¿Qué es una CMP (Consent Management Platform)?

João Bruno Soares

Google Consent Mode: Guía de principiante a avanzado.

Casi todo el mundo ha aceptado o rechazado cookies cientos de veces sin saber exactamente qué está aceptando o rechazando. Una cookie es, en su forma más simple, un pequeño archivo de texto que un sitio web guarda en tu navegador para recordar información entre visitas: que iniciaste sesión, qué había en tu carrito, en qué idioma prefieres ver la página o qué anuncios ya viste.

No es un programa, no puede ejecutar código por sí sola y no puede, por sí misma, robar información de tu ordenador. Pero sí puede usarse para seguir tu comportamiento a través de múltiples sitios, y ahí es donde empieza a importar la ley.

Esta guía explica qué es técnicamente una cookie, los tipos que existen, por qué algunas requieren tu consentimiento explícito y otras no, y qué controla realmente una web sobre ellas cuando usa una plataforma de gestión del consentimiento.

## Cómo funciona una cookie, técnicamente

Cuando visitas un sitio web, el servidor puede enviar a tu navegador una pequeña instrucción para guardar un fragmento de información con un nombre y un valor, junto con un dominio y una fecha de caducidad.

La próxima vez que tu navegador se conecte a ese mismo dominio, envía de vuelta esa información automáticamente. Así es como un sitio "recuerda" que ya iniciaste sesión sin pedirte la contraseña en cada página, o que ya elegiste ver los precios en euros y no en dólares.

La cookie en sí misma no sabe quién eres: solo contiene el dato que el sitio decidió guardar. El problema de privacidad no nace de la tecnología, nace del uso: si ese dato es un identificador único que permite reconstruir tu comportamiento a lo largo del tiempo y a través de distintos sitios, entonces esa cookie está construyendo un perfil sobre ti, aunque nunca haya recogido tu nombre real.

## Los tipos de cookies que existen

### Por quién las instala

**Cookies propias (first-party).** Las instala el mismo dominio que estás visitando. Sirven típicamente para funciones del propio sitio: sesión, carrito, preferencias de idioma.

**Cookies de terceros (third-party).** Las instala un dominio distinto al que visitas, normalmente porque la página carga un recurso externo (un pixel publicitario, un vídeo incrustado, un widget de chat). Casi siempre existen para construir perfiles de comportamiento a través de múltiples sitios.

### Por su duración

**Cookies de sesión.** Se borran automáticamente cuando cierras el navegador. Duran solo mientras navegas.

**Cookies persistentes.** Permanecen guardadas durante un plazo definido, que puede ir de unos días a varios años, según lo que el sitio configure.

### Por su finalidad (la distinción que de verdad importa ante la ley)

**Cookies técnicas o estrictamente necesarias.** Sin ellas, el servicio que pediste no funcionaría: mantener tu sesión iniciada, recordar el contenido del carrito, garantizar la seguridad de la conexión. No requieren tu consentimiento previo, solo información.

**Cookies de preferencias o funcionales.** Recuerdan configuraciones que mejoran tu experiencia (idioma, región) pero que no son estrictamente indispensables para que el servicio exista. En la mayoría de los casos requieren consentimiento.

**Cookies analíticas.** Miden cómo usas el sitio: qué páginas visitas, cuánto tiempo permaneces, de dónde vienes. Requieren consentimiento salvo que el sitio aplique una anonimización estricta reconocida por la autoridad de control, un caso poco común en la práctica comercial.

**Cookies publicitarias o de perfilado.** Construyen un perfil de tus intereses para mostrarte publicidad dirigida, a menudo siguiéndote a través de múltiples sitios. Siempre requieren tu consentimiento explícito.

## Por qué algunas cookies necesitan consentimiento y otras no

La normativa europea (la Directiva ePrivacy, transpuesta en España a través de la Ley de Servicios de la Sociedad de la Información, LSSI) establece que instalar o acceder a información en tu dispositivo requiere tu consentimiento previo, salvo dos excepciones: que sea estrictamente necesaria para la transmisión de una comunicación, o que sea estrictamente necesaria para prestar el servicio que tú mismo has solicitado expresamente.

Todo lo que no encaja en esas dos excepciones estrechas necesita consentimiento, y el propio [Reglamento General de Protección de Datos (RGPD)](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/) exige que ese consentimiento sea libre, específico, informado e inequívoco.

Esto significa, en la práctica, que la mayoría de las cookies que hacen que un negocio funcione desde el punto de vista comercial (medir el tráfico, mostrar publicidad relevante, integrar redes sociales) no son técnicas en sentido estricto, aunque a veces se las presente así para simplificar la comunicación con el usuario.

## Qué controla realmente un banner de cookies

Un banner de cookies bien construido no es solo un mensaje informativo: es la interfaz de un sistema técnico que decide, en tiempo real, qué scripts pueden ejecutarse en tu navegador antes de que tú elijas.

