La promesa de “no hace falta banner”

Las herramientas de analítica centradas en la privacidad suelen presentarse como libres de cookies, y algunas van más allá y sugieren que ya no necesitas un banner de consentimiento. Para un publisher con una pila ligera, es una idea atractiva. La realidad es más matizada. Que haga falta consentimiento depende de lo que la herramienta hace realmente en el dispositivo, de los datos que procesa, de dónde están tus usuarios y de qué más se ejecuta en tus páginas.

Este artículo explica las preguntas que conviene hacerse antes de retirar la analítica de tu configuración de consentimiento. Es una orientación general, no asesoramiento jurídico.

Las cookies no son el único desencadenante

En la UE, la regla de consentimiento para los dispositivos procede del artículo 5, apartado 3, de la Directiva ePrivacy. Cubre el almacenamiento de información en el dispositivo de un usuario, o el acceso a información ya almacenada en él — no solo las cookies. El almacenamiento local, el almacenamiento de sesión, los píxeles que provocan la lectura de información y las técnicas que derivan identificadores a partir de las características del dispositivo pueden quedar incluidos. El Comité Europeo de Protección de Datos expuso esta lectura amplia en sus Directrices 2/2023 sobre el ámbito técnico del artículo 5, apartado 3.

Así que “no instalamos cookies” es el comienzo del análisis, no el final. Necesitas saber si la herramienta almacena o lee algo en el dispositivo.

Cuatro preguntas para cualquier herramienta de analítica

1. ¿Almacena o lee algo en el dispositivo?

Revisa los paneles de almacenamiento del navegador tras cargar una página: cookies, almacenamiento local, almacenamiento de sesión, IndexedDB. Examina el script en busca de código que recoja características del dispositivo para construir un identificador. Si se almacena o se lee algo con fines de analítica, se activa la regla ePrivacy salvo que se aplique una exención.

2. ¿Procesa datos personales?

Incluso sin almacenamiento en el dispositivo, la analítica suele procesar direcciones IP, user agents y URL de páginas. Conforme al RGPD, pueden ser datos personales. Eso exige una base jurídica — que puede ser el interés legítimo en lugar del consentimiento — además de transparencia en tu aviso de privacidad, minimización de datos y una conservación adecuada. “Sin banner” nunca significa “sin obligaciones”.

3. ¿Se aplica una exención en los países de tus usuarios?

Algunos reguladores reconocen que una medición de audiencia limitada puede estar exenta de consentimiento si se cumplen condiciones estrictas. La CNIL francesa ha publicado condiciones para eximir a los rastreadores de medición de audiencia y mantiene un programa que identifica las herramientas que pueden configurarse para cumplirlas. Las condiciones suelen incluir un uso estrictamente de primera parte, solo estadísticas agregadas, ningún rastreo entre sitios y una conservación limitada. La Data (Use and Access) Act 2025 del Reino Unido introdujo nuevas excepciones al requisito de consentimiento de la PECR, incluidas algunas para determinados fines estadísticos, sujetas a condiciones como información clara y una forma de oponerse. No todos los países adoptan la misma postura, así que comprueba la situación en cada mercado al que sirves y qué disposiciones están en vigor.

4. ¿Se comparten los datos con alguien más?

Si la herramienta envía datos a un proveedor que los usa para sus propios fines, o los combina entre clientes, las exenciones suelen decaer. Lee las condiciones de tratamiento, no solo la página de marketing.

Lo que normalmente sigue necesitando consentimiento

• Las etiquetas publicitarias. Los publishers que viven de la publicidad necesitan consentimiento para la publicidad personalizada y para el almacenamiento en el dispositivo por parte de los proveedores publicitarios, haga lo que haga su herramienta de analítica.
• Las herramientas con identificadores entre sesiones. Los ID de visitante persistentes, incluso de primera parte, tienden a sacar a una herramienta de la mayoría de las exenciones.
• La reproducción de sesiones y los mapas de calor. Capturan un comportamiento detallado y rara vez se tratan como medición exenta.
• El contenido incrustado y los widgets sociales. Instalan sus propias cookies e identificadores.
• Los píxeles de conversión y remarketing. Existen para vincular el comportamiento con la publicidad.

Para la mayoría de los sitios financiados con publicidad, el banner es necesario de todos modos por la pila publicitaria. La verdadera pregunta es si la analítica debe ser una de las categorías sujetas a consentimiento o si puede funcionar de forma independiente al amparo de una exención estrecha.

Una forma práctica de decidir

1. Enumera cada script de analítica y lo que almacena, lee y envía.
2. Identifica los países donde está la mayoría de tus usuarios.
3. Para cada herramienta, comprueba si su configuración cumple una exención reconocida en esos países.
4. Configura la herramienta en la versión más estricta que necesites: truncado de IP, sin identificadores persistentes, conservación corta, sin compartir datos.
5. Documenta el razonamiento y mantén la herramienta de analítica incluida en tu política de cookies y en tu aviso de privacidad en cualquier caso.
6. Vuelve a comprobarlo cuando el proveedor cambie su producto o cambien tus mercados.

Ejecutar analítica exenta junto a un CMP

Si decides que una herramienta cumple los requisitos, decláralo en tu CMP como estrictamente necesaria o exenta para que se divulgue pero no quede sujeta a consentimiento, y asegúrate de que su configuración se mantiene dentro de la exención. Muchos publishers mantienen además una configuración de analítica dependiente del consentimiento para una medición más rica y usan Google Consent Mode v2 o señales similares para ajustarla según la elección del usuario. FlexyConsent admite Google Consent Mode v2 junto con IAB TCF 2.4 e IAB GPP v1.1.

Puntos clave

• “Sin cookies” no significa automáticamente “no hace falta consentimiento”; el artículo 5, apartado 3, cubre cualquier almacenamiento o acceso en el dispositivo.
• La analítica sin almacenamiento en el dispositivo aún puede procesar datos personales y necesita una base jurídica y transparencia.
• Existen exenciones para la medición de audiencia en algunos países, pero con condiciones estrictas.
• La publicidad, la reproducción de sesiones y las etiquetas de remarketing siguen necesitando consentimiento.
• Documenta por qué una herramienta se trata como exenta y vuelve a comprobarlo con regularidad.