> La prueba del consentimiento de cookies es obligatoria con el RGPD. Qué guardar, cuánto conservar los registros y cómo demostrarlo en una auditoría. > > Canonical: https://www.flowconsent.com/es/blog/prueba-consentimiento-cookies-que-guardar [Normativa](https://www.flowconsent.com/es/blog?category=regulation) # Prueba del consentimiento de cookies: qué guardar y durante cuánto tiempo Por FlowConsent · Publicado el 21 de marzo de 2026 · Actualizado el 1 de octubre de 2026 · 7 min de lectura En resumen La prueba del consentimiento de cookies es una obligación del RGPD. Descubra qué guardar, cuánto tiempo conservar los registros de consentimiento y cómo demostrar el cumplimiento. ## Resumen La prueba del consentimiento de cookies es el conjunto de registros que demuestran que un usuario ha dado (o rechazado) su consentimiento de forma libre, informada e inequívoca. El RGPD obliga al responsable del tratamiento a poder demostrar en cualquier momento que el consentimiento se obtuvo de forma válida. La CNIL recomienda conservar las elecciones de los usuarios durante 6 meses y guardar registros de las versiones del código del banner, la marca de tiempo de la elección y las categorías aceptadas o rechazadas. ## ¿Qué es la prueba del consentimiento de cookies? La prueba del consentimiento es el registro documentado que acredita que un visitante ha consentido (o rechazado) realmente que se instalen cookies en su dispositivo. Esta obligación procede del artículo 7, apartado 1, del RGPD, que establece que el responsable debe poder demostrar que el interesado ha consentido el tratamiento de sus datos personales. En la práctica, mostrar un [banner de cookies conforme](https://www.flowconsent.com/es/blog/banner-cookies-conforme-rgpd-guia) no es suficiente. También debe poder demostrar, en caso de auditoría o reclamación, que el banner funcionaba correctamente y que las elecciones de los usuarios quedaron registradas. La prueba del consentimiento de cookies es un registro con marca de tiempo que documenta la elección del usuario (aceptación, rechazo o personalización), la información que se le presentó en el momento de elegir y las consecuencias técnicas de esa elección (qué scripts se activaron o bloquearon). ## ¿Qué dice el RGPD sobre la prueba del consentimiento? El artículo 7.1 del RGPD es claro: «Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales». La carga de la prueba recae en el editor del sitio web, no en el usuario. Demostrar el consentimiento solo tiene sentido si ese consentimiento es válido: consulte [las 7 condiciones de validez del consentimiento RGPD](https://www.flowconsent.com/es/blog/consentimiento-rgpd-condiciones-validez). El artículo 82 de la Ley de Protección de Datos francesa, que transpone la Directiva ePrivacy al derecho francés, refuerza esta exigencia específicamente para las cookies. Las organizaciones que utilizan rastreadores deben poder aportar en cualquier momento la prueba de que se obtuvo un consentimiento válido. En caso de inspección de la CNIL o de reclamación de un usuario, le corresponde a usted demostrar que el consentimiento existía y era conforme. Sin prueba, se presume que no hubo consentimiento. ## ¿Qué debe guardar exactamente? La CNIL, en su recomendación sobre cookies de 2020 (artículo 48), propone varios métodos para conservar la prueba. Estos son los elementos que debe registrar en cada interacción de consentimiento. ### Identificador del usuario o del dispositivo Un identificador único (normalmente un UUID generado por la CMP) que vincula una elección de consentimiento a un dispositivo o navegador. No es necesario que identifique a la persona (no hace falta nombre ni correo electrónico). En la mayoría de los casos basta con el identificador de la propia cookie de consentimiento. ### Marca de tiempo de la elección La fecha y hora exactas en que el usuario tomó su decisión. Esta marca de tiempo permite verificar que el consentimiento se obtuvo antes de instalar las cookies y calcular su periodo de validez. ### La elección realizada El detalle de lo que el usuario aceptó o rechazó: consentimiento global («aceptar todo» / «rechazar todo») o consentimiento por categorías (analítica aceptada, marketing rechazado, etc.). Cuanto más granular sea el registro, más sólida será la prueba. Para estructurar estos registros, apóyese en [las 4 categorías de cookies RGPD](https://www.flowconsent.com/es/blog/categorias-cookies-rgpd-guia-completa) que utilizan la mayoría de los banners. ### Versión del banner mostrada La CNIL recomienda conservar las distintas versiones del código utilizado para recoger el consentimiento. Si modifica el texto, el diseño o el comportamiento de su banner, debe poder demostrar qué versión vio el usuario en el momento de su elección. ### Información presentada al usuario El contenido del banner (texto, opciones, enlaces a la [política de cookies](https://www.flowconsent.com/es/blog/politica-de-cookies-rgpd-guia)) tal como se mostraba en el momento de la elección. Esto demuestra que el consentimiento fue «informado». El consentimiento solo puede ser informado si el banner está libre de manipulación, lo que excluye los [dark patterns de cookies prohibidos por la CNIL](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe). ## ¿Durante cuánto tiempo debe conservar la prueba del consentimiento? Ni el RGPD ni la Directiva ePrivacy fijan un plazo legal concreto