La UE intensifica la aplicación del RGPD: el seguimiento en sitios web independientes requiere consentimiento en dos capas

El 2 de agosto de 2026, surgieron nuevas señales de un endurecimiento en los requisitos de aplicación relativos al cumplimiento del seguimiento de datos de los usuarios de la Unión Europea. Según el comunicado de ejecución publicado por el Comité Europeo de Protección de Datos (EDPB), los sitios web independientes que ofrecen servicios a usuarios de la UE deben adoptar un mecanismo de consentimiento activo de doble nivel, compuesto por “Cookie + panel de configuración de privacidad”, y no pueden obtener autorización mediante opciones preseleccionadas ni mediante consentimiento predeterminado implícito. Para las empresas que operan en el extranjero y dependen de sitios web independientes para la captación de clientes, la publicidad, la optimización para motores de búsqueda y las conversiones en redes sociales, esto no solo supone un ajuste en la forma de presentación de las páginas, sino que también afecta a la recopilación de datos, a los procesos de marketing y a la gestión práctica de los riesgos de cumplimiento.

¿Qué señales claras ha emitido el comunicado de ejecución?

La información confirmada muestra que el Comité Europeo de Protección de Datos (EDPB) publicó un comunicado de ejecución el 2 de agosto de 2026, en el que exige que todos los sitios web independientes que ofrecen servicios a usuarios de la UE, incluidos los sitios operados por empresas chinas que se expanden al extranjero, implementen un mecanismo de consentimiento activo de doble nivel: “Cookie + panel de configuración de privacidad”.

El comunicado también deja claro que están prohibidas las prácticas basadas en opciones preseleccionadas o en el consentimiento predeterminado implícito. Esto significa que cualquier método de obtención de autorización relacionado con el seguimiento del comportamiento de los usuarios debe basarse en una elección activa por parte del usuario.

En cuanto a las sanciones, el límite máximo de las multas se ha elevado al 6% de los ingresos globales o a 20 millones de euros, aplicándose la cantidad que resulte mayor. El resumen del caso también señala claramente que este cambio afectará directamente a la publicidad, a la recopilación de datos de SEO y a los procesos de conversión procedentes de las redes sociales.

Desde la captación de clientes hasta la prestación del servicio, el impacto no se limita a la interfaz del sitio web

Empresas exportadoras que dependen de las ventas a través de sitios web independientes

Desde una perspectiva sectorial, las empresas exportadoras que venden o captan clientes directamente entre los usuarios de la UE serán las primeras en sentir la presión derivada del cambio normativo. La razón es que el sitio web independiente no solo es la puerta de entrada del tráfico, sino también un punto clave para la acumulación de datos sobre el comportamiento de los usuarios. Si no se implementa el mecanismo de consentimiento de doble nivel, las empresas podrían enfrentarse a limitaciones simultáneas de cumplimiento y operativas en aspectos como la atribución publicitaria, el remarketing, el análisis de audiencias y el seguimiento de conversiones.

Actualmente, estas empresas no solo deben comprobar si el sitio web muestra un aviso de Cookie, sino también verificar si el método de obtención de la autorización para el seguimiento forma un circuito completo con el panel de configuración de privacidad, y si la documentación de cumplimiento, los registros internos y la comunicación externa son coherentes entre sí.

Publicidad y operaciones de canales

Para los equipos responsables de la publicidad, la recopilación de datos de SEO y la captación de tráfico desde redes sociales, el cambio normativo podría afectar directamente a los procesos de adquisición de tráfico y evaluación de resultados. El resumen del caso ya señala que se verán afectados la publicidad, la recopilación de datos de SEO y los procesos de conversión procedentes de las redes sociales. Desde una perspectiva analítica, esto significa que deben revisarse nuevamente los requisitos de autorización en los que se basan la optimización de campañas, la evaluación de contenidos y la medición de conversiones mediante el seguimiento del comportamiento de los usuarios.

