Resumen
La prueba del consentimiento de cookies es el conjunto de registros que demuestran que un usuario ha dado (o rechazado) su consentimiento de forma libre, informada e inequívoca. El RGPD obliga al responsable del tratamiento a poder demostrar en cualquier momento que el consentimiento se obtuvo de forma válida. La CNIL recomienda conservar las elecciones de los usuarios durante 6 meses y guardar registros de las versiones del código del banner, la marca de tiempo de la elección y las categorías aceptadas o rechazadas.
¿Qué es la prueba del consentimiento de cookies?
La prueba del consentimiento es el registro documentado que acredita que un visitante ha consentido (o rechazado) realmente que se instalen cookies en su dispositivo. Esta obligación procede del artículo 7, apartado 1, del RGPD, que establece que el responsable debe poder demostrar que el interesado ha consentido el tratamiento de sus datos personales.
En la práctica, mostrar un banner de cookies conforme no es suficiente. También debe poder demostrar, en caso de auditoría o reclamación, que el banner funcionaba correctamente y que las elecciones de los usuarios quedaron registradas.
La prueba del consentimiento de cookies es un registro con marca de tiempo que documenta la elección del usuario (aceptación, rechazo o personalización), la información que se le presentó en el momento de elegir y las consecuencias técnicas de esa elección (qué scripts se activaron o bloquearon).
¿Qué dice el RGPD sobre la prueba del consentimiento?
El artículo 7.1 del RGPD es claro: «Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales». La carga de la prueba recae en el editor del sitio web, no en el usuario.
Demostrar el consentimiento solo tiene sentido si ese consentimiento es válido: consulte las 7 condiciones de validez del consentimiento RGPD.
El artículo 82 de la Ley de Protección de Datos francesa, que transpone la Directiva ePrivacy al derecho francés, refuerza esta exigencia específicamente para las cookies. Las organizaciones que utilizan rastreadores deben poder aportar en cualquier momento la prueba de que se obtuvo un consentimiento válido.
En caso de inspección de la CNIL o de reclamación de un usuario, le corresponde a usted demostrar que el consentimiento existía y era conforme. Sin prueba, se presume que no hubo consentimiento.
¿Qué debe guardar exactamente?
La CNIL, en su recomendación sobre cookies de 2020 (artículo 48), propone varios métodos para conservar la prueba. Estos son los elementos que debe registrar en cada interacción de consentimiento.
Identificador del usuario o del dispositivo
Un identificador único (normalmente un UUID generado por la CMP) que vincula una elección de consentimiento a un dispositivo o navegador. No es necesario que identifique a la persona (no hace falta nombre ni correo electrónico). En la mayoría de los casos basta con el identificador de la propia cookie de consentimiento.
Marca de tiempo de la elección
La fecha y hora exactas en que el usuario tomó su decisión. Esta marca de tiempo permite verificar que el consentimiento se obtuvo antes de instalar las cookies y calcular su periodo de validez.
La elección realizada
El detalle de lo que el usuario aceptó o rechazó: consentimiento global («aceptar todo» / «rechazar todo») o consentimiento por categorías (analítica aceptada, marketing rechazado, etc.). Cuanto más granular sea el registro, más sólida será la prueba.
Para estructurar estos registros, apóyese en las 4 categorías de cookies RGPD que utilizan la mayoría de los banners.
Versión del banner mostrada
La CNIL recomienda conservar las distintas versiones del código utilizado para recoger el consentimiento. Si modifica el texto, el diseño o el comportamiento de su banner, debe poder demostrar qué versión vio el usuario en el momento de su elección.
Información presentada al usuario
El contenido del banner (texto, opciones, enlaces a la política de cookies) tal como se mostraba en el momento de la elección. Esto demuestra que el consentimiento fue «informado».
El consentimiento solo puede ser informado si el banner está libre de manipulación, lo que excluye los dark patterns de cookies prohibidos por la CNIL.
¿Durante cuánto tiempo debe conservar la prueba del consentimiento?
Ni el RGPD ni la Directiva ePrivacy fijan un plazo legal concreto para conservar la prueba del consentimiento de cookies. Sin embargo, la CNIL ofrece pautas claras.
La CNIL recomienda conservar las elecciones de los usuarios (consentimiento o rechazo) durante un periodo de 6 meses. Transcurrido ese plazo, el banner debe volver a mostrarse para solicitar de nuevo el consentimiento. Esta duración de 6 meses es una buena práctica, no una obligación estricta, y puede adaptarse caso por caso según la naturaleza del sitio y su audiencia.
Para las cookies de medición de audiencia exentas de consentimiento, la CNIL recomienda una vida útil máxima de los rastreadores de 13 meses y un plazo máximo de conservación de los datos de 25 meses.
Explicamos de dónde vienen estos límites en nuestro artículo sobre la regla de los 13 meses de conservación de cookies.
