¿Qué es una consent management platform (CMP)? Definición y funcionamiento

¿Qué es una consent management platform?

Una consent management platform es una herramienta que se sitúa entre sus visitantes y los scripts de terceros de su sitio web. Antes de que Google Analytics, el píxel de Meta, un chat o un vídeo incrustado puedan instalar una cookie, la CMP pregunta al visitante si está de acuerdo. Después hace cumplir la respuesta: los scripts rechazados siguen bloqueados y los aceptados se liberan.

En esencia, una CMP cumple tres funciones:

• Recoger la decisión, mediante un banner y un panel de preferencias.
• Conservar la decisión (para que el banner no reaparezca en cada página) y guardar una prueba fechada.
• Transmitir la decisión a las etiquetas y socios que dependen de ella.

CMP designa una categoría de software, no un producto concreto. Cookiebot, Didomi, OneTrust, Usercentrics, CookieYes, Axeptio, la biblioteca de código abierto tarteaucitron.js y FlowConsent son todas CMP, con alcances y precios muy distintos. Si ya sabe que necesita una y quiere comparar opciones, lea nuestra guía para elegir su CMP (plataforma de gestión del consentimiento). Este artículo se centra en la definición y el funcionamiento.

Por qué un sitio web necesita una CMP: la base legal

Ninguna ley obliga a «contratar una CMP». La obligación viene de las normas sobre el consentimiento, y una CMP es la forma práctica de cumplirlas.

La Directiva ePrivacy y la LSSI

El artículo 5.3 de la Directiva ePrivacy exige el consentimiento antes de almacenar o leer información en el dispositivo del usuario, salvo que sea estrictamente necesario para el servicio solicitado. En España, el artículo 22.2 de la LSSI traslada esta regla. En Francia es el artículo 82 de la ley de protección de datos, en Alemania el TDDDG y en el Reino Unido el PECR.

La definición de consentimiento del RGPD

El RGPD define el consentimiento válido: libre, específico, informado e inequívoco, expresado mediante una clara acción afirmativa (artículo 4.11). El artículo 7.1 añade que el responsable debe poder demostrar que el interesado consintió. El artículo 7.3 exige que retirar el consentimiento sea tan fácil como darlo.

Lo que esperan las autoridades

Las autoridades nacionales concretan estos principios. La Guía sobre el uso de las cookies de la AEPD, actualizada en 2023 para alinearse con el CEPD, exige que rechazar sea tan sencillo como aceptar y establece que seguir navegando no equivale a consentir. La CNIL francesa y la ICO británica mantienen una posición similar. En 2023, el grupo de trabajo del CEPD sobre banners de cookies publicó un informe con las prácticas que las autoridades consideran problemáticas, como la ausencia de un botón de rechazo en la primera capa.

En un sitio muy pequeño todo esto puede gestionarse a mano, pero enseguida se vuelve frágil. Una CMP convierte los requisitos legales en un mecanismo repetible.

Cómo funciona una CMP, paso a paso

Los detalles cambian de un producto a otro, pero casi todas las CMP siguen la misma secuencia.

1. Inventario. Se listan las cookies y scripts del sitio y se clasifican por categorías: estrictamente necesarias, preferencias, analítica, marketing. Muchas CMP incluyen un escáner para este paso.
2. Estado por defecto. En la primera visita solo se permiten las cookies estrictamente necesarias. Todo lo demás espera.
3. Banner. El visitante ve las finalidades, los principales socios y los botones para aceptar, rechazar o configurar.
4. Bloqueo y liberación. Los scripts no necesarios se retienen hasta que el visitante acepta la categoría correspondiente. Técnicamente se consigue cambiando el tipo del script, encapsulando las etiquetas o controlando un gestor de etiquetas.
5. Señales. La decisión se transmite a las herramientas que la necesitan, por ejemplo mediante Google Consent Mode v2 o la cadena TC del TCF de IAB.
6. Memoria. La decisión se guarda, normalmente en una cookie propia, para que el banner no reaparezca en cada página.
7. Prueba. Se conserva en el servidor un registro fechado de la decisión. Qué debe contener se explica en nuestro artículo sobre la prueba del consentimiento de cookies.
8. Retirada y renovación. Un enlace o botón permanente vuelve a abrir las preferencias, y el consentimiento se solicita de nuevo tras un plazo definido o cuando cambian las finalidades.

El paso 4 concentra la mayor parte del riesgo. Un banner que parece correcto pero deja cargar Google Analytics antes del clic no le protege. FlowConsent, por ejemplo, bloquea los scripts antes del consentimiento y solo los libera cuando el visitante ha aceptado la categoría correspondiente, algo que usted puede comprobar en la pestaña de red de su navegador.

CMP, banner de cookies y política de cookies: ¿en qué se diferencian?

Estos tres términos se usan a menudo como sinónimos. No lo son.

• El banner de cookies es la parte visible: el mensaje y los botones que aparecen en la primera visita.
• La CMP es todo el sistema que hay detrás del banner: bloqueo, señales, almacenamiento, prueba y retirada.
• La política de cookies es una página que describe las cookies utilizadas, su finalidad y su duración. Una CMP puede generarla o mantenerla al día, pero es un documento distinto.

Un banner casero con un mensaje y un botón «OK» es un banner sin CMP: informa, pero no impide nada.