La prioridad para los equipos correspondientes consiste en comprobar si la lógica de seguimiento dentro del sitio coincide con las acciones de consentimiento y si, al ofrecer servicios a usuarios de la UE, siguen existiendo riesgos relacionados con la activación predeterminada, las autorizaciones ambiguas o las configuraciones en las que un solo clic cubre múltiples finalidades.

Proveedores de servicios de creación de sitios web, tecnología y cumplimiento

Las empresas de servicios que proporcionan a las empresas en expansión internacional servicios de creación de sitios web independientes, implementación de plugins, análisis de datos o soporte de cumplimiento también se encuentran dentro del ámbito afectado. La razón es que el mecanismo de consentimiento activo de doble nivel no solo implica el texto de la página, sino también la interacción del frontend, las condiciones de activación de los scripts de seguimiento, la configuración del panel de privacidad y la posibilidad de verificar estos elementos durante revisiones posteriores.

Durante las fases de entrega y mantenimiento de los proyectos, estos proveedores de servicios deben prestar mayor atención a los escenarios comerciales de sus clientes dirigidos a usuarios de la UE y revisar si las plantillas, los plugins y las soluciones entregadas siguen siendo aplicables. Para los compradores, al seleccionar proveedores tecnológicos o servicios externalizados, la capacidad relacionada con el cumplimiento también podría convertirse en un criterio de evaluación.

Puestos directivos responsables de las compras y de la revisión operativa

Para los puestos internos responsables del presupuesto, las compras y la revisión de las operaciones, el impacto de este cambio no se limita a los departamentos jurídico o de TI. Según las observaciones actuales, una vez ajustado el mecanismo de autorización del seguimiento, podrían cambiar la integridad de los datos de marketing, la comparabilidad de los resultados publicitarios y los métodos de análisis de conversiones dentro del sitio, lo que a su vez afectaría a las decisiones de compra, la distribución de canales y las expectativas de entrega.

Por ello, estos puestos deben centrarse en comprobar si el cambio de los requisitos de cumplimiento ya se ha trasladado a la actualización del sitio web, la adquisición de herramientas, los contratos de servicios y los procesos de uso de datos, evitando que los objetivos comerciales sigan definidos según la lógica anterior mientras las condiciones de ejecución ya han cambiado.

Varios aspectos prácticos que requieren especial atención en este momento

Comprobar primero si el método de obtención de la autorización es realmente “activo”

Desde una perspectiva analítica, el cambio más directo introducido por este comunicado de ejecución no consiste en si la empresa ha configurado un aviso de Cookie, sino en si ha establecido simultáneamente un mecanismo de consentimiento activo de doble nivel compuesto por el aviso de Cookie y el panel de configuración de privacidad. Las empresas deben comprobar prioritariamente si las páginas actuales contienen opciones preseleccionadas, activación predeterminada o avisos poco visibles con un consentimiento excesivamente amplio, y confirmar la forma en que se muestran y activan realmente estos elementos en las rutas de acceso de los usuarios de la UE.

Revisar después los requisitos previos de recopilación de datos en los procesos de marketing

Para las empresas que dependen de la publicidad, el SEO y la captación de tráfico desde redes sociales, es especialmente importante prestar atención a la relación entre las acciones de recopilación de datos y el mecanismo de consentimiento. El resumen actual no proporciona detalles adicionales sobre la ejecución, por lo que no puede deducirse que todos los métodos técnicos específicos de tratamiento ya se hayan unificado. No obstante, las empresas deben realizar cuanto antes un inventario de los puntos de seguimiento existentes, la implementación de scripts y los métodos de registro de conversiones, con el fin de identificar qué procesos se basan en la autorización de los usuarios.