Un banner que solo informa pero no bloquea nada por detrás no cumple la normativa, aunque parezca correcto visualmente, porque las cookies no esenciales ya se han instalado antes de que decidas. Explicamos esto con más detalle en nuestra guía sobre [qué debe tener un banner de cookies conforme al RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

## Cómo ver qué cookies tiene un sitio en este momento

Puedes comprobarlo tú mismo sin herramientas avanzadas: abre las herramientas de desarrollador de tu navegador (F12 en la mayoría), ve a la pestaña "Aplicación" o "Almacenamiento" y busca la sección de cookies. Verás el nombre, el dominio, la fecha de caducidad y, con algo de investigación del nombre del dominio, a qué proveedor pertenece cada una. Es una forma rápida de entender qué tan transparente es realmente un sitio sobre lo que declara en su [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

## El papel de una plataforma de gestión del consentimiento (CMP)

Gestionar manualmente esta clasificación cookie por cookie, y mantenerla actualizada cada vez que marketing añade una nueva herramienta, no es viable a escala. Una [CMP como AdOpt](https://goadopt.io/es/blog/que-es-una-cmp/) escanea automáticamente el sitio, detecta cada cookie y script realmente activo, lo clasifica por categoría y proveedor, bloquea la ejecución de lo que no es esencial hasta que el usuario da su consentimiento específico, y guarda un registro verificable de esa decisión.

## Preguntas frecuentes

### ¿Una cookie puede robar mi contraseña o mis datos bancarios?

No directamente. Una cookie es un fragmento de texto, no un programa ejecutable; no puede leer archivos de tu ordenador ni robar contraseñas guardadas en otro sitio. El riesgo de privacidad viene de la construcción de perfiles de comportamiento, no del robo de datos técnicos.

### ¿Si borro las cookies de mi navegador, dejo de ser rastreado?

Borrar las cookies elimina el identificador que un sitio había guardado hasta ese momento, pero no impide que el sitio te asigne uno nuevo en tu próxima visita, ni te protege de técnicas alternativas de seguimiento que algunos proveedores usan cuando las cookies están bloqueadas.

### ¿Todas las cookies necesitan aparecer en un banner?

Todas las cookies deben estar documentadas en la [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/), pero solo las que no son estrictamente necesarias requieren que el usuario dé su consentimiento explícito antes de activarse.

### ¿Qué diferencia hay entre una cookie y el "local storage" del navegador?

Ambos son formas de almacenamiento en el dispositivo del usuario y están sujetos a las mismas reglas de consentimiento cuando se usan con fines no estrictamente necesarios, aunque técnicamente el local storage no se envía automáticamente al servidor en cada petición como sí hace una cookie.

### ¿Cuánto tiempo puede durar una cookie?

No hay un límite técnico estricto, pero las autoridades europeas de protección de datos recomiendan plazos razonables acordes a la finalidad, y consideran una mala práctica una duración desproporcionadamente larga para lo que la cookie realmente necesita hacer. Consulta nuestra guía sobre la [duración del consentimiento a las cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

### ¿Puedo simplemente bloquear todas las cookies en mi navegador y olvidarme del tema?

Puedes hacerlo, pero rompe funcionalidades legítimas (sesión iniciada, carrito de compra) además de que muchos sitios ofrecen alternativas de seguimiento que no dependen de cookies tradicionales, así que no es una solución completa de privacidad.

## Continúa aprendiendo sobre cookies

- [Banner de cookies RGPD: qué debe tener para cumplir con la AEPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/)
- [¿Es obligatorio el aviso de cookies en una página web?](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/)

Descubre exactamente qué cookies está instalando tu sitio ahora mismo. [Prueba AdOpt gratis](https://goadopt.io/) y obtén el mapa completo en minutos.


¿Qué es una cookie en internet? Guía completa para 2026

Seguridad de Datos en el Consentimiento: Cómo Proteger la Información del Usuario Desde la Recolección hasta la Activación

Para el RGPD, un consentimiento válido es una manifestación de voluntad libre, específica, informada e inequívoca, dada mediante una declaración o una clara acción afirmativa. Si falta una de esas notas, el consentimiento no vale, y lo que hagas con esos datos queda sin base legal.

Este artículo recorre los requisitos uno a uno, explica las condiciones del artículo 7 y los aplica a las situaciones reales de una web: cookies, formularios, altas y correos comerciales. Para el caso concreto de las cookies, el detalle está en [consentimiento de cookies](https://goadopt.io/es/blog/consentimiento-de-cookies/), y la plataforma que lo gestiona se explica en [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/).

## Qué es el consentimiento según el RGPD

La definición está en el artículo 4.11 del [texto del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf): "toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen".

El considerando 32 completa la idea con un ejemplo muy útil: el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. Y añade que, cuando el tratamiento tiene varios fines, el consentimiento debe darse para todos ellos.

El consentimiento es una de las bases legales del artículo 6, no la única. Hay tratamientos que se apoyan en el contrato, en una obligación legal o en el interés legítimo. Pero cuando eliges el consentimiento como base, tienes que cumplir todas sus condiciones.

## Los cuatro adjetivos, aplicados a tu web

### Libre

La persona debe poder elegir sin presión ni perjuicio. El artículo 7.4 pide tener en cuenta, al evaluar si es libre, si la ejecución de un contrato se supedita a un consentimiento para tratamientos que no son necesarios para ese contrato.

En la web, esto afecta a los muros de cookies. La Guía de la AEPD (apartado 3.2.10, p. 29) recuerda que el acceso al servicio no debe supeditarse a aceptar las cookies. Admite que haya casos en que la no aceptación limite el acceso, siempre que se informe y se ofrezca una alternativa genuinamente equivalente, no necesariamente gratuita, y que la ofrezca el propio editor.

