¿Qué es una CMP (Consent Management Platform)?

João Bruno Soares

Google Consent Mode: Guía de principiante a avanzado.

La mayoría de los bancos de cookies que ves cada día en internet parecen correctos a simple vista: tienen un botón para aceptar, un texto explicando que el sitio usa cookies, y quizás un enlace a "más información". El problema es que la apariencia correcta no equivale a cumplimiento real, y la Agencia Española de Protección de Datos (AEPD) ha sido explícita sobre qué elementos concretos separan un banner conforme de uno que solo lo parece.

Esta guía explica, punto por punto, qué debe tener un banner de cookies para cumplir con el RGPD y con la Guía sobre el uso de las cookies de la AEPD, cuáles son los errores más comunes que provocan sanciones, y cómo verificar si tu propio banner está realmente bloqueando lo que dice bloquear.

## El requisito que más sanciones genera: rechazar tan fácil como aceptar

La AEPD es explícita en este punto: ambas acciones deben estar al mismo nivel, sin que sea más complicado rechazar las cookies que aceptarlas. Esto significa, en la práctica, que si tu banner muestra un botón grande y de color llamativo para "Aceptar todo" en la primera capa, y para rechazar obliga al usuario a hacer clic en un enlace pequeño, entrar a un submenú y desmarcar categorías una por una, tu banner no cumple, sin importar qué diga el texto legal que lo acompaña.

El patrón que sí cumple ofrece, en el primer nivel de información, tres opciones igualmente visibles y accesibles: aceptar todo, rechazar todo, y configurar preferencias. Ninguna de las tres debe requerir más pasos que las otras para completarse.

## El requisito técnico que nadie ve pero que decide todo: el bloqueo previo real

Un banner puede tener el diseño perfecto y seguir siendo ilegal si, detrás de la interfaz, los scripts de analítica y publicidad ya se cargaron antes de que el usuario tomara cualquier decisión. Este es el error más costoso y el más difícil de detectar sin herramientas técnicas, porque el banner se ve bien, pero el rastreo ya empezó.

El bloqueo debe ser efectivo antes del consentimiento, no solo una promesa en el texto: ningún cookie que no sea estrictamente necesario debería instalarse hasta que el usuario haga clic explícitamente en aceptar esa categoría específica. Esto requiere control técnico real sobre la ejecución de scripts, no solo un mensaje informativo superpuesto a un sitio que ya está funcionando con normalidad por debajo.

## Cómo verificar si tu banner tiene este problema, en tres pasos

1. Abre tu sitio en una ventana de navegación privada, sin cookies previas.
2. Abre las herramientas de desarrollador de tu navegador, pestaña "Red" (Network), antes de interactuar con el banner.
3. Observa si ya aparecen peticiones hacia dominios como `google-analytics.com`, `googletagmanager.com`, `facebook.com/tr` o similares, antes de haber hecho clic en cualquier botón.

Si esas peticiones ya aparecen, tu banner tiene exactamente el problema descrito arriba, sin importar qué tan bien diseñado esté visualmente.

## Elección granular por finalidad, no solo un interruptor global

La guía de la AEPD, alineada con las directrices del Comité Europeo de Protección de Datos, exige que el usuario pueda elegir por categoría de finalidad (analítica, publicidad, redes sociales) y no solo un aceptar/rechazar indiferenciado de todo el sitio. Cada categoría debe explicarse en lenguaje comprensible, sin depender de que el usuario entienda jerga técnica para saber qué está aceptando.

## Información que debe estar visible antes de decidir, no escondida en un enlace

El primer nivel del banner debe informar, como mínimo: qué tipos de cookies usa el sitio, con qué finalidad general, y dónde encontrar la información completa (la [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/)). No es necesario listar cada cookie individual en el primer nivel, pero sí debe quedar claro que existe esa información detallada y cómo acceder a ella con un solo clic.

