Resumen
La Digital Markets Act (DMA) es un reglamento europeo que entró en vigor en marzo de 2024 y que impone obligaciones específicas a las grandes plataformas digitales (guardianes de acceso o gatekeepers) en materia de consentimiento y rastreo. Para los editores de sitios web, la DMA refuerza la exigencia de un consentimiento explícito antes de cualquier intercambio de datos con los servicios de los guardianes de acceso (Google, Meta, Amazon, Apple, etc.). En concreto, afecta a la forma en que configura sus cookies, su CMP y sus integraciones publicitarias.
¿Qué es la Digital Markets Act?
La Digital Markets Act (DMA), o Ley de Mercados Digitales, es un reglamento de la Unión Europea que busca regular las prácticas de las grandes plataformas digitales designadas como «guardianes de acceso» (gatekeepers). Adoptada en 2022 y aplicable desde marzo de 2024, complementa el RGPD añadiendo obligaciones específicas sobre el consentimiento, el cruce de datos y la transparencia publicitaria.
A diferencia del RGPD, que se aplica a cualquier responsable del tratamiento, la DMA se dirige específicamente a las plataformas dominantes: Google (Search, Ads, Maps, Android, Chrome), Meta (Facebook, Instagram, WhatsApp, Messenger), Amazon, Apple, Microsoft, ByteDance (TikTok) y algunas otras. Pero sus efectos repercuten en todas las webs que utilizan los servicios de estos guardianes de acceso.
¿Cómo afecta la DMA a la gestión de cookies en su web?
La DMA afecta a su web en cuanto utiliza servicios prestados por un guardián de acceso: Google Analytics, Google Ads, Meta Pixel, Amazon Ads o cualquier otra herramienta de estas plataformas. El reglamento prohíbe a los guardianes de acceso cruzar los datos de sus distintos servicios sin el consentimiento explícito del usuario.
En el caso concreto de la etiqueta de Meta, nuestra guía sobre Meta Pixel y el cumplimiento del RGPD explica cómo bloquearla hasta que el visitante dé su consentimiento.
Consentimiento reforzado para los servicios de los guardianes de acceso
El artículo 5, apartado 2, de la DMA prohíbe a los guardianes de acceso combinar los datos personales recogidos a través de su servicio de plataforma con datos procedentes de otros servicios, salvo consentimiento explícito. En la práctica, Google ya no puede fusionar sus datos de Google Analytics con los datos de Google Ads o YouTube sin que el usuario haya dado un consentimiento específico.
Para los editores de sitios web, esto significa que su banner de consentimiento debe permitir al usuario aceptar o rechazar por separado el intercambio de datos con cada guardián de acceso. Un simple botón «Aceptar todas las cookies» no basta si el usuario no entiende que sus datos se cruzarán entre varios servicios de Google.
El impacto en Google Consent Mode y las señales publicitarias
Google ha adaptado Consent Mode v2 para cumplir con la DMA. Los dos nuevos parámetros añadidos (ad_user_data y ad_personalization) responden directamente a las exigencias de la DMA: permiten al editor indicar si el usuario ha consentido compartir sus datos con Google para la publicidad personalizada y el uso de sus datos propios (first-party).
Para ver qué cambian estas señales para los anunciantes, lea nuestro análisis sobre el impacto de Consent Mode v2 en las campañas de Google Ads.
DMA frente a RGPD: ¿qué diferencias hay para las cookies?
La DMA y el RGPD son complementarios, no rivales. El RGPD regula el tratamiento de datos personales por parte de cualquier organización. La DMA añade una capa adicional de obligaciones específicas para los guardianes de acceso y, por extensión, para los editores que utilizan sus servicios.
¿Qué medidas concretas debe tomar en su web?
Aunque la DMA se dirige a los guardianes de acceso, los editores de sitios web deben adaptar su configuración para seguir cumpliendo. Estas son las medidas que debe tomar.