### Específico

Cada finalidad necesita su propio consentimiento. Un "acepto todo" que mezcla analítica, publicidad y cesión a terceros en una sola casilla no permite elegir por finalidad. Por eso los avisos serios ofrecen una segunda capa con categorías, como explicamos en [el banner de cookies que exige el RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

### Informado

Antes de dar su consentimiento, la persona debe ser informada (art. 7.3). En una web, eso significa saber quién trata los datos, para qué y cómo retirar el consentimiento, con un lenguaje claro y de fácil acceso. Cuando el consentimiento se pide dentro de un texto más largo, la solicitud debe distinguirse claramente de los demás asuntos (art. 7.2).

### Inequívoco

Tiene que haber una clara acción afirmativa. La Guía de la AEPD (p. 23) lo traduce así para cookies: el usuario debe realizar una acción afirmativa evidente y seguir navegando no es una conducta de la que pueda derivarse la aceptación. Tampoco valen las opciones premarcadas a favor de aceptar (p. 22).

## Las condiciones del artículo 7

Además de la definición, el artículo 7 impone cuatro condiciones que afectan directamente a lo que implementas:

1. **Demostrar (7.1).** El responsable debe ser capaz de demostrar que el interesado consintió. Es la base del [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).
2. **Distinguir la solicitud (7.2).** Si el consentimiento va en una declaración que trata otros asuntos, se presenta de forma que se distinga claramente, con lenguaje claro y sencillo.
3. **Poder retirarlo (7.3).** La persona puede retirar su consentimiento en cualquier momento, y será tan fácil retirarlo como darlo. La retirada no afecta a la licitud del tratamiento anterior.
4. **No condicionar (7.4).** Se tiene en cuenta si el contrato o el servicio se supedita al consentimiento para datos que no son necesarios.

> ¿Quieres comprobar si tu aviso cumple estas condiciones? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y revisa tu web con la lista de este artículo.

## Por qué importa cumplirlos

El RGPD agrupa las condiciones del consentimiento (arts. 5, 6, 7 y 9) entre las infracciones que se pueden sancionar con multas de hasta 20 millones de euros o, para una empresa, el 4 % del volumen de negocio total anual global, optando por la cuantía mayor (art. 83.5). Son los máximos del Reglamento, no la multa habitual, y no deben leerse como una predicción.

La LOPDGDD, por su parte, califica como infracción muy grave el incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento (art. 72.1.c), con un plazo de prescripción de tres años. Puedes ver cómo actúa la autoridad en [multas y sanciones de la AEPD](https://goadopt.io/es/blog/aepd-multas-sanciones-incumplimiento-rgpd/).

## El consentimiento en cada situación de tu web

Los requisitos son los mismos, pero se aplican de forma distinta en cada punto de contacto.

| Situación | Cuenta como consentimiento | No cuenta |
|---|---|---|
| Cookies de analítica o publicidad | Pulsar "Aceptar" o guardar una selección, con un botón de rechazar al mismo nivel | Seguir navegando, hacer scroll o cerrar el aviso |
| Casilla de newsletter en un formulario | Una casilla vacía que la persona marca, con un texto específico | Una casilla premarcada o unida a los términos de uso |
| Alta en un servicio | Un consentimiento separado de los términos y condiciones | Un único "acepto" que lo junta todo |
| Correo comercial | Autorización expresa previa, salvo la excepción del cliente actual | Enviar sin que se haya solicitado ni autorizado |
| Menores de 14 años | El consentimiento de quien ejerza la patria potestad o tutela | El del propio menor |

Dos matices sobre esta tabla. Para las altas, la Guía de la AEPD (p. 24) admite pedir el consentimiento de las cookies en el alta, pero separado de la aceptación de los términos y condiciones de uso. Para los menores, la LOPDGDD (art. 7) establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años.

### El correo comercial tiene su propia norma

Para el correo electrónico publicitario, además del RGPD, aplica el artículo 21 de la LSSI: queda prohibido enviar comunicaciones publicitarias por correo electrónico u otro medio equivalente que no hubieran sido solicitadas o expresamente autorizadas por los destinatarios.

El apartado 2 recoge una excepción: cuando hay una relación contractual previa, el prestador obtuvo lícitamente los datos y los usa para comunicaciones sobre productos o servicios similares a los contratados, y ofrece un procedimiento sencillo y gratuito para oponerse. Esa excepción es de la LSSI y se refiere al envío. Cómo encaja con el RGPD en cada caso conviene validarlo con el delegado de protección de datos o con asesoría jurídica.

### Las cookies exentas no necesitan consentimiento

El artículo 22.2 de la [LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) condiciona el uso de dispositivos de almacenamiento y recuperación de datos al consentimiento, tras información clara y completa, y exceptúa el acceso o almacenamiento técnico necesarios para transmitir una comunicación o, si es estrictamente necesario, para prestar un servicio que el usuario ha solicitado expresamente.

## Cómo hacerlo bien en la práctica

Un consentimiento válido es el resultado de una cadena de decisiones, no de una pantalla. Esto es lo que suele marcar la diferencia:

- **Una finalidad, una elección.** Separa analítica, publicidad y cesión a terceros.
- **Nada premarcado.** Todo lo opcional empieza desactivado.
- **Rechazar tan fácil como aceptar.** Mismo nivel, mismo peso, misma capa.
- **Retirada permanente.** Un acceso visible en cualquier página para cambiar la elección.
- **Información antes de decidir.** Quién, para qué y cómo retirar, en lenguaje llano.
- **Prueba guardada.** Un registro individual con fecha, hora, versión del aviso y elección.

