El registro de consentimientos es el historial individual de cada elección que hace una persona en tu aviso de cookies: quién la hizo, cuándo, qué texto vio y qué aceptó o rechazó. El RGPD obliga al responsable a ser capaz de demostrar que el interesado consintió, y ese registro es la forma de hacerlo.

Un banner en la web no es una prueba. Tampoco lo es una captura de pantalla. Una CMP existe, entre otras cosas, para guardar esa evidencia. Aquí verás qué dice la norma, qué campos debe tener un buen registro, qué no vale como prueba y cómo decidir cuánto tiempo conservarlo, sin inventar plazos que la ley no fija.

Todo parte de dos artículos del texto del RGPD:

• Artículo 7.1: cuando el tratamiento se base en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales.
• Artículo 5.2: el responsable cumple los principios y debe ser capaz de demostrarlo, lo que se conoce como responsabilidad proactiva.

El considerando 42 repite la idea: el responsable debe poder demostrar que el interesado ha dado su consentimiento a la operación de tratamiento. En la práctica, si alguien afirma que nunca aceptó, quien debe demostrar lo contrario es tu empresa.

La Guía de cookies de la AEPD (edición de mayo de 2024) añade un matiz útil en su apartado 3.2 (p. 23): obtener el consentimiento con un clic u otra conducta similar facilita la prueba de que se ha obtenido. Y exige una clara acción afirmativa, algo que un registro debe reflejar.

Cada rasgo del consentimiento válido se convierte en una pregunta que el registro tiene que poder responder. La tabla relaciona la exigencia con lo que conviene guardar.

La Guía (3.2.7) indica que, si cambian los fines de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo. Un buen registro deja constancia de cada una de esas decisiones.

No existe un formato oficial único. Este conjunto suele bastar para responder a las seis preguntas anteriores:

• Identificador que vincule la elección a un navegador o a una cuenta, sin exponer más dato personal del necesario.
• Fecha y hora de la elección y de cada modificación.
• Elecciones por categoría o finalidad, con lo aceptado y lo rechazado.
• Versión del aviso mostrado y versiones de la política de cookies y de la política de privacidad vigentes en ese momento.
• Histórico, de modo que una retirada o una actualización se añadan como eventos y no sobrescriban lo anterior.

En AdOpt, el Consent Log guarda la elección de la persona con fecha y hora, las tags y las cookies aceptadas o rechazadas y las versiones de los documentos. El vínculo con el visitante se hace mediante un CookieID único en el navegador. El CookieID une la elección con el registro, y la prueba es el registro.

El propio registro es un dato personal y le aplican los principios de minimización y de seguridad. El artículo 5 del RGPD pide que los datos sean adecuados, pertinentes y limitados a lo necesario, y que se traten con una seguridad adecuada, incluida la protección frente al tratamiento no autorizado.

Por eso conviene preguntar a cualquier proveedor dónde y cómo se almacenan los registros. AdOpt indica que los consentimientos se guardan en una base de datos cifrada, con infraestructura replicada. Para el marco general, consulta seguridad de datos en el consentimiento.

Hay evidencias que parecen buenas y no aguantan una pregunta firme:

• La captura del banner. Muestra cómo era el aviso un día, no que una persona concreta lo viera y aceptara.
• El número agregado de aceptaciones. Es una estadística útil para medir, pero no identifica la elección de nadie.
• La configuración actual del panel. Dice cómo está el aviso hoy, y la pregunta casi siempre es cómo estaba entonces.
• La cookie del navegador de la persona. Está en su dispositivo, puede borrarse y no la controlas tú.
• El registro de acciones de los administradores. Sirve para auditar quién cambió qué en la plataforma, pero no recoge la elección de ningún visitante.

La pregunta que separa una prueba de un adorno es sencilla: con esto en la mano, ¿puedes mostrar la elección de una persona concreta, en una fecha concreta, ante un texto concreto?

Ni el RGPD ni la Guía de la AEPD fijan un plazo para conservar el registro de consentimientos. Lo que sí establece el RGPD, en su artículo 5, es el principio de limitación del plazo de conservación: los datos no deben mantenerse más tiempo del necesario para los fines del tratamiento.

No confundas dos plazos distintos. La Guía recomienda como buena práctica que el consentimiento para una cookie no tenga una validez superior a 24 meses (apartado 3.2.8, p. 29). Eso habla de cuándo volver a preguntar a la persona, no de cuánto tiempo guardar la prueba.

