Qué es una CMP (plataforma de gestión del consentimiento)

Las siglas corresponden a plataforma de gestión del consentimiento. La confusión más extendida la identifica con el banner de cookies. El banner es la parte visible. La CMP es el sistema completo: el escaneo que descubre qué cookies y qué proveedores hay en el sitio, la lógica que decide qué aviso mostrar según el país del visitante, el registro con sello de tiempo de cada decisión y la vía que permite revocarla más tarde.

De ahí viene la segunda confusión, bastante más cara. Instalar una CMP no vuelve conforme a un sitio web. Una CMP ejecuta una decisión, no la toma. Si el aviso propone categorías que no se corresponden con el tratamiento real, si rechazar cuesta más que aceptar o si las etiquetas se disparan antes de la respuesta, el sistema estará funcionando y el sitio seguirá siendo cuestionable.

Conviene distinguirla también del modo de consentimiento. La CMP obtiene y guarda la decisión. El modo de consentimiento la traduce a las señales que entienden las etiquetas de Google. Son piezas distintas que se conectan entre sí, y ninguna cubre el trabajo de la otra.

El ciclo empieza con un inventario. La CMP rastrea el sitio, detecta cookies, píxeles y proveedores externos, y los agrupa en categorías. Sobre ese inventario se construye el aviso, con una capa inicial breve y una segunda capa donde el usuario puede aceptar o rechazar por categoría o por proveedor.

Cuando la persona responde, la plataforma guarda la decisión con fecha, versión del texto mostrado y ámbito, y la expone al resto del sitio de dos maneras. Por un lado bloquea o libera los scripts según la categoría. Por otro emite señales hacia sistemas externos, entre ellas las del modo de consentimiento hacia las etiquetas de Google.

En el ecosistema publicitario esa comunicación está estandarizada por el Transparency and Consent Framework de IAB Europe. La CMP codifica las decisiones en una cadena de texto, la TC String, que recoge las finalidades autorizadas y los proveedores concretos de la Global Vendor List. Cualquier participante del marco lee esa cadena y ajusta su tratamiento. La versión 2.3 del marco se publicó en abril de 2025, con adopción obligatoria para los participantes a partir del 28 de febrero de 2026.

Existe además una capa de certificación. Google exige una CMP certificada e integrada con el TCF para mostrar publicidad personalizada en inventario de AdSense, Ad Manager y AdMob: desde el 16 de enero de 2024 en el Espacio Económico Europeo y Reino Unido, y desde el 31 de julio de 2024 en Suiza. La lista de plataformas certificadas es pública y se actualiza con regularidad.

La decisión que depende de una CMP es de gobierno del dato, no de compras. Determina qué se mide y qué no, y por tanto qué parte del negocio queda documentada en los informes. Un rechazo mayoritario bien implementado reduce la cobertura analítica de forma visible y honesta. Una configuración que ignora ese rechazo produce datos completos y un riesgo abierto.

Para publicidad, la certificación decide el acceso. Sin una CMP certificada e integrada con el TCF, el tráfico afectado deja de ser elegible para anuncios personalizados en los productos de Google citados y queda con anuncios no personalizados o limitados cuando el formato lo admite. Para un editor eso se traduce en menos ingresos por mil impresiones.

Hay una consecuencia interna que suele subestimarse. El registro de decisiones es la prueba que se enseña cuando alguien pregunta con qué base se trató un dato concreto. Si la plataforma no conserva ese registro de forma recuperable y exportable, la defensa acaba apoyándose en capturas de pantalla. Si el planteamiento es adecuado para un caso concreto lo debe valorar un asesor jurídico.

• Volver a escanear el sitio después de cada despliegue, porque un proveedor nuevo entra sin avisar a través de cualquier integración de marketing.
• Comprobar que rechazar cuesta lo mismo que aceptar, en número de clics y en visibilidad del botón.
• Verificar en el navegador que ninguna cookie no esencial se escribe antes de la respuesta, en lugar de fiarse del panel de la herramienta.
• Conectar la CMP con el modo de consentimiento y confirmar que las cuatro señales cambian de verdad al aceptar y al rechazar.
• Conservar el registro de decisiones con fecha, versión del texto y ámbito, y saber cómo se exporta antes de necesitarlo.
• Revisar la certificación y la versión del TCF de la plataforma contratada cada vez que el marco publique una versión nueva.

• Dar por conforme el sitio porque el banner está puesto, sin revisar qué ocurre técnicamente cuando alguien rechaza.
• Cargar la analítica o el píxel publicitario antes de la decisión y desactivarlos después, cuando la cookie ya está escrita.
• Destacar el botón de aceptar y esconder el rechazo detrás de un menú de preferencias.
• Elegir plataforma sin comprobar si figura en la lista de certificadas, cuando el modelo de negocio depende de la publicidad personalizada.
• Traducir el aviso y olvidar que el ámbito y las categorías deben corresponder al tratamiento real de cada mercado.