Señales de consentimiento: Google Consent Mode v2 y el TCF de IAB

Una CMP moderna no solo bloquea y libera scripts. También comunica a otros sistemas lo que ha decidido el visitante.

Google Consent Mode v2

Google Consent Mode v2 transmite cuatro parámetros a las etiquetas de Google: ad_storage, analytics_storage, ad_user_data y ad_personalization. Google exige estas señales a los anunciantes que quieren conservar las funciones de audiencias y medición para usuarios del EEE. La CMP fija los valores por defecto antes de que cargue cualquier etiqueta y los actualiza tras la decisión. Nuestra guía de Google Consent Mode v2 explica los modos básico y avanzado.

El Transparency and Consent Framework de IAB

El TCF es un estándar que utilizan sobre todo los editores que venden espacio publicitario a través de redes programáticas. La CMP codifica las decisiones del visitante, por finalidad y por proveedor, en una «TC string» que leen los socios publicitarios. Solo las CMP registradas en IAB Europe pueden generar TC strings válidas. Desde enero de 2024, Google exige además a los editores que sirven anuncios de AdSense, Ad Manager o AdMob en el EEE y el Reino Unido que utilicen una CMP certificada por Google e integrada con el TCF. Si usted no vende espacio publicitario, probablemente no necesite el TCF. Encontrará los detalles en nuestra guía del TCF 2.2.

¿Necesita su sitio una CMP?

Necesita un mecanismo de consentimiento en cuanto su sitio deposita cookies o utiliza rastreadores que no son estrictamente necesarios y recibe visitantes de la UE, el EEE o el Reino Unido. Es el caso de la mayoría de los sitios con analítica, píxeles publicitarios, vídeos incrustados, mapas o chats.

Puede prescindir de ella si su sitio solo utiliza cookies estrictamente necesarias (sesión, carrito, balanceo de carga, seguridad) y no integra servicios que requieran consentimiento. Tratamos la cuestión en detalle en ¿necesito un banner de cookies en mi web?.

Antes de decidir, revise lo que su sitio deposita realmente. Muchos propietarios descubren cookies de marketing que desconocían, añadidas por un plugin, una plantilla o un contenido incrustado.

Los principales tipos de CMP

Las CMP se agrupan en unas pocas familias.

• Plugins y aplicaciones de CMS. Se instalan desde el marketplace de WordPress, Shopify o Webflow. Son rápidas de configurar, pero quedan ligadas a una plataforma.
• Scripts SaaS. Un fragmento de JavaScript que se añade a cualquier sitio y se configura desde un panel en línea. Es el modelo más habitual (Cookiebot, CookieYes, Axeptio, FlowConsent).
• Suites empresariales. La gestión del consentimiento es un módulo entre otros: mapa de datos, solicitudes de derechos, riesgo de proveedores. OneTrust y TrustArc son ejemplos típicos. Sí, OneTrust es una CMP, pero su módulo de consentimiento forma parte de una plataforma de privacidad mucho más amplia.
• Bibliotecas de código abierto. tarteaucitron.js y Klaro son gratuitas y autoalojadas. Las actualizaciones, el registro de consentimientos y la configuración corren de su cuenta.
• CMP registradas en el TCF. Necesarias si monetiza su sitio con publicidad programática. Didomi, Sourcepoint y Usercentrics son ejemplos conocidos.

¿Son gratuitas las plataformas de gestión del consentimiento?

Algunas sí. Las bibliotecas de código abierto son gratuitas, y muchas CMP SaaS ofrecen un plan gratuito, normalmente limitado en tráfico, dominios, idiomas o funciones como el registro de consentimientos. Los planes de pago se facturan por dominio, por página vista, por sesión o con una cuota mensual, y las suites empresariales suelen ir con presupuesto a medida. El coste total depende de su tráfico y del número de sitios que gestione. Compare el coste de su CMP actual con nuestro comparador de costes de CMP, o consulte nuestras comparativas de CMP en detalle.

¿Una CMP ralentiza un sitio web?

Puede hacerlo. El script del banner se carga en cada página, y una CMP mal integrada puede empeorar las Core Web Vitals, sobre todo el CLS y el LCP. Un script ligero, la carga asíncrona y un banner que no desplaza el contenido limitan el impacto. Analizamos estos efectos en CMP y Core Web Vitals.

Lo que una CMP no hace

Una CMP es una herramienta, no un certificado de cumplimiento. No decide qué cookies son estrictamente necesarias para su sitio, no redacta su política de privacidad y no cubre las demás obligaciones del RGPD (registro de actividades de tratamiento, derechos de los interesados, transferencias fuera de la UE). Tampoco corrige una mala configuración: un script que olvidó clasificar puede seguir cargándose antes del consentimiento. Probar tras la instalación, y de nuevo tras cada nueva etiqueta o plugin, sigue siendo su responsabilidad.

Cómo gestiona FlowConsent el consentimiento

FlowConsent es una CMP que cubre toda la secuencia descrita: escaneo automático de cookies, banner personalizable, bloqueo de scripts antes del consentimiento, Google Consent Mode v2 integrado y prueba de consentimiento exportable. Está alojada en Europa y se integra con Webflow, WordPress, Shopify, Wix, Framer y Google Tag Manager. La instalación lleva unos diez minutos.

FlowConsent es gratuito hasta 25 000 sesiones al mes y después cuesta 14,99 € al mes con el plan Pro, hasta 100 000 sesiones. Para empezar, siga la guía de instalación rápida.