El banner de cookies es tu primera interacción con los usuarios sobre privacidad. Un banner conforme a la norma es claro, explícito y respeta ambas opciones por igual. Muchos banners se diseñan para engañar al usuario y que consienta ("patrones oscuros"). Los reguladores han endurecido la vigilancia. Un buen banner no solo es seguro desde el punto de vista legal: genera confianza. Los usuarios valoran la transparencia, y los banners de cookies transparentes convierten mejor que los engañosos.
Qué hace que un banner de cookies cumpla la norma
El banner debe aparecer antes del seguimiento
Esta es la primera regla. Antes de instalar cualquier cookie de analítica, el usuario debe ver tu banner de consentimiento y aceptar de forma activa. Si rastreas primero y preguntas después, estás infringiendo la norma. El banner debe aparecer al cargar la página, antes de que se dispare tu script de analítica.
El banner debe ser claro y específico
Tu banner debe explicar qué cookies instalas y por qué. El lenguaje vago no sirve ("usamos cookies para mejorar tu experiencia"). El lenguaje específico sí: "Usamos cookies de analítica para medir las visitas a las páginas y el comportamiento de los usuarios. Usamos cookies de marketing para mostrarte anuncios en otros sitios." Los usuarios deben entender a qué dan su consentimiento.
El banner debe hacer el consentimiento opcional
No puedes obligar a los usuarios a consentir. Puedes instalar cookies esenciales sin consentimiento, pero las cookies de analítica y marketing requieren un consentimiento opcional. Esto significa que debe haber un botón "Rechazar" claro junto a "Aceptar". Si no hay opción de rechazar, el banner no cumple la norma.
Aceptar y rechazar deben ser igual de fáciles
Un patrón oscuro habitual: "Aceptar" es un botón grande y "Rechazar" es un texto pequeño que hay que buscar. Los banners conformes hacen que ambas opciones sean igual de visibles. Si "Aceptar" es grande, "Rechazar" debe tener una presencia parecida. Mejor enfoque: botones "Aceptar todo" y "Rechazar todo" del mismo tamaño, o una opción "Gestionar preferencias" que permita elegir con detalle.
Por defecto, sin seguimiento
Las casillas premarcadas (donde se supone el consentimiento salvo que el usuario las desmarque) no cumplen la norma. Por defecto deben estar desmarcadas. Los usuarios deben marcar las casillas de forma activa para dar su consentimiento. Si usas una interfaz de un solo botón, el botón debe estar por defecto en "Rechazar" hasta que el usuario pulse "Aceptar".
Buenas prácticas para el diseño del banner de cookies
Opción 1: aceptar o rechazar, sin más
Muestra tu banner con dos botones del mismo tamaño: "Aceptar todo" y "Rechazar todo". Incluye un enlace a tu política de privacidad completa. Es el enfoque más simple y funciona bien en muchos sitios. El inconveniente: los usuarios no pueden elegir con detalle qué cookies aceptar.
Opción 2: aceptar sencillo con rechazo detallado
Muestra "Aceptar todo" y "Gestionar preferencias". Gestionar preferencias abre una ventana donde los usuarios pueden elegir qué categorías de cookies aceptar. Esto da elección a los usuarios y mantiene sencillo el banner inicial.
Opción 3: totalmente detallado
Muestra interruptores para cada tipo de cookie (esenciales, analítica, marketing, preferencias) en el propio banner. Los usuarios pueden activar o desactivar cada uno por separado. Es más complejo, pero da el máximo control al usuario. Funciona bien si solo tienes 3 o 4 categorías de cookies.
Qué funciona mejor
La investigación muestra que la opción 2 (aceptar o rechazar sencillo con gestión detallada) equilibra cumplimiento y usabilidad. Los usuarios valoran la sencillez del banner inicial, y quienes quieren control pueden acceder a él. Las tasas de conversión son buenas porque la fricción inicial es baja.
Lenguaje y mensajes del banner de cookies
Tu banner debe incluir: qué cookies usas, por qué las usas, cuánto tiempo se guardan y cómo pueden gestionarlas los usuarios (en los ajustes o en las preferencias de privacidad). Esta transparencia genera confianza. Los usuarios consienten con más probabilidad cuando entienden lo que ocurre.
Evita los patrones oscuros
Los patrones oscuros en los banners incluyen: un botón de rechazo pequeño u oculto, casillas de consentimiento premarcadas, rechazar que exige varios clics mientras aceptar es un solo clic, lenguaje confuso sobre lo que hacen las cookies, o esconder la opción de rechazo en lo más profundo de los ajustes.
