Una plataforma de gestión del consentimiento (CMP, por sus siglas en inglés) es la herramienta que instalas en tu web para informar a las personas, recoger su elección sobre las cookies y respetarla después. La AEPD la reconoce como una forma válida de obtener el consentimiento, pero solo si cumple unos requisitos concretos.

Este artículo se centra en eso: qué exige la Guía de cookies de la AEPD a una CMP, cómo comprobar que la tuya lo cumple y cómo ponerla en marcha sin romper nada. Si lo que buscas es la explicación general, empieza por qué es una CMP y vuelve aquí cuando vayas a elegir o a instalar una.

La Guía sobre el uso de las cookies de la AEPD, en su edición de mayo de 2024, menciona las CMP en tres sitios, y conviene leerlos juntos.

En el apartado sobre información (p. 16), dice que las CMP que cumplan los requisitos y garantías del Anexo pueden ser una solución para dar la información sobre las cookies de terceros. En el apartado sobre cómo obtener el consentimiento (p. 25), las incluye entre los métodos apropiados, "en la medida en que" cumplan esos mismos requisitos.

El Anexo (apartado V.a, pp. 36 y 37) define la CMP como una herramienta que se instala en el soporte del editor y que permite a cualquier responsable del uso de cookies cumplir sus deberes de información y de recogida del consentimiento. Para que sea válida, debe permitir a quienes la utilizan cumplir la normativa: ser transparente, obtener un consentimiento válido y respetar después las opciones elegidas, incluida su revocación.

La Guía añade que estas plataformas deberán someterse a auditorías o revisiones que validen el cumplimiento de esos requisitos. Hay una consecuencia práctica: instalar una CMP no te exime de comprobarla. Tampoco la Guía te dice qué producto elegir, y ninguna herramienta cumple por el simple hecho de llamarse CMP.

Lo que sí hace la Guía es fijar el listón con el que medir cualquier plataforma. Ese listón es la lista de la siguiente sección.

La tabla recoge los criterios que la Guía de la AEPD y el RGPD fijan para el aviso y para el mecanismo de consentimiento. Sirve para evaluar una plataforma antes de contratarla y para revisarla después.

Sobre este último punto, la Guía recomienda como buena práctica que la validez del consentimiento para una cookie no supere los 24 meses y que, durante ese tiempo, se conserve la selección sin pedir un nuevo consentimiento en cada visita. Lo desarrollamos en cuánto dura el consentimiento de cookies.

El orden importa más que la herramienta. Estos son los cinco pasos que ponen a una CMP en producción con garantías.

La CMP solo puede pedir permiso por lo que sabe que existe. Escanea las páginas principales de tu web y anota cada cookie y cada tag, con quién la puso y para qué. El escáner de cookies es la base, y la Guía de la AEPD recomienda repetir esa revisión de forma periódica.

Cada cookie necesita una finalidad y una categoría. La Guía distingue entre cookies técnicas (que no requieren consentimiento si son estrictamente necesarias para un servicio que el usuario ha pedido) y las de preferencias, análisis y publicidad comportamental. Clasificar por conveniencia, no por finalidad real, es el error que más pesa después.

Antes de instalar, revisa también tu política de cookies: lo que declara debe coincidir con lo que el escáner encontró.

La CMP debe cargarse antes que las tags que dependen de la elección. La documentación de Google lo explica para el Consent Mode: el orden del código es decisivo y, si el código de consentimiento se llama fuera de orden, los valores por defecto no funcionan. En Google Tag Manager, el activador "Consent Initialization - All Pages" se dispara antes que cualquier otra tag.

Con AdOpt, la regla práctica es la misma: el script va en el head, antes del fragmento de Google Tag Manager. El comando default fija el estado inicial, el comando update informa de la elección en cuanto la persona interactúa y wait_for_update define cuánto esperan las tags a esa respuesta. Los detalles están en el Consent Mode de principiante a avanzado.

Primera capa con tres salidas: aceptar, rechazar y configurar, con el mismo peso visual. Segunda capa con categorías claras, descripción de usos y todo lo opcional desactivado por defecto. Un acceso permanente para volver a las preferencias. Y una validez de la elección que no obligue a preguntar en cada visita. En AdOpt puedes ajustar la validez de la cookie de consentimiento para forzar una nueva elección pasados unos días.