## Los "patrones engañosos" que el Comité Europeo ya ha señalado

Las Directrices 03/2022 sobre patrones engañosos ("dark patterns"), incorporadas a la práctica de la AEPD, identifican como problemáticos varios diseños que técnicamente ofrecen las tres opciones pero las hacen desiguales en la práctica: usar colores de alto contraste solo en el botón de aceptar, hacer el botón de rechazar visualmente similar al fondo para que pase desapercibido, o requerir un scroll adicional para encontrar el botón de rechazar que no es necesario para encontrar el de aceptar.

## Cookie wall: ¿puedo bloquear el acceso si el usuario rechaza?

La AEPD permite condicionar el acceso al sitio al consentimiento de cookies, pero con una condición explícita: el editor del sitio debe ofrecer una alternativa de acceso al servicio sin necesidad de aceptar, y esa alternativa no tiene que ser necesariamente gratuita.

Es decir, un cookie wall puro que no ofrezca ninguna alternativa (ni de pago ni de acceso limitado) no cumple con este criterio. Profundizamos en este tema en nuestra guía sobre si el [aviso de cookies es obligatorio en toda página web](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/).

## Cómo una CMP resuelve esto de raíz

Una [plataforma de gestión del consentimiento](https://goadopt.io/es/blog/que-es-una-cmp/) como AdOpt no deja esta implementación al criterio de quien diseñó el banner: aplica el bloqueo técnico real antes del consentimiento, muestra las tres opciones al mismo nivel visual por diseño (no como una elección que cada cliente puede desconfigurar sin darse cuenta), permite configuración granular por categoría, y guarda un registro verificable de cada elección, con fecha, hora y versión del banner mostrada en ese momento.

## Preguntas frecuentes

### ¿Es obligatorio ofrecer el botón "rechazar todo" en la primera capa?

Sí. La AEPD y las directrices europeas son claras: el rechazo debe ser tan accesible como la aceptación, en el mismo nivel de la interfaz, no escondido en un submenú.

### ¿Puedo usar cookies preseleccionadas por defecto para simplificar la experiencia del usuario?

No. El consentimiento debe nacer de una acción positiva del usuario; casillas premarcadas o cualquier configuración que asuma consentimiento sin una acción explícita no es válida ante el RGPD.

### ¿Qué pasa si mi banner cumple visualmente pero los scripts ya se cargan antes?

Es exactamente la violación más común y más sancionada: el diseño correcto no sustituye el bloqueo técnico real. Verifica con el método de las herramientas de desarrollador descrito en este artículo.

### ¿Necesito el mismo banner para todos los países donde opera mi web?

El estándar de la AEPD aplica al tráfico dirigido a España, pero replicar las mismas buenas prácticas (rechazo igual de fácil, bloqueo real) es también la base exigida por el RGPD en el resto de la Unión Europea, así que en la práctica un banner bien construido cumple en ambos casos.

### ¿Cuánto tiempo dura el consentimiento antes de tener que volver a preguntar?

Consulta nuestra guía específica sobre la [duración del consentimiento a las cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/), que trata este punto en detalle.

### ¿Un cookie wall es siempre ilegal en España?

No siempre, pero solo es aceptable si el sitio ofrece una alternativa real de acceso sin necesidad de aceptar las cookies, aunque esa alternativa implique un coste. Un cookie wall sin ninguna alternativa no cumple el criterio de la AEPD.

## Continúa aprendiendo sobre cookies

- [¿Qué es una cookie en internet? Guía completa](https://goadopt.io/es/blog/que-es-una-cookie-en-internet/)
- [¿Es obligatorio el aviso de cookies en una página web?](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/)

Comprueba en minutos si tu banner está bloqueando de verdad lo que dice bloquear. [Prueba AdOpt gratis](https://goadopt.io/).


Banner de cookies RGPD: qué debe tener para cumplir con la AEPD

Casi todo el mundo ha aceptado o rechazado cookies cientos de veces sin saber exactamente qué está aceptando o rechazando. Una cookie es, en su forma más simple, un pequeño archivo de texto que un sitio web guarda en tu navegador para recordar información entre visitas: que iniciaste sesión, qué había en tu carrito, en qué idioma prefieres ver la página o qué anuncios ya viste.

No es un programa, no puede ejecutar código por sí sola y no puede, por sí misma, robar información de tu ordenador. Pero sí puede usarse para seguir tu comportamiento a través de múltiples sitios, y ahí es donde empieza a importar la ley.

