergente, el sistema debe poder indicar qué versión seleccionó el usuario; si se modifican las reglas de gestión de etiquetas, también debe existir una línea temporal de publicación. De lo contrario, solo podrás demostrar cómo es la configuración actual, pero no cómo se aplicó durante los meses anteriores.

El acceso para retirar el consentimiento, las páginas de políticas y las páginas de formularios deben estar conectados

　　El consentimiento no es una acción única. La posibilidad de modificarlo posteriormente es un aspecto que muchos sitios pasan por alto. El pie de página, la página de política de privacidad o la página de información sobre cookies deberían incluir al menos un acceso estable que permita volver a abrir el centro de preferencias. No escondas este acceso en un rincón que solo el departamento jurídico pueda encontrar.

　　También existe una cuestión práctica: las páginas de formularios. Especialmente en las páginas de destino de anuncios, las páginas de consultas y las páginas de solicitud de muestras, muchos equipos integran scripts de seguimiento para atribuir las conversiones, pero olvidan que estas páginas suelen ser también los puntos de recopilación más sensibles. Debes comprobar simultáneamente tres aspectos: si antes del envío del formulario ya se han instalado scripts no necesarios, si la información de privacidad situada junto al formulario es coherente con la lógica de clasificación de cookies y si la transmisión de conversiones está controlada por el estado del consentimiento.

Antes de publicar, no te limites a comprobar el aspecto de la página: realiza una prueba completa “desde la primera visita hasta la conversión”

　　Según la experiencia, el método de aceptación más eficaz no consiste en hacer una captura de pantalla para confirmar que aparece la ventana emergente, sino en recorrer el flujo real de navegación: entrar por primera vez, rechazar las opciones no necesarias, navegar por la página de productos, abrir un vídeo, enviar un formulario y volver después al centro de preferencias para modificar la autorización. A continuación, comprueba qué ocurre respectivamente con las cookies, las solicitudes, la plataforma de estadísticas y la plataforma publicitaria.

　　Si tu sitio está dirigido a varias regiones, añade otra capa de pruebas: comprueba si el recorrido de los visitantes europeos coincide con el de los visitantes de fuera de Europa y si se aplica una carga diferenciada después de identificar la región. No esperes a que empiece la publicidad para descubrir que, en cuanto el tráfico europeo entra en el sitio, las etiquetas de marketing ya se activan de forma predeterminada. Después será más difícil corregirlo y también afectará a la coherencia de los datos.

En la implementación real, seguir este orden de comprobación te permitirá ahorrar tiempo

　　Primero inventaría las cookies y los scripts de terceros; después determina las categorías y las reglas de activación; a continuación configura la ventana emergente y el centro de preferencias; luego implementa el bloqueo de scripts y, por último, completa el almacenamiento de registros y el mecanismo de retirada del consentimiento. No inviertas este orden. Mientras no estén claras la clasificación y la interceptación iniciales, por muy completo que sea el texto de la ventana emergente, la configuración todavía no estará lista para entregarse.

　　Para los responsables de la operación, el criterio más sencillo para determinar si una configuración de cookies conforme al GDPR es fiable es el siguiente: antes de que el usuario dé su consentimiento, ¿los scripts no necesarios se han detenido realmente? Después de que lo dé, ¿has dejado un registro? Cuando cambia de opinión, ¿puede el sistema adaptarse? Si estas tres cuestiones se implementan correctamente, el cumplimiento normativo y los datos de marketing no entrarán en conflicto.