Revisar simultáneamente los documentos externos y los requisitos internos de entrega

Si la empresa ejecuta estas actividades mediante equipos externalizados, proveedores de creación de sitios web o proveedores de servicios de marketing, también deben revisarse simultáneamente las cláusulas contractuales, las listas de entrega, las descripciones de las páginas, los documentos relacionados con la privacidad y los requisitos de revisión interna. Según las observaciones actuales, los riesgos posteriores no suelen proceder únicamente de la propia página, sino también de las incoherencias entre la “presentación del frontend, la implementación técnica, la comunicación externa y los registros internos”.

Seguir atentamente los criterios de aplicación posteriores

Dado que la información de entrada solo confirma el comunicado de ejecución, los requisitos del mecanismo principal y el ajuste de las sanciones, y no proporciona explicaciones complementarias más detalladas, actualmente resulta más adecuado entender este cambio como una señal clara de ejecución ya emitida y continuar siguiendo las declaraciones oficiales posteriores, los criterios específicos de aplicación y las reacciones del sector durante su implementación.

Se trata más bien de una señal de endurecimiento en el nivel de aplicación

Según la observación editorial, la clave de esta información no es únicamente que “los requisitos sean más estrictos”, sino que el cumplimiento del seguimiento en los sitios web independientes ha pasado de una indicación general a unos requisitos concretos, operativos y verificables. El mecanismo de consentimiento activo de doble nivel, la prohibición de las opciones preseleccionadas o del consentimiento predeterminado implícito y el aumento del límite máximo de las sanciones conforman una orientación de aplicación relativamente clara.

Al mismo tiempo, debe mantenerse una actitud prudente. La información conocida actualmente permite afirmar que las normas se están reforzando, pero no basta para extraer conclusiones definitivas sobre las consecuencias para todos los sectores. Una interpretación más adecuada es que se trata de una señal de aplicación con restricciones reales: las empresas deben iniciar cuanto antes la fase de comprobación y ajuste, mientras que los límites operativos concretos en los distintos escenarios empresariales todavía deben observarse de forma continua a la luz de los criterios posteriores.

Para las actividades internacionales, el foco ya se ha desplazado hacia “cómo implementarlo”

En conjunto, la importancia sectorial de esta información reside en que los requisitos de cumplimiento del seguimiento de datos en los sitios web independientes que ofrecen servicios a usuarios de la UE están pasando de principios generales a exigencias de aplicación más concretas. El impacto no se limita a los departamentos jurídico o técnico del sitio web, sino que también abarca múltiples áreas operativas, como la publicidad, la gestión de canales, la adquisición de servicios y la administración empresarial.

La valoración más prudente en este momento consiste en considerar este cambio como una señal de endurecimiento del cumplimiento ya implementada y, a partir de ahí, revisar el mecanismo de autorización del sitio web independiente y los procesos de marketing existentes. En cuanto a los detalles posteriores de aplicación, los métodos de adaptación sectorial y las reacciones del mercado, será necesario continuar realizando un seguimiento, sin adelantar conclusiones excesivamente amplias.

Base de este artículo y líneas de verificación posteriores

El contenido de este artículo se ha generado a partir del título de la información proporcionada por el usuario, la fecha del acontecimiento y el resumen del caso. Los hechos confirmados se limitan a la información incluida en la entrada correspondiente. En relación con este tipo de acontecimientos, normalmente puede realizarse una verificación continua mediante comunicados oficiales, publicaciones de organismos reguladores, información de asociaciones sectoriales, documentos de organizaciones de normalización y reportajes de medios autorizados.

Cabe señalar que el contenido de entrada no proporciona un enlace a una fuente oficial concreta, por lo que las formulaciones originales pertinentes y las actualizaciones posteriores aún deben verificarse de forma continua. Entre los aspectos que conviene seguir observando se incluyen la posible concreción adicional de las normas de aplicación, la forma en que se implementarán los criterios específicos de aplicación, la ejecución de las modificaciones de los sitios web independientes por parte de las empresas y la respuesta del mercado a los ajustes en la publicidad, la recopilación de datos de SEO y los procesos de conversión en redes sociales.