Guía de consentimiento de cookies para el EU-US Data Privacy Framework (DPF) para editores en 2026
El EU-US Data Privacy Framework (DPF) es el andamiaje legal que permite que los datos personales europeos — incluidos identificadores de cookies, direcciones IP, correos electrónicos en hash y cargas útiles de solicitudes publicitarias — fluyan hacia proveedores con sede en EE. UU. sin que cada editor tenga que negociar sus propias Cláusulas Contractuales Estándar. Adoptado por la Comisión Europea en julio de 2023 y ya con varios años de uso real, el DPF es el tercer intento de reemplazar el Privacy Shield invalidado, y de nuevo se enfrenta a un desafío legal en el Tribunal de Justicia de la Unión Europea. Para los editores que canalizan tráfico de la UE a través de SSPs, DSPs, herramientas de análisis y CMPs con sede en EE. UU., entender el DPF — y la capa de consentimiento que descansa sobre él — ya no es opcional. Esta guía explica qué autoriza realmente el DPF, cómo encaja el consentimiento de cookies, y los pasos operativos que mantienen tus transferencias defendibles si el marco es invalidado de nuevo.
Qué Hace Realmente el DPF
El DPF es una decisión de adecuación emitida por la Comisión Europea bajo el artículo 45 del GDPR. Una decisión de adecuación establece que un tercer país — en este caso, Estados Unidos — ofrece un nivel de protección de datos personales esencialmente equivalente al de la UE, pero solo para las organizaciones que se adhieren voluntariamente a un marco específico. El DPF es el mecanismo de adhesión voluntaria. Las empresas estadounidenses se autocertifican ante el Departamento de Comercio, se comprometen con un conjunto de Principios de Privacidad y quedan sujetas a la aplicación de esos compromisos por parte de la FTC o el DOT.
Para un editor de la UE, el efecto práctico es que los datos personales pueden transferirse a un proveedor estadounidense certificado por DPF sin Cláusulas Contractuales Estándar (SCCs) separadas, Evaluaciones de Impacto de la Transferencia adaptadas a ese proveedor, ni medidas suplementarias del tipo requerido tras la sentencia Schrems II. El DPF hace el trabajo pesado a nivel de base legal.
Tres cosas que el DPF no hace, y que los editores entienden mal de manera consistente:
- No sustituye al consentimiento. Colocar una cookie no esencial a un visitante de la UE sigue requiriendo un consentimiento de nivel GDPR/ePrivacy independientemente de adónde vayan los datos.
- No cubre las transferencias a proveedores estadounidenses no certificados. Si tu SSP o proveedor de análisis no está en la lista activa del DPF, todavía necesitas SCCs y una TIA.
- No cubre las transferencias a filiales estadounidenses que operan fuera del ámbito certificado. Muchos grandes proveedores certifican solo líneas de negocio específicas.
El Consentimiento de Cookies Sigue Siendo la Puerta Principal
El DPF resuelve el tramo de transferencia del recorrido. No hace nada respecto al momento en que se deposita una cookie, se lee un ID de anuncio o se envía un evento a una etiqueta. Ese momento está regulado por la Directiva ePrivacy (artículo 5(3)) y el GDPR (artículos 6 y 7). Ambos exigen un consentimiento previo, informado, específico y otorgado libremente para cualquier acceso no estrictamente necesario al almacenamiento de equipos terminales.
En otras palabras, incluso si cada proveedor de tu stack está certificado por DPF, todavía necesitas una Plataforma de Gestión del Consentimiento (CMP) que:
- Bloquee las cookies y etiquetas no esenciales antes de capturar el consentimiento.
- Presente una elección clara con paridad entre rechazar-todo y aceptar-todo (el EDPB ha sido explícito en esto desde 2022).
- Registre el evento de consentimiento con una marca de tiempo a prueba de manipulaciones y una copia del aviso que el usuario vio realmente.
- Transmita el estado del consentimiento a cada herramienta aguas abajo a través de TCF v2.3, Google Consent Mode v2 o APIs nativas del proveedor.
El DPF reemplaza la base legal para la transferencia; la CMP suministra la base legal para la recopilación. Saltarse cualquiera de los dos lados te deja expuesto.
Cómo Verificar el Estado DPF de un Proveedor
El Departamento de Comercio de EE. UU. mantiene la lista oficial del DPF en dataprivacyframework.gov. Antes de confiar en la afirmación DPF de un proveedor, comprueba tres cosas en su listado.