Actualizar su CMP para que transmita las señales correctas
Su CMP debe transmitir los parámetros ad_user_data y ad_personalization además de ad_storage y analytics_storage. Sin estas señales, Google considera que el usuario no ha consentido compartir sus datos, lo que desactiva las funciones publicitarias avanzadas.
La documentación de Consent Mode v2 de FlowConsent muestra que las cuatro señales v2, incluidas ad_user_data y ad_personalization, empiezan en «denied» antes de que se cargue cualquier etiqueta.
Comprobar la granularidad de su banner de consentimiento
La DMA exige un consentimiento específico para el cruce de datos. Su banner debe permitir al usuario entender qué servicios de guardianes de acceso se utilizan y aceptar o rechazar ese intercambio. Las categorías de cookies (analítica, publicidad, funcionales) siguen siendo pertinentes, pero la transparencia sobre los destinatarios de los datos cobra aún más importancia.
Documentar el flujo de datos hacia los guardianes de acceso
Añada a su política de cookies la lista de servicios de guardianes de acceso utilizados en su web, los datos transmitidos y sus finalidades. La DMA refuerza la transparencia: el usuario debe poder identificar con claridad qué guardianes de acceso reciben sus datos.
Con FlowConsent, la declaración de cookies se genera a partir de los servicios activos, lo que facilita mantener esta lista al día.
Errores habituales relacionados con la DMA y las cookies
Pensar que la DMA solo afecta a las GAFAM. La DMA afecta directamente a los guardianes de acceso, pero repercute en todas las webs que utilizan sus servicios. Si utiliza Google Analytics, Google Ads o Meta Pixel, las obligaciones de la DMA le afectan de forma indirecta.
Lo mismo ocurre con TikTok, propiedad del gatekeeper ByteDance: consulte nuestra guía sobre TikTok Pixel y el RGPD.
Confundir el cumplimiento del RGPD con el cumplimiento de la DMA. Cumplir el RGPD no basta. La DMA añade exigencias específicas sobre el cruce de datos entre servicios. Un banner de cookies conforme con el RGPD puede no serlo según la DMA si no se transmiten las señales ad_user_data y ad_personalization.
Ignorar las actualizaciones de su CMP. Las CMP actualizan periódicamente sus integraciones para dar soporte a las nuevas exigencias de la DMA. No actualizar su CMP puede provocar una pérdida de funciones publicitarias sin que usted se dé cuenta.
No adaptar la política de cookies. La DMA exige una mayor transparencia sobre los destinatarios de los datos. Si su política de cookies no menciona explícitamente a los guardianes de acceso y el cruce de datos, está incompleta.
Checklist DMA y cookies
- Identificar todos los servicios de guardianes de acceso utilizados en su web (Google, Meta, Amazon, Apple, etc.)
- Comprobar que su CMP transmite los parámetros ad_user_data y ad_personalization
- Asegurarse de que el banner de consentimiento ofrece una granularidad suficiente para los servicios de los guardianes de acceso
- Actualizar su política de cookies para enumerar los guardianes de acceso y los datos compartidos
- Probar el comportamiento de sus etiquetas cuando el usuario rechaza el intercambio de datos
- Documentar su configuración en su registro de actividades de tratamiento
- Seguir las decisiones de la Comisión Europea sobre los guardianes de acceso designados
- Actualizar su CMP periódicamente para incorporar las nuevas exigencias
Conclusión
La DMA no sustituye al RGPD, lo complementa. Para los editores de sitios web, el impacto principal afecta a la configuración de la CMP y a la transparencia con los usuarios sobre el intercambio de datos con los guardianes de acceso. Las webs que utilizan servicios de Google, Meta o Amazon deben adaptar su configuración para transmitir las señales de consentimiento correctas.
El punto de partida: comprobar que su CMP está actualizada y que los cuatro parámetros de Consent Mode v2 están correctamente configurados. Realice un escaneo gratuito de su web con FlowConsent para identificar los rastreadores de los guardianes de acceso presentes en sus páginas.