Para el desglose de cada decisión de diseño, consulta el banner de cookies que exige el RGPD.

Las pruebas son lo que convierte una instalación en un cumplimiento verificable. La siguiente sección las detalla.

Un aviso que aparece y cuyos botones responden demuestra que existe, no que cumple lo que promete. Estas pruebas comprueban el comportamiento. Haz cada una en una ventana de incógnito, con el panel de red del navegador abierto.

Una precisión sobre el Consent Mode avanzado: tras rechazar es normal ver peticiones a las tags de Google, porque en ese modo cargan con el consentimiento denegado y sin guardar cookies, como explica la documentación de Google Analytics. No significa que el bloqueo haya fallado.

Una CMP ejecuta las decisiones que tomes. Tres cosas siguen siendo tuyas.

• La clasificación de cada cookie. El escáner sugiere, pero la finalidad real la conoce quien conoce el negocio.
• Los documentos. La política de cookies y la de privacidad deben decir lo mismo que hace la web, y actualizarse cuando cambie.
• Los terceros. La Guía recuerda que, cuando hay cookies de terceros, el editor y esos terceros pueden ser corresponsables. El editor debe asegurarse de que se da la información y de que existen mecanismos para gestionar el consentimiento, ya sea por contrato o mediante una CMP.

A cambio, una CMP bien configurada ahorra el trabajo repetitivo: bloquea antes de la elección, aplica la decisión, guarda la prueba y te avisa de lo nuevo. Esa es la diferencia con un banner suelto, que explica qué es una CMP con más detalle.

Una web cambia, y la CMP tiene que cambiar con ella. La Guía (apartado 3.2.7) indica que, si cambian las finalidades de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo.

Cuando se instala una tag nueva con una finalidad distinta, el consentimiento anterior ya no cubre esa tag. Reescanea con la frecuencia que decidas y después de cada campaña, cambio de plantilla o nueva integración, como explicamos en por qué escanear y volver a escanear tu web.

El consentimiento puede ser sencillo. Lo difícil es lo que no se ve, y para eso sirve una CMP bien instalada. Si quieres revisarlo con el equipo de AdOpt a tu lado, prueba AdOpt gratis durante 30 días y recorre estas pruebas en tu web.

• Consentimiento RGPD: requisitos de validez y cómo cumplirlos
• Registro de consentimientos: cómo probar el consentimiento

No hay una obligación de usar una CMP concreta. La obligación es obtener un consentimiento válido antes de instalar cookies no exceptuadas, y poder demostrarlo. La Guía de la AEPD reconoce las CMP como un método apropiado siempre que cumplan sus requisitos, así que es una forma práctica de cumplir, no la única posible.

No por sí sola. La Guía de la AEPD pide que las CMP se sometan a auditorías o revisiones que validen sus requisitos, pero la configuración sigue siendo tuya: categorías, documentos, bloqueo previo y pruebas. Por eso conviene comprobar el comportamiento con la ventana limpia y los demás tests antes de publicar.

El banner es la parte visible: informa y ofrece opciones. La CMP es la infraestructura que lo hace funcionar: escanea las cookies, bloquea lo que no se ha aceptado, aplica la elección y guarda la prueba. Un banner sin esa infraestructura puede parecer correcto y dejar que las tags se disparen antes de la decisión.

Antes de cambiar, comprueba si puedes exportar el historial de consentimientos y en qué formato, porque sin él pierdes la prueba de las elecciones anteriores. Después, repite el inventario y las pruebas con la nueva herramienta, porque cada plataforma se instala y se comporta a su manera.

No hay un plazo legal fijo. La Guía de la AEPD recomienda revisar las cookies periódicamente para mantener la información actualizada. Una regla práctica es reescanear a intervalos fijos y siempre que cambie algo: una campaña, un plugin o la plantilla. Cada tag nueva con otra finalidad exige revisar categorías y política.

¿Quieres poner tu CMP en marcha con estas pruebas? Habla con el equipo de AdOpt y vemos juntos qué necesita tu web.