Una [CMP](https://goadopt.io/es/blog/que-es-una-cmp/) como AdOpt ayuda a ejecutar esa cadena, pero la base legal de cada tratamiento y la redacción de los textos siguen siendo decisiones del responsable.

## Errores que debilitan el consentimiento

1. **Tratar el scroll o seguir navegando como aceptación.**
2. **Una única casilla "acepto todo"** para finalidades distintas.
3. **Agrupar el consentimiento con los términos de uso.**
4. **Dificultar el rechazo**, con más clics o menos visibilidad que el aceptar.
5. **No poder demostrarlo**, por no guardar un registro individual con fecha y versión.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres comprobar cómo queda en tu web, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre consentimiento

- [Plataforma de gestión del consentimiento (CMP): qué debe cumplir](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/)
- [Consentimiento de cookies: qué exige la ley en España](https://goadopt.io/es/blog/consentimiento-de-cookies/)

## Preguntas frecuentes

### ¿Cuáles son los requisitos de un consentimiento válido según el RGPD?

El artículo 4.11 exige una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. A eso se suman las condiciones del artículo 7: poder demostrarlo, distinguirlo de otros asuntos, poder retirarlo tan fácilmente como se dio y no condicionar un contrato a un consentimiento innecesario.

### ¿Vale el consentimiento si la persona sigue navegando?

No. El considerando 32 del RGPD dice que el silencio, las casillas premarcadas o la inacción no constituyen consentimiento, y la Guía de cookies de la AEPD indica que seguir navegando no es una conducta de la que pueda derivarse la aceptación de cookies. Hace falta una acción afirmativa clara, como pulsar un botón de aceptar.

### ¿Hay que pedir consentimiento para todos los tratamientos de datos?

No. El consentimiento es una de las bases legales del artículo 6 del RGPD, junto con el contrato, la obligación legal o el interés legítimo, entre otras. Cada tratamiento necesita la base que le corresponda. Si eliges el consentimiento, deben cumplirse todas sus condiciones. La elección de la base conviene validarla con el delegado de protección de datos.

### ¿A partir de qué edad pueden consentir los menores en España?

La LOPDGDD, en su artículo 7, establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años. Para los menores de esa edad, el tratamiento basado en consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

### ¿Cómo demuestro que una persona consintió?

Con un registro individual: identificador de la persona, fecha y hora, qué se aceptó o rechazó por finalidad y la versión de los textos que se mostraron. El artículo 7.1 del RGPD obliga al responsable a poder demostrarlo, y una captura del banner o una estadística de aceptaciones no basta como prueba individual.

[¿Quieres revisar si tu consentimiento cumple estos requisitos? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Consentimiento RGPD: requisitos de validez y cómo cumplirlos

Una plataforma de gestión del consentimiento (CMP, por sus siglas en inglés) es la herramienta que instalas en tu web para informar a las personas, recoger su elección sobre las cookies y respetarla después. La AEPD la reconoce como una forma válida de obtener el consentimiento, pero solo si cumple unos requisitos concretos.

Este artículo se centra en eso: qué exige la Guía de cookies de la AEPD a una CMP, cómo comprobar que la tuya lo cumple y cómo ponerla en marcha sin romper nada. Si lo que buscas es la explicación general, empieza por [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) y vuelve aquí cuando vayas a elegir o a instalar una.

## Qué dice la AEPD de una CMP

La [Guía sobre el uso de las cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf), en su edición de mayo de 2024, menciona las CMP en tres sitios, y conviene leerlos juntos.

En el apartado sobre información (p. 16), dice que las CMP que cumplan los requisitos y garantías del Anexo pueden ser una solución para dar la información sobre las cookies de terceros. En el apartado sobre cómo obtener el consentimiento (p. 25), las incluye entre los métodos apropiados, "en la medida en que" cumplan esos mismos requisitos.

El Anexo (apartado V.a, pp. 36 y 37) define la CMP como una herramienta que se instala en el soporte del editor y que permite a cualquier responsable del uso de cookies cumplir sus deberes de información y de recogida del consentimiento. Para que sea válida, debe permitir a quienes la utilizan cumplir la normativa: ser transparente, obtener un consentimiento válido y respetar después las opciones elegidas, incluida su revocación.

### Lo que la Guía pide, y lo que no dice

La Guía añade que estas plataformas deberán someterse a auditorías o revisiones que validen el cumplimiento de esos requisitos. Hay una consecuencia práctica: instalar una CMP no te exime de comprobarla. Tampoco la Guía te dice qué producto elegir, y ninguna herramienta cumple por el simple hecho de llamarse CMP.

Lo que sí hace la Guía es fijar el listón con el que medir cualquier plataforma. Ese listón es la lista de la siguiente sección.

