Casi todos los sitios muestran un aviso de cookies, y casi todos lo hacen mal. El banner aparece, la persona hace clic en "Aceptar" o lo ignora, y las herramientas de analítica y publicidad ya estaban funcionando desde el primer segundo. Con la Ley 21.719 de protección de datos personales, ese orden de cosas es justo lo que deja de ser aceptable.
Qué dice la ley y qué no
La Ley 21.719 se publicó el 13 de diciembre de 2024 y establece que entra en vigencia el 1 de diciembre de 2026. El Gobierno ingresó al Senado un proyecto para postergarla un año, que al escribir esto no está aprobado. El plan prudente es trabajar con la fecha vigente y ajustarse si cambia, porque la propuesta no modifica las obligaciones de fondo.
La ley no menciona las cookies por nombre. No hace falta, porque los identificadores y el comportamiento de navegación que registran son datos personales, y tratarlos exige una base legal. Para analítica y publicidad, esa base es en la práctica el consentimiento, que debe ser libre, informado, específico e inequívoco.
Las cookies no son todas iguales
- Necesarias. Mantienen el sitio funcionando (sesión, carrito, seguridad, el recuerdo de tu propia elección sobre cookies). No requieren consentimiento previo.
- De preferencias. Recuerdan idioma o configuraciones. Conviene informarlas.
- De analítica. Miden visitas y comportamiento (Google Analytics, Hotjar). Requieren consentimiento.
- De publicidad. Siguen a la persona para segmentar anuncios (Meta Pixel, Google Ads, TikTok). Requieren consentimiento.
Lo que debe hacer un aviso bien hecho
- No cargar nada de analítica o publicidad antes de que la persona acepte. Este es el punto que más sitios incumplen. Un banner que aparece con las cookies ya activas es solo decoración.
- Dar la opción de rechazar tan fácil como la de aceptar. Un botón "Aceptar" grande y un "Rechazar" escondido en un submenú no es consentimiento libre.
- Explicar para qué se usa cada categoría, en lenguaje simple y sin tener que abrir un documento de veinte páginas.
- Permitir cambiar la decisión después, con un acceso visible en el pie de página.
- Guardar evidencia del consentimiento. Si te preguntan, debes poder demostrar qué aceptó esa persona y cuándo.
Señales de que tu sitio tiene el problema
- Google Analytics, Meta Pixel o Tag Manager se cargan apenas se abre la página
- El aviso solo tiene un botón de aceptar
- Hay trackers de proveedores que nadie recuerda haber instalado
- No existe una política de privacidad que nombre las cookies que realmente se usan
Un ejemplo típico
Una tienda en línea instaló años atrás Meta Pixel, Google Analytics y una herramienta de mapas de calor. Luego sumó un banner de cookies de una plantilla. Al revisar con las herramientas del navegador, las tres se activan antes de cualquier clic. El banner existe, pero no controla nada.
Cómo ordenarlo
Haz un inventario de las cookies y scripts que carga el sitio (las herramientas de desarrollo del navegador muestran cuáles). Clasifícalas en las cuatro categorías de arriba. Configura el sitio para que las de analítica y publicidad esperen el consentimiento, y verifica después que de verdad lo hagan. El error más frecuente es confiar en el banner sin comprobar lo que ocurre detrás.
Esto es una parte del cumplimiento, no todo. Ya explicamos por qué una política de privacidad sola no alcanza. Para ver en qué estado está tu sitio, el Radar 21.719 revisa gratis las cookies, los trackers y los formularios. Es una revisión técnica de señales observables, no asesoría legal.
