Cookies, integraciones y consentimiento

Módulo 7: Privacidad y normas · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar cuándo necesita consentimiento para cookies y código de medición, configurar el banner de cookies de su sitio del AI Builder, conectar servicios de medición para que solo se carguen tras el consentimiento y comprobar con su navegador que no se mide nada antes de que el visitante elija.

Conceptos clave: cookie, equipo terminal, consentimiento, cookies necesarias, cookies analíticas limitadas, cookies de seguimiento, banner de cookies, integración, ID de medición, código propio, Ajustes de cookies

Esta lección explica las normas tal como están vigentes a 10 de noviembre de 2026. No es asesoramiento jurídico. Si tiene dudas sobre su situación, consulte a un abogado o a su asociación sectorial.

Qué dice la norma

Una cookie es un pequeño archivo que un sitio web guarda en el navegador del visitante. La norma también se aplica a otros tipos de almacenamiento en el navegador, a píxeles y a scripts que reconocen un dispositivo.

En la UE, la base está en la Directiva ePrivacy (2002/58/CE), artículo 5, apartado 3: almacenar información en el dispositivo de un usuario, o leer información de él, solo está permitido si ese usuario ha recibido información clara y completa y ha dado su consentimiento. Hay una excepción para lo que es técnicamente necesario para la comunicación, o estrictamente necesario para el servicio que el propio visitante solicita.

Cada país de la UE ha incorporado esa norma a su propia ley. En España es el artículo 22.2 de la LSSI; en los Países Bajos es el artículo 11.7a de la ley neerlandesa de telecomunicaciones. Los Países Bajos añaden una excepción adicional: tampoco hace falta consentimiento para cookies que recogen información sobre la calidad o la eficacia de su sitio, siempre que tengan ninguna o escasas consecuencias para la privacidad. La autoridad neerlandesa de protección de datos, la Autoriteit Persoonsgegevens (AP), las llama cookies analíticas limitadas: contar visitantes y páginas populares, sin seguir a los visitantes de un sitio a otro ni crear perfiles. Esa excepción es una norma neerlandesa: en España, consulte la Guía sobre el uso de las cookies de la AEPD y no dé por hecho que existe una excepción general para las cookies analíticas. Tenga en cuenta dos cosas:

• Incluso sin obligación de consentimiento, a menudo trata datos personales (una dirección IP). En ese caso se aplica el RGPD: necesita una base jurídica y debe mencionarlo en su política de privacidad (lección 7.1).
• Las normas de cada país pueden ser más estrictas; si tiene muchos visitantes de otros países, consulte lo que dice la autoridad de control de allí. Para su situación en España, consulte la Agencia Española de Protección de Datos (AEPD), https://www.aepd.es/.

Las cookies de seguimiento y todo lo que sigue a los visitantes, crea perfiles o se usa para publicidad requieren siempre consentimiento previo. Ese consentimiento debe ser libre y específico: no hacer nada o seguir navegando no es consentimiento. Como ejemplo neerlandés, la autoridad AP da cuatro reglas prácticas para un banner claro: explique para qué usa las cookies, haga que rechazar sea tan fácil como aceptar, haga igual de fácil cambiar la elección más tarde y mantenga separados el consentimiento y la oposición.

Cómo lo resuelve el AI Builder

El constructor clasifica todo lo que funciona en su sitio procedente de terceros en cuatro tipos, con la explicación que también ven sus visitantes:

Si funciona algo que no pertenece a Necesarias, el constructor activa el banner de cookies automáticamente. En los ajustes verá entonces El banner de cookies está activado automáticamente, con los servicios que lo requieren, y el interruptor no se puede desactivar mientras esos servicios funcionen. Todo lo que no sea Necesarias solo se carga cuando el visitante da su consentimiento para ese tipo:

• Una integración (como Google Analytics) está en la página como un script que no se ejecuta. Solo tras el consentimiento para Estadísticas el sitio lo activa.
• Un widget (mapa, planificador de citas, vídeo) muestra primero un recuadro con "Este elemento procede de Google Maps y solo se carga si permite Funcionales." y un botón Permitir y mostrar. Un vídeo de YouTube usa la variante sin cookies hasta que se reproduce; también espera al consentimiento.
• Si un visitante retira su consentimiento, el sitio borra las cookies conocidas de ese tipo. Si más adelante se añade un servicio, el banner vuelve a preguntar.

En la parte inferior de cada página aparece entonces el botón Ajustes de cookies, con el que un visitante puede cambiar su elección en cualquier momento.

Ajustes > Cookies y consentimiento

Arriba del todo ve el estado: qué servicios funcionan y en qué tipo. Debajo configura lo siguiente:

• Mostrar el banner de cookies: activado o desactivado. Si no funciona nada de terceros, el constructor indica "Sin cookies de terceros" y el banner no es obligatorio.
• Visualización: Barra en la parte inferior o Tarjeta abajo a la derecha. Verá el banner directamente en la vista previa.
• El visitante puede elegir por tipo: si lo activa, el visitante tiene, además de Aceptar todo y Solo las necesarias, la opción Elegir qué permito. Si lo desactiva, solo se muestran los dos botones. Si usa servicios de varios tipos (un mapa y Google Analytics), actívelo: la autoridad neerlandesa AP pide una elección por finalidad.
• Texto del banner: si lo deja vacío, se usa el texto estándar. Si escribe su propio texto, indique de verdad para qué usa las cookies.
• Botón de aceptar y Botón de rechazar: los textos de los botones. Mantenga claro el botón de rechazar. "Solo las necesarias" o "Rechazar" está bien; "Más tarde" o "Quizás" no, porque el visitante no sabe qué está eligiendo.
• Página de privacidad: la página a la que enlaza Más sobre privacidad (lección 7.1).