## Los requisitos que debe cumplir una CMP

La tabla recoge los criterios que la Guía de la AEPD y el RGPD fijan para el aviso y para el mecanismo de consentimiento. Sirve para evaluar una plataforma antes de contratarla y para revisarla después.

| Requisito | De dónde sale | Cómo comprobarlo |
|---|---|---|
| Información clara antes de decidir, con enlace a una segunda capa | Guía, apartado 3.1 (p. 20) | La primera capa dice qué cookies y para qué, y enlaza a la política |
| Rechazar en la misma capa y al mismo nivel que aceptar | Guía, apartado 3.2 (pp. 23 y 24) | Mismo sitio, mismo tamaño y misma visibilidad, sin ir a otra capa |
| Colores y contraste no engañosos | Guía (p. 21) | El botón de rechazar se lee tan bien como el de aceptar |
| Sin casillas premarcadas a favor de aceptar | Guía (p. 22) | En la segunda capa, todo lo opcional empieza desactivado |
| Seguir navegando no es consentimiento | Guía (p. 23), citando al CEPD | Nada se activa por hacer scroll ni por cambiar de página |
| Consentimiento previo a la instalación de cookies no exceptuadas | LSSI, art. 22.2, y Guía 3.2.5 (p. 28) | Con la ventana limpia, no hay cookies publicitarias ni analíticas antes de decidir |
| Retirar el consentimiento tan fácil como darlo | RGPD, art. 7.3, y Guía 3.2.9 (p. 29) | Hay un acceso permanente para cambiar la elección |
| Poder demostrar que se consintió | RGPD, art. 7.1 | Puedes encontrar tu propia elección en el registro |
| Conservar la elección y no preguntar en cada visita | Guía 3.2.8 (p. 29) | La elección se recuerda y caduca en un plazo razonable |

Sobre este último punto, la Guía recomienda como buena práctica que la validez del consentimiento para una cookie no supere los 24 meses y que, durante ese tiempo, se conserve la selección sin pedir un nuevo consentimiento en cada visita. Lo desarrollamos en [cuánto dura el consentimiento de cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

> ¿Quieres ver cómo se comporta una CMP real en tu web? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y haz las pruebas de este artículo.

## Cómo implementar una CMP en cinco pasos

El orden importa más que la herramienta. Estos son los cinco pasos que ponen a una CMP en producción con garantías.

### 1. Inventario antes de instalar

La CMP solo puede pedir permiso por lo que sabe que existe. Escanea las páginas principales de tu web y anota cada cookie y cada tag, con quién la puso y para qué. El [escáner de cookies](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/) es la base, y la Guía de la AEPD recomienda repetir esa revisión de forma periódica.

### 2. Decisiones que la plataforma no toma por ti

Cada cookie necesita una finalidad y una categoría. La Guía distingue entre cookies técnicas (que no requieren consentimiento si son estrictamente necesarias para un servicio que el usuario ha pedido) y las de preferencias, análisis y publicidad comportamental. Clasificar por conveniencia, no por finalidad real, es el error que más pesa después.

Antes de instalar, revisa también tu [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/): lo que declara debe coincidir con lo que el escáner encontró.

### 3. Instalación en el orden correcto

La CMP debe cargarse antes que las tags que dependen de la elección. La documentación de Google lo explica para el Consent Mode: el orden del código es decisivo y, si el código de consentimiento se llama fuera de orden, los valores por defecto no funcionan. En Google Tag Manager, el activador "Consent Initialization - All Pages" se dispara antes que cualquier otra tag.

Con AdOpt, la regla práctica es la misma: el script va en el `head`, antes del fragmento de Google Tag Manager. El comando `default` fija el estado inicial, el comando `update` informa de la elección en cuanto la persona interactúa y `wait_for_update` define cuánto esperan las tags a esa respuesta. Los detalles están en el [Consent Mode de principiante a avanzado](https://goadopt.io/es/blog/google-consent-mode-guia-de-principiante-a-avanzado/).

### 4. Configuración del aviso

Primera capa con tres salidas: aceptar, rechazar y configurar, con el mismo peso visual. Segunda capa con categorías claras, descripción de usos y todo lo opcional desactivado por defecto. Un acceso permanente para volver a las preferencias. Y una validez de la elección que no obligue a preguntar en cada visita. En AdOpt puedes ajustar la validez de la cookie de consentimiento para forzar una nueva elección pasados unos días.

Para el desglose de cada decisión de diseño, consulta [el banner de cookies que exige el RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

### 5. Pruebas antes de publicar

Las pruebas son lo que convierte una instalación en un cumplimiento verificable. La siguiente sección las detalla.

## Las pruebas que deberías hacer antes de publicar

Un aviso que aparece y cuyos botones responden demuestra que existe, no que cumple lo que promete. Estas pruebas comprueban el comportamiento. Haz cada una en una ventana de incógnito, con el panel de red del navegador abierto.

| Prueba | Cómo hacerla | La pasas si |
|---|---|---|
| Ventana limpia | Abrir la web sin pulsar nada | No hay cookies analíticas ni publicitarias de terceros antes de decidir |
| Rechazo respetado | Rechazar todo y navegar por tres páginas | Solo quedan las cookies necesarias y la de la propia CMP |
| Aceptación parcial | Aceptar solo una categoría | Solo aparecen las cookies de esa categoría |
| Revocación | Aceptar, abrir las preferencias y rechazar | Esas cookies dejan de grabarse |
| Nueva visita | Cerrar y reabrir el navegador | La elección se recuerda y el aviso no reaparece |
| Teclado y móvil | Recorrer el aviso con Tab y en el móvil | Todos los botones se alcanzan y se leen bien |
| Registro | Buscar tu propia elección en el panel | Fecha, hora, lo aceptado o rechazado y las versiones de los documentos |

Una precisión sobre el Consent Mode avanzado: tras rechazar es normal ver peticiones a las tags de Google, porque en ese modo cargan con el consentimiento denegado y sin guardar cookies, como explica la [documentación de Google Analytics](https://support.google.com/analytics/answer/9976101). No significa que el bloqueo haya fallado.

