La mayoría de los banners de consentimiento se crean una sola vez, por quienquiera que tuviera el inicio de sesión de CMP esa semana, y nunca se vuelven a auditar. Luego causan dos tipos de daño: te exponen a un regulador que ya ha publicado cómo debe ser un banner que cumple con las normas y privan a tus análisis de datos. Google establece un mínimo estricto aquí: una propiedad GA4 solo es elegible para el modelado de comportamiento si recopila al menos 1,000 eventos por día con analytics_storage='denied' durante al menos 7 días, más 1,000 usuarios diarios que dieron su consentimiento en 7 de los 28 días anteriores. Por debajo de eso, el tráfico rechazado simplemente desaparece.
Este es un manual de reconstrucción para quien sea el propietario del banner: el responsable de crecimiento, el analista o el desarrollador que lo heredó. Consta de seis fases, en orden, cada una con un punto de decisión, y culmina en una rúbrica de 14 puntos para evaluar el banner actual. Cubre sitios web que venden en la UE, el Reino Unido y Turquía.
Lo que debe hacer la pancarta, en ambas jurisdicciones
Dos organismos supervisores han plasmado por escrito las normas de diseño, por lo que no se trata de una cuestión de gusto. El CEPD Informe del grupo de trabajo sobre el banner de cookies (17 de enero de 2023) y Directrices 03/2022 sobre patrones de diseño engañosos La versión 2.0 (14 de febrero de 2023) estableció la base de referencia de la UE. La KVKK de Turquía publicó su guía sobre cookies en 2022 y una edición actualizada a mediados de 2025.
| Requisito | UE / Reino Unido (ePrivacy + RGPD) | Turquía (KVKK) |
|---|---|---|
| Rechazo en la primera capa | La ausencia de una opción de rechazo en cualquier capa constituye una infracción. | "Rechazar todo" debe tener el mismo peso visual que "aceptar todo". |
| Categorías preseleccionadas | El silencio y las casillas premarcadas no constituyen consentimiento. | Las categorías no esenciales están desactivadas por defecto. |
| Análisis sin consentimiento | No está exento en la mayoría de las lecturas de los Estados miembros. | Fuera de las exenciones, el análisis y la medición forman su propia categoría. |
| Muros de galletas | Caso por caso, listón muy alto | No está permitido condicionar el acceso al contenido a la aceptación de todas las cookies. |
| Retirar | Debe ser tan fácil como dar el consentimiento. | Configuración accesible desde todas las páginas. |
La señal de aplicación de la ley es real. El 1 de septiembre de 2025, la CNIL Google fue multado con 325 millones de euros.y concluyeron que el consentimiento "no se otorgó libremente, ya que era más difícil rechazar las cookies vinculadas a la publicidad personalizada que aceptarlas". La asimetría de los botones no es un hallazgo meramente estético.
Paso 1: Inventarie cada etiqueta y justifique cada una de las esenciales.
Abre el sitio en un perfil de navegador limpio, rechaza todo y anota qué cookies aún almacenan datos. Luego, acéptalas y anota la diferencia. Una fila por cada cookie o clave de almacenamiento: nombre, creador, propósito, categoría y la frase que le dirías a un regulador.
El punto clave es la esencialidad, y la responsabilidad recae sobre usted: el grupo de trabajo del CEPD reconoció la dificultad práctica de evaluarla, pero dejó claro que los responsables del tratamiento deben demostrar la esencialidad de lo que clasifican como esencial. La autenticación de sesión, el contenido del carrito de compra y los tokens antifraude se mantienen. Una herramienta de mapas de calor, una biblioteca de pruebas y un píxel de marketing no.
Ejemplo práctico: un proceso de pago típico de comercio electrónico turco. La cookie de sesión, el token del carrito y el token de protección contra bots son esenciales; GA4, Meta Pixel, el remarketing de anuncios, la reproducción de sesiones y el widget de chat requieren consentimiento. Seis de ocho: una proporción que la mayoría de los equipos nunca ha anotado.
