La propuesta europea sobre consentimiento de cookies

Puntos clave

• El Consejo propone el rechazo mediante un solo clic o equivalente y un plazo de al menos cuatro meses antes de volver a preguntar para el mismo fin tras una negativa. [2]
• Las excepciones propuestas para la medición de audiencias están sujetas a condiciones; no eximen a todas las herramientas de análisis o publicidad. [2]
• La Comisión de Protección de Datos de Irlanda (DPC) mantiene que las cookies analíticas requieren consentimiento. Las empresas deben evaluar su cumplimiento actual, no aplicar una propuesta de forma anticipada. [3][4]

Qué dice realmente la propuesta de los cuatro meses

El mandato del Consejo, publicado con el anuncio actualizado el 22 de octubre, permitiría a los usuarios rechazar una solicitud de consentimiento de forma fácil e inteligible mediante un botón de un solo clic o medios equivalentes. Si rechazan, el proveedor no debería volver a preguntar para el mismo fin durante al menos cuatro meses. Cuando se otorgue el consentimiento, este no debería solicitarse de nuevo para ese fin durante el periodo en que sea legalmente válido. [2]

Los detalles son importantes. No se trata de una fecha de caducidad universal de cuatro meses para todas las cookies. Tampoco significa que un sitio web pueda ignorar un cambio de preferencia posterior. Aborda las solicitudes reiteradas para el mismo propósito. El mandato también contempla un periodo posterior de transposición nacional; nadie debería describir el anuncio de octubre como un cambio inmediato en la legislación irlandesa. [2]

Una cookie es un pequeño fragmento de información almacenado en un dispositivo. Algunas sirven para funciones que el usuario ha solicitado realmente; otras ayudan a medir la actividad o a segmentar la publicidad. Clasificarlas a todas como "esenciales" solo porque son útiles para un negocio no hace que dicha clasificación sea correcta. [4]

Una mano sostiene un teléfono junto a una taza de café; la pantalla es ilegible. Ilustración editorial generada por IA; no es una fotografía de un evento concreto ni de un participante en una investigación.

La medición no es una exención generalizada

El borrador contiene diferentes disposiciones sobre medición. Una de ellas, relativa a la medición de audiencias, exige que los datos sean seudonimizados tras su recogida, limita la reutilización y el rastreo fuera del servicio medido o del contenido mediático, y restringe el intercambio de datos personales. La seudonimización no es lo mismo que la anonimización irreversible. Describir toda la propuesta como una exención para el "análisis anónimo" omitiría condiciones importantes. [2]

Otra disposición se refiere a la medición de la publicidad contextual: publicidad seleccionada a partir del contenido inmediato o de una única consulta de búsqueda, en lugar de un perfil de actividad pasada o futura. Sus condiciones restringen la elaboración de perfiles y otros usos. Una empresa no puede simplemente rebautizar la publicidad comportamental como "contextual" y asumir que entra en la propuesta. [2]

La distinción práctica radica en la diferencia entre preguntar cómo funciona una página concreta y reunir una imagen continua de la actividad de una persona identificable. Que una herramienta específica cumpla una futura excepción dependerá de lo que haga realmente, no de la redacción de su página de ventas. Estas disposiciones siguen siendo propuestas, no una aprobación de cumplimiento preconfigurada para un producto de software.

Qué deben hacer las empresas irlandesas ahora

La guía actual de la DPC responde "sí" a si las cookies analíticas necesitan consentimiento, incluso en su análisis sobre analítica de origen (first-party). Identifica exenciones estrechas para funciones estrictamente necesarias solicitadas por el usuario y para la transmisión de una comunicación. Establece que las cookies de publicidad segmentada y de seguimiento de conversiones no están exentas. [3][4]

La DPC también advierte que las casillas premarcadas o los interruptores no generan un consentimiento válido. Un enlace genérico a la explicación de cookies de un tercero no sustituye a la explicación del uso propio del operador. Los usuarios deben poder retirar o modificar el consentimiento, y la retirada debe ser tan fácil como la concesión. [4][5]

Por eso, cambiar un botón no es suficiente. Un banner de consentimiento es la interfaz; los scripts que se ejecutan detrás determinan si se respeta la elección del visitante. Una empresa debe saber qué herramientas se cargan antes de una decisión, cuáles se cargan tras el rechazo y qué se detiene tras la retirada.