para conservar la prueba del consentimiento de cookies. Sin embargo, la CNIL ofrece pautas claras. La CNIL recomienda conservar las elecciones de los usuarios (consentimiento o rechazo) durante un periodo de 6 meses. Transcurrido ese plazo, el banner debe volver a mostrarse para solicitar de nuevo el consentimiento. Esta duración de 6 meses es una buena práctica, no una obligación estricta, y puede adaptarse caso por caso según la naturaleza del sitio y su audiencia. Para las cookies de medición de audiencia exentas de consentimiento, la CNIL recomienda una vida útil máxima de los rastreadores de 13 meses y un plazo máximo de conservación de los datos de 25 meses. Explicamos de dónde vienen estos límites en nuestro artículo sobre [la regla de los 13 meses de conservación de cookies](https://www.flowconsent.com/es/blog/duracion-cookies-rgpd-regla-13-meses). En cuanto a la prueba en sí (los registros de consentimiento), se recomienda conservarla durante el tiempo necesario para demostrar el cumplimiento en caso de auditoría. En la práctica, esto significa al menos durante el periodo de validez del consentimiento (6 meses) y, idealmente, más tiempo para cubrir posibles reclamaciones o inspecciones posteriores. Un plazo de conservación de 3 a 5 años para los registros es una práctica habitual en el sector. ## ¿Cómo gestiona una CMP la prueba del consentimiento? Una plataforma de gestión del consentimiento (CMP) como FlowConsent automatiza la recogida, el almacenamiento y la recuperación de la prueba del consentimiento. Esto es lo que debe hacer una CMP. En cada interacción con el banner, la CMP registra automáticamente un log de consentimiento que contiene el identificador del dispositivo, la marca de tiempo, la elección realizada (por categoría) y la versión del banner. Estos registros se almacenan de forma segura y con marca de tiempo. La CMP también debe [escanear las cookies](https://www.flowconsent.com/es/scan) del sitio para garantizar que los scripts de las categorías sin consentimiento estén realmente bloqueados. La prueba no vale nada si las cookies se instalan antes del rechazo o a pesar de él. FlowConsent puede convertir un análisis con el consentimiento rechazado en un [informe de prueba fechado e imprimible para su DPO](https://www.flowconsent.com/es/doc/proof-report), que documenta si el bloqueo funciona. En caso de auditoría, la CMP debe permitir exportar los registros de consentimiento en un formato utilizable (CSV, JSON) y reconstruir el estado del banner en una fecha determinada. ## Errores habituales (y cómo evitarlos) **Guardar solo el consentimiento, no el rechazo.** La CNIL recomienda conservar también los rechazos de los usuarios. Si solo guarda las aceptaciones, no puede demostrar que los usuarios que no consintieron no recibieron cookies. Solución: registre sistemáticamente los rechazos en el mismo log. **No versionar el banner.** Si modifica el texto o el diseño de su banner sin archivar las versiones anteriores, no puede demostrar qué contenido vio el usuario. Solución: archive cada versión del banner con un número de versión y su fecha de puesta en producción. **Confundir la vida útil de la cookie con el plazo de conservación de la prueba.** La cookie de consentimiento (que guarda la elección del usuario en su navegador) tiene una vida útil limitada (se recomiendan 6 meses). La prueba del consentimiento (log en el servidor) debe conservarse más tiempo. Solución: separe ambos conceptos y defina una política de conservación específica para los registros. **No poner marca de tiempo a las elecciones.** Sin marca de tiempo, es imposible demostrar que el consentimiento se dio antes de instalar las cookies. Solución: cada registro de consentimiento debe incluir una marca de tiempo precisa (fecha + hora + zona horaria). **Guardar datos personales innecesarios en los registros.** La prueba del consentimiento no requiere el correo electrónico ni el nombre del usuario. Basta con un identificador técnico (UUID de la cookie de consentimiento). Almacenar datos personales superfluos en los registros crea un tratamiento de datos adicional que, a su vez, debe cumplir el RGPD. Solución: limite los registros a los datos estrictamente necesarios. **Depender únicamente de la cookie del lado del cliente.** La cookie de consentimiento del navegador del usuario puede eliminarse en cualquier momento. Si es su única prueba, se queda sin nada. Solución: compleméntela con un log en el servidor gestionado por su [CMP](https://www.flowconsent.com/es/blog/elegir-cmp-plataforma-gestion-consentimiento). ## Checklist: una prueba del consentimiento conforme 1. Cada interacción con el banner (aceptación, rechazo, personalización) queda registrada en un log en el servidor. 2. El log contiene: identificador del dispositivo (UUID), marca de tiempo (fecha + hora + zona horaria), elección por categoría y versión del banner. 3. El rechazo se registra con el mismo rigor que la aceptación. 4. Las sucesivas versiones del banner (texto, diseño, comportamiento) se archivan con su fecha de puesta en producción. 5. La elección se conserva en el navegador (cookie) durante 6 meses (recomendación de la CNIL). 6. Los registros de consentimiento en el servidor se conservan durante un mínimo de 3 a 5 años. 7. Los registros se pueden exportar en un formato utilizable (CSV, JSON) en caso de auditoría. 