Cómo configurar correcta­mente un banner de cookies: aspectos legales y técnicos

¿Cuándo necesita un banner de cookies y cuándo no?

Lo decisivo no es si un sitio web usa «cookies», sino para qué. El almacenamiento técnicamente necesario, por ejemplo para el carrito de la compra, el inicio de sesión o la seguridad del sitio, no requiere consentimiento. Sí se necesita consentimiento para todo lo que no sea estrictamente necesario: medición de audiencia, píxeles de marketing y publicidad, remarketing y contenidos incrustados de terceros, cuando en ello se almacena o se lee información en el dispositivo.

Esto no vale solo para las cookies, sino también para técnicas similares como el almacenamiento local del navegador o la huella digital del dispositivo. Un sitio web que usa únicamente tecnología necesaria puede prescindir del banner; aun así, necesita una política de privacidad completa. Por eso conviene hacerse primero una idea de qué servicios incorpora realmente su sitio: a menudo son más de los que se piensa.

Las bases jurídicas de un vistazo

En Alemania, el § 25 de la TDDDG regula cuándo puede almacenarse o leerse información en el dispositivo: en principio solo con consentimiento, salvo que el almacenamiento sea estrictamente necesario para poder prestar un servicio solicitado por el usuario. Si en ese proceso se tratan datos personales, se aplica además el RGPD, que impone requisitos de libertad, información, especificidad y posibilidad de acreditación del consentimiento.

Un consentimiento válido es libre, informado, referido a fines concretos y se otorga mediante un acto activo inequívoco. El Tribunal de Justicia de la Unión Europea y el Tribunal Federal de Justicia alemán (BGH) han resuelto, respecto de las casillas premarcadas, que no constituyen un consentimiento válido. La situación jurídica y la interpretación de las autoridades de control siguen evolucionando; para su caso concreto, acuda a un asesor de protección de datos o jurídico.

Cómo está construido un banner conforme a la normativa

En el primer nivel, el visitante debe entender de qué se trata: ¿qué tecnologías se usan para qué y quién es el responsable? La opción de rechazar debería ser tan fácil de alcanzar como la de aceptar. Según el criterio de las autoridades de control alemanas, esto significa en la práctica un botón de rechazo diseñado de forma equivalente al botón de aceptar, no escondido en un enlace de texto o en un campo gris.

En el segundo nivel, los visitantes pueden activar y desactivar categorías o servicios individuales. Los valores por defecto deben estar en «desactivado», salvo las funciones necesarias. La política de privacidad y el aviso legal (Impressum) deben poder consultarse sin responder al banner. La decisión debe poder modificarse en cualquier momento posterior, por ejemplo mediante un enlace siempre visible en el pie de página. Además, el banner debería poder manejarse con el teclado y con lectores de pantalla.

• Primer nivel: explicación clara, fines, responsable
• Botones de aceptar y rechazar con diseño equivalente
• Segundo nivel: selección por categorías o servicios individuales
• Sin casillas premarcadas para servicios no necesarios
• Enlaces a la política de privacidad y al aviso legal sin obligar a decidir
• Enlace permanente para cambiar o revocar el consentimiento

Imple­menta­ción técnica: cargar los scripts solo tras el consenti­miento

El error más frecuente no está en el texto, sino en la técnica: el banner aparece, pero los scripts de análisis o publicidad ya se cargan al abrir la página. Así el consentimiento no sirve de nada. Los scripts no necesarios solo pueden iniciarse después de que el visitante haya aceptado. Se consigue con una solución de consentimiento que bloquee los scripts o con un gestor de etiquetas que vincule los disparadores al consentimiento.

También los contenidos incrustados, como vídeos o mapas, deberían cargarse solo tras el consentimiento, por ejemplo mediante un marcador con un clic. Las fuentes y los scripts que sirve usted mismo desde su servidor evitan desde el principio las transferencias a terceros. Si utiliza servicios de Google, compruebe si su modo de consentimiento está conectado correctamente con el banner. Verifique la implementación en una ventana nueva del navegador con las herramientas de desarrollo: antes de la decisión no debe salir ninguna petición a servicios de publicidad o análisis.

Docu­menta­ción, revocación y manteni­miento continuo

Debe poder acreditar que los visitantes han consentido y cómo lo han hecho. Las buenas soluciones de consentimiento registran la decisión con la hora y la versión del banner. La lista de servicios empleados, en el banner y en la política de privacidad, debe coincidir con la realidad. Cuando se incorpora una herramienta nueva, como un widget de chat o un píxel, actualizar ambos lugares forma parte del mismo paso de trabajo.

Prevea revisiones periódicas, porque los sitios web cambian: se actualizan plugins, los servicios modifican su comportamiento, marketing añade scripts. Un análisis del sitio en busca de cookies instaladas y terceros consultados ayuda a descubrir desviaciones. La revocación debe ser tan sencilla como el consentimiento; tras una revocación, el sitio debería volver a desactivar los servicios correspondientes.

Errores habituales y cómo le ayuda Nano Concepts

Errores típicos son un banner sin una opción de rechazo equivalente, scripts que se cargan antes del consentimiento, listas de servicios desactualizadas, un banner que tapa el aviso legal y la política de privacidad y un patrón de diseño que empuja a aceptar. A veces, además, la política de privacidad no coincide con lo que el sitio incorpora realmente. Tales desviaciones pueden acarrear reclamaciones, requerimientos o demandas de indemnización.

Nano Concepts configura la solución de consentimiento de forma técnicamente limpia: inventariamos los servicios incorporados, bloqueamos los scripts no necesarios hasta el consentimiento, diseñamos el banner acorde con su marca y comprobamos el resultado en el navegador. Esto forma parte de nuestros proyectos web (Starter desde 2.500 €, Professional desde 8.000 €) y también puede solicitarse para sitios existentes; el presupuesto llega tras la primera consulta gratuita. La valoración jurídica y los textos, aclárelos con su asesor de protección de datos o jurídico.