Los reguladores persiguen de forma activa los patrones oscuros. El EDPB de la UE (Comité Europeo de Protección de Datos) ha publicado una guía específica: rechazar y aceptar deben ser igual de fáciles. Si usas patrones oscuros, llegan las multas.
Conservación y cambios del consentimiento del banner
Cuando un usuario toma una decisión de consentimiento, recuérdala. Guarda su elección (en una cookie) para que el banner no reaparezca en cada carga de página. Conservación habitual: 12-24 meses. Pasado ese tiempo, vuelve a preguntar.
Si cambias tus prácticas con las cookies (seguimiento nuevo, proveedores nuevos), puede que debas pedir consentimiento de nuevo. Algunas jurisdicciones exigen un nuevo consentimiento para cambios sustanciales. Ten un plan sobre cómo avisarás a los usuarios y recogerás un nuevo consentimiento si cambian tus prácticas.
Gestores de consentimiento externos
Las plataformas de gestión del consentimiento se encargan de los banners de cookies, del almacenamiento del consentimiento y de las integraciones con las plataformas de analítica. Usar un gestor externo de confianza puede simplificar el cumplimiento. Se ocupan de los detalles legales, mantienen el cumplimiento cuando cambian las leyes y se integran con tus herramientas de analítica de forma automática.
Cuándo usar un gestor externo
Si no estás seguro de los detalles del cumplimiento, o si atiendes a varias jurisdicciones con requisitos distintos, un gestor externo merece su coste. Se mantienen al día cuando cambian las leyes. Crear tu propio banner es más barato pero más arriesgado.
¿Qué opción de diseño (sencilla, con gestión o detallada) funciona mejor en la práctica?
La opción 2 (aceptar o rechazar sencillo con ventana de gestión de preferencias) funciona mejor: la tasa de consentimiento más alta porque la barrera inicial es baja, con una opción detallada para los usuarios que quieren control. El aceptar o rechazar sencillo convierte un 60-75%, el totalmente detallado un 40-50% (demasiadas opciones) y la opción 2 un 65-80%. Empieza con la opción 2.
¿Cómo consigo que los botones de aceptar y rechazar sean igual de fáciles de encontrar?
Misma altura de botón, mismo grosor de fuente, misma saturación de color. Error común: aceptar es verde brillante y rechazar es texto gris. Usa colores de aceptar y rechazar con la misma presencia visual (ambos botones, no botón frente a texto). Coloca el botón de rechazar justo al lado del de aceptar, no debajo ni escondido. Prueba con usuarios: mide el tiempo hasta hacer clic en rechazar frente al tiempo hasta hacer clic en aceptar. Deben ser iguales.
¿Qué cuenta exactamente como cambio sustancial que exige un nuevo consentimiento?
Sustancial = el usuario esperaría de forma razonable consentir otra vez. Ejemplos: un nuevo proveedor de terceros, un nuevo uso de los datos (por ejemplo, analítica con fines de marketing), un plazo de conservación más largo. No sustancial: retocar el lenguaje de la política de privacidad, cambiar herramientas internas que el usuario no ve. En caso de duda, pide un nuevo consentimiento. La mayoría de las jurisdicciones prefiere pedir de más que de menos.
¿Qué gestores de consentimiento se integran mejor con Google Analytics y GTM?
La mayoría de los grandes gestores de consentimiento tiene integraciones nativas con GTM. Actualizan de forma automática las variables de consentimiento de GTM cuando los usuarios aceptan o rechazan. Para sitios más pequeños, las herramientas de consentimiento de gama media ofrecen buena relación calidad-precio. Revisa la documentación del proveedor sobre la integración con tu plataforma de analítica antes de elegir.
¿Son las casillas de consentimiento premarcadas una infracción real del GDPR o solo una buena práctica?
Infracción del GDPR. Premarcada supone el consentimiento y el usuario tiene que desmarcar. El GDPR exige una acción afirmativa (marcar de forma activa). Los reguladores de la UE han publicado una guía específica. Llegan las multas. Reguladores europeos han multado a grandes tiendas online con millones, en parte por casillas premarcadas. No es teoría: por defecto, desmarcadas, siempre.
Si un usuario rechaza el consentimiento al principio, ¿puedo volver a preguntar más adelante?
Sí, pero sin insistir. Puedes volver a preguntar a los 12 meses, cuando caduca el consentimiento. Acosar a los usuarios con peticiones de consentimiento cada semana incumple el requisito de que sea "libre". Algunos reguladores dicen que las peticiones de nuevo consentimiento deben ser poco frecuentes. Respeta la decisión del usuario: si rechaza, espera más de 12 meses antes de preguntar otra vez.