¿Qué es el Consentimiento?

El consentimiento es la autorización previa que un usuario da, mediante una acción activa, para que un sitio web instale cookies o tecnologías similares no esenciales en su navegador. Lo exige el artículo 5.3 de la Directiva ePrivacy (2002/58/CE, modificada por la Directiva 2009/136/CE), la norma que regula específicamente el acceso y el almacenamiento de información en el equipo terminal del usuario.

Cuando esas cookies permiten identificar a una persona, por ejemplo mediante un identificador vinculado a su comportamiento de navegación, entra además en juego el RGPD como marco general de protección de datos. La relación entre ambas normas es directa: la Directiva ePrivacy decide si se puede colocar la cookie en el dispositivo, y el RGPD regula qué se hace después con los datos personales que esa cookie genera.

No todas las cookies necesitan consentimiento. Las estrictamente necesarias para prestar el servicio que el usuario pidió, como el carrito de compra o la sesión iniciada, quedan exentas por el propio artículo 5.3. El consentimiento solo es obligatorio para cookies de analítica, personalización o publicidad.

En la Unión Europea, el modelo válido para cualquier cookie no esencial es siempre el opt-in: nada se instala hasta que el usuario da su autorización con un gesto claro, como pulsar "Aceptar". Una casilla premarcada o un banner que solo ofrece "más información" sin un botón de rechazo igual de visible no cumple ese requisito.

Técnicamente, el consentimiento se gestiona mediante una plataforma de gestión de consentimiento (CMP). Antes de que el usuario decida, la CMP bloquea la carga de cualquier script no esencial: gestores de píxeles de seguimiento, herramientas de analítica o etiquetas publicitarias quedan en pausa hasta que hay una decisión explícita. La CMP suele integrarse con el gestor de etiquetas del sitio, de modo que cada script queda asociado a una categoría (necesaria, preferencias, estadística, marketing) y solo se dispara si esa categoría concreta recibió luz verde.

Cuando el usuario acepta, rechaza o personaliza su elección por categoría, la CMP guarda esa decisión con un identificador y una marca de tiempo, y solo entonces libera los scripts correspondientes. Ese registro sirve como prueba frente a una autoridad de protección de datos de que el sitio pidió consentimiento antes de actuar, no después. Si el usuario cambia de opinión más tarde, la misma CMP debe permitir revisar y modificar su elección con la misma facilidad con la que la dio.

Un fallo habitual en la implementación es confundir "ocultar visualmente el banner" con "bloquear el script". Si una cookie ya se ha escrito en segundo plano mientras el banner sigue en pantalla, el consentimiento no se ha respetado aunque el usuario todavía no haya pulsado nada. Este error técnico es habitual en banners mal integrados con el gestor de etiquetas del sitio, y convierte un problema de configuración en un incumplimiento legal.

El consentimiento cumple una función legal concreta: separa una web que respeta al usuario de otra que instala rastreo sin autorización. Para ser válido debe cumplir varias condiciones a la vez: libre, informado, específico, inequívoco, granular y revocable con la misma facilidad con la que se otorgó, algo que exige tanto la Directiva ePrivacy como el RGPD cuando hay datos personales de por medio.

Granular significa, en la práctica, poder aceptar la analítica y rechazar la publicidad o el uso de datos demográficos por separado, en lugar de un botón único que mezcle todas las finalidades. El punto más debatido son los "cookie walls", banners que bloquean el acceso al sitio si el usuario no acepta. Las Directrices 05/2020 del Comité Europeo de Protección de Datos consideran que esta práctica, sin una alternativa real, no cumple el requisito de consentimiento libremente otorgado.

La Opinión 08/2024 del mismo comité, centrada en los modelos de "pago o consentimiento" de las grandes plataformas, matiza esa postura: concluye que, en la mayoría de los casos, ofrecer solo pagar o aceptar publicidad tampoco basta, y que hace falta una alternativa equivalente sin coste para que el consentimiento sea válido, algo que se evalúa caso por caso según el poder de mercado de la plataforma.

• Bloquea con la CMP todos los scripts no esenciales por defecto, y libera solo los que correspondan a la categoría que el usuario aceptó.
• Diseña el banner con el botón de "rechazar" tan visible y accesible como el de "aceptar", sin colores ni tamaños que induzcan a elegir uno sobre otro.
• Ofrece consentimiento granular por categoría (necesaria, preferencias, estadística, marketing), no un único interruptor de todo o nada.
• Registra cada decisión con identificador, categoría aceptada y marca de tiempo, para poder demostrarla ante una autoridad de control.
• Facilita revocar el consentimiento en cualquier momento desde un enlace visible, con el mismo número de clics que costó darlo.
• Redacta la información del banner en lenguaje claro, sin remitir todo a una política de privacidad de veinte páginas para explicar qué hace cada cookie.

• Ocultar visualmente el banner sin bloquear de verdad el script de la cookie o del píxel de seguimiento, de modo que el rastreo arranca antes de que el usuario decida.
• Usar una casilla premarcada en "aceptar todo" o resaltar ese botón mientras el de "rechazar" queda oculto en un submenú.
• Mezclar todas las finalidades en un único interruptor, sin permitir aceptar analítica y rechazar publicidad por separado.
• Tratar la ausencia de respuesta o el simple hecho de seguir navegando como si fuera una aceptación implícita.
• No revisar en una auditoría de SEO técnico qué scripts se disparan antes del consentimiento, un fallo que penaliza tanto el cumplimiento legal como el tiempo de carga.