Banner de cookies que bloquea de verdad: Consent Mode v2 y prueba del consentimiento

Casi todas las tiendas tienen un banner de cookies. Muchas menos tienen un banner que funcione. Es habitual abrir una tienda en una ventana privada, no tocar nada y ver ya en el navegador las cookies de analítica, del píxel de publicidad y del chat. El banner está ahí, con sus botones, pero no impide nada: es decoración.

Este artículo no repasa el RGPD en general. Va de tres cosas concretas: cómo saber si tu banner bloquea de verdad, qué pinta Google Consent Mode v2 en todo esto y qué prueba tienes que guardar de cada decisión del visitante.

Lo que exige la norma, en corto

El artículo 22.2 de la LSSI dice que las cookies que no son estrictamente necesarias solo se pueden instalar con el consentimiento informado del usuario. El consentimiento tiene que cumplir lo que pide el RGPD: libre, específico, informado e inequívoco. Y el artículo 7.1 del RGPD añade algo que se olvida: el responsable debe poder demostrar que el interesado consintió.

La guía de cookies de la AEPD concreta cómo se hace en la práctica. Dos puntos que más se incumplen:

• Rechazar tiene que ser tan fácil como aceptar. Si «Aceptar» es un botón verde grande y «Rechazar» es un enlace gris escondido en una segunda capa, el consentimiento no es libre.
• Antes de decidir no se instala nada que no sea necesario. Ni analítica, ni publicidad, ni vídeos incrustados que ponen sus propias cookies.

Por qué tantos banners no bloquean nada

En PrestaShop, cada módulo mete sus scripts donde le parece: en el <head>, al final de la página o cargados después por JavaScript. Un banner que solo «pinta» la ventana y guarda una cookie con la respuesta no tiene forma de frenar lo que otros módulos ya han inyectado. Los fallos típicos:

1. El banner se carga después que las etiquetas. Cuando el visitante ve la ventana, Google Analytics o el píxel ya han disparado.
2. Bloqueo por módulo completo. Algunos módulos de cookies desactivan módulos enteros hasta que hay consentimiento. Funciona con un píxel, pero si el módulo bloqueado es una pasarela de pago o un sistema de financiación, el checkout se rompe para quien rechaza.
3. Lo añadido por JavaScript se escapa. Un chat o un widget que crea sus scripts y sus iframes en el navegador, después de cargar la página, no pasa por ningún filtro del servidor.
4. Los iframes no se tocan. Un vídeo de YouTube o un mapa incrustado ponen cookies de terceros en cuanto se cargan.
5. El inventario de cookies está desfasado. La política de cookies lista lo que había el día que se redactó, y desde entonces se han instalado tres módulos nuevos.

Cómo comprobar el tuyo en cinco minutos

1. Abre la tienda en una ventana privada, sin iniciar sesión.
2. Abre las herramientas de desarrollo del navegador, pestaña de almacenamiento (cookies y localStorage), y la de red.
3. No toques el banner. Recorre portada, una categoría y una ficha de producto.
4. Mira qué cookies hay y a qué dominios se ha llamado. Todo lo que no sea técnico (sesión, carrito, idioma, la propia cookie de consentimiento) no debería estar.
5. Pulsa «Rechazar todas», borra las cookies, recarga y repite. Debe quedar igual de limpio.
6. Haz una compra de prueba habiendo rechazado: el pago tiene que funcionar.

Si en el paso 4 ves cookies de analítica o de publicidad, tu banner no está cumpliendo, por bonito que sea.

Google Consent Mode v2: qué es y qué no es

Consent Mode es la forma en que las etiquetas de Google (gtag, Google Tag Manager, Google Ads, GA4) reciben la decisión del visitante. No es un banner ni sustituye al consentimiento: es el canal por el que tu banner le dice a Google qué puede hacer.

La versión 2 usa cuatro señales principales:

Google pide estas señales para seguir usando funciones de publicidad y audiencias con visitantes del Espacio Económico Europeo. Si no llegan, la medición de conversiones y las listas de remarketing se resienten.

Básico o avanzado

• Modo básico: las etiquetas de Google no se cargan hasta que el visitante acepta. Es el más prudente.
• Modo avanzado: las etiquetas se cargan desde el principio con todo denegado, envían pings sin cookies y se actualizan cuando el visitante decide. Permite a Google modelar conversiones, pero conviene que lo valores con quien te asesore en protección de datos.

El detalle técnico que más falla: el valor por defecto del consentimiento tiene que declararse antes que cualquier etiqueta de Google, lo primero del <head>. Si GTM se carga antes, sus etiquetas arrancan sin saber nada del consentimiento.

La prueba del consentimiento

Si un día te piden que demuestres que un visitante aceptó la publicidad, «tenemos un banner» no es una respuesta. Lo razonable es guardar, por cada decisión:

• Un identificador del consentimiento, el mismo que guarda la cookie del visitante.
• Fecha y hora.
• Qué categorías aceptó y cuáles rechazó, y las señales enviadas a Consent Mode.
• La versión de la política vigente y lo que se le mostraba: textos, categorías, proveedores.
• La IP truncada o con hash, no completa, para no guardar más datos de los necesarios.

Y una regla de mantenimiento: si cambias las categorías o aparece un proveedor nuevo, vuelve a preguntar. Lo que el visitante aceptó hace seis meses no cubre un píxel que instalaste ayer.

Una tienda actualizada también es esto

Muchos módulos de cookies de tiendas que llevan años en 1.6 o 1.7 se quedaron en la primera versión de Consent Mode, o en ninguna. Cuando actualizas PrestaShop o migras de versión, revisa el banner con la misma prueba de la ventana privada: es de lo primero que deja de funcionar sin avisar, porque nadie mira las cookies después de una migración.

Checklist

• «Rechazar todas» al mismo nivel que «Aceptar todas», en la primera capa.
• Ventana privada sin decidir: solo cookies técnicas.
• Compra de prueba habiendo rechazado: el pago funciona.
• Consent Mode v2 declarado antes que GTM o gtag, con las cuatro señales.
• Vídeos y mapas incrustados retenidos hasta aceptar.
• Registro de cada decisión, exportable.
• Política de cookies con el inventario real, y nueva versión cuando cambie.
• Un enlace o botón permanente para que el visitante cambie de opinión.

Cómo resolverlo en PrestaShop

RKR Cookies pