Hace unos días quitamos el banner de cookies de esta web. No lo hicimos por despiste ni porque alguien nos asegurase que "total, nadie multa". Lo hicimos porque, al revisar qué guardaba realmente la web en el navegador de quien la visita, la respuesta fue: nada que exigiera pedir permiso. Y un aviso que pide permiso para algo que no haces es ruido, no cumplimiento.
Este artículo explica el razonamiento, por si te estás preguntando lo mismo sobre tu web.
Qué dice realmente la norma
Existe la idea extendida de que toda web necesita un banner de cookies. No es así. La normativa europea (la directiva ePrivacy, que en España recoge el artículo 22 de la LSSI) no habla de "tener un banner". Habla de pedir consentimiento antes de guardar o leer información en el dispositivo del usuario, salvo que sea imprescindible para prestar el servicio que esa persona ha pedido.
Es decir, el consentimiento no depende de que la web tenga cookies "en general", sino de qué hace cada una. Las que son estrictamente necesarias (mantener una sesión iniciada, recordar lo que hay en un carrito, equilibrar la carga entre servidores) están exentas. Las que sirven para publicidad, para seguir al usuario entre webs o para medir con herramientas de terceros, no lo están.
El banner, por tanto, es la herramienta para gestionar ese consentimiento. Si no hay nada que consentir, la herramienta sobra.
Qué hacía el banner en nuestra web
Cuando revisamos la web, el aviso estaba ahí por inercia. Lo habíamos puesto en su día, cuando usábamos Google Analytics, y se quedó cuando dejamos de usarlo. Seguíamos pidiendo permiso para unas cookies que ya no existían.
Hicimos entonces un inventario, que es lo único que de verdad hay que hacer. Abrir las herramientas de desarrollo del navegador, ir a la pestaña de almacenamiento y mirar qué se guarda, quién lo guarda y para qué. El resultado:
- Cookies propias: ninguna.
- Cookies de terceros: ninguna. Las imágenes salen de nuestro propio servidor y el formulario de contacto no deja rastro en el navegador.
- Estadísticas: Matomo, alojado por nosotros y configurado sin cookies.
- Almacenamiento local: una sola entrada, la del tema claro u oscuro, que se guarda únicamente cuando el visitante pulsa el botón para cambiarlo.
Las estadísticas sin cookies
Este es el punto que más dudas genera, porque medir visitas es precisamente lo que mucha gente asocia a las cookies. Pero una herramienta de analítica no tiene por qué usarlas. Matomo puede funcionar sin guardar nada en el dispositivo: registra los datos técnicos de la visita (página, fecha, navegador) y poco más, sin dejar un identificador que siga a la persona de una visita a otra.
Con eso no se pierde mucho. Se pierde la capacidad de saber si el visitante que llegó el martes es el mismo que volvió el viernes, y eso, para una web de un negocio pequeño, rara vez cambia ninguna decisión. A cambio, se mide a todo el mundo, no solo a quien pulsa "aceptar", algo que ya contamos al dejar Google Analytics por Matomo.
Lo que no significa quitar el banner
Conviene ser claros con lo que no estamos diciendo:
No es una invitación a quitar el banner sin mirar. Si tu web carga Google Analytics, un píxel de Meta, un mapa o un vídeo incrustado de otro servicio, casi seguro que hay cookies o rastreo de terceros, y ahí el consentimiento sí es obligatorio.
No exime del resto del RGPD. Quitar el banner no cambia que, si tienes un formulario, estás tratando datos personales y debes informar de quién es el responsable, para qué los usas y qué derechos tiene la persona. Por eso, a la vez que retiramos el banner, actualizamos la política de privacidad y añadimos la información básica junto a la casilla de los formularios.
No sustituye a la política de cookies. Sigue haciendo falta, aunque sea para decir con claridad que no se usan. La nuestra lo dice en la primera línea.
No es asesoramiento jurídico. Es nuestra lectura de la norma aplicada a nuestro caso. Si tu web es más compleja, revisa tu situación con alguien que se dedique a ello.
Cómo saber si tu web puede prescindir del banner
Hay un ejercicio sencillo que puedes hacer hoy en diez minutos:
- Abre tu web en una ventana de incógnito y, antes de aceptar nada, abre las herramientas de desarrollo y mira las cookies y el almacenamiento local.
- Anota qué se guarda y quién lo guarda. Si ves nombres como
_ga,_fbpo similares, ya sabes de dónde vienen. - Pregúntate para qué sirve cada una. ¿Sin ella dejaría de funcionar algo que la persona ha pedido? Si la respuesta es no, necesita consentimiento.
- Mira qué cargas de otros servicios. Mapas, vídeos, fuentes, chats, botones sociales. Cada uno es una puerta por la que puede entrar rastreo que tú no has decidido.
- Decide qué sobra. A menudo la mejor solución al banner no es gestionarlo mejor, sino necesitarlo menos.
Un banner que no hace falta tiene un coste
Para quien visita la web, el banner es una interrupción más en la primera impresión. Para quien la mantiene, es un script más que cargar, que mantener y que actualizar. En nuestro caso, quitarlo eliminó más de dos mil líneas de código y tres ficheros que ya no se descargan en cada visita.
Pero el coste más importante es de confianza. Pedirle permiso a alguien para algo que no vas a hacer es raro, y acostumbrar a los visitantes a pulsar "aceptar" sin leer no ayuda a nadie. Una web que simplemente no te sigue es, además de más ligera, más fácil de creer.
La mejor gestión de cookies no es el banner más elegante ni el más completo. Es no necesitarlo, y poder decirlo en una frase: esta web no guarda nada que no hayas pedido tú.
