Interpretar un escaneo de cookies consiste en tres decisiones: comprobar que la lista es completa, asignar a cada elemento una categoría que refleje su finalidad real y publicar ese resultado de forma que el aviso y la política digan lo mismo que hace la web. El escáner propone; tú decides y firmas.

La parte que más tiempo lleva es la de las cookies o tags que la herramienta no reconoce. Este artículo te da un método para resolverlas, una tabla para leer cada categoría y una lista de comprobación para cerrar la auditoría. Si aún no has visto cómo funciona un escáner de cookies, conviene empezar por el artículo pilar y volver aquí después.

Una auditoría de cookies es una revisión ordenada de todo lo que tu web guarda o lee en el dispositivo de quien la visita. El escaneo es la primera herramienta, pero la auditoría es el proceso completo: escanear, interpretar, decidir, publicar y comprobar.

Su producto final no es un informe, es un estado: un aviso y una política que describen con exactitud lo que la web hace hoy. El informe es solo la prueba de cómo llegaste ahí.

Para cada cookie o tag del resultado hay cuatro preguntas que ordenan el trabajo. Si sabes responder a las cuatro, el elemento está auditado.

• ¿Quién la pone? Tu propio dominio o un tercero.
• ¿Para qué sirve? Su finalidad real, no la que sugiere su nombre.
• ¿Cuánto dura? De sesión o persistente y, si es persistente, su caducidad.
• ¿Necesita consentimiento? Según su finalidad, entra o no en la excepción.

La distinción entre propias y de terceros, y entre sesión y persistentes, es la que utiliza la Guía sobre el uso de las cookies de la AEPD en su edición de mayo de 2024. En su apartado 3 recomienda justamente una revisión que identifique esas características y la función de cada cookie.

No necesitas mucho: acceso al panel del aviso, el resultado del escaneo y unos minutos con las herramientas del navegador para investigar lo que no encaje. Ayuda tener a mano a quien gestiona el gestor de etiquetas o el código de la web, porque a veces solo esa persona sabe de dónde salió una tag.

Conviene también tener claro un límite. El resultado refleja lo que el escáner alcanzó a ver, y cada herramienta tiene sus propios límites de recorrido. Si tu producto tiene cobertura limitada, complementa con la revisión manual del artículo pilar. Si todavía no has escaneado tu sitio, puedes hacerlo con AdOpt y volver con el resultado.

Una vez tienes la lista, el trabajo es ordenarla. Los escáneres trabajan con categorías, y las de AdOpt son cinco, más una de reserva.

El escáner de tags de AdOpt clasifica de forma automática las tags encontradas en las URLs vinculadas al aviso, y las reparte entre Necesarias, Marketing o Publicidad, Estadística o Analítica, Rendimiento y Funcionales. Cuando no reconoce una tag, la deja en "Desconocidas".

Esta es una lectura práctica de cada una, orientada a decidir qué hacer:

La Guía de la AEPD describe, en su apartado 2.1.2, las finalidades técnicas, de preferencias o personalización, de análisis o medición y de publicidad comportamental. Las presenta "a título orientativo", y aclara que editores y terceros pueden categorizar como mejor se ajuste a la finalidad de sus cookies, siempre que se respete el principio de transparencia.

Eso significa que las categorías de una herramienta y las de la Guía no tienen que coincidir palabra por palabra. Lo que sí tiene que coincidir es el fondo: que la persona entienda para qué se usa cada cosa. Si dudas entre dos categorías, elige la que describa el uso más intrusivo y explica el matiz en la política.

La Guía añade otro detalle útil para clasificar: una misma cookie puede estar incluida en más de una categoría, y una cookie técnica deja de estar exenta si se usa también para finalidades que no lo están, como la publicidad comportamental. Cuando un elemento tenga doble uso, manda el uso que exige consentimiento.

Para practicar la lectura con tu propio sitio, empieza con AdOpt desde el plan gratuito y compara la clasificación automática con tus expectativas.

Es la parte del escaneo que genera más dudas, y con razón: son elementos que la herramienta no supo ubicar y que, hasta que alguien decida, no tienen una categoría fiable.

Una tag aparece como desconocida cuando el escáner no la reconoce. Las causas más comunes son un proveedor poco habitual, una integración a medida hecha por tu propio equipo, un nombre genérico que no revela su origen o un servicio nuevo que aún no está catalogado.

Que sea desconocida no significa que sea peligrosa. Significa que nadie ha comprobado todavía qué hace, y esa comprobación es tuya.