Estado de Certificación Activa
Las certificaciones deben renovarse anualmente. No se puede confiar en un proveedor cuyo estado dice Inactivo, Retirado o Caducado como mecanismo de transferencia, aunque sus páginas de marketing sigan mostrando un distintivo DPF. Incorpora el listado a tu inventario de proveedores y vuelve a comprobarlo trimestralmente.
Entidades Cubiertas y Filiales
Muchas sociedades holding certifican algunas filiales pero no otras. La entidad contractual en tu DPA debe coincidir con la entidad certificada. Un error común es firmar con Acme Marketing UK Ltd cuando la certificación DPF la ostenta Acme Inc. en Delaware — el flujo de datos escapa entonces del ámbito certificado.
Categorías de Datos Cubiertas
El DPF permite certificaciones limitadas a datos de RRHH únicamente, datos no-RRHH únicamente o ambos. Una certificación de solo no-RRHH cubre tus datos publicitarios y de análisis; una certificación de solo RRHH no lo hace. Lee el listado con atención.
Qué Hacer Cuando un Proveedor No Está Certificado por DPF
Muchos proveedores estadounidenses útiles — especialmente actores más pequeños de ad-tech y herramientas de análisis de nicho — nunca se certificaron o dejaron caducar su certificación. Para ellos, el DPF es irrelevante y vuelves al kit de herramientas anterior a 2023:
- Cláusulas Contractuales Estándar (SCCs) — las versiones del módulo 2 o módulo 3 de 2021, firmadas por ambas partes e incorporadas en la DPA.
- Evaluación de Impacto de la Transferencia (TIA) — un análisis específico del proveedor sobre la legislación de vigilancia estadounidense, las categorías de datos en riesgo y las medidas técnicas y organizativas que mitigan la exposición.
- Medidas suplementarias — cifrado en tránsito y en reposo, seudonimización, compromisos contractuales de transparencia y un plan de respuesta documentado para las solicitudes de acceso del gobierno estadounidense.
Mantén un registro que enumere cada proveedor estadounidense de tu stack, la base legal utilizada para cada uno (DPF, SCCs, derogación) y la fecha de la revisión más reciente. Los reguladores y auditores pedirán este registro; no tenerlo es en sí mismo un hallazgo.
El Riesgo Schrems III y Cómo Estar Preparado
El activista de privacidad Max Schrems y su organización NOYB presentaron una acción contra el DPF poco después de su adopción, argumentando que la reforma de vigilancia estadounidense bajo la Orden Ejecutiva EO 14086 sigue sin alcanzar los estándares de derechos fundamentales de la UE. Se espera ampliamente una remisión al CJEU, y el marco tiene una probabilidad no trivial de ser invalidado — el tercero en veinte años.
Los editores que trataron el Privacy Shield como el único mecanismo de transferencia en 2020 tuvieron que reorganizarse de la noche a la mañana cuando Schrems II lo invalidó. El mismo caos es evitable esta vez si se trata el DPF como un mecanismo principal con una copia de seguridad lista para activarse.
Mantén las SCCs en Cada DPA
Insiste en que tus DPAs incluyan las SCCs de 2021 como cláusula de reserva que se activa automáticamente si la decisión de adecuación del DPF es invalidada o la certificación del proveedor caduca. Esto es ya lenguaje estándar; si un proveedor se niega, es una señal de advertencia amarilla.
Realiza una TIA de Todas Formas
El DPF elimina el requisito legal de una TIA, pero realizar una versión ligera — especialmente para proveedores que manejan señales publicitarias sensibles o grandes poblaciones de la UE — te proporciona documentación defendible si el marco colapsa. Reutiliza la misma plantilla entre proveedores para mantener el coste bajo.
Localiza Donde los Números Salgan
Para algunos casos de uso — analítica de primera parte, datos de comportamiento de usuarios conectados o sitios de contenido sensible — pasarse a un proveedor alojado y controlado en la UE elimina completamente la cuestión de la transferencia. El análisis coste-beneficio solo sale para flujos de alto riesgo o alto volumen, pero debería estar en el roadmap como opción.
Integrando el DPF en tu CMP
Una CMP moderna no aplica el DPF directamente — no existe ningún campo GPP o TCF que diga «esta transferencia está cubierta por DPF». Lo que la CMP debe hacer es recopilar el consentimiento de cada proveedor de manera que respalde la documentación que un regulador acabará solicitando.