Fase 2: Arreglar la primera capa, incluida su accesibilidad.
La primera capa necesita una declaración clara de quién procesa qué y por qué, "aceptar todo" y "rechazar todo" con un estilo idéntico, una ruta a configuraciones detalladas y nada preseleccionado. Es más fácil defender la igualdad de importancia cuando se hace medible:
- Ambos botones principales tienen el mismo tamaño, peso y tratamiento. Si uno es un botón relleno, el otro también lo es.
- Contraste de texto de al menos 4.5:1, y 3:1 para bordes de botones y otros elementos de interfaz de usuario que no sean de texto, según WCAG 2.2 Criterios 1.4.3 y 1.4.11. El grupo de trabajo señaló los banners donde "el contraste entre el texto y el fondo del botón es tan mínimo que el texto resulta ilegible".
- El botón "Rechazar" debe ser real. El grupo de trabajo rechazó las opciones de rechazo que consistían en "un enlace detrás de un texto como 'rechazar'" sin suficiente apoyo visual.
- Teclado accesible en un orden lógico, sin trampa de foco (WCAG 2.1.2). Nuestro Herramienta de auditoría WCAG Detecta los fallos de contraste y de orden de enfoque.
Luego, compara tu texto con las seis familias de patrones del CEPD: sobrecarga, omisión, agitación, obstrucción, inconstancia y desconocimiento. "Agitación" se refiere a un diseño que "influye en la decisión que tomarían los usuarios apelando a sus emociones o utilizando estímulos visuales", que es precisamente lo que hace "Aceptar para obtener la mejor experiencia".
Paso 3: Construir la segunda capa y la ruta de retirada.
La segunda capa consiste en interruptores por categoría, todos desactivados por defecto, cada uno con una descripción de su propósito y un período de retención, y cada uno se puede guardar de forma independiente.
La revocación es donde fallan las implementaciones. Debe ser tan sencillo como otorgar el consentimiento, y la guía KVKK exige que la configuración sea accesible desde todas las páginas. Un enlace permanente en el pie de página o un pequeño control flotante funcionan; una línea en la política de privacidad no. Compruébelo revocando el consentimiento desde la página de un producto en dos clics.
Paso 4: Consentimiento por cable para que la negativa aún sea cuantificable.
Este pase decide si el cumplimiento te cuesta tus análisis. modo de consentimiento tiene dos formas:
- BASIC: Las etiquetas no se cargan hasta que el usuario interactúa. No se envía nada de antemano, "ni siquiera el estado de consentimiento predeterminado". Es la forma más sencilla de defenderse y se pierde toda la información de quienes se niegan.
- Avanzada: Las etiquetas se cargan con el consentimiento denegado por defecto y envían pings sin cookies. Se mantiene un registro del tráfico rechazado y se cumple con los requisitos para el modelado.
Avanzado es la única ruta a modelado de comportamiento, lo que requiere que "las etiquetas se carguen antes de que aparezca el diálogo de consentimiento, y las etiquetas de Google se cargan en todos los casos, no solo si el usuario da su consentimiento". Tenga en cuenta que la elegibilidad no es un modelo: Google afirma que cumplir con los umbrales publicados "no garantiza la elegibilidad". Considere los números modelados como orientativos, nunca como la métrica decisiva de un experimento.
Punto clave: si el tráfico combinado del EEE, el Reino Unido y Turquía no puede gestionar de forma plausible 1,000 eventos denegados al día, no base el plan de medición en modelos. Utilice los datos de conversión del servidor y su propia tabla de pedidos como fuente de información fidedigna.
Pase 5 — Instrumentar la propia pancarta
El banner es un paso del embudo y casi nadie lo mide. Registra cuatro eventos, sin datos personales, a través de un mecanismo que no requiere consentimiento: se muestra el banner (el denominador); se realiza una elección, con qué elección; se abre la segunda capa; y no hay interacción alguna.