Este es el orden que suele funcionar, de lo más rápido a lo más lento:

1. Mira el dominio. En las herramientas del navegador, pestaña Application, sección Cookies, la columna Domain suele revelar al proveedor.
2. Mira el nombre y la caducidad. Muchos proveedores usan prefijos reconocibles y una caducidad característica.
3. Localiza la tag en el gestor de etiquetas o en el código, y averigua quién la añadió y por qué.
4. Consulta la documentación pública del proveedor, que suele describir sus cookies y su finalidad.
5. Pregunta a quien la pidió. Si no hay respuesta, es un buen indicio de que la tag sobra. Con el escáner de tags de AdOpt tendrás la lista delante para ir descartando una a una.

Si tras los cinco pasos sigue sin estar claro qué hace, la opción prudente es no publicarla como necesaria. Una tag de finalidad incierta se trata con el criterio más restrictivo.

Supón que el resultado incluye una tag desconocida con un nombre genérico, que se carga solo en la página de contacto. El dominio pertenece a un servicio de mapas incrustados. Al buscar en el gestor de etiquetas, ves que la añadió alguien de la agencia hace un año para mostrar la ubicación de la oficina.

La finalidad real es mostrar un contenido de un tercero, no algo imprescindible para el servicio, así que no encaja en Necesarias. Tampoco es publicidad. Lo razonable es clasificarla como Funcional, describirla en la política con el nombre del proveedor y comprobar en el navegador que no se carga antes de que la persona decida.

Tres minutos de investigación han convertido un "desconocido" en un elemento con dueño, finalidad y categoría, que es exactamente lo que busca la auditoría.

Con el proveedor y la finalidad identificados, la decisión sigue una lógica simple. Hazte tres preguntas por orden:

• ¿Sin ella, la persona no podría usar el servicio que ha pedido? Entonces es candidata a Necesarias, y comprueba que no haga nada más.
• ¿Recuerda una elección que la persona hizo, como el idioma? Entonces es Funcional, con la condición de que no sirva para perfilar.
• ¿Mide, analiza o rinde cuentas de la actividad? Es Estadística o Rendimiento. ¿Muestra o mide publicidad, o construye perfiles? Es Marketing.

Ante la duda, la categoría que exige más consentimiento es la más segura. Es más fácil relajar una clasificación con pruebas que explicar por qué una tag de seguimiento estaba en Necesarias.

Cuando quieras verlo en tu propia lista, prueba el escáner de tags de AdOpt y aplica estas tres preguntas a lo que aparezca como desconocido.

Decidir la categoría no sirve de nada si el cambio no llega al aviso. En AdOpt, la recategorización de las tags desconocidas es manual y la hace quien gestiona el aviso.

El proceso, según la documentación de soporte de AdOpt, es corto: se abre el menú de clasificación, se elige la categoría de la tag entre las cinco disponibles y se guarda y publica el cambio. Hasta que se publica, el aviso que ve el visitante no cambia.

Ese último paso es el que más se olvida. Muchas auditorías quedan a medias porque se hace la clasificación, se cierra el panel y nadie publica. Añade "publicado" como paso explícito de tu lista de comprobación.

En el panel también verás que cada tag puede estar activa o inactiva. Es fácil malinterpretarlo, así que conviene ser claro. Esa configuración define el estado por defecto del aviso en el primer acceso: si la tag aparece marcada o desmarcada cuando la persona llega.

No es una exención, y no sustituye al bloqueo de las tags. El bloqueo, manual o automático, es otra función distinta y hay que configurarlo aparte. Para el consentimiento que nace de una decisión libre, la casilla no puede venir premarcada a favor de aceptar, algo que la propia Guía de la AEPD recuerda cuando habla del panel de configuración.

La auditoría no acaba al pulsar "publicar". Falta el paso que convierte una intención en un hecho: mirarlo en el navegador.

Abre una ventana de incógnito y carga la web sin tocar el aviso. Según la documentación de Chrome DevTools, las cookies se ven en la pestaña Application, en Storage y Cookies. Comprueba que solo hay cookies imprescindibles. Después acepta, recarga y compara: las nuevas deberían corresponder a las categorías que la persona ha aceptado.

Si aparece algo que no coincide con lo que has publicado, tienes una discrepancia entre el aviso y la web. Resolverla es el objetivo de toda la auditoría. Si quieres apoyarte en una herramienta para esta comprobación, AdOpt te permite volver a escanear tras publicar y comparar.

El escaneo es el insumo de la política de cookies. Lo que decidas en la auditoría tiene que reflejarse en ese documento, porque es lo que las personas leen y lo que se presenta ante una autoridad.

En el apartado 3.1.1 de la Guía, la AEPD enumera la información que debe incluirse en la política de cookies. Entre otras cosas: una definición y función genérica de las cookies, el tipo de cookies que se utilizan y su finalidad, cómo aceptar, denegar o revocar el consentimiento y quién utiliza las cookies, con identificación de los terceros. También el periodo de conservación de los datos para los diferentes fines.

