A promesa de “non fai falta banner”

As ferramentas de analítica centradas na privacidade adoitan presentarse como libres de cookies, e algunhas van máis aló e suxiren que xa non precisas un banner de consentimento. Para un publisher cunha pila lixeira, é unha idea atractiva. A realidade é máis matizada. Que faga falta consentimento depende do que a ferramenta fai realmente no dispositivo, de que datos trata, de onde están os teus usuarios e de que máis se executa nas túas páxinas.

Este artigo explica as preguntas que hai que facerse antes de sacar a analítica da túa configuración de consentimento. É unha orientación xeral, non asesoramento xurídico.

As cookies non son o único desencadeante

Na UE, a norma de consentimento para os dispositivos procede do artigo 5, apartado 3, da Directiva ePrivacy. Cobre o almacenamento de información no dispositivo dun usuario, ou o acceso a esa información — non só as cookies. O almacenamento local, o almacenamento de sesión, os píxeles que fan que se lea información e as técnicas que derivan identificadores das características do dispositivo poden quedar todos incluídos. O Comité Europeo de Protección de Datos expuxo esta lectura ampla nas súas Directrices 2/2023 sobre o ámbito técnico do artigo 5, apartado 3.

Polo tanto, “nós non instalamos cookies” é o comezo da análise, non o final. Hai que saber se a ferramenta almacena ou le algo no dispositivo.

Catro preguntas que facer sobre calquera ferramenta de analítica

1. Almacena ou le algo no dispositivo?

Comproba os paneis de almacenamento do navegador despois de cargar unha páxina: cookies, almacenamento local, almacenamento de sesión, IndexedDB. Comproba se o script ten código que recolle características do dispositivo para construír un identificador. Se se almacena ou se le algo con fins de analítica, actívase a norma de ePrivacy salvo que se aplique unha excepción.

2. Trata datos persoais?

Mesmo sen almacenamento no dispositivo, a analítica adoita tratar enderezos IP, axentes de usuario e URL de páxinas. Segundo o RXPD, poden ser datos persoais. Isto require unha base xurídica — que pode ser o interese lexítimo en lugar do consentimento — ademais de transparencia no aviso de privacidade, minimización de datos e unha conservación adecuada. “Sen banner” nunca quere dicir “sen obrigacións”.

3. Aplícase unha excepción nos países dos teus usuarios?

Algúns reguladores recoñecen que a medición de audiencia limitada pode quedar exenta de consentimento se se cumpren condicións estritas. A CNIL de Francia publicou condicións para eximir os rastrexadores de medición de audiencia e mantén un programa que identifica as ferramentas que se poden configurar para cumprilas. As condicións adoitan incluír un uso estritamente propio (first-party), só estatísticas agregadas, ningún seguimento entre sitios e unha conservación limitada. A Data (Use and Access) Act 2025 do Reino Unido introduciu novas excepcións ao requisito de consentimento da PECR, tamén para certos fins estatísticos, suxeitas a condicións como unha información clara e un xeito de oporse. Nin todos os países adoptan o mesmo criterio, así que comproba a situación en cada mercado que serves e que disposicións están en vigor.

4. Compártense os datos con alguén máis?

Se a ferramenta envía datos a un provedor que os usa para as súas propias finalidades, ou os combina entre clientes, as excepcións en xeral deixan de aplicarse. Le as condicións de tratamento, non só a páxina de márketing.

Que adoita seguir requirindo consentimento

• Etiquetas publicitarias. Os publishers que viven da publicidade precisan consentimento para a publicidade personalizada e para o almacenamento no dispositivo por parte dos provedores de anuncios, faga o que faga a súa ferramenta de analítica.
• Ferramentas con identificadores entre sesións. Os identificadores de visitante persistentes, mesmo propios, adoitan deixar unha ferramenta fóra da maioría das excepcións.
• Reprodución de sesións e mapas de calor. Capturan un comportamento detallado e raramente se tratan como medición exenta.
• Contido incrustado e widgets sociais. Instalan as súas propias cookies e identificadores.
• Píxeles de conversión e de remarketing. Existen para vincular o comportamento coa publicidade.

Para a maioría dos sitios que viven da publicidade, o banner é necesario igualmente para a pila publicitaria. A pregunta real é se a analítica debe ser unha das categorías condicionadas ou pode funcionar de maneira independente cunha excepción estreita.

Un xeito práctico de decidir

1. Fai unha lista de todos os scripts de analítica e do que almacenan, len e envían.
2. Identifica os países onde están a maioría dos teus usuarios.
3. Para cada ferramenta, comproba se a súa configuración cumpre unha excepción recoñecida nesos países.
4. Configura a ferramenta coa versión máis estrita que precises: truncamento de IP, sen identificadores persistentes, conservación curta, sen compartición de datos.
5. Documenta o razoamento e mantén a ferramenta de analítica listada na túa política de cookies e no aviso de privacidade en calquera caso.
6. Volve comprobalo cando o provedor cambie o produto ou cambien os teus mercados.

Facer funcionar analítica exenta xunto a un CMP

Se decides que unha ferramenta cumpre os requisitos, lístaa no teu CMP como estritamente necesaria ou exenta para que se divulgue pero non estea condicionada, e asegúrate de que a súa configuración se mantén dentro da excepción. Moitos publishers manteñen tamén unha configuración de analítica dependente do consentimento para unha medición máis rica e usan Google Consent Mode v2 ou sinais similares para axustala segundo a elección do usuario. FlexyConsent admite Google Consent Mode v2 xunto co IAB TCF 2.4 e o IAB GPP v1.1.

Ideas clave

• “Sen cookies” non quere dicir automaticamente “non fai falta consentimento”; o artigo 5, apartado 3, cobre calquera almacenamento ou acceso ao dispositivo.
• A analítica sen almacenamento no dispositivo pode seguir tratando datos persoais e necesita unha base xurídica e transparencia.
• Hai excepcións para a medición de audiencia nalgúns países, pero con condicións estritas.
• As etiquetas de publicidade, de reprodución de sesións e de remarketing seguen requirindo consentimento.
• Documenta por que unha ferramenta se trata como exenta e volve comprobalo regularmente.