En resumen
Un dark pattern de cookies es una técnica de diseño que empuja al usuario a aceptar las cookies sin una elección real, por ejemplo ocultando el botón Rechazar o haciéndolo menos visible que el botón Aceptar. La CNIL (autoridad francesa de protección de datos) considera que estas prácticas invalidan el consentimiento obtenido, porque no es ni libre ni informado como exige el RGPD. En diciembre de 2024, la CNIL emitió requerimientos formales a varios editores de sitios web por utilizar dark patterns en sus banners de cookies, concediéndoles un mes para adecuarse.
¿Qué es un dark pattern en un banner de cookies?
Un dark pattern es una decisión deliberada de diseño de interfaz que dirige al usuario hacia una acción que beneficia al editor del sitio, no al usuario. En el contexto de las cookies, consiste en empujar a los visitantes a hacer clic en «Aceptar todo» sin ofrecerles una elección real.
El término lo acuñó el diseñador Harry Brignull, que creó el sitio web darkpatterns.org para documentar estas prácticas. Las autoridades europeas de protección de datos también los denominan «patrones de diseño engañosos» o «interfaces engañosas».
Un dark pattern de cookies es una manipulación de la interfaz de consentimiento que impide al usuario tomar una decisión libre e informada sobre el uso de sus datos. La CNIL, el CEPD (Comité Europeo de Protección de Datos) y otras autoridades consideran que el consentimiento obtenido mediante un dark pattern no es válido según el RGPD.
¿Cuáles son los dark patterns más comunes en los banners de cookies?
Las autoridades de protección de datos han identificado varias prácticas recurrentes en los banners de consentimiento. Estos son los seis tipos de dark patterns de cookies más habituales.
Asimetría visual entre Aceptar y Rechazar
El botón «Aceptar todo» aparece con un color llamativo, una fuente grande y en una posición destacada. El botón «Rechazar» o «Continuar sin aceptar» aparece en texto gris, con una fuente más pequeña o como un simple enlace de texto. Esta asimetría crea una jerarquía visual que orienta la elección del usuario. Es el dark pattern más extendido en los banners de cookies.
Recorrido asimétrico (más clics para rechazar)
Aceptar las cookies requiere un clic. Rechazarlas obliga a entrar en un submenú, desmarcar las categorías una a una y después confirmar. Este desequilibrio en el número de pasos hace que rechazar sea más costoso que aceptar. La CNIL exige que rechazar las cookies sea igual de sencillo que aceptarlas, tanto en número de clics como en esfuerzo.
Sin botón Rechazar en la primera pantalla
Algunos banners muestran «Aceptar todo» y «Personalizar mis opciones», pero ningún botón «Rechazar todo» en el primer nivel. Los usuarios que quieren rechazar tienen que abrir el panel de personalización, lo que añade un paso más. La CNIL considera que esta práctica no cumple la normativa.
Textos ambiguos o culpabilizadores
Usar etiquetas como «Declino las funciones no esenciales» en lugar de «Rechazar» genera confusión. Algunos sitios van más allá con textos culpabilizadores como «Me niego a mejorar mi experiencia». Estas técnicas de «confirmshaming» buscan desanimar el rechazo.
Casillas premarcadas
Presentar las categorías de cookies con todas las casillas marcadas por defecto obliga al usuario a desmarcar cada opción manualmente. El RGPD es explícito en este punto: el silencio o las casillas premarcadas no constituyen un consentimiento válido (considerando 32 del RGPD, confirmado por la sentencia Planet49 del TJUE).
Cookie wall
Un cookie wall bloquea el acceso al contenido del sitio hasta que el usuario acepta las cookies. El usuario no tiene una elección real: aceptar o marcharse. La CNIL admite los cookie walls en condiciones muy estrictas (en concreto, debe existir una alternativa equitativa), pero en la mayoría de los casos esta práctica invalida el consentimiento.
¿Por qué sanciona la CNIL los dark patterns de cookies?
La respuesta se resume en un principio: el consentimiento para las cookies debe ser libre, específico, informado e inequívoco, de acuerdo con el RGPD (artículo 4, apartado 11) y el artículo 82 de la Ley francesa de Protección de Datos, que transpone la Directiva ePrivacy.
Un dark pattern impide que el consentimiento sea «libre», ya que orienta la decisión. También impide que sea «informado» cuando los textos son ambiguos. Por tanto, el consentimiento obtenido mediante un banner con dark patterns no es válido jurídicamente. Y si el consentimiento no es válido, todas las cookies instaladas sobre esa base tampoco lo son.
La CNIL no sanciona el «mal diseño» como tal. Sanciona que el consentimiento obtenido no sea conforme, lo que equivale a instalar cookies sin base jurídica.
¿Qué ocurrió en diciembre de 2024?
En diciembre de 2024, la CNIL anunció que había emitido requerimientos formales a varios editores de sitios web tras recibir reclamaciones por dark patterns en sus banners de cookies. Los editores afectados recibieron un plazo de un mes para modificar sus interfaces de consentimiento.
Entre las prácticas señaladas por la CNIL en estos requerimientos figuraban botones Aceptar destacados mediante el color, el tamaño o el estilo de fuente, mientras que la opción Rechazar se presentaba como un simple enlace de texto apenas visible. Otros sitios mostraban varios botones Aceptar pero un solo botón Rechazar, o colocaban el botón de rechazo en un lugar difícil de encontrar.