Esta guía explica qué es técnicamente una cookie, los tipos que existen, por qué algunas requieren tu consentimiento explícito y otras no, y qué controla realmente una web sobre ellas cuando usa una plataforma de gestión del consentimiento.

## Cómo funciona una cookie, técnicamente

Cuando visitas un sitio web, el servidor puede enviar a tu navegador una pequeña instrucción para guardar un fragmento de información con un nombre y un valor, junto con un dominio y una fecha de caducidad.

La próxima vez que tu navegador se conecte a ese mismo dominio, envía de vuelta esa información automáticamente. Así es como un sitio "recuerda" que ya iniciaste sesión sin pedirte la contraseña en cada página, o que ya elegiste ver los precios en euros y no en dólares.

La cookie en sí misma no sabe quién eres: solo contiene el dato que el sitio decidió guardar. El problema de privacidad no nace de la tecnología, nace del uso: si ese dato es un identificador único que permite reconstruir tu comportamiento a lo largo del tiempo y a través de distintos sitios, entonces esa cookie está construyendo un perfil sobre ti, aunque nunca haya recogido tu nombre real.

## Los tipos de cookies que existen

### Por quién las instala

**Cookies propias (first-party).** Las instala el mismo dominio que estás visitando. Sirven típicamente para funciones del propio sitio: sesión, carrito, preferencias de idioma.

**Cookies de terceros (third-party).** Las instala un dominio distinto al que visitas, normalmente porque la página carga un recurso externo (un pixel publicitario, un vídeo incrustado, un widget de chat). Casi siempre existen para construir perfiles de comportamiento a través de múltiples sitios.

### Por su duración

**Cookies de sesión.** Se borran automáticamente cuando cierras el navegador. Duran solo mientras navegas.

**Cookies persistentes.** Permanecen guardadas durante un plazo definido, que puede ir de unos días a varios años, según lo que el sitio configure.

### Por su finalidad (la distinción que de verdad importa ante la ley)

**Cookies técnicas o estrictamente necesarias.** Sin ellas, el servicio que pediste no funcionaría: mantener tu sesión iniciada, recordar el contenido del carrito, garantizar la seguridad de la conexión. No requieren tu consentimiento previo, solo información.

**Cookies de preferencias o funcionales.** Recuerdan configuraciones que mejoran tu experiencia (idioma, región) pero que no son estrictamente indispensables para que el servicio exista. En la mayoría de los casos requieren consentimiento.

**Cookies analíticas.** Miden cómo usas el sitio: qué páginas visitas, cuánto tiempo permaneces, de dónde vienes. Requieren consentimiento salvo que el sitio aplique una anonimización estricta reconocida por la autoridad de control, un caso poco común en la práctica comercial.

**Cookies publicitarias o de perfilado.** Construyen un perfil de tus intereses para mostrarte publicidad dirigida, a menudo siguiéndote a través de múltiples sitios. Siempre requieren tu consentimiento explícito.

## Por qué algunas cookies necesitan consentimiento y otras no

La normativa europea (la Directiva ePrivacy, transpuesta en España a través de la Ley de Servicios de la Sociedad de la Información, LSSI) establece que instalar o acceder a información en tu dispositivo requiere tu consentimiento previo, salvo dos excepciones: que sea estrictamente necesaria para la transmisión de una comunicación, o que sea estrictamente necesaria para prestar el servicio que tú mismo has solicitado expresamente.

Todo lo que no encaja en esas dos excepciones estrechas necesita consentimiento, y el propio [Reglamento General de Protección de Datos (RGPD)](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/) exige que ese consentimiento sea libre, específico, informado e inequívoco.

Esto significa, en la práctica, que la mayoría de las cookies que hacen que un negocio funcione desde el punto de vista comercial (medir el tráfico, mostrar publicidad relevante, integrar redes sociales) no son técnicas en sentido estricto, aunque a veces se las presente así para simplificar la comunicación con el usuario.

## Qué controla realmente un banner de cookies

Un banner de cookies bien construido no es solo un mensaje informativo: es la interfaz de un sistema técnico que decide, en tiempo real, qué scripts pueden ejecutarse en tu navegador antes de que tú elijas.