## Lo que ninguna CMP hace por ti

Una CMP ejecuta las decisiones que tomes. Tres cosas siguen siendo tuyas.

- **La clasificación de cada cookie.** El escáner sugiere, pero la finalidad real la conoce quien conoce el negocio.
- **Los documentos.** La política de cookies y la de privacidad deben decir lo mismo que hace la web, y actualizarse cuando cambie.
- **Los terceros.** La Guía recuerda que, cuando hay cookies de terceros, el editor y esos terceros pueden ser corresponsables. El editor debe asegurarse de que se da la información y de que existen mecanismos para gestionar el consentimiento, ya sea por contrato o mediante una CMP.

A cambio, una CMP bien configurada ahorra el trabajo repetitivo: bloquea antes de la elección, aplica la decisión, guarda la prueba y te avisa de lo nuevo. Esa es la diferencia con un banner suelto, que explica [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) con más detalle.

## Mantenimiento: lo que viene después

Una web cambia, y la CMP tiene que cambiar con ella. La Guía (apartado 3.2.7) indica que, si cambian las finalidades de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo.

Cuando se instala una tag nueva con una finalidad distinta, el consentimiento anterior ya no cubre esa tag. Reescanea con la frecuencia que decidas y después de cada campaña, cambio de plantilla o nueva integración, como explicamos en [por qué escanear y volver a escanear tu web](https://goadopt.io/es/blog/por-que-escanear-cookies-sitio-web-rgpd/).

El consentimiento puede ser sencillo. Lo difícil es lo que no se ve, y para eso sirve una CMP bien instalada. Si quieres revisarlo con el equipo de AdOpt a tu lado, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días y recorre estas pruebas en tu web.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento RGPD: requisitos de validez y cómo cumplirlos](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/)
- [Registro de consentimientos: cómo probar el consentimiento](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/)

## Preguntas frecuentes

### ¿Es obligatorio usar una CMP en España?

No hay una obligación de usar una CMP concreta. La obligación es obtener un consentimiento válido antes de instalar cookies no exceptuadas, y poder demostrarlo. La Guía de la AEPD reconoce las CMP como un método apropiado siempre que cumplan sus requisitos, así que es una forma práctica de cumplir, no la única posible.

### ¿Una CMP certificada garantiza el cumplimiento?

No por sí sola. La Guía de la AEPD pide que las CMP se sometan a auditorías o revisiones que validen sus requisitos, pero la configuración sigue siendo tuya: categorías, documentos, bloqueo previo y pruebas. Por eso conviene comprobar el comportamiento con la ventana limpia y los demás tests antes de publicar.

### ¿Qué diferencia hay entre un banner de cookies y una CMP?

El banner es la parte visible: informa y ofrece opciones. La CMP es la infraestructura que lo hace funcionar: escanea las cookies, bloquea lo que no se ha aceptado, aplica la elección y guarda la prueba. Un banner sin esa infraestructura puede parecer correcto y dejar que las tags se disparen antes de la decisión.

### ¿Qué hago si cambio de plataforma?

Antes de cambiar, comprueba si puedes exportar el historial de consentimientos y en qué formato, porque sin él pierdes la prueba de las elecciones anteriores. Después, repite el inventario y las pruebas con la nueva herramienta, porque cada plataforma se instala y se comporta a su manera.

### ¿Cada cuánto debo revisar la configuración de la CMP?

No hay un plazo legal fijo. La Guía de la AEPD recomienda revisar las cookies periódicamente para mantener la información actualizada. Una regla práctica es reescanear a intervalos fijos y siempre que cambie algo: una campaña, un plugin o la plantilla. Cada tag nueva con otra finalidad exige revisar categorías y política.

[¿Quieres poner tu CMP en marcha con estas pruebas? Habla con el equipo de AdOpt](https://goadopt.io/) y vemos juntos qué necesita tu web.


Plataforma de gestión del consentimiento (CMP): qué debe cumplir

El registro de consentimientos es el historial individual de cada elección que hace una persona en tu aviso de cookies: quién la hizo, cuándo, qué texto vio y qué aceptó o rechazó. El RGPD obliga al responsable a ser capaz de demostrar que el interesado consintió, y ese registro es la forma de hacerlo.

Un banner en la web no es una prueba. Tampoco lo es una captura de pantalla. Una [CMP](https://goadopt.io/es/blog/que-es-una-cmp/) existe, entre otras cosas, para guardar esa evidencia. Aquí verás qué dice la norma, qué campos debe tener un buen registro, qué no vale como prueba y cómo decidir cuánto tiempo conservarlo, sin inventar plazos que la ley no fija.

## Qué dice la norma sobre demostrar el consentimiento

Todo parte de dos artículos del [texto del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf):

- **Artículo 7.1:** cuando el tratamiento se base en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales.
- **Artículo 5.2:** el responsable cumple los principios y debe ser capaz de demostrarlo, lo que se conoce como responsabilidad proactiva.

