Cada semana miramos una web que tiene banner de cookies, política de privacidad y una insignia orgullosa de "cumple el RGPD" en el pie. Luego abrimos las herramientas de desarrollo del navegador y vemos a Google Analytics dispararse antes de que nadie haya hecho clic en nada. El banner es decoración. El seguimiento nunca esperó la respuesta.
Este no es un artículo legal y no soy abogado. Es la comprobación práctica que hacemos en cada web antes de ponerla en marcha, escrita para que puedas hacerla tú.
Por qué el banner por sí solo no cuenta
Según el RGPD y la LSSI española, las cookies de analítica y de marketing necesitan consentimiento antes de instalarse. No después, y no "implícito por seguir navegando". Un banner que aparece mientras GA4 ya está cargando ha hecho la pregunta después de actuar según la respuesta.
El motivo suele ser sencillo: el banner se añadió como plugin, las etiquetas se añadieron en Google Tag Manager y nadie conectó las dos cosas. GTM se dispara al cargar la página salvo que le digas que espere.
La comprobación de dos minutos
- Abre tu web en una ventana de incógnito, para que no recuerde un consentimiento anterior.
- Pulsa
F12(oCmd+Option+Ien un Mac) y abre la pestaña Red. - En el cuadro de filtro, escribe
google. - Recarga la página. No toques el banner.
- Mira la lista.
Si ves peticiones a google-analytics.com o a googletagmanager.com/gtag antes de haber hecho clic en nada, estás midiendo sin consentimiento. Esa es toda la prueba. Todo lo de abajo es para arreglarlo.
El arreglo, en Tag Manager
Tienen que cumplirse dos cosas. Primera, que GTM sepa qué ha elegido la visita. Segunda, que cada etiqueta tenga orden de esperar a eso.
1. Define un consentimiento por defecto, antes que nada
El Consent Mode v2 de Google espera un estado por defecto en cada página, definido antes de que cargue el contenedor de GTM. Todo denegado y después actualizar cuando la persona responda:
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}
gtag('consent', 'default', {
analytics_storage: 'denied',
ad_storage: 'denied',
ad_user_data: 'denied',
ad_personalization: 'denied',
wait_for_update: 500
});
Tu banner llama después a gtag('consent','update', …) con 'granted' para lo que la persona haya aceptado. Casi todas las herramientas de consentimiento decentes lo hacen por ti en cuanto activas la integración con Google. Comprueba que está activada.
2. Condiciona las etiquetas
En GTM, abre cada etiqueta, despliega Ajustes de consentimiento y añade el tipo que necesita: analytics_storage para GA4 y ad_storage para publicidad y píxeles. Una etiqueta con requisito no se dispara hasta que se concede.
3. Borra el iframe noscript
El fragmento de instalación de GTM viene en dos partes. La segunda es un bloque <noscript><iframe> en el body y no se puede condicionar al consentimiento. Carga el contenedor para quien tenga JavaScript desactivado, que hoy es casi nadie salvo algunos bots. Quítalo. No se rompe nada que te importe.
Y vuelve a hacer la comprobación. Incógnito, pestaña Red, filtro "google", recargar, no tocar nada. La lista tiene que estar vacía hasta que aceptes. Si no lo está, algo se dispara fuera de GTM: un plugin, un ajuste de la plantilla, un script metido a mano. Encuéntralo y pásalo por GTM o quítalo.
Qué hacen mal los plugins de WordPress
- Casillas premarcadas. El consentimiento tiene que ser una acción. Un "acepto" ya marcado no es consentimiento, y un banner con solo el botón de "Aceptar" tampoco.
- El "Rechazar" escondido a dos clics. Rechazar tiene que ser tan fácil como aceptar. Misma pantalla, mismo peso.
- El banner bloquea, pero la plantilla no. Las plantillas que incrustan YouTube, Google Maps o tipografías de Google las cargan directamente. El banner ni se entera.
Lista antes de publicar
- El consentimiento por defecto está en denegado, antes del fragmento de GTM
- Cada etiqueta de GA4, Ads y píxeles tiene un requisito de consentimiento en GTM
- El iframe noscript está borrado de la plantilla
- Prueba de red en incógnito: nada hacia Google antes de aceptar
- Rechazar es un solo clic, en la misma pantalla que aceptar
- La política de cookies enumera lo que se ejecuta de verdad, no una lista de plantilla
Si te quedas con una sola cosa
- El banner es la pregunta. Los ajustes de consentimiento de GTM son la respuesta. Tienen que existir los dos.
- La pestaña Red no miente. Pruébala antes de publicar y después de cada actualización de plugins.
- Borra el iframe noscript. Es la fuga más habitual que encontramos.
Si prefieres que esto lo haga otro, va incluido en cada web que construimos y también podemos hacerlo sobre una web existente como trabajo a precio cerrado. Reserva la llamada y te contamos lo que hemos encontrado antes de que pagues nada.
Builds websites and the systems behind them for small businesses in Spain and the Netherlands. Writes down the things clients ask twice.
