Durante años, el «fin de las cookies de terceros» fue el gran tema de la publicidad digital. Muchos responsables de webs aplazaron decisiones sobre su banner esperando que Chrome cambiara las reglas del juego. La historia ya tiene final, aunque no el que casi todos esperaban. En esta guía le explicamos qué ha pasado, qué queda del Privacy Sandbox y qué debería revisar hoy mismo en su web.
Del anunciado fin de las cookies al giro de Google: cronología
Google lanzó el Privacy Sandbox en 2019 con una promesa: ofrecer tecnologías del navegador que permitieran la publicidad sin seguimiento entre sitios y, después, eliminar las cookies de terceros de Chrome, como ya habían hecho a su manera Safari y Firefox. La fecha se aplazó varias veces, y la autoridad de competencia británica (CMA) supervisó el proyecto tras aceptar compromisos vinculantes de Google en febrero de 2022.
Los hitos clave, según los anuncios oficiales de Google y la propia CMA:
- 4 de enero de 2024: Chrome restringe por defecto las cookies de terceros para el 1 % de sus usuarios, a modo de prueba.
- 22 de julio de 2024: Google descarta la eliminación total y anuncia una nueva experiencia en Chrome para que cada persona tome una decisión informada.
- 22 de abril de 2025: Google también abandona esa elección independiente. Chrome mantiene su enfoque actual: el usuario gestiona las cookies de terceros desde la configuración de privacidad y seguridad. El modo incógnito las sigue bloqueando por defecto.
- 17 de octubre de 2025: Google anuncia la retirada de la mayoría de las tecnologías del Privacy Sandbox por su baja adopción. Ese mismo día, la CMA libera a Google de sus compromisos de 2022.
El resultado es el statu quo: en Chrome, las cookies de terceros siguen activas salvo que el usuario las desactive.
¿Qué queda del Privacy Sandbox en 2026?
En su actualización de octubre de 2025, Google enumeró las tecnologías que se retiran en Chrome y Android: Attribution Reporting, IP Protection, On-Device Personalization, Private Aggregation y Shared Storage, Protected Audience, Protected App Signals, Related Website Sets, SelectURL, SDK Runtime y Topics. La Topics API está marcada como obsoleta desde Chrome 144 y su eliminación está prevista en una versión posterior.
Solo se mantienen tres piezas:
- CHIPS (cookies particionadas): un servicio de terceros integrado, como un widget de chat, puede guardar una cookie vinculada al sitio donde está insertado, sin poder seguir al usuario por otras webs.
- FedCM: una API del navegador para flujos de inicio de sesión del tipo «Iniciar sesión con...».
- Private State Tokens: señales de confianza contra el fraude sin identificador entre sitios.
Si había empezado a probar Topics o Protected Audience (antes FLEDGE), no tiene sentido seguir invirtiendo en ellas. Y si un proveedor le vende una solución «compatible con Privacy Sandbox» como excusa para no pedir consentimiento, desconfíe.
¿Por qué sus obligaciones no han cambiado?
Se repitió mucho que el fin de las cookies de terceros haría innecesarios los banners. Nunca fue así, porque la normativa europea no regula una tecnología concreta, sino el acceso al equipo del usuario.
La regla: se protege el dispositivo, no solo la cookie
El artículo 5.3 de la directiva ePrivacy, trasladado en España al artículo 22.2 de la LSSI, exige informar con claridad y obtener el consentimiento antes de almacenar o leer información en el equipo terminal del usuario, salvo que sea estrictamente necesario para un servicio que este haya solicitado. Da igual que se trate o no de datos personales. El Comité Europeo de Protección de Datos (CEPD) lo dejó claro en sus Directrices 2/2023, adoptadas en su versión final el 7 de octubre de 2024: se refieren expresamente a los nuevos métodos de seguimiento pensados para sustituir a las cookies de terceros, como los píxeles, el seguimiento por URL, el procesamiento local en el dispositivo o los identificadores únicos.
Lo que dice la AEPD
La Guía sobre el uso de las cookies de la AEPD, actualizada en julio de 2023 para adaptarla a las directrices del CEPD sobre patrones engañosos, se aplica a las cookies y a cualquier tecnología similar de almacenamiento o recuperación de datos. Uno de sus puntos clave: aceptar y rechazar deben presentarse al mismo nivel, sin que rechazar sea más complicado que aceptar.
El RGPD como complemento
Cuando la información puede vincularse a una persona identificable, se suma el RGPD: el consentimiento debe ser libre, específico, informado e inequívoco, tan fácil de retirar como de dar, y demostrable. Por eso la prueba del consentimiento importa tanto como el propio banner.
Cada una de estas exigencias se explica en nuestra guía de las 7 condiciones de validez del consentimiento RGPD.
En resumen, la decisión de Chrome cambia lo que es técnicamente posible, no lo que está permitido. Una cookie publicitaria de terceros sigue necesitando consentimiento previo en España, la acepte o no el navegador.