Esta oleada de requerimientos forma parte de una tendencia más amplia. La CNIL ya ha impuesto multas relacionadas con las cookies en varias ocasiones: Google (150 millones de euros), Facebook (60 millones de euros), Amazon (35 millones de euros), TikTok (5 millones de euros). Estos importes se referían a incumplimientos de la normativa de cookies en general, no solo a dark patterns, pero el mensaje es claro: la CNIL se toma este tema en serio.
Cómo comprobar si tu banner usa dark patterns
El método más sencillo es probar tu propio banner como un usuario cualquiera. Hazte estas preguntas mientras lo miras.
¿Es el botón Rechazar tan visible como el botón Aceptar? Mismo tamaño, mismo color, misma ubicación relativa. Si uno es verde intenso y el otro gris claro, es un dark pattern.
¿Rechazar las cookies requiere el mismo número de clics que aceptarlas? Si aceptar = 1 clic y rechazar = 3 clics (abrir preferencias, desmarcar todo, confirmar), es un recorrido asimétrico.
¿Los textos son neutros? «Aceptar todo» y «Rechazar todo» son neutros. «Aceptar y continuar» frente a «Declino los servicios de mejora de la experiencia» no lo es.
¿Hay casillas premarcadas? Si el usuario llega al panel de personalización con categorías ya activadas (aparte de las cookies estrictamente necesarias), no cumple la normativa.
Un escáner de cookies también puede ayudarte a identificar los scripts que se cargan antes de obtener el consentimiento, un problema distinto pero a menudo ligado a banners mal configurados.
Errores frecuentes (y cómo evitarlos)
Pensar que un pequeño desequilibrio visual no es un problema. La CNIL no fija un umbral de tolerancia. Si el botón Rechazar es objetivamente menos visible que el botón Aceptar, el consentimiento puede no ser válido. Solución: usa el mismo tamaño, el mismo grosor de fuente y un contraste equivalente para ambas opciones.
Confundir «Personalizar» con «Rechazar». Ofrecer «Aceptar todo» y «Personalizar mis opciones» sin un botón «Rechazar todo» no es suficiente. El usuario debe poder rechazar con un clic, sin pasar por una pantalla de personalización. Solución: añade un botón «Rechazar todo» en el primer nivel del banner.
Usar textos ambiguos para la opción de rechazo. Etiquetas como «Continuar con la configuración predeterminada» o «Declino las funciones no esenciales» no son claras. Solución: usa una etiqueta explícita como «Rechazar todo» o «Rechazar las cookies no esenciales».
Dar por hecho que los cookie walls siempre están prohibidos. La CNIL ha aclarado que los cookie walls pueden ser aceptables si se ofrece una alternativa equitativa (por ejemplo, un acceso de pago sin cookies). Pero en la práctica, muy pocos sitios cumplen estas condiciones. Solución: revisa las directrices sobre cookie walls y valora si tu caso realmente encaja.
No probar la visualización en móvil. Un botón claramente visible en escritorio puede volverse casi invisible en móvil si el diseño responsive no está bien resuelto. Los dark patterns involuntarios en móvil son frecuentes. Solución: prueba tu banner en al menos tres tamaños de pantalla antes de publicarlo.
Dejar casillas premarcadas en el panel de personalización. Por defecto, solo deben estar activadas las cookies estrictamente necesarias (que no requieren consentimiento). Todas las demás categorías deben estar desmarcadas. Solución: revisa la configuración de tu CMP para asegurarte de que las categorías opcionales están desactivadas por defecto.
Dark patterns de cookies: lo que revisan los reguladores
Para que te hagas una idea del nivel de exigencia, este es un resumen de lo que la CNIL y otras autoridades europeas examinan en los banners de consentimiento.
Checklist: banner de cookies sin dark patterns
- El botón «Rechazar todo» está presente en el primer nivel del banner, sin necesidad de ningún clic adicional.
- Los botones «Aceptar todo» y «Rechazar todo» tienen el mismo tamaño, color y peso visual.
- Rechazar las cookies requiere exactamente el mismo número de clics que aceptarlas.
- Los textos son neutros y explícitos («Aceptar todo» / «Rechazar todo»), sin jerga ni culpabilización.
- En el panel de personalización, solo las cookies estrictamente necesarias están marcadas por defecto.
- Ningún script no esencial (analítica, publicidad, redes sociales) se carga antes de que el usuario haya elegido.
- El banner se ha probado y es legible en móvil (botones accesibles, texto legible, sin dark patterns involuntarios).
- Cerrar el banner (si existe un botón de cierre) no cuenta como aceptación.
- El usuario puede cambiar su elección en cualquier momento mediante un enlace accesible en el sitio (normalmente en el pie de página).
- La política de cookies es accesible desde el banner.
Conclusión
Los dark patterns en los banners de cookies no son un detalle de diseño. Son prácticas que invalidan el consentimiento y exponen tu sitio a sanciones. La CNIL lo reafirmó a finales de 2024 con requerimientos formales a varios editores, y la tendencia no va a revertirse.
La regla es sencilla: rechazar las cookies debe ser tan fácil como aceptarlas. Misma visibilidad, mismo número de clics, misma claridad. Si tu banner no respeta esta simetría, el consentimiento que obtiene es jurídicamente frágil.
Para comprobar el estado de tu banner e identificar los scripts que se cargan antes del consentimiento, analiza tu sitio gratis con FlowConsent.