El considerando 42 repite la idea: el responsable debe poder demostrar que el interesado ha dado su consentimiento a la operación de tratamiento. En la práctica, si alguien afirma que nunca aceptó, quien debe demostrar lo contrario es tu empresa.

La [Guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (edición de mayo de 2024) añade un matiz útil en su apartado 3.2 (p. 23): obtener el consentimiento con un clic u otra conducta similar facilita la prueba de que se ha obtenido. Y exige una clara acción afirmativa, algo que un registro debe reflejar.

## Qué debe demostrar un registro

Cada rasgo del consentimiento válido se convierte en una pregunta que el registro tiene que poder responder. La tabla relaciona la exigencia con lo que conviene guardar.

| Exigencia | Fuente | Qué debe mostrar el registro |
|---|---|---|
| Acción afirmativa | RGPD, art. 4.11 y considerando 32 | Que hubo una elección activa, no silencio ni seguir navegando |
| Informado | RGPD, art. 7.3 | Qué versión del aviso y de la política se mostró en ese momento |
| Específico | RGPD, considerando 32 | Qué se aceptó y qué se rechazó, por categoría o finalidad |
| Quién y cuándo | RGPD, art. 7.1 | Un identificador y la fecha y la hora de la elección |
| Retirable | RGPD, art. 7.3 | Cada cambio posterior, incluida la retirada |
| Cambios en el uso de cookies | Guía de la AEPD, 3.2.7 | Cuándo cambiaron finalidades o terceros y si se pidió una nueva elección |

La Guía (3.2.7) indica que, si cambian los fines de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo. Un buen registro deja constancia de cada una de esas decisiones.

## Los campos de un buen registro

No existe un formato oficial único. Este conjunto suele bastar para responder a las seis preguntas anteriores:

- **Identificador** que vincule la elección a un navegador o a una cuenta, sin exponer más dato personal del necesario.
- **Fecha y hora** de la elección y de cada modificación.
- **Elecciones por categoría o finalidad**, con lo aceptado y lo rechazado.
- **Versión del aviso** mostrado y **versiones de la política de cookies y de la política de privacidad** vigentes en ese momento.
- **Histórico**, de modo que una retirada o una actualización se añadan como eventos y no sobrescriban lo anterior.

En AdOpt, el Consent Log guarda la elección de la persona con fecha y hora, las tags y las cookies aceptadas o rechazadas y las versiones de los documentos. El vínculo con el visitante se hace mediante un CookieID único en el navegador. El CookieID une la elección con el registro, y la prueba es el registro.

### Guarda lo necesario y protégelo

El propio registro es un dato personal y le aplican los principios de minimización y de seguridad. El artículo 5 del RGPD pide que los datos sean adecuados, pertinentes y limitados a lo necesario, y que se traten con una seguridad adecuada, incluida la protección frente al tratamiento no autorizado.

Por eso conviene preguntar a cualquier proveedor dónde y cómo se almacenan los registros. AdOpt indica que los consentimientos se guardan en una base de datos cifrada, con infraestructura replicada. Para el marco general, consulta [seguridad de datos en el consentimiento](https://goadopt.io/es/blog/seguridad-de-datos-en-el-consentimiento/).

> ¿Quieres ver cómo queda el registro de una elección real? [Empieza gratis](https://goadopt.io/) y consulta el Consent Log durante la prueba de 30 días de AdOpt.

## Lo que no sirve como prueba

Hay evidencias que parecen buenas y no aguantan una pregunta firme:

- **La captura del banner.** Muestra cómo era el aviso un día, no que una persona concreta lo viera y aceptara.
- **El número agregado de aceptaciones.** Es una estadística útil para medir, pero no identifica la elección de nadie.
- **La configuración actual del panel.** Dice cómo está el aviso hoy, y la pregunta casi siempre es cómo estaba entonces.
- **La cookie del navegador de la persona.** Está en su dispositivo, puede borrarse y no la controlas tú.
- **El registro de acciones de los administradores.** Sirve para auditar quién cambió qué en la plataforma, pero no recoge la elección de ningún visitante.

La pregunta que separa una prueba de un adorno es sencilla: con esto en la mano, ¿puedes mostrar la elección de una persona concreta, en una fecha concreta, ante un texto concreto?

## Cuánto tiempo conservar el registro

Ni el RGPD ni la Guía de la AEPD fijan un plazo para conservar el registro de consentimientos. Lo que sí establece el RGPD, en su artículo 5, es el principio de limitación del plazo de conservación: los datos no deben mantenerse más tiempo del necesario para los fines del tratamiento.

No confundas dos plazos distintos. La Guía recomienda como buena práctica que el consentimiento para una cookie no tenga una validez superior a 24 meses (apartado 3.2.8, p. 29). Eso habla de cuándo volver a preguntar a la persona, no de cuánto tiempo guardar la prueba.

Para fijar el tuyo, hay un criterio que muchas empresas valoran: los plazos de prescripción de las infracciones de la LOPDGDD, que son de tres años para las muy graves (art. 72), dos para las graves (art. 73) y uno para las leves (art. 74). El incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento figura entre las muy graves. Es un criterio a valorar, no una obligación de conservar durante ese plazo.