Qué significa en la práctica para su web
El bloqueo previo sigue siendo imprescindible
Como Chrome sigue aceptando cookies de terceros, cualquier script publicitario o de redes sociales que se cargue antes de la decisión del visitante instalará sus cookies al momento en la mayor parte de su tráfico. Es justo lo primero que revisan las autoridades. Los scripts no necesarios solo deben cargarse después de un «Aceptar» explícito.
Nuestra guía sobre Meta Pixel y el RGPD muestra cómo se aplica a una de las etiquetas publicitarias más extendidas.
Una medición distinta según el navegador
Safari bloquea las cookies de terceros por defecto desde 2020 y Firefox las aísla por sitio con su protección total de cookies. Chrome, en cambio, las mantiene. Su audiencia se reparte entre entornos con capacidades de seguimiento muy diferentes, así que las diferencias de atribución son normales. No intente taparlas con fingerprinting: según el CEPD, también requiere consentimiento. En nuestro artículo sobre tracking sin cookies le contamos qué funciona de verdad.
Las normas de Google marcan el ritmo
Si usa Google Ads, Google Analytics o AdSense, la política de consentimiento de usuarios de la UE de Google es la que manda. Se aplica a visitantes del EEE, Reino Unido y Suiza y le obliga a obtener un consentimiento válido cuando la ley lo exija, a conservar registros de ese consentimiento y a identificar con claridad a quién se envían los datos. En la práctica, Google recibe las decisiones de sus visitantes a través de Google Consent Mode v2 y sus cuatro señales: ad_storage, analytics_storage, ad_user_data y ad_personalization. Desde marzo de 2024, las dos últimas son necesarias, por ejemplo, para usar audiencias de Customer Match en el EEE.
Si Google Analytics forma parte de sus herramientas, nuestro análisis sobre si Google Analytics es conforme al RGPD repasa las cuestiones que plantea.
Los datos propios no eximen del consentimiento
Con el retargeting basado en cookies de terceros muy limitado en Safari y Firefox, muchos anunciantes apuestan por datos propios y etiquetado en servidor. Pueden mejorar la calidad de los datos, pero no eliminan la necesidad de consentimiento cuando la finalidad es publicitaria. Lea nuestro análisis sobre server-side tagging y consentimiento antes de mover sus etiquetas.
Plan de acción para 2026
En lugar de esperar al próximo anuncio de un navegador, céntrese en lo que puede controlar:
- Haga inventario de lo que carga su web: cookies, píxeles y scripts, incluidos los de plugins y contenidos incrustados. Una auditoría de cookies suele destapar rastreadores que nadie recordaba.
- Elimine el código del Privacy Sandbox que ya no sirve. Si alguna etiqueta llama a
document.browsingTopics()o usa grupos de interés de Protected Audience, quítelo o pida a su proveedor el plan de retirada. - Compruebe el bloqueo previo en Chrome, Safari y Firefox: ninguna cookie publicitaria o analítica debe instalarse antes del consentimiento.
- Ofrezca una elección real. «Rechazar todo» debe estar tan a mano como «Aceptar todo» en la primera capa del banner.
- Envíe bien el consentimiento a Google con Consent Mode v2: valores por defecto en «denied» y actualización de las cuatro señales tras la decisión.
- Guarde la prueba de cada elección, con fecha y hora y la versión del banner mostrada.
- Actualice su política de cookies para describir los rastreadores que realmente utiliza.
Dónde encaja una plataforma de gestión del consentimiento
Puede hacer todo esto a mano, pero mantenerlo cuesta a medida que su web y sus etiquetas cambian. Una plataforma de gestión del consentimiento (CMP) automatiza la parte repetitiva. FlowConsent, por ejemplo, escanea su web automáticamente para detectar cookies, bloquea los scripts hasta que hay consentimiento, conserva las pruebas de consentimiento durante 13 meses y envía las señales de Consent Mode v2 a Google (y de Microsoft UET Consent Mode a Microsoft Ads) con un único script, sin necesidad de Google Tag Manager. Los datos se alojan en la UE y el plan gratuito cubre hasta 25.000 sesiones al mes en un dominio.
Nuestra guía para elegir una plataforma de gestión del consentimiento presenta los criterios que conviene comparar.
Elija la herramienta que elija, valórela por lo esencial: ¿bloquea de verdad antes del consentimiento, rechazar es tan fácil como aceptar y puede generar una prueba?
Para la prueba, el informe de prueba de FlowConsent convierte un escaneo con rechazo en un documento fechado e imprimible para su DPO.
Conclusión: deje de esperar y empiece a comprobar
La historia del Privacy Sandbox ha terminado. Chrome mantiene las cookies de terceros, Topics y Protected Audience desaparecen y la CMA ha cerrado su supervisión. Para quien gestiona una web, esto no es motivo para relajarse, sino el fin de una excusa para aplazar el cumplimiento: la LSSI, el RGPD, la AEPD y las propias normas de Google siguen exigiendo consentimiento previo para los rastreadores publicitarios y analíticos.
El mejor siguiente paso es ver qué hace su web ahora mismo, antes de cualquier clic en el banner. Escanee su web gratis para descubrir qué cookies y rastreadores se cargan y si esperan al consentimiento. Si después necesita un banner, FlowConsent se instala con un único script.