La mayoría de las cookies de un sitio hacen algo que usted ha pedido: mantener la sesión iniciada, recordar el carrito, guardar el idioma. Las cookies de seguimiento son distintas. Existen para que alguien pueda medirle, seguirle o dirigirle publicidad. Esta guía explica qué son, cómo funcionan, cuáles encontrará con más frecuencia, qué exige la ley y cómo comprobarlas o bloquearlas. Para los fundamentos sobre el funcionamiento y los tipos de cookies, consulte nuestra guía cookies: definición, tipos y funcionamiento.
¿Qué son las cookies de seguimiento?
Una cookie de seguimiento es un pequeño archivo de texto que guarda el navegador y que contiene un identificador único, normalmente una cadena aleatoria como GA1.1.1234567890.1700000000. Cada vez que el navegador envía una petición al dominio que creó la cookie, devuelve ese identificador. Así, el servidor puede relacionar la nueva visita con las anteriores.
«Cookie de seguimiento» no es una categoría jurídica. Es el nombre habitual de las cookies cuya finalidad es seguir a un usuario: la mayoría de las cookies de analítica y casi todas las cookies publicitarias. Las autoridades prefieren hablar de forma más amplia de «dispositivos de almacenamiento y recuperación de datos», porque el almacenamiento local, los píxeles de seguimiento o el fingerprinting pueden hacer el mismo trabajo. Las mismas normas se aplican a todos.
Igual de importante es lo que una cookie de seguimiento no suele contener: su nombre o su correo electrónico. Contiene un identificador seudónimo, y los datos sobre usted (páginas vistas, anuncios en los que ha hecho clic, compras) se guardan en el servidor de la empresa que lee la cookie.
¿Cómo funcionan las cookies de seguimiento?
Todas siguen el mismo ciclo:
- Un script o un elemento incrustado en la página (etiqueta de analítica, píxel publicitario, botón de red social) pide al navegador que guarde una cookie con un identificador nuevo.
- En la página siguiente o en la próxima visita, el navegador devuelve esa cookie con cada petición al mismo dominio.
- El servidor registra el evento (página vista, clic, compra) con ese identificador.
- Con el tiempo, los eventos forman un historial: qué páginas leyó, qué campaña le trajo, si llegó a convertir.
Lo que cambia de una cookie a otra es quién puede leerla y, por tanto, hasta dónde llega el seguimiento.
Cookies de seguimiento propias
Una cookie propia se instala en el dominio que usted visita. Google Analytics, el Meta Pixel y el píxel de TikTok escriben hoy cookies propias: la cookie vive en ejemplo.es, pero el script envía su valor a Google, Meta o TikTok. El seguimiento queda limitado a un sitio, salvo que el proveedor cruce el identificador con otros datos, como una cuenta con sesión iniciada.
Cookies de seguimiento de terceros
Una cookie de terceros la instala otro dominio, por ejemplo un servidor publicitario cuyo script o iframe está incrustado en muchos sitios. Como el navegador envía la misma cookie a ese servidor desde cada sitio que lo incrusta, la red puede seguir un navegador de un sitio a otro y crear un perfil de intereses. Es la forma de seguimiento que más limitan los navegadores. Safari y Firefox ya bloquean o aíslan las cookies de terceros por defecto, mientras que Chrome las ha mantenido. Nuestro artículo sobre Google Privacy Sandbox y las cookies de terceros cuenta esa historia.
Ejemplos de cookies de seguimiento
Encontrará los mismos nombres en miles de sitios. Algunos ejemplos habituales, con la duración que indican sus proveedores:
_gay_ga_<id>(Google Analytics): un ID de cliente que reconoce el navegador durante 2 años por defecto, renovados en cada visita. Más detalles en nuestro artículo sobre las cookies _ga, _gid y _gat._gcl_au(vinculador de conversiones de Google Ads): relaciona los clics en anuncios con las conversiones, 90 días.IDEen doubleclick.net: una cookie publicitaria de Google instalada como cookie de terceros._fbpy_fbc(Meta Pixel): un ID de navegador y un ID de clic, unos 90 días, explicados en nuestro artículo sobre las cookies _fbp y _fbc._ttp(píxel de TikTok): un identificador para segmentación y medición de conversiones, 13 meses.MUID,_uetsidy_uetvid(etiqueta UET de Microsoft Advertising): identificadores de usuario y de sesión para los anuncios de Bing.bcookie(LinkedIn): un identificador de navegador, 2 años.
El patrón se repite: un identificador único, una vida larga y un tercero que recibe el valor. Esa combinación es lo que convierte una cookie en una cookie de seguimiento.
Cookies de seguimiento frente a otras cookies
Hay dos comparaciones frecuentes.
Una cookie de sesión se borra al cerrar el navegador. También puede llevar un identificador de seguimiento, pero la mayoría de las cookies de seguimiento son persistentes, precisamente porque su valor está en reconocerle días o meses después.
Las cookies estrictamente necesarias son lo contrario de las cookies de seguimiento. Sirven para prestar un servicio que usted ha solicitado, como un inicio de sesión o un carrito, y son las únicas exentas de consentimiento. Una cookie que mide o segmenta al usuario nunca entra en esa categoría, aunque la empresa considere imprescindibles sus estadísticas.