Decide el plazo con tu delegado de protección de datos o con asesoría jurídica, anota el criterio y regístralo junto con el resto de plazos de conservación.

## Para qué se usa el registro

El registro solo vale si se puede recuperar cuando hace falta. Tres situaciones lo ponen a prueba.

### Cuando alguien cuestiona su consentimiento

Localiza la elección, comprueba la fecha y la versión de los documentos y responde con esos datos. Hay un límite que conviene reconocer: si la persona no estaba identificada, el registro se asocia al navegador y quizá no puedas saber cuál es "el suyo" sin información adicional. Acuerda con tu delegado de protección de datos cómo se gestionará ese caso antes de que ocurra.

### Cuando te lo pide la autoridad

Si la AEPD o cualquier otro interesado te pide justificar el consentimiento, el conjunto útil tiene cuatro piezas: el registro de la elección, la versión de los documentos que estaba vigente, el inventario de cookies de aquella fecha y la configuración de bloqueo. El registro responde a la mitad de la pregunta, y la otra mitad es demostrar que el aviso y la web eran coherentes. Ahí ayuda [reescanear la web periódicamente](https://goadopt.io/es/blog/por-que-escanear-cookies-sitio-web-rgpd/) y guardar la fecha de cada resultado.

### Cuando cambias de proveedor

Cambiar de CMP sin llevarte el historial borra tu capacidad de probar las elecciones anteriores. Antes de contratar, pregunta si puedes exportar los registros y en qué formato.

## Cómo comprobar que tu registro funciona

Las pruebas básicas de una CMP, entre ellas la del registro, están en [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/). Para el registro en concreto, añade tres comprobaciones:

1. **La elección propia.** Acepta una categoría, rechaza otra y busca tu consentimiento en el panel. Deben estar la fecha, la hora, las categorías y las versiones.
2. **La versión.** Cambia un texto de la política, publica, acepta de nuevo y comprueba que el registro nuevo apunta a la versión nueva y el antiguo sigue apuntando a la anterior.
3. **La retirada.** Abre las preferencias, rechaza lo que habías aceptado y comprueba que el cambio aparece como un evento nuevo, con fecha y hora, sin borrar la aceptación anterior.

Si alguna falla, lo que tienes es un contador de aceptaciones, no una prueba.

## Cinco errores que debilitan la prueba

1. **Guardar solo el recuento** y perder la elección individual.
2. **No versionar los documentos**, y no poder decir qué vio la persona.
3. **Sobrescribir la elección anterior** en lugar de añadir un evento.
4. **Guardar o borrar sin criterio**, en lugar de fijar un plazo justificado.
5. **Ignorar la retirada**, que también necesita registro y un procedimiento tan fácil como el de aceptar.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres un registro que responda a estas preguntas sin trabajo manual, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento RGPD: requisitos de validez y cómo cumplirlos](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/)
- [Plataforma de gestión del consentimiento (CMP): qué debe cumplir](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/)

## Preguntas frecuentes

### ¿Qué es un registro de consentimientos?

Es el historial individual de cada elección en el aviso de cookies: identificador, fecha y hora, qué se aceptó o rechazó y la versión del aviso y de los documentos. Permite al responsable demostrar, si se le pide, que el interesado consintió, como exige el artículo 7.1 del RGPD.

### ¿Quién tiene que demostrar que se dio el consentimiento?

El responsable del tratamiento. El artículo 7.1 del RGPD dice que debe ser capaz de demostrar que el interesado consintió, y el artículo 5.2 recoge la responsabilidad proactiva. Si una persona afirma que no aceptó, tu empresa necesita un registro individual con fecha y versión de los textos.

### ¿Sirve una captura de pantalla del banner como prueba?

No como prueba principal. Muestra cómo era el aviso en un momento, pero no que una persona concreta lo viera y aceptara. Lo que sustenta la prueba es el registro individual de cada elección, con fecha, hora, categorías aceptadas o rechazadas y la versión de los documentos mostrados.

### ¿Cuánto tiempo hay que conservar el registro de consentimientos?

El RGPD y la Guía de la AEPD no fijan un plazo concreto. Rige el principio de limitación del plazo de conservación. Los 24 meses de la Guía son la validez recomendada del consentimiento de una cookie, no un plazo de conservación. Fija el tuyo con el delegado de protección de datos y documenta el criterio.

### ¿Hay que registrar también la retirada del consentimiento?

Sí. La persona puede retirar su consentimiento en cualquier momento y debe ser tan fácil como darlo (art. 7.3 del RGPD). La retirada debe quedar en el historial como un evento con fecha y hora, sin borrar la aceptación anterior, para que el registro muestre qué estaba vigente en cada periodo.

[¿Necesitas un registro de consentimientos que sirva como prueba? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Todos los artículos

¿Qué es una CMP (Consent Management Platform)?

Google Consent Mode: Guía de principiante a avanzado.

Google Consent Mode: Guía de principiante a avanzado.

¿Qué es una cookie en internet? Guía completa para 2026

Seguridad de Datos en el Consentimiento: Cómo Proteger la Información del Usuario Desde la Recolección hasta la Activación

Consentimiento RGPD: requisitos de validez y cómo cumplirlos

Plataforma de gestión del consentimiento (CMP): qué debe cumplir

Registro de consentimientos: cómo probar el consentimiento