Cada una de esas partes se alimenta del resultado del escaneo. El "quién" sale del dominio, el "para qué" de la categoría y el "cuánto" de la caducidad.

Puedes ver cómo se estructura un documento completo en política de cookies: ejemplo y qué tiene que contener, que incluye los campos uno por uno.

La Guía es práctica con los terceros. En el apartado 3.1.1 indica que no es necesario que la información concreta sobre ellos, su nombre o marca y, en su caso, el enlace a su información sobre cookies, sea directamente visible en la política: pueden usarse botones desplegables o textos emergentes, siempre que la persona acceda fácilmente a ella.

En el apartado 4 añade una obligación para el editor: cuando la información sobre las cookies de terceros se ofrece mediante un enlace a la web del tercero, tiene que asegurarse de que los enlaces no estén rotos. Es un detalle pequeño que una auditoría periódica detecta enseguida.

Aviso y política son dos capas de la misma información. El aviso de AdOpt incluye la lista de tags y cookies de terceros con sus clasificaciones, según las haya definido quien gestiona el aviso, y la política amplía el detalle.

Si cambias una categoría en el aviso y no actualizas la política, la contradicción está servida. Cada vez que publiques una recategorización, revisa que el párrafo correspondiente de la política siga diciendo lo mismo. Y si tu cambio afecta a los fines de las cookies o a los terceros, recuerda que la Guía (apartado 3.2.7) exige actualizar la política y permitir a las personas tomar una nueva decisión.

Sobre cómo se comunica esa nueva decisión sin agobiar al visitante, mira la guía sobre cuánto dura el consentimiento de cookies.

Cuando termines, repasa esta lista. Si puedes marcar todo, la auditoría está cerrada.

• El escaneo cubre las páginas que importan y sabes lo que no cubre.
• No queda ninguna tag en "Desconocidas" sin decisión documentada.
• Cada categoría refleja el uso real, con el criterio más restrictivo en caso de duda.
• El cambio está guardado y publicado.
• En una ventana de incógnito, antes de aceptar, solo hay cookies imprescindibles.
• Tras aceptar, aparecen solo las cookies de las categorías aceptadas.
• La política de cookies describe lo mismo que el aviso.
• Guardaste el informe con la fecha y el nombre de quien tomó las decisiones.

Esta última línea es la que te salva dentro de un año. Sobre por qué escanear otra vez y cuándo, lo desarrolla por qué escanear y volver a escanear tu web.

Si vas a hacer una sola cosa, que sea esta: abre el resultado de tu último escaneo, busca lo que aparece como desconocido y no lo cierres hasta que cada elemento tenga dueño, finalidad y categoría.

Con AdOpt puedes hacerlo desde el plan gratuito, recategorizar, publicar y verificar el resultado en tu navegador. Es un trabajo de una tarde que evita meses de incertidumbre.

Significa que el escáner no ha podido reconocer la tag que la origina y, por tanto, no le ha asignado una categoría fiable. No indica que sea ilegal ni peligrosa, sino que falta una decisión humana. En AdOpt, quien gestiona el aviso debe recategorizarla en una de las cinco categorías disponibles y publicar el cambio para que el aviso lo refleje.

Según la documentación de soporte de AdOpt, se abre el menú de clasificación de la tag, se elige la categoría correcta y se guarda y publica el cambio. Hasta que no se publica, el aviso que ve el visitante no se actualiza. Antes de elegir, conviene investigar el proveedor y la finalidad real de la tag para no clasificarla por su nombre.

No. La configuración activa o inactiva define el estado por defecto del aviso en el primer acceso, es decir, si aparece marcada o desmarcada. No sustituye al bloqueo de las tags, que es otra función, manual o automática, y hay que configurarla aparte. Comprueba siempre en el navegador que la tag no se carga antes del consentimiento.

Sí, en lo relevante. La Guía de la AEPD enumera la información que debe incluir la política: qué son las cookies, qué tipos usas y para qué, cómo aceptar o rechazar, quién las utiliza y los plazos de conservación. El resultado del escaneo te da la mayor parte de esos datos, y conviene que política y aviso cuenten siempre lo mismo.

No hay un plazo legal fijo. La AEPD recomienda repetir la revisión periódicamente, y lo prudente es hacerlo tras cada cambio relevante en la web y con una revisión de rutina. Cuanta más gente modifica el sitio, más corta debe ser la periodicidad. Guarda cada informe con su fecha para poder demostrar qué había en cada momento.

• Escáner de cookies: qué es, cómo funciona y qué ve — el artículo pilar, con el método de auditoría manual en cuatro pasos.
• Por qué escanear y volver a escanear tu web — los cambios que entran sin aviso y qué conviene poder demostrar.