Granularidad por Proveedor
Agrupar a todos los proveedores de ad-tech estadounidenses en un único botón de «Marketing» ya no es defendible. La lista de proveedores TCF v2.3, con la que sincronizan la mayoría de CMPs certificadas, proporciona propósitos y bases legales por proveedor. Úsala. Cuando un regulador pregunte «con qué base fluyeron los datos personales al Proveedor X en la fecha Y», deberías poder señalar una cadena TCF, un registro de certificación DPF y una DPA.
Refleja el Aviso de Privacidad en el Banner
La lista de destinatarios en tu aviso de privacidad debería coincidir exactamente con la lista de proveedores cargados tras el consentimiento. Las discrepancias son el objetivo de aplicación más fácil — la AEPD española y la CNIL francesa han sancionado a editores en 2024 por listas de proveedores que omitían socios activos.
Registra el Estado del Proveedor en el Momento del Consentimiento
Almacena, para cada evento de consentimiento, la instantánea de qué proveedores estaban en la TCF GVL, cuáles estaban certificados por DPF y sobre qué base legal se apoyaba cada uno. Esta es la pista de auditoría que convierte una carta estresante de un regulador en una respuesta rutinaria. FlexyConsent y otras CMPs certificadas por Google ofrecen este registro de serie; muchos banners más antiguos no lo hacen.
Lista de Verificación de Migración Práctica
Si estás migrando un sitio existente desde una configuración pre-DPF o DPF parcial a una configuración limpia de 2026, trabaja esta lista:
- Haz un inventario de cada proveedor estadounidense en tu gestor de etiquetas, stack publicitario y contenedor del lado del servidor.
- Cruza referencias de cada uno con la lista activa del DPF. Categoriza como cubierto por DPF, cubierto por SCC o acción necesaria.
- Actualiza las DPAs para incluir las SCCs de 2021 como alternativa automática.
- Realiza una TIA para proveedores de alto riesgo independientemente del estado DPF.
- Confirma que tu CMP expone una interfaz de usuario de consentimiento por proveedor y es compatible con TCF v2.3.
- Verifica que Google Consent Mode v2 esté conectado a GA4, Ads y cualquier herramienta de pérdida de señal.
- Establece una revisión trimestral en el calendario para volver a comprobar certificaciones, membresías en GVL y versiones de DPA.
- Informa conjuntamente a Legal y a Operaciones Publicitarias sobre qué cambia si el DPF es invalidado, para que el plan de respuesta no se invente bajo presión.
Conceptos Erróneos Comunes
Algunos errores se repiten en las auditorías de editores y necesitan corrección explícita.
«Certificado por DPF significa que no necesitamos consentimiento.» No. El DPF es un mecanismo de transferencia. El consentimiento es un requisito de recopilación. Están en capas legales diferentes.
«Nuestro CDN tiene sede en EE. UU., así que el DPF lo cubre.» Solo si el CDN en sí mismo está certificado por DPF para las categorías de datos relevantes. Muchos proveedores de infraestructura ofrecen regiones de la UE que evitan completamente la cuestión.
«El proveedor X dice que está listo para DPF.» Lenguaje de marketing. Comprueba la lista oficial, el nombre de la entidad certificada y las categorías de datos.
«El DPF reemplaza el banner de cookies.» No. La regla de consentimiento previo de la Directiva ePrivacy es independiente de las normas de transferencia del GDPR. Ambas se aplican.
La Conclusión
El DPF hace que el ad-tech transatlántico de 2026 sea operativamente más sencillo que en 2021, pero no exime a los editores del consentimiento de cookies, la diligencia debida con los proveedores o la documentación de las transferencias. Trata el DPF como un mecanismo de transferencia válido entre varios, conserva las SCCs como respaldo contractual, gestiona una CMP que registre el consentimiento por proveedor frente a un inventario de proveedores mantenido, y asume que la estabilidad legal del marco es condicional. Los editores que construyan esa resiliencia ahora no tendrán que rediseñar de la noche a la mañana si una sentencia Schrems III aterriza como las dos anteriores. Los que traten el DPF como una respuesta permanente se están preparando para el mismo caos que siguió a la invalidación del Privacy Shield — solo que esta vez los reguladores son menos pacientes y las multas, mayores.