Escanear las cookies de tu web es la única forma fiable de saber qué se ejecuta en ella, y volver a escanear es la única forma de enterarte de lo que cambió sin que nadie te lo dijera. Las webs no se quedan quietas: cada plugin, campaña o herramienta nueva puede añadir cookies y tags que tu aviso ni tu política mencionan.

Eso importa por una razón jurídica muy concreta. Para pedir un consentimiento válido, primero hay que informar con claridad de lo que se va a usar, y no se puede informar de lo que se desconoce. En este artículo verás por qué, con qué respaldo normativo, qué conviene poder demostrar y qué cambia para quien gestiona un aviso con AdOpt. Si todavía no tienes claro qué es exactamente un escáner de cookies, empieza por el artículo pilar.

La primera razón para escanear no es legal, es de realidad. Un sitio web es un organismo vivo que toca mucha gente, y lo que había el día que se publicó el aviso rara vez coincide con lo que hay seis meses después.

Piensa en cuántas personas pueden modificar tu web sin pasar por la misma puerta: marketing, desarrollo, un proveedor externo, la agencia que lleva las campañas, el plugin que se actualiza solo. Ninguna de esas acciones está pensada para avisar a quien mantiene el aviso de cookies.

Estas son las situaciones más habituales, y ninguna requiere mala intención.

• Una campaña nueva. El equipo de marketing pide un píxel de conversión para medir un anuncio. Alguien lo añade en el gestor de etiquetas un viernes por la tarde y ahí se queda.
• Una actualización de plugin. Un complemento de tu gestor de contenidos incorpora una integración con un servicio externo en su nueva versión, y la activa por defecto.
• Un contenido incrustado. Un vídeo, un mapa o un widget de redes sociales que se copia de otra página trae consigo sus propias cookies.
• Un cambio de proveedor. Se sustituye la herramienta de chat o de analítica, y las cookies del proveedor antiguo desaparecen y aparecen las del nuevo.
• Un cambio en un tercero. Un servicio que ya usabas cambia lo que carga, sin que tú toques nada.

Lo común a las cinco es que el cambio ocurre lejos de quien firma la política de cookies. Cuando llega la revisión, el desfase ya existe.

Ese desfase tiene dos formas. Puede haber cookies que se usan y no se declaran, y puede haber cookies que se declaran y ya no se usan.

La primera es la más delicada, porque la persona da su consentimiento sin saber de lo que consiente. La segunda parece inocua, pero también es inexactitud: una política de cookies que describe cosas que no existen deja de ser una descripción fiable de tu sitio.

Un escaneo periódico es la manera más barata de detectar ambas. Para ver cómo se lee el resultado, el artículo sobre cómo interpretar el escaneo recorre las categorías una a una.

Aquí conviene ser preciso, porque hay mucha "regla redonda" repetida por internet. Lo que sigue se ha comprobado en los textos oficiales.

La Ley 34/2002, de servicios de la sociedad de la información dice, en su artículo 22.2, que los prestadores de servicios pueden utilizar dispositivos de almacenamiento y recuperación de datos en los equipos de los destinatarios "a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización", en particular sobre los fines del tratamiento de los datos.

Hay dos ideas en esa frase. La primera es el consentimiento. La segunda, y es la que sostiene todo este artículo, es que la información tiene que ser clara y completa y debe ir antes del consentimiento.

El propio artículo deja fuera el almacenamiento o acceso de índole técnica, cuando sirve solo para efectuar la transmisión de una comunicación o, en la medida en que resulte estrictamente necesario, para prestar un servicio expresamente solicitado por la persona. Es una excepción estrecha, y saber qué cookies caen dentro exige conocer cuáles tienes.

La Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos, en su edición de mayo de 2024, baja esa obligación a decisiones prácticas. Hay tres pasajes que interesan aquí.

El primero está en el apartado 3, sobre obligaciones. La AEPD recomienda llevar a cabo una revisión de las cookies que se utilizan, para identificar cuáles son propias o de terceros, de sesión o persistentes, y concretar su función. Y añade que, teniendo en cuenta los posibles cambios en la gestión y uso de las cookies, es recomendable repetir esa revisión periódicamente para actualizar la información disponible.

El segundo está en el apartado 3.2.7, sobre cambios en el uso de las cookies. Si los fines de uso de las cookies o los terceros que las utilizan cambian después de haber obtenido el consentimiento, será necesario actualizar la política de cookies y permitir a las personas tomar una nueva decisión.

El tercero está en el apartado 4, sobre responsabilidad. Cuando se usan cookies de terceros para finalidades que exigen consentimiento, el editor y las demás entidades que intervienen son responsables de garantizar que las personas están informadas y de obtener el consentimiento.

Y los editores, cuando no son titulares de las cookies que se utilizan, deben asegurar que los interesados reciben la información necesaria y que existen mecanismos para consentir, por ejemplo con garantías contractuales o instalando una plataforma de gestión del consentimiento.

Si quieres el marco completo del consentimiento, lo tienes en consentimiento de cookies: qué exige la ley en España.