Segmenta los cuatro por país y dispositivo. La tasa de inactividad móvil suele ser la sorpresa, y es la que puedes mejorar sin modificar la arquitectura de opciones: altura del banner, si cubre o no la llamada a la acción principal, o si reaparece en cada cambio de ruta.
Aprobar 6: Pruebe solo lo que tiene permitido probar.
Aspectos aceptables: altura del banner, posición, claridad del texto, nomenclatura de categorías, diseño de la segunda capa, si el banner bloquea el contenido. Aspectos no aceptables: asimetría de los botones, casillas premarcadas, rutas de rechazo ocultas, pasos adicionales en el proceso de rechazo. Estas no son variantes descartadas, sino hallazgos.
Sea escéptico también respecto a la cita estándar. La afirmación tan citada de que eliminar la opción de exclusión voluntaria de la primera página "aumenta el consentimiento en 22-23 puntos porcentuales" proviene de Nouwens et al., CHI 2020, cuyo rastreo cubrió miles de sitios pero cuyo experimento causal se desarrolló con 40 participantesLa dirección es creíble; la magnitud no debe citarse como referencia, y la cifra de 8 a 20 puntos del mismo documento para los controles granulares de primera capa conlleva la misma advertencia. Las cifras de "tasa de consentimiento promedio" de los proveedores son aún más débiles: bases de clientes autoseleccionadas, no verificables de forma independiente.
Puntuación de tu banner actual: 14 marcas
Un punto cada uno. Si obtienes menos de 12, corrígelo antes de gastar dinero en exámenes.
| # | Comprobar | Umbral de paso |
|---|---|---|
| 1 | Opción de rechazo en la primera capa | Presente, como un botón |
| 2 | Aceptar/rechazar la paridad visual | Mismo tamaño, peso y relleno. |
| 3 | Contraste del texto del botón | ≥4.5: 1 |
| 4 | Contraste de interfaz de usuario sin texto | ≥3: 1 |
| 5 | Categorías no esenciales premarcadas | Ninguna |
| 6 | Inventario de cookies documentado | Cada tecla tiene un propósito específico. |
| 7 | Justificación de la esencialidad por escrito | Una frase por cookie esencial |
| 8 | No se activan etiquetas antes de una elección | Verificado en un perfil limpio |
| 9 | Retirarse de cualquier página | ≤2 clics |
| 10 | Funcionamiento del teclado, sin trampa de foco | WCAG 2.1.2 cumple |
| 11 | Sin insinuación emocional | No hay un enfoque de "mejor experiencia" |
| 12 | No hay muro de cookies | Contenido accesible tras el rechazo. |
| 13 | Estado de consentimiento registrado | Registro conservado según la opción elegida |
| 14 | Embudo de pancarta instrumentado | Los cuatro eventos se disparan |
Aquí es donde se produce el fallo
Este es un manual de interfaz y medición, no una opinión legal, y hay cuatro cosas que quedan fuera de él.
ePrivacy es una directiva, por lo que la exención de análisis se interpreta de manera diferente en los Estados miembros y un diseño que satisface a una autoridad puede no satisfacer a otra. La ley también está en constante evolución: la propuesta Ómnibus Digital de la Comisión, COM(2025) 837 final del 19 de noviembre de 2025, trasladaría las normas sobre cookies al RGPD y eximiría la medición agregada de audiencia de origen, pero el propio historial legislativo del Parlamento muestra que se encuentra en fases iniciales, con una opinión del CESE del 18 de marzo de 2026 y sin votación del comité ni posición del Consejo publicada. Las publicaciones que anuncian los trílogos y un calendario establecido se adelantan al expediente. Diseñe según las normas actuales y mantenga el inventario en un formato que permita una rápida recategorización.
También omite las aplicaciones móviles, donde AT&T y las superficies de consentimiento de Android tienen sus propios mecanismos, y asume un único CMP: varias marcas en un contenedor de etiquetas necesitan un estado de consentimiento con alcance por dominio. [DATOS INTERNOS NECESARIOS: tasa de consentimiento anonimizada antes/después y tasa de no interacción móvil de una reconstrucción del banner de Switas, idealmente una propiedad de la UE y otra de Turquía, para reemplazar los puntos de referencia del proveedor que este artículo se niega deliberadamente a citar.]