Una trampa en el diseño: en el banner, el botón de aceptar tiene el estilo de un botón principal y el de rechazar un estilo más discreto. Compruebe en su teléfono y en su ordenador si el botón de rechazar se ve y se pulsa igual de bien. Si no es así, ponga un texto claro en el botón.

Ajustes > Integraciones

En Integraciones solo introduce el número o el código que le da el servicio; el constructor añade el resto. La lista se divide en tres grupos: Estadísticas, Sin cookies y Marketing y publicidad.

Además puede conectar LinkedIn Insight Tag, Hotjar y Microsoft Clarity. Tras pulsar Conectar, el constructor muestra "Este servicio coloca cookies, por lo que el banner de cookies está ahora activado." En la dirección gratuita funcionan Google Analytics 4, Google Ads, el píxel de Meta, LinkedIn, Clarity y Plausible; Google Tag Manager, Hotjar y el código propio solo están disponibles en un sitio con paquete.

¿Por qué está Plausible en Necesarias? Plausible mide sin cookies y sin guardar nada en el dispositivo, así que la norma sobre cookies no se aplica y el constructor lo carga sin banner. El RGPD sigue aplicándose: menciónelo en su política de privacidad. El constructor trata Google Analytics 4 siempre como Estadísticas con consentimiento, aunque acorte la dirección IP. Es la opción segura: que Analytics pueda funcionar sin consentimiento depende de muchos ajustes.

Tres trampas:

1. Pegar código de medición en el chat o en un widget. El constructor le remitirá entonces a Ajustes, Integraciones: solo ahí lo conoce el banner.
2. Marcar el código propio como necesario. En Integraciones, abajo del todo, está Código propio. El banner bloquea ahí los scripts de servicios conocidos. Con el interruptor Este código es necesario, el código se carga de inmediato, también sin consentimiento. Elija esa opción solo para código que su sitio necesita y que no sigue a nadie. Si el constructor avisa de direcciones que no reconoce, no lo marque como necesario.
3. Tag Manager como caja cerrada. El constructor carga el contenedor solo tras el consentimiento para Marketing, pero no ve lo que contiene. Usted es responsable de cada etiqueta que haya dentro.

Comprobarlo usted mismo

Compruébelo después de cada nueva integración y actualice también su política de privacidad (lección 7.1):

1. Abra su sitio real (no la vista previa del constructor) en una ventana privada.
2. Abra las herramientas para desarrolladores de su navegador (a menudo F12) y elija la pestaña Red. Vuelva a cargar la página.
3. Busque solicitudes a servicios como google-analytics.com, googletagmanager.com o facebook.net. Antes de su elección no debe aparecer ninguna.
4. Haga clic en Aceptar todo y vuelva a mirar: ahora sí aparecen.
5. Haga clic abajo en Ajustes de cookies, elija Solo las necesarias y compruebe en la pestaña de almacenamiento y cookies de su sitio (en Chrome Aplicación, en Firefox Almacenamiento) que las cookies _ga han desaparecido.

Resumen

• La Directiva ePrivacy (en España, el artículo 22.2 de la LSSI; en los Países Bajos, el artículo 11.7a de la ley neerlandesa de telecomunicaciones) exige consentimiento para cookies y técnicas similares, salvo para lo estrictamente necesario; los Países Bajos excluyen además las cookies analíticas limitadas, una excepción que no debe dar por hecha en España.
• Rechazar debe ser tan fácil como aceptar, y cambiar la elección más tarde también.
• El AI Builder activa el banner automáticamente en cuanto algo requiere consentimiento y solo carga integraciones, widgets y vídeos tras el consentimiento para su tipo.
• Introduzca los servicios de medición en Ajustes > Integraciones, no en el chat ni en un widget; marque el código propio como necesario solo si no sigue a nadie.
• Después de cada nueva integración, compruébelo en una ventana privada con la pestaña Red.

Cuestionario

Ejercicio

Ejercicio A7.2: Ningún código de medición sin consentimiento. Si lo desea, conecte un servicio de medición en Ajustes > Integraciones, vuelva a publicar su sitio e introduzca la dirección web de su sitio del AI Builder. El programa abre sus páginas como un visitante nuevo que aún no ha elegido nada, sin cookies y sin ejecutar JavaScript. Comprueba si algún script de medición o publicidad (como Google Analytics, Tag Manager, Google Ads o el píxel de Meta) se carga directamente en lugar de esperar al consentimiento, si se colocan cookies de esos servicios y si hay un banner de cookies en la página cuando su sitio usa servicios de terceros. Si no usa servicios de terceros o solo usa Plausible, también es correcto.

Para seguir leyendo

• Reglas prácticas para banners de cookies claros (Autoriteit Persoonsgegevens, fuente neerlandesa): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/vuistregels-heldere-cookiebanners
• Cookies (Autoriteit Persoonsgegevens, fuente neerlandesa): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Medir visitantes sin aviso de cookies
• Ley neerlandesa de telecomunicaciones, artículo 11.7a (wetten.overheid.nl, fuente neerlandesa): https://wetten.overheid.nl/BWBR0009950/
• Curso gratuito Que te encuentren en internet 8.1: Medir con una analítica respetuosa con la privacidad