Ni la LSSI ni la Guía de la AEPD fijan un calendario obligatorio de escaneos. No hay un "cada seis meses" ni un "cada trimestre" en esos textos, y presentarlo así sería repetir una regla redonda que no consta.

Lo que sí hay es una recomendación de revisar de manera periódica y una obligación firme de actualizar la información cuando algo cambia. La frecuencia concreta la decides tú según lo rápido que cambie tu web. Una tienda con campañas semanales necesita mirar más a menudo que una web corporativa que se toca dos veces al año.

Para ver cómo se aplica esto cuando algo sale mal, puedes consultar las multas y sanciones de la AEPD, donde se explica cómo actúa la agencia.

Como no hay calendario legal, lo más útil es trabajar con disparadores, es decir, con hechos que obligan a mirar de nuevo.

Hay momentos en los que volver a escanear casi siempre compensa:

• Antes de publicar el aviso por primera vez, para saber con qué partes.
• Al lanzar una campaña con un píxel nuevo, y otra vez cuando termine.
• Tras instalar o actualizar un plugin importante.
• Después de un rediseño o una migración de plataforma.
• Tras incorporar un contenido de terceros, como un vídeo o un mapa.
• Cuando cambia el proveedor de analítica, de publicidad o de chat.

Si quieres hacer la primera comprobación con una herramienta, prueba el escáner de tags de AdOpt, que está incluido en la prueba gratuita de 30 días.

Además de los disparadores, conviene tener una revisión de rutina. Sirve para cazar lo que nadie anotó: el cambio de un tercero, el plugin que se actualizó solo, la tag que alguien añadió y no se lo dijo a nadie.

La periodicidad de la rutina es una decisión tuya. Una regla práctica: cuanta más gente toca la web, más corta debe ser. Lo importante es que la revisión exista, que tenga fecha y que alguien concreto sea responsable de ella.

Imagina una tienda en línea que publica su aviso en enero, con dos herramientas de analítica y un píxel de publicidad. En marzo, marketing añade un píxel de otra red social para una campaña. En abril, se actualiza el plugin de vídeo y empieza a cargar contenido de un proveedor externo.

En junio nadie ha vuelto a mirar el aviso. La política sigue diciendo lo de enero, y en la web hay, como mínimo, dos tags que no aparecen en ella. Nadie ha hecho nada mal a propósito; sencillamente, nadie ha comparado.

Un escaneo en junio habría enseñado la diferencia en minutos. Es la clase de detalle que ninguna revisión por lectura detecta, y que por eso merece un método.

También hay un efecto de equipo que se subestima. Cuando la persona que mantiene el aviso no es la que añade las tags, la información viaja mal: llega tarde, incompleta o nunca. El escaneo funciona como un punto de encuentro objetivo, porque no depende de que alguien se acuerde de avisar.

Por eso conviene incorporar a marketing y a desarrollo al procedimiento desde el principio. No para controlarles, sino para que la lista de tags que existen y la lista de tags que se declaran sean, de forma verificable, la misma lista.

El RGPD añade una capa que la LSSI no tiene: la de la prueba. Y es la que convierte un escaneo en un documento útil.

El RGPD establece en su artículo 5.2 que el responsable del tratamiento será responsable del cumplimiento de los principios y "capaz de demostrarlo" (responsabilidad proactiva). Y su artículo 7.1 dice que, cuando el tratamiento se base en el consentimiento, el responsable deberá ser capaz de demostrar que la persona consintió.

Traducido a una web: no basta con haber configurado el aviso, hay que poder demostrarlo. Esa demostración tiene dos mitades. Una es la decisión de cada visitante. Otra es el contexto de esa decisión, es decir, qué información se le mostró.

AdOpt guarda la elección de cada persona en el Consent Log (fecha y hora, tags y cookies aceptadas o rechazadas y versiones de los documentos), vinculada por un identificador único (CookieID), y eso cubre la primera mitad.

Sobre la segunda, el escaneo ayuda como inventario: guardado con su fecha, documenta qué cookies y tags encontró en las páginas que visitó. No refleja lo que se mostró a cada persona, así que conserva también la versión exacta del aviso y de la política en el registro de consentimiento. Si quieres empezar a generar ese historial, escanea tu web con AdOpt y guarda el primer informe hoy.

No hace falta un sistema sofisticado. Con una hoja de cálculo o una carpeta compartida basta, siempre que guardes lo mismo cada vez:

• La fecha del escaneo y las páginas o URL que se revisaron.
• La lista de tags y cookies detectadas, con su categoría.
• Lo que se decidió sobre las "desconocidas" y quién lo decidió.
• La fecha de publicación del aviso actualizado.
• El motivo del escaneo: rutina, campaña, migración o cambio de proveedor.

Ese archivo es tu memoria. Dentro de un año, cuando alguien pregunte por qué hay una cookie determinada en la categoría de marketing, la respuesta estará escrita.

Sobre cuánto tiempo se guarda la decisión de cada persona, mira la duración del consentimiento de cookies.

Es importante no confundir las dos cosas. El escaneo prueba qué había en tu web. No prueba qué decidió cada persona. Para lo segundo necesitas el registro de consentimientos.

