Un banner de cookies no conforme es el incumplimiento más fácil de constatar en una tienda: basta con abrir la página de inicio y el inspector del navegador. Es también uno de los que la Agencia Española de Protección de Datos sanciona con más regularidad.
Aquí está la checklist, y los errores que vuelven sistemáticamente.
Las cinco reglas de fondo
El consentimiento debe ser libre. El rechazo no debe acarrear ninguna consecuencia sobre el acceso al servicio, salvo el caso acotado del muro de rastreadores.
Específico. El consentimiento se da por finalidad: medición de audiencia, publicidad, redes sociales, personalización. Un acuerdo global único no satisface esa exigencia.
Informado. El visitante debe saber quién deposita, por qué, y durante cuánto tiempo, antes de elegir.
Inequívoco. Supone un acto positivo. Ni casillas premarcadas, ni consentimiento deducido del desplazamiento de la página, ni de la continuación de la navegación.
Tan fácil de retirar como de dar. Un enlace permanente debe permitir volver sobre la elección en cualquier momento.
Los ocho errores clásicos
- El botón de rechazo en segundo nivel. Aceptar en un clic, rechazar tras abrir un panel de preferencias. Es el incumplimiento más frecuente y más sancionado. Los dos botones deben estar al mismo nivel, en la primera pantalla.
- El rechazo visualmente devaluado. Botón aceptar en color vivo, rechazar en gris claro o como simple enlace subrayado. La diferencia de tratamiento visual se considera un obstáculo al rechazo.
- El depósito antes de la elección. Los scripts se cargan al cargar la página, el banner aparece después. A esas alturas los rastreadores ya están depositados y el consentimiento no sirve de nada. Es el fallo técnico más corriente.
- El consentimiento deducido del desplazamiento. Práctica abandonada desde hace años y sin embargo todavía presente en sitios en producción.
- La ausencia de retirada. Ningún enlace para volver sobre la elección, o un enlace enterrado en el aviso legal.
- La duración ilimitada. Un consentimiento registrado sin vencimiento, nunca renovado.
- Los rastreadores exentos tratados como los demás, o al revés. Bloquear la cookie de carrito hasta el consentimiento rompe la tienda; considerar un rastreador publicitario como exento es una infracción.
- El banner decorativo. La barra existe, las elecciones se registran, y ningún script está realmente condicionado. El dispositivo no bloquea nada.
DataFirefly Cookie Manager — basado en el motor de código abierto tarteaucitron.jsEl banner de cookies conforme RGPD, sin renunciar a la medición.€220,00
Lo que está exento
No todos los rastreadores dependen del consentimiento. Están exentos los estrictamente necesarios para la prestación del servicio solicitado.
En una tienda, eso cubre el carrito, la autenticación, la sesión, la preferencia de idioma o de divisa, el reparto de carga, y la cookie que registra la propia elección de consentimiento.
La medición de audiencia también puede estar exenta, en condiciones estrictas: finalidad limitada a la medición por cuenta del editor, ausencia de cruce con otros tratamientos, sin seguimiento de navegación entre aplicaciones o sitios, datos no transmitidos a terceros, y duración de conservación limitada. Una configuración estándar de una herramienta de análisis masiva no cumple esas condiciones por defecto.
La prueba del consentimiento
Debes poder demostrar que cada consentimiento se recogió válidamente. Eso supone conservar, para cada visitante, un registro con marca de tiempo que incluya: la fecha y la hora, las finalidades aceptadas y rechazadas, la versión del banner mostrada, y un identificador técnico que permita vincular el registro.
Punto a menudo descuidado: la versión del banner. Si modificas tus finalidades o tus socios, los consentimientos anteriores ya no cubren el nuevo perímetro.
Las duraciones
Tres duraciones distintas, a menudo confundidas.
La duración de validez del consentimiento, al término de la cual debes volver a solicitar al visitante. La guía de la Agencia Española de Protección de Datos fija la renovación en un plazo máximo de veinticuatro meses.
La duración de vida de los rastreadores depositados, que no debería exceder los trece meses según la referencia habitual.
La duración de conservación de los datos recogidos mediante esos rastreadores, limitada en la práctica a veinticinco meses.
Un punto práctico: el rechazo debe conservarse tanto tiempo como la aceptación. Volver a preguntar en cada visita a alguien que ha rechazado es a la vez desagradable y se considera una práctica dirigida a obtener el consentimiento por cansancio.
Probar tu banner en diez minutos
Cinco verificaciones, en este orden.
1. Abre el sitio en navegación privada con la pestaña de red activa. Antes de cualquier clic, mira las peticiones salientes y las cookies depositadas. Solo deben aparecer los rastreadores exentos.
2. Cuenta los clics para aceptar, y luego para rechazar. El número debe ser idéntico.
3. Rechaza, luego recarga y verifica que no hay ningún rastreador sujeto a consentimiento.
4. Busca el enlace de retirada. Si tardas más de diez segundos en encontrarlo, un visitante no lo encontrará.
5. Verifica que los scripts de tus módulos de terceros pasan efectivamente por el mecanismo de bloqueo. Un módulo de chat, de mapa o de vídeo instalado tras la puesta en marcha del banner se olvida a menudo.
El Cookie Manager para PrestaShop pone en marcha este dispositivo en PrestaShop 8 y 9: bloqueo previo de los scripts antes del consentimiento, rechazo al mismo nivel que la aceptación, gestión por finalidad, registro con marca de tiempo de las elecciones y enlace de retirada permanente.