8. Una [auditoría periódica](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa) verifica que los scripts de las categorías sin consentimiento estén realmente bloqueados. 9. Los registros no contienen datos personales superfluos (ni correo electrónico ni nombre, basta con el UUID). 10. La retirada del consentimiento se registra con el mismo nivel de detalle que el consentimiento inicial. ## Conclusión La prueba del consentimiento no es un extra. Es una obligación legal. El RGPD exige que el responsable del tratamiento pueda demostrar en cualquier momento que el consentimiento se obtuvo de forma válida. Sin prueba, se presume que el consentimiento no existe, lo que equivale a instalar cookies sin base jurídica. En la práctica, esto implica utilizar una CMP que registre automáticamente cada interacción, almacene los registros de forma segura y archive las versiones del banner. La CNIL recomienda un plazo de conservación de 6 meses para las elecciones y una conservación más larga de los registros para cubrir las auditorías. Para comprobar que su web recoge y conserva correctamente la prueba del consentimiento, [realice un escaneo gratuito con FlowConsent](https://www.flowconsent.com/es/scan). [Volver al blog](https://www.flowconsent.com/es/blog) Compartir el artículo · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fprueba-consentimiento-cookies-que-guardar) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fprueba-consentimiento-cookies-que-guardar) Preguntas ## Preguntas frecuentes sobre este tema. ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Durante cuánto tiempo debo conservar la prueba del consentimiento de cookies? La CNIL recomienda conservar las elecciones de los usuarios (consentimiento o rechazo) durante 6 meses en el navegador. Los registros de consentimiento en el servidor deben conservarse más tiempo para cubrir posibles auditorías. En la práctica, un plazo de conservación de 3 a 5 años para los registros es habitual en el sector. ### ¿Qué información debe contener un registro de consentimiento de cookies? Un registro de consentimiento conforme contiene como mínimo un identificador del dispositivo (UUID), la marca de tiempo de la elección (fecha, hora, zona horaria), el detalle de las categorías aceptadas o rechazadas y la versión del banner que se mostró al usuario. ### ¿También tengo que conservar la prueba del rechazo de cookies? Sí. La CNIL recomienda conservar el rechazo con el mismo rigor que la aceptación. Sin prueba del rechazo, no puedes demostrar que no se instalaron cookies a los usuarios que no dieron su consentimiento. ### ¿Basta la cookie de consentimiento del navegador como prueba? No. El usuario puede eliminar la cookie del lado del cliente en cualquier momento. Es imprescindible complementarla con un log en el servidor almacenado y gestionado por tu CMP. Este registro en el servidor es la prueba utilizable en caso de auditoría. ### ¿Exige la CNIL un formato concreto para la prueba del consentimiento? No. La CNIL no impone un formato técnico concreto. Recomienda que la prueba tenga marca de tiempo, se almacene de forma segura y pueda exportarse en un formato utilizable (CSV, JSON). Lo esencial es poder reconstruir el estado del consentimiento de un usuario en una fecha determinada. ### ¿Tengo que versionar mi banner de cookies para la prueba del consentimiento? Sí. La CNIL recomienda conservar las distintas versiones del código utilizado para recoger el consentimiento. Si modificas tu banner, debes poder demostrar qué versión vio el usuario en el momento de su elección. Archiva cada versión con un número y una fecha de puesta en producción. Siga leyendo ## Para saber más. [Todos los artículos](https://www.flowconsent.com/es/blog) [Normativa · 20 de marzo de 2026](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe) ### [Dark patterns en cookies: lo que la CNIL prohíbe en los banners de consentimiento](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe) [Los dark patterns en los banners de cookies están en el punto de mira de la CNIL. Prácticas prohibidas, sanciones reales y cómo hacer que tu banner cumpla la normativa.](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe) [Leer el artículo ](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe)· [Herramientas de marketing · 23 de marzo de 2026](https://www.flowconsent.com/es/blog/matomo-cookies-consentimiento-exencion-cnil) ### [Matomo y cookies: ¿sigue necesitando un banner de consentimiento?](https://www.flowconsent.com/es/blog/matomo-cookies-consentimiento-exencion-cnil) [Matomo puede funcionar sin consentimiento en Francia gracias a la exención de la CNIL. Condiciones, configuración y casos en los que sigue siendo necesario un banner.](https://www.flowconsent.com/es/blog/matomo-cookies-consentimiento-exencion-cnil) [Leer el artículo ](https://www.flowconsent.com/es/blog/matomo-cookies-consentimiento-exencion-cnil)· [Herramientas de marketing · 1 de julio de 2026](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) ### [Cookies \_ga, \_gid y \_gat explicadas: finalidad, duración y consentimiento RGPD](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) [Qué hacen las cookies de Google Analytics \_ga, \_ga\_\, \_gid y \_gat, cuánto duran, por qué la AEPD exige consentimiento y qué cambia con Consent Mode v2.](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) [Leer el artículo](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)