O consentimento non é para sempre

Unha vez que un visitante fai unha elección, debería lembrala para non molestalo en cada páxina. Pero unha elección almacenada non dura indefinidamente. As circunstancias cambian, engádense ferramentas, e unha decisión tomada hai tempo pode xa non reflectir o que o visitante escollería hoxe. Esta lista de verificación axúdao a fixar regras sensatas de caducidade e de nova solicitude.

Que din as normas (e que non)

O GDPR non fixa unha data de caducidade para o consentimento. Na práctica, a orientación dos reguladores énchese ese oco. A CNIL de Francia, por exemplo, recomenda conservar a elección do visitante durante uns seis meses antes de volver preguntar, e di que a duración das propias cookies de seguimento non debería superar os 13 meses. Outras autoridades non fixaron cifras exactas. Consulte a autoridade relevante para a súa audiencia e documente o período que elixa.

Lista 1: fixe a duración predeterminada

• Escolla unha duración para o consentimento e anótea. Entre seis e doce meses é un intervalo habitual; elixa o extremo máis curto onde o suxira o seu regulador.
• Almacene a data na que se fixo a elección, non só a elección.
• Aplique a mesma lóxica de duración á cookie ou á entrada de almacenamento que garda o rexistro de consentimento.
• Asegúrese de que a elección almacenada caduca no lado do servidor ou na súa lóxica, non só no navegador.

Lista 2: defina os activadores de nova solicitude

Pregunte de novo ao visitante, independentemente da antigüidade da elección almacenada, cando:

• Engada unha nova finalidade. Un novo uso dos datos nunca estivo cuberto pola elección anterior.
• Engada un novo provedor ou socio que trate datos dun xeito que non se revelara antes.
• A súa política de privacidade ou de cookies cambie de forma substancial.
• Cambie a versión do banner de xeito que altere as opcións ofrecidas.
• A elección almacenada falte, estea corrompida ou sexa ilexible.

Vinculeo a un número de versión do consentimento que incremente cando suceda calquera cousa do anterior. Unha elección almacenada cunha versión máis antiga activa o banner.

Lista 3: protexa a experiencia do visitante

• Non volva preguntar por temporizador dentro dunha mesma sesión.
• Non volva preguntar a un visitante que rexeitou só para cansalo; respecte o rexeitamento durante todo o período salvo que se produza un activador real.
• Manteña unha ligazón permanente no pé de páxina para que os visitantes poidan cambiar de opinión en calquera momento, sen esperar á caducidade.
• Faga que retirar o consentimento sexa tan fácil como darlo.

Lista 4: xestione os casos límite

• Cookies borradas. O banner reaparecerá. Isto é o esperado; non intente evitalo con pegada dixital (fingerprinting).
• Varios dominios ou subdominios. Decida se a elección se comparte entre eles e faga o comportamento coherente.
• Aplicacións. Almacene a elección e a súa data no almacenamento da aplicación, e volva preguntar tras as actualizacións de SDK que engadan usos de datos.
• Cambios de rexión. Se un visitante se move a outra xurisdición, comprobe se as súas regras deben aplicarse de maneira distinta.

Lista 5: conserve probas

• Rexistre a marca de tempo, a versión do banner e a elección de cada consentimento.
• Manteña un rexistro de cambios de cando e por que modificou a duración ou o número de versión.
• Revise os axustes cada trimestre xunto co seu inventario de cookies.

Onde encaixa FlexyConsent

FlexyConsent está certificado por IAB Europe e IAB Canada, admite IAB TCF 2.4 e Google Consent Mode v2, e cobre rexións como a UE, o EEE, o Reino Unido, estados dos EUA, Canadá e Quebec. Sexa cal sexa a plataforma que use, comprobe como almacena a elección e que activa unha nova solicitude, e contrásteo coas regras que escribiu arriba.

Conclusións clave

• O consentimento debe caducar; non hai unha única cifra legal, así que escolla un período, anóteo e consulte a orientación do seu regulador.
• Volva preguntar cando cambien finalidades, provedores, políticas ou opcións do banner, usando un número de versión do consentimento.
• Non importune os visitantes que rexeitaron sen un activador real.
• Manteña sempre dispoñible un xeito de cambiar ou retirar o consentimento.
• Rexistre marca de tempo, versión e elección, e revise as regras cada trimestre.