Tres colegas conversan ante un portátil en un espacio de trabajo luminoso. Ilustración editorial generada por IA; no es una fotografía de un evento concreto ni de un participante en una investigación.

Una auditoría práctica sin esperar a la nueva legislación

Tomemos como ejemplo ilustrativo una panadería de Dublín que utiliza un widget de reservas, un contador de tráfico y un píxel publicitario. El propietario debería pedir al desarrollador que documente la finalidad de cada herramienta, los destinatarios de los datos, la retención y el comportamiento del consentimiento. No debe asumirse que la función de reserva y el píxel de marketing requieren un trato idéntico. Este es un ejemplo hipotético, no una auditoría de un negocio real.

A continuación, pruebe el sitio como un nuevo visitante que rechaza el rastreo opcional. Repita en el móvil y tras retirar un acuerdo anterior. Compruebe que la política describe las herramientas reales y que el rechazo no se convierte discretamente en consentimiento en otra parte de la interfaz. Mantenga un registro de la prueba y obtenga asesoramiento cualificado para casos inciertos. [4][5]

Para los creadores y las empresas más pequeñas, la reducción de las solicitudes intrusivas podría ser útil. Pero medir el éxito solo por cuántas personas pulsan "aceptar" premia el resultado equivocado. La mejor prueba es si la gente entiende la elección y si el sitio la respeta.

Un tendero habla con un cliente en un mostrador. Ilustración editorial generada por IA; no es una fotografía de un evento concreto ni de un participante en una investigación.

Las opciones más sencillas siguen requiriendo responsabilidad

El énfasis de Safegram en la privacidad y el control del usuario es relevante para este principio: una promesa de privacidad debe juzgarse por la experiencia de alguien que dice no, no solo por un titular. Este es un estándar de diseño que debe aplicarse también a Safegram, no una afirmación de que su tecnología haya sido auditada de forma independiente o de que nunca utilice una herramienta concreta.

El Consejo afirma que el siguiente paso son las negociaciones con el Parlamento Europeo. Los lectores de otros lugares no deben tratar la propuesta europea sobre consentimiento de cookies o la guía del regulador irlandés como un cambio automático en la legislación del Reino Unido, EE. UU., Brasil u otros países. Incluso dentro de Europa, cualquier implementación específica debe verificarse con las normas aplicables y el texto final definitivo. [1]

La siguiente acción útil ya está disponible: pruebe un rechazo real y una retirada en su sitio web. Para obtener información sobre Safegram (la red social centrada en la privacidad y mercado verificado), visite safegram.com (https://safegram.com/). Este es un análisis editorial general, no un asesoramiento legal individual ni un certificado de cumplimiento.

Preguntas frecuentes

¿Abolió la UE los banners de cookies en octubre de 2026?

No. El Consejo acordó una posición negociadora, no una ley final que suprima los banners. Las obligaciones existentes siguen vigentes. [1]

¿Qué significa el periodo propuesto de cuatro meses?

Tras rechazar una solicitud, no se debería volver a preguntar a la persona para el mismo fin durante al menos cuatro meses según el texto del Consejo. Aún no es una norma irlandesa vigente. [2]

¿Pueden los sitios irlandeses instalar cookies analíticas sin consentimiento ahora?

No a raíz de esta propuesta. La guía actual de la DPC establece que las cookies analíticas requieren consentimiento. Las excepciones propuestas no han sustituido a dicha guía. [3]

¿Es anónima la información seudonimizada?

No necesariamente. Sustituir los identificadores no elimina por sí mismo la posibilidad de vincular la información a una persona. Las condiciones de medición del borrador no deben reducirse a la afirmación de que toda analítica es anónima. [2]

¿Qué es la publicidad contextual?

Publicidad basada en el contenido que se está visualizando o en una consulta específica, en lugar de en un perfil de las actividades de una persona. La excepción de medición propuesta contiene restricciones adicionales. [2]

¿Qué debería cambiar una empresa inmediatamente?

Corregir los problemas actuales de cumplimiento: identificar los rastreadores reales, eliminar el consentimiento preseleccionado inválido, explicar las finalidades y ofrecer una vía sencilla de retirada. No active las exenciones propuestas antes de que sean aplicables. [3][4][5]