Qué hace un banner de consentimiento
Un banner de consentimiento, también llamado banner de cookies o aviso de cookies, aparece en la primera visita del usuario. Suele ser una superposición, una barra en la parte inferior de la página o un cuadro modal. El procesamiento no esencial solo puede empezar después de que el visitante interactúe con el banner.
El banner es la parte visible de un deber más amplio de protección de datos. Detrás de él hay una plataforma de gestión del consentimiento o un script propio que funciona en tres pasos:
- 1
Informar primero
El banner muestra quién instalará las tecnologías, con qué fines y qué opciones existen.
- 2
Bloquear hasta elegir
Las cookies no esenciales, los píxeles y los scripts permanecen bloqueados hasta que el visitante decida.
- 3
Registrar y volver a ofrecer
La elección se guarda con fecha, hora y versión del aviso. Un enlace en el pie de página permite cambiarla después.
La base legal: ePrivacy y RGPD
En la Unión Europea, la regla proviene del artículo 5, apartado 3, de la Directiva ePrivacy. Almacenar o leer información en el dispositivo del usuario, que es lo que hacen las cookies y otros rastreadores similares, requiere consentimiento. La excepción cubre solo el almacenamiento estrictamente necesario para un servicio que el usuario pidió de forma explícita, como el contenido del carrito de compra o la sesión de inicio de sesión. Las cookies de analítica y de publicidad nunca entran en esa excepción.
El RGPD fija el estándar que debe cumplir el consentimiento: libre, específico, informado e inequívoco, expresado mediante una acción afirmativa clara. Cuando se tratan datos sensibles con base en el consentimiento, el RGPD exige que sea explícito. ePrivacy decide cuándo se necesita el consentimiento y el RGPD decide qué cuenta como consentimiento válido. Las normas nacionales añaden detalles, por lo que la redacción varía un poco entre los Estados miembros. El principio de opt-in se aplica en la UE, el EEE y el Reino Unido.
Modelos opt-in y opt-out
No todos los banners piden permiso de la misma forma. Dos modelos dominan, y un sitio internacional suele usar ambos a la vez. Según las leyes estatales de Estados Unidos, como la CCPA, una señal de rechazo enviada por el navegador o el dispositivo debe respetarse.
| Modelo | Dónde aplica | Qué significa |
|---|---|---|
| Opt-in | UE, EEE y Reino Unido | Nada que no sea esencial se ejecuta antes de que el visitante acepte. |
| Opt-out | Leyes estatales de EE. UU., como la CCPA | El rastreo empieza tras el aviso. El visitante puede rechazar la venta o el intercambio de datos. |
| Por capas | Sitios internacionales | Una sola configuración detecta la región del visitante y muestra el banner correcto. |
Registros de consentimiento y revocación
Sea cual sea el modelo, la elección debe poder demostrarse, porque la carga de la prueba recae en el operador del sitio. Una configuración conforme guarda lo siguiente para cada elección, y mantener ese registro forma parte de la gestión de cumplimiento:
- cuándo se dio o se rechazó el consentimiento
- qué fines y proveedores cubría la elección
- qué versión del aviso vio el visitante
Patrones engañosos y cuándo un banner es ilegal
Un banner puede estar en pantalla y, aun así, ser inválido. Las autoridades de control y los tribunales han fallado en repetidas ocasiones contra diseños que hacen más fácil aceptar que rechazar.
Los reguladores aplican una prueba sencilla: la simetría. Rechazar debe requerir un clic y verse tan destacado como aceptar. Retirar el consentimiento también debe ser tan fácil como darlo. El consentimiento obtenido mediante manipulación no es libre, y el consentimiento que no es libre no existe.
| Patrón | Qué sale mal | Estado |
|---|---|---|
| Opciones preseleccionadas | Las casillas marcadas o los interruptores preajustados no son una elección afirmativa. | Inválido |
| Botones desiguales | Un Aceptar todo llamativo junto a un Rechazar apagado o de varios clics. | Inválido |
| Rechazo oculto | Rechazar todo está más escondido que Aceptar todo. | Inválido |
| Consentimiento implícito | Seguir navegando o desplazarse no es una acción clara. | Inválido |
| Presión y muros de cookies | Textos que generan culpa, o contenido bloqueado hasta aceptar. | Cuestionado |
El contexto de TCF
En la publicidad en línea, el método de señalización dominante es el IAB Transparency and Consent Framework, que suele abreviarse como TCF. Una plataforma de consentimiento que lo admite codifica las elecciones del visitante, como los fines aceptados, los proveedores permitidos y las objeciones al tratamiento por interés legítimo, en una cadena estándar de consentimiento. Los proveedores de publicidad de la cadena pueden leer esa cadena y deben respetarla.
TCF es un marco de la industria, no una ley. La participación es contractual, y tanto el marco como los avisos individuales construidos sobre él han sido objeto de escrutinio regulatorio. Sea cual sea la herramienta, lo que más pesa es la regla: ningún rastreo no esencial antes de una elección válida y simétrica, y la elaboración de perfiles conductual para publicidad necesita ese mismo consentimiento claro.
Lectura recomendada: Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.
Un banner que hace más difícil rechazar que aceptar ya ha fracasado, por muy pulido que sea su diseño.
Anexet Team