Preguntas frecuentes
¿El botón "rechazar todo" reduce mi tasa de conversión?
Reduce tu tasa de consentimiento, que no es lo mismo. La conversión en el sitio web no se ve afectada por si alguien aceptó o no las cookies publicitarias; lo que cambia es tu capacidad para atribuirla en las plataformas publicitarias. Presupuesta para una peor atribución, no para menores ingresos.
¿Puedo considerar Google Analytics como estrictamente necesario?
En Turquía, la guía actualizada de la KVKK sitúa el análisis y la medición en una categoría propia, fuera de las exenciones para la transmisión técnica y los servicios solicitados expresamente. En la UE, la situación varía según el Estado miembro, pero lo habitual es que se requiera consentimiento.
¿Modo de consentimiento básico o avanzado?
Avanzado, a menos que su equipo legal se haya opuesto específicamente a los pings sin cookies antes de tomar una decisión. Básico es más fácil de defender y le quita toda la visibilidad del tráfico rechazado, incluida la elegibilidad del modelo.
¿Cuánto tiempo debo esperar antes de poder volver a preguntar después de una negativa?
En la normativa actual de la UE y Turquía no existe un número fijo; el requisito es que las reiteradas solicitudes no constituyan una obstrucción. La propuesta de la Ley Ómnibus Digital añadiría un plazo mínimo de seis meses por finalidad, pero no es ley. Almacenar la negativa durante seis meses y no volver a solicitarla es una política justificable en la actualidad.
¿Necesito un banner aparte para Turquía?
Normalmente no se necesita un banner aparte, sino una lógica de categorías específica para cada país y texto en turco con la misma paridad de botones. Las normas de la KVKK son lo suficientemente similares a las del CEPD como para que un banner bien diseñado sirva tanto cuando el texto como las categorías están localizados.
¿Es aceptable alguna vez una pared de galletas?
Considérenlo como no disponible. La guía KVKK no permite condicionar el acceso al contenido a la aceptación de todas las cookies, y los estándares de la UE son exigentes. La política de "consentimiento o pago" en los sitios de noticias es una cuestión aparte y controvertida, no un modelo para el comercio electrónico.
¿Con qué frecuencia debería revisarse esto?
Califica las 14 comprobaciones trimestralmente e inmediatamente después de cualquier cambio en el gestor de etiquetas o la integración de un nuevo proveedor. La mayoría de las regresiones se manifiestan como un nuevo píxel, no como un rediseño del banner.
Diseña tu propia pancarta o entréganosla.
Ejecuta las 14 comprobaciones en tu banner en vivo esta semana; lleva menos de una hora con un perfil de navegador limpio y un comprobador de contraste. Si prefieres que la interfaz, la capa de etiquetas y los registros de consentimiento se auditen juntos, con una lista de correcciones priorizadas en lugar de una puntuación, Hable con nosotros sobre una auditoría de accesibilidad y cumplimiento..
Fuentes
- EDPB, Informe del Grupo de Trabajo sobre el Aviso de Cookies, adoptado el 17 de enero de 2023
- CEPD, Directrices 03/2022 sobre patrones de diseño engañosos, v2.0 adoptada el 14 de febrero de 2023
- KVKK, Çerez Uygulamaları Hakkında Rehber (Edición actualizada, 2025)
- CNIL y Google multados con 325 millones de euros, 1 September 2025
- Descripción general del modo de consentimiento de Google
- Google, GA4 modelado de comportamiento para el modo de consentimiento
- Política de consentimiento del usuario de Google en la UE
- W3C, WCAG 2.2
- Nouwens, Liccardi, Veale, Karger, Kagal, Dark Patterns tras el RGPD, CHI 2020
- Tren legislativo del Parlamento Europeo, propuesta de reglamento ómnibus digital, COM(2025) 837 final
