¿Qué es un muro de cookies?

El muro de cookies es una variante concreta del aviso de cookies habitual. Un banner de cookies normal ofrece aceptar, rechazar o configurar, y el usuario puede seguir navegando aunque rechace el rastreo. El muro de cookies elimina esa tercera vía: si el usuario no acepta las cookies de seguimiento, no accede al contenido, salvo que pague.

Por eso también se llama modelo de consentimiento o pago (consent or pay, en inglés). El término describe la disyuntiva que se plantea al visitante nada más entrar en la web: consentir el tratamiento de sus datos con fines publicitarios o abonar una cuota, normalmente una suscripción, para ver el mismo contenido sin ese tratamiento.

La diferencia con un banner de cookies convencional no es solo técnica. Un banner que respeta el Reglamento General de Protección de Datos deja al usuario la opción real de rechazar sin perder acceso al servicio. El muro de cookies condiciona el acceso a una de las dos opciones, consentir o pagar, y esa condición es precisamente lo que examinan las autoridades de protección de datos cuando valoran si el consentimiento obtenido es válido.

Medios de comunicación y tiendas online lo usan sobre todo para financiar contenido gratuito con publicidad basada en el comportamiento del usuario, una fuente de ingresos que se reduce si el usuario rechaza el rastreo sin coste alguno para él.

El mecanismo se activa en el primer contacto con la página. Antes de cargar el contenido, un script comprueba si existe una decisión de consentimiento almacenada. Si no la hay, se muestra una pantalla que cubre toda la página, la propia definición de muro, con dos caminos: aceptar cookies de terceros para publicidad personalizada, o pulsar un enlace de pago que lleva a una pasarela de suscripción.

Si el usuario acepta, se cargan los scripts de terceros (redes publicitarias, medición de audiencias) y se guarda esa decisión, casi siempre doce meses, según recomienda la AEPD. Si el usuario paga, el sitio activa una cookie propia que marca al usuario como suscriptor y desactiva la carga de scripts de rastreo durante el periodo contratado.

La parte legal es la que da forma al diseño técnico. El Reglamento General de Protección de Datos exige que el consentimiento sea libre, específico, informado e inequívoco. Un muro que solo ofrece dos caminos, aceptar o pagar, plantea la pregunta de si esa libertad existe de verdad cuando la alternativa a aceptar tiene un coste económico. Es la pregunta central que han abordado tanto el Comité Europeo de Protección de Datos como la Agencia Española de Protección de Datos, con respuestas que no coinciden del todo, como se explica en el siguiente apartado.

En la práctica, la mayoría de plataformas de gestión del consentimiento (CMP) ya incluyen una plantilla de muro de cookies configurable: texto, precio de la suscripción y duración de la cookie de aceptación se ajustan desde un panel, sin tocar el código de la web.

La decisión de usar un muro de cookies enfrenta dos intereses distintos: la monetización del contenido gratuito y el riesgo legal de un consentimiento que una autoridad de protección de datos considere inválido. Ninguno de los dos pesa igual para todos los operadores, y ahí está la parte que conviene entender bien.

El Comité Europeo de Protección de Datos, en su dictamen 8/2024 del 17 de abril de 2024, se pronunció específicamente sobre grandes plataformas en línea que usan el modelo de consentimiento o pago para publicidad basada en el comportamiento. Su conclusión es que, en la mayoría de los casos, esas grandes plataformas no pueden cumplir los requisitos de un consentimiento válido si solo ofrecen al usuario elegir entre aceptar el tratamiento o pagar una cuota, sin ninguna alternativa equivalente sin publicidad personalizada.

La Agencia Española de Protección de Datos, en su guía de cookies de mayo de 2024, mantiene una posición más general: un muro con alternativa de pago puede ser válido si el usuario está informado y existe alguna alternativa de acceso, que no tiene por qué ser gratuita. Esa posición no contradice a la europea, pero es menos estricta, y aplica sobre todo a operadores que no encajan en la categoría de gran plataforma que examinó el dictamen europeo. Para un medio o una tienda online de tamaño medio, esta diferencia decide qué diseño de muro es defendible.

• Comprueba si tu web encaja en la categoría de «gran plataforma en línea» que examina el dictamen 8/2024 del CEPD; si es así, un muro de solo aceptar-o-pagar difícilmente cumple los requisitos de consentimiento válido.
• Ofrece siempre una alternativa clara al rastreo, aunque sea de pago, y documenta que el usuario fue informado antes de elegir.
• Ajusta la duración de la cookie de consentimiento a los doce meses que recomienda la AEPD, no a un plazo indefinido.
• Revisa que la opción de pago dé acceso real al mismo contenido, no a una versión reducida, para que la alternativa sea equivalente.
• Registra la base legal y la fecha de cada versión del muro que publiques, por si una autoridad de protección de datos pide justificación.
• Audita periódicamente qué scripts de terceros se cargan tras la aceptación, para no tratar más datos de los que el texto del muro anuncia.

• Mostrar el muro sin explicar qué cookies concretas se activan al aceptar, lo que vulnera el requisito de información específica.
• Fijar un precio de suscripción tan alto que la alternativa de pago sea, en la práctica, inaccesible para la mayoría de usuarios.
• Copiar el diseño de una gran plataforma sin comprobar si el dictamen 8/2024 del CEPD aplica también a un sitio de menor tamaño.
• Guardar la decisión de consentimiento sin fecha de caducidad, de modo que el usuario nunca vuelve a ver el muro.
• Cargar scripts de terceros antes de que el usuario haya elegido, lo que anula el propio sentido del muro.