Un banner que solo informa pero no bloquea nada por detrás no cumple la normativa, aunque parezca correcto visualmente, porque las cookies no esenciales ya se han instalado antes de que decidas. Explicamos esto con más detalle en nuestra guía sobre [qué debe tener un banner de cookies conforme al RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

## Cómo ver qué cookies tiene un sitio en este momento

Puedes comprobarlo tú mismo sin herramientas avanzadas: abre las herramientas de desarrollador de tu navegador (F12 en la mayoría), ve a la pestaña "Aplicación" o "Almacenamiento" y busca la sección de cookies. Verás el nombre, el dominio, la fecha de caducidad y, con algo de investigación del nombre del dominio, a qué proveedor pertenece cada una. Es una forma rápida de entender qué tan transparente es realmente un sitio sobre lo que declara en su [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

## El papel de una plataforma de gestión del consentimiento (CMP)

Gestionar manualmente esta clasificación cookie por cookie, y mantenerla actualizada cada vez que marketing añade una nueva herramienta, no es viable a escala. Una [CMP como AdOpt](https://goadopt.io/es/blog/que-es-una-cmp/) escanea automáticamente el sitio, detecta cada cookie y script realmente activo, lo clasifica por categoría y proveedor, bloquea la ejecución de lo que no es esencial hasta que el usuario da su consentimiento específico, y guarda un registro verificable de esa decisión.

## Preguntas frecuentes

### ¿Una cookie puede robar mi contraseña o mis datos bancarios?

No directamente. Una cookie es un fragmento de texto, no un programa ejecutable; no puede leer archivos de tu ordenador ni robar contraseñas guardadas en otro sitio. El riesgo de privacidad viene de la construcción de perfiles de comportamiento, no del robo de datos técnicos.

### ¿Si borro las cookies de mi navegador, dejo de ser rastreado?

Borrar las cookies elimina el identificador que un sitio había guardado hasta ese momento, pero no impide que el sitio te asigne uno nuevo en tu próxima visita, ni te protege de técnicas alternativas de seguimiento que algunos proveedores usan cuando las cookies están bloqueadas.

### ¿Todas las cookies necesitan aparecer en un banner?

Todas las cookies deben estar documentadas en la [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/), pero solo las que no son estrictamente necesarias requieren que el usuario dé su consentimiento explícito antes de activarse.

### ¿Qué diferencia hay entre una cookie y el "local storage" del navegador?

Ambos son formas de almacenamiento en el dispositivo del usuario y están sujetos a las mismas reglas de consentimiento cuando se usan con fines no estrictamente necesarios, aunque técnicamente el local storage no se envía automáticamente al servidor en cada petición como sí hace una cookie.

### ¿Cuánto tiempo puede durar una cookie?

No hay un límite técnico estricto, pero las autoridades europeas de protección de datos recomiendan plazos razonables acordes a la finalidad, y consideran una mala práctica una duración desproporcionadamente larga para lo que la cookie realmente necesita hacer. Consulta nuestra guía sobre la [duración del consentimiento a las cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

### ¿Puedo simplemente bloquear todas las cookies en mi navegador y olvidarme del tema?

Puedes hacerlo, pero rompe funcionalidades legítimas (sesión iniciada, carrito de compra) además de que muchos sitios ofrecen alternativas de seguimiento que no dependen de cookies tradicionales, así que no es una solución completa de privacidad.

## Continúa aprendiendo sobre cookies

- [Banner de cookies RGPD: qué debe tener para cumplir con la AEPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/)
- [¿Es obligatorio el aviso de cookies en una página web?](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/)

Descubre exactamente qué cookies está instalando tu sitio ahora mismo. [Prueba AdOpt gratis](https://goadopt.io/) y obtén el mapa completo en minutos.


Todos los artículos

¿Qué es una CMP (Consent Management Platform)?

Google Consent Mode: Guía de principiante a avanzado.

Banner de cookies RGPD: qué debe tener para cumplir con la AEPD

¿Qué es una cookie en internet? Guía completa para 2026