En cuanto a la prueba en sí (los registros de consentimiento), se recomienda conservarla durante el tiempo necesario para demostrar el cumplimiento en caso de auditoría. En la práctica, esto significa al menos durante el periodo de validez del consentimiento (6 meses) y, idealmente, más tiempo para cubrir posibles reclamaciones o inspecciones posteriores. Un plazo de conservación de 3 a 5 años para los registros es una práctica habitual en el sector.
¿Cómo gestiona una CMP la prueba del consentimiento?
Una plataforma de gestión del consentimiento (CMP) como FlowConsent automatiza la recogida, el almacenamiento y la recuperación de la prueba del consentimiento. Esto es lo que debe hacer una CMP.
En cada interacción con el banner, la CMP registra automáticamente un log de consentimiento que contiene el identificador del dispositivo, la marca de tiempo, la elección realizada (por categoría) y la versión del banner. Estos registros se almacenan de forma segura y con marca de tiempo.
La CMP también debe escanear las cookies del sitio para garantizar que los scripts de las categorías sin consentimiento estén realmente bloqueados. La prueba no vale nada si las cookies se instalan antes del rechazo o a pesar de él.
FlowConsent puede convertir un análisis con el consentimiento rechazado en un informe de prueba fechado e imprimible para su DPO, que documenta si el bloqueo funciona.
En caso de auditoría, la CMP debe permitir exportar los registros de consentimiento en un formato utilizable (CSV, JSON) y reconstruir el estado del banner en una fecha determinada.
Errores habituales (y cómo evitarlos)
Guardar solo el consentimiento, no el rechazo. La CNIL recomienda conservar también los rechazos de los usuarios. Si solo guarda las aceptaciones, no puede demostrar que los usuarios que no consintieron no recibieron cookies. Solución: registre sistemáticamente los rechazos en el mismo log.
No versionar el banner. Si modifica el texto o el diseño de su banner sin archivar las versiones anteriores, no puede demostrar qué contenido vio el usuario. Solución: archive cada versión del banner con un número de versión y su fecha de puesta en producción.
Confundir la vida útil de la cookie con el plazo de conservación de la prueba. La cookie de consentimiento (que guarda la elección del usuario en su navegador) tiene una vida útil limitada (se recomiendan 6 meses). La prueba del consentimiento (log en el servidor) debe conservarse más tiempo. Solución: separe ambos conceptos y defina una política de conservación específica para los registros.
No poner marca de tiempo a las elecciones. Sin marca de tiempo, es imposible demostrar que el consentimiento se dio antes de instalar las cookies. Solución: cada registro de consentimiento debe incluir una marca de tiempo precisa (fecha + hora + zona horaria).
Guardar datos personales innecesarios en los registros. La prueba del consentimiento no requiere el correo electrónico ni el nombre del usuario. Basta con un identificador técnico (UUID de la cookie de consentimiento). Almacenar datos personales superfluos en los registros crea un tratamiento de datos adicional que, a su vez, debe cumplir el RGPD. Solución: limite los registros a los datos estrictamente necesarios.
Depender únicamente de la cookie del lado del cliente. La cookie de consentimiento del navegador del usuario puede eliminarse en cualquier momento. Si es su única prueba, se queda sin nada. Solución: compleméntela con un log en el servidor gestionado por su CMP.
Checklist: una prueba del consentimiento conforme
- Cada interacción con el banner (aceptación, rechazo, personalización) queda registrada en un log en el servidor.
- El log contiene: identificador del dispositivo (UUID), marca de tiempo (fecha + hora + zona horaria), elección por categoría y versión del banner.
- El rechazo se registra con el mismo rigor que la aceptación.
- Las sucesivas versiones del banner (texto, diseño, comportamiento) se archivan con su fecha de puesta en producción.
- La elección se conserva en el navegador (cookie) durante 6 meses (recomendación de la CNIL).
- Los registros de consentimiento en el servidor se conservan durante un mínimo de 3 a 5 años.
- Los registros se pueden exportar en un formato utilizable (CSV, JSON) en caso de auditoría.
- Una auditoría periódica verifica que los scripts de las categorías sin consentimiento estén realmente bloqueados.
- Los registros no contienen datos personales superfluos (ni correo electrónico ni nombre, basta con el UUID).
- La retirada del consentimiento se registra con el mismo nivel de detalle que el consentimiento inicial.
Conclusión
La prueba del consentimiento no es un extra. Es una obligación legal. El RGPD exige que el responsable del tratamiento pueda demostrar en cualquier momento que el consentimiento se obtuvo de forma válida. Sin prueba, se presume que el consentimiento no existe, lo que equivale a instalar cookies sin base jurídica.
En la práctica, esto implica utilizar una CMP que registre automáticamente cada interacción, almacene los registros de forma segura y archive las versiones del banner. La CNIL recomienda un plazo de conservación de 6 meses para las elecciones y una conservación más larga de los registros para cubrir las auditorías.
Para comprobar que su web recoge y conserva correctamente la prueba del consentimiento, realice un escaneo gratuito con FlowConsent.