¿Son peligrosas las cookies de seguimiento?
Las cookies de seguimiento no son malware. Una cookie es texto pasivo: no puede ejecutar código, leer archivos ni instalar nada. Cuando un antivirus señala «cookies de seguimiento», apunta a un asunto de privacidad, no a una infección.
El problema está en lo que permiten los datos. Un sitio que mide su propia audiencia ve poco. Una red que ve el mismo identificador en miles de sitios puede deducir intereses, hábitos y a veces datos sensibles (salud, finanzas, opiniones) a partir de las páginas visitadas. Esos perfiles alimentan la segmentación publicitaria y pueden compartirse con otras empresas. Por eso el derecho europeo trata el seguimiento como una decisión del usuario y no como una opción por defecto.
¿Son legales las cookies de seguimiento? RGPD, LSSI y ePrivacy
El artículo 5.3 de la Directiva ePrivacy, incorporado en España en el artículo 22.2 de la LSSI, exige el consentimiento antes de almacenar o leer información en el dispositivo del usuario, salvo que sea estrictamente necesario para un servicio que el usuario ha solicitado. Las cookies de seguimiento nunca encajan en esa excepción, así que necesitan consentimiento. El RGPD, completado en España por la LOPDGDD, define qué es un consentimiento válido: libre, específico, informado, inequívoco, dado mediante una acción afirmativa clara y tan fácil de retirar como de dar.
En la práctica, un sitio conforme debe:
- no instalar ninguna cookie de seguimiento antes de que el visitante elija;
- ofrecer una opción de Rechazar tan sencilla como la de Aceptar;
- indicar las finalidades y los terceros implicados;
- respetar el rechazo y permitir cambiar de opinión más adelante.
Las autoridades aplican estas normas. En diciembre de 2021, la CNIL francesa impuso a Google una multa de 150 millones de euros y a Facebook una de 60 millones de euros, porque rechazar las cookies en sus sitios exigía más clics que aceptarlas. En España, la AEPD publica una guía sobre el uso de las cookies con los mismos principios.
Antes de seguir, compruebe lo que hace su propio sitio: con el escáner de cookies gratuito verá en 30 segundos qué cookies instala antes de cualquier consentimiento.
La parte técnica cuenta tanto como el banner. Un banner que pregunta mientras la etiqueta de Google Analytics ya se dispara al cargar la página sigue sin ser conforme. Una CMP como FlowConsent, por ejemplo, retiene cada script de analítica y de publicidad hasta que el visitante acepta la categoría correspondiente, y transmite la elección a las etiquetas de Google mediante Consent Mode v2.
Cómo saber si un sitio web usa cookies de seguimiento
Basta con unos minutos:
- Abra el sitio en una ventana privada, sin hacer clic en el banner.
- Abra las herramientas para desarrolladores (F12 o clic derecho, luego Inspeccionar) y vaya a Aplicación y después Cookies en Chrome o Edge, o a Almacenamiento en Firefox.
- Revise cada dominio y los nombres de cookies como
_ga,_fbp,_gcl_auoIDE. Una fecha de caducidad lejana y un valor aleatorio son indicios claros de seguimiento. - Haga clic en Rechazar, recargue la página y vuelva a comprobarlo. No debe aparecer ninguna cookie de seguimiento.
La pestaña Red ofrece una segunda vista: las peticiones a google-analytics.com, facebook.com o doubleclick.net antes del consentimiento indican que el seguimiento empieza demasiado pronto. Para un método completo, consulte nuestra guía de auditoría de cookies de un sitio web.
Cómo bloquear o eliminar las cookies de seguimiento
Como visitante, dispone de varias opciones:
- Rechazar en el banner. En un sitio conforme, Rechazar impide que se instalen las cookies de seguimiento.
- Usar la protección del navegador. La prevención inteligente de seguimiento de Safari y la protección mejorada contra el rastreo de Firefox bloquean por defecto la mayoría de los rastreadores de terceros. En Chrome, puede bloquear las cookies de terceros en la configuración de privacidad.
- Borrar las cookies con regularidad. Así se reinician los identificadores, a cambio de cerrar la sesión en los sitios.
- Usar un bloqueador de contenido. Las extensiones que bloquean los scripts de seguimiento detienen las cookies en su origen.
Borrar las cookies no detiene el fingerprinting, que reconoce un dispositivo sin guardar nada en él. La protección del navegador y el rechazo del consentimiento siguen siendo la combinación más eficaz.
Cómo gestiona FlowConsent las cookies de seguimiento
FlowConsent trata cada cookie de seguimiento como sujeta a consentimiento. Su escaneo automático detecta las cookies que su sitio instala realmente, incluidas las de herramientas incrustadas, y las clasifica en categorías como analítica y marketing. Hasta que el visitante acepta una categoría, los scripts que instalarían esas cookies quedan bloqueados, y las etiquetas de Google reciben la elección mediante Consent Mode v2. Cada decisión se guarda como prueba de consentimiento exportable, alojada en Europa. La instalación lleva unos diez minutos en Webflow, WordPress, Shopify, Wix, Framer o mediante GTM, y FlowConsent es gratuito hasta 25.000 sesiones al mes. La documentación sobre la declaración de cookies muestra cómo las cookies escaneadas se convierten en la lista que ven sus visitantes.