Y hay una tercera cosa que el escaneo no prueba: que las tags se bloqueen hasta que haya decisión. Detectar y bloquear son funciones distintas. Que el escáner encuentre una tag de marketing y la clasifique bien no quiere decir que no se dispare antes del consentimiento.

Aterricemos todo esto en el día a día de quien gestiona un aviso con AdOpt.

El escáner de tags de AdOpt clasifica automáticamente las tags que encuentra en las URLs vinculadas al aviso. Cada tag es el disparador de una o varias cookies. Esa clasificación usa las categorías Necesarias, Marketing o Publicidad, Estadística o Analítica, Rendimiento y Funcionales, y una sexta, "Desconocidas", para lo que no reconoce.

A partir de ahí, la persona que gestiona el aviso tiene una tarea concreta: revisar las desconocidas y recategorizarlas en una de las cinco categorías, y después guardar y publicar. Esa tarea es la parte humana del proceso, y no se puede dejar sin hacer.

El aviso que muestra AdOpt incluye la lista de tags y cookies de terceros con sus clasificaciones, según la haya definido el gestor, y la persona puede personalizar sus preferencias por categoría. Por eso la calidad del inventario llega directa a quien visita tu web: si está incompleto, el visitante decide con información incompleta.

Aquí se ve por qué el escaneo periódico protege también a quien usa tu sitio, y no solo a quien lo gestiona.

Hay preguntas que solo se responden con la documentación del producto y no con un artículo: cada cuánto se ejecuta el escaneo, cuántas páginas recorre, si admite áreas con sesión iniciada. Antes de apoyarte en cualquier herramienta, pregunta y apunta la respuesta.

Y recuerda la regla de las tres capas: descubrir, decidir y aplicar. Un escáner solo cubre la primera.

Si necesitas ayuda para poner el proceso en marcha, puedes probar AdOpt en tu web y ver qué se está ejecutando hoy.

Para que el escaneo no dependa de la memoria de nadie, conviene convertirlo en un procedimiento corto. Este es un esqueleto que puedes adaptar:

1. Nombra a una persona responsable del inventario de cookies y tags, y a un suplente.
2. Define los disparadores que obligan a escanear: campaña nueva, plugin nuevo, cambio de proveedor, rediseño.
3. Avisa a quien toca la web de que cualquier tag nueva se comunica antes de publicarse.
4. Escanea y compara con el inventario anterior. Lo nuevo se investiga; lo que ha desaparecido, se retira de la política.
5. Recategoriza y publica lo que haga falta, y guarda el informe con su fecha.
6. Verifica en el navegador que lo publicado coincide con lo que la web hace, comparando el antes y el después de aceptar.

Ninguno de estos pasos requiere conocimientos técnicos profundos. Requiere constancia, y por eso conviene que estén escritos.

Escanear no es una obligación con calendario, pero es la condición para cumplir otras que sí lo son: informar con claridad, actualizar la información cuando cambia y poder demostrar lo que hiciste. Es, además, lo más barato que puedes hacer para dormir tranquilo.

Con AdOpt puedes empezar con la prueba gratuita de 30 días, ver la lista de tags de tu sitio y decidir con datos qué categoría corresponde a cada una.

No hay un plazo fijado por la ley. La Guía de la AEPD recomienda repetir la revisión de las cookies de forma periódica y obliga, en la práctica, a actualizar la información cuando cambian los fines o los terceros. Una regla útil es escanear tras cada cambio relevante y añadir una revisión de rutina, más frecuente cuanta más gente modifica la web.

No por sí solo. El escaneo demuestra qué cookies y tags había en tu web en una fecha, y eso ayuda a probar qué información pudiste ofrecer. Pero no demuestra qué decidió cada persona, que es lo que exige la prueba del consentimiento, ni que las tags se bloqueen hasta que haya decisión. Son piezas distintas de la misma cadena.

Según la Guía de la AEPD, cuando se usan cookies de terceros para finalidades que exigen consentimiento, son responsables tanto el editor como las demás entidades que intervienen. Si el editor no es titular de esas cookies, debe asegurar que los interesados reciben la información y que hay mecanismos para consentir, por ejemplo con cláusulas contractuales o una plataforma de gestión del consentimiento.

Se produce el desfase que hemos descrito: la web usa algo que la política no declara. La Guía de la AEPD indica que, si cambian los fines de las cookies o los terceros que las utilizan, hay que actualizar la política y permitir una nueva decisión. Por eso conviene comunicar cualquier tag nueva antes de publicarla y escanear después.

Es un buen comienzo, pero no es suficiente. Un escaneo es una fotografía de un día, y una web que cambia deja rápidamente de parecerse a ella. Lo razonable es escanear al publicar, después de cada cambio importante y con una revisión de rutina. Guarda cada informe con su fecha para poder demostrar qué había en cada momento.

• Escáner de cookies: qué es, cómo funciona y qué ve — el artículo pilar, con un método para auditar tu web en diez minutos.
• Auditoría de cookies: cómo interpretar el escaneo — qué hacer con las cookies desconocidas y cómo publicar los cambios.