Para fijar el tuyo, hay un criterio que muchas empresas valoran: los plazos de prescripción de las infracciones de la LOPDGDD, que son de tres años para las muy graves (art. 72), dos para las graves (art. 73) y uno para las leves (art. 74). El incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento figura entre las muy graves. Es un criterio a valorar, no una obligación de conservar durante ese plazo.

Decide el plazo con tu delegado de protección de datos o con asesoría jurídica, anota el criterio y regístralo junto con el resto de plazos de conservación.

El registro solo vale si se puede recuperar cuando hace falta. Tres situaciones lo ponen a prueba.

Localiza la elección, comprueba la fecha y la versión de los documentos y responde con esos datos. Hay un límite que conviene reconocer: si la persona no estaba identificada, el registro se asocia al navegador y quizá no puedas saber cuál es "el suyo" sin información adicional. Acuerda con tu delegado de protección de datos cómo se gestionará ese caso antes de que ocurra.

Si la AEPD o cualquier otro interesado te pide justificar el consentimiento, el conjunto útil tiene cuatro piezas: el registro de la elección, la versión de los documentos que estaba vigente, el inventario de cookies de aquella fecha y la configuración de bloqueo. El registro responde a la mitad de la pregunta, y la otra mitad es demostrar que el aviso y la web eran coherentes. Ahí ayuda reescanear la web periódicamente y guardar la fecha de cada resultado.

Cambiar de CMP sin llevarte el historial borra tu capacidad de probar las elecciones anteriores. Antes de contratar, pregunta si puedes exportar los registros y en qué formato.

Las pruebas básicas de una CMP, entre ellas la del registro, están en qué es una CMP. Para el registro en concreto, añade tres comprobaciones:

1. La elección propia. Acepta una categoría, rechaza otra y busca tu consentimiento en el panel. Deben estar la fecha, la hora, las categorías y las versiones.
2. La versión. Cambia un texto de la política, publica, acepta de nuevo y comprueba que el registro nuevo apunta a la versión nueva y el antiguo sigue apuntando a la anterior.
3. La retirada. Abre las preferencias, rechaza lo que habías aceptado y comprueba que el cambio aparece como un evento nuevo, con fecha y hora, sin borrar la aceptación anterior.

Si alguna falla, lo que tienes es un contador de aceptaciones, no una prueba.

1. Guardar solo el recuento y perder la elección individual.
2. No versionar los documentos, y no poder decir qué vio la persona.
3. Sobrescribir la elección anterior en lugar de añadir un evento.
4. Guardar o borrar sin criterio, en lugar de fijar un plazo justificado.
5. Ignorar la retirada, que también necesita registro y un procedimiento tan fácil como el de aceptar.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres un registro que responda a estas preguntas sin trabajo manual, prueba AdOpt gratis durante 30 días.

• Consentimiento RGPD: requisitos de validez y cómo cumplirlos
• Plataforma de gestión del consentimiento (CMP): qué debe cumplir

Es el historial individual de cada elección en el aviso de cookies: identificador, fecha y hora, qué se aceptó o rechazó y la versión del aviso y de los documentos. Permite al responsable demostrar, si se le pide, que el interesado consintió, como exige el artículo 7.1 del RGPD.

El responsable del tratamiento. El artículo 7.1 del RGPD dice que debe ser capaz de demostrar que el interesado consintió, y el artículo 5.2 recoge la responsabilidad proactiva. Si una persona afirma que no aceptó, tu empresa necesita un registro individual con fecha y versión de los textos.

No como prueba principal. Muestra cómo era el aviso en un momento, pero no que una persona concreta lo viera y aceptara. Lo que sustenta la prueba es el registro individual de cada elección, con fecha, hora, categorías aceptadas o rechazadas y la versión de los documentos mostrados.

El RGPD y la Guía de la AEPD no fijan un plazo concreto. Rige el principio de limitación del plazo de conservación. Los 24 meses de la Guía son la validez recomendada del consentimiento de una cookie, no un plazo de conservación. Fija el tuyo con el delegado de protección de datos y documenta el criterio.

Sí. La persona puede retirar su consentimiento en cualquier momento y debe ser tan fácil como darlo (art. 7.3 del RGPD). La retirada debe quedar en el historial como un evento con fecha y hora, sin borrar la aceptación anterior, para que el registro muestre qué estaba vigente en cada periodo.

¿Necesitas un registro de consentimientos que sirva como prueba? Habla con el equipo de AdOpt y lo vemos juntos.