Tener un banner de cookies no significa que tu web espere a que el visitante elija. Es uno de los fallos que más vemos en las auditorías: el banner aparece, pero Google Analytics, el píxel de Meta o un widget de redes ya se han cargado por detrás. Aquí van dos casos reales y lo que dice la normativa.
Esto no es asesoramiento jurídico. Son observaciones técnicas. Para dudas legales concretas, consulta con un abogado o con la AEPD.
Qué dice la norma, en corto
- LSSI, artículo 22.2 (texto consolidado en el BOE): solo se pueden usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario «a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización». Hay excepciones para las cookies técnicas estrictamente necesarias.
- Guía sobre el uso de las cookies de la AEPD (actualizada en mayo de 2024): entre otras cosas, la opción de rechazar las cookies debe ofrecerse «al mismo tiempo, al mismo nivel y con la misma visibilidad» que la de aceptarlas.
En la práctica: si una cookie no técnica se instala o se envían datos a terceros antes de que el visitante pulse algo, el banner no está haciendo su trabajo.
Caso 1: nuestra propia tienda (lazaruslab.net)
lazaruslab.net es la tienda de arte del fundador de Remote Mend, no un cliente. En la auditoría del 7 de octubre de 2026, la página de producto instalaba 6 cookies de terceros sin que nadie tocara el banner. En la nueva auditoría del 11 de octubre: 0.
Qué se cambió:
- Ninguna cookie de terceros antes de elegir; la analítica solo tras «Aceptar».
- Los scripts de pago exprés (Stripe, Amazon Pay, hCaptcha) ya no se cargan en las páginas de producto; el pago sigue en el checkout.
- La política de seguridad (CSP) se corrigió para que Google Analytics (GA4) vuelva a funcionar tras el consentimiento. Antes estaba bloqueado.
Lo último importa: arreglar el consentimiento no debe dejarte sin analítica. El objetivo es que se cargue cuando toca, no que no se cargue nunca.
Caso 2: un estudio de tatuajes en Square Online
Madriz Ink es un estudio de tatuajes del centro de Madrid. Su web está en Square Online y el cliente aceptó aparecer con su nombre. En el caso de estudio, los envíos a Google Analytics y Meta antes de elegir (o después de «Rechazar todo») pasaron de sí a 0.
Qué encontramos y qué se hizo:
- Un fragmento duplicado de Google Analytics se saltaba el consentimiento. Se eliminó y Analytics se restauró para cargar solo tras el consentimiento.
- Cookiebot se sustituyó por un banner de cookies RGPD más ligero.
- Las etiquetas de analítica y marketing esperan al consentimiento. Los widgets de Elfsight (Instagram, TikTok y reseñas) solo se cargan tras aceptar las cookies de marketing.
- Se publicaron cuatro páginas legales (RGPD/LSSI): aviso legal, política de privacidad, política de cookies y condiciones de venta. Están redactadas a partir de observaciones técnicas y de los datos del cliente, no como asesoramiento jurídico.
Google Consent Mode v2: qué es y qué no es
Google Consent Mode permite que las etiquetas de Google ajusten su comportamiento según el consentimiento. Se definen por defecto en «denied» los parámetros ad_storage, ad_user_data, ad_personalization y analytics_storage, y se actualizan cuando el usuario acepta. La versión 2 añadió ad_user_data y ad_personalization.
Dos matices:
- Consent Mode no es un banner ni sustituye al consentimiento. Necesitas una herramienta de consentimiento que lo active.
- Google documenta un modo «básico» (las etiquetas no se cargan hasta que hay consentimiento) y uno «avanzado» (las etiquetas se cargan y envían señales sin cookies mientras no hay consentimiento). Cuál encaja con tu interpretación de la normativa es una decisión legal, no técnica.
Cómo comprobar tu web en 2 minutos
- Abre tu web en una ventana de incógnito y no toques el banner.
- En las herramientas de desarrollador del navegador, mira las cookies (Aplicación → Cookies) y las peticiones de red (filtra por «google-analytics», «facebook» o «collect»).
- Si ves cookies
_gao peticiones a terceros antes de elegir, el banner no está esperando. - Repite tras pulsar «Rechazar todo».
¿Y si es tu web?
La auditoría ($500, en dólares e impuestos no incluidos; se descuenta si apruebas la reparación en 14 días) revisa el consentimiento con pruebas: qué se carga, cuándo y en qué URL. En WordPress, la reparación (desde $1,500) incluye instalar la herramienta de consentimiento para que la analítica espere. En Square Online, Wix o Squarespace, los arreglos dentro de tu propia cuenta empiezan en $750.
Relacionado: Qué debe decirte una auditoría web de $500 y Web en Square Online lenta.
Envía tu web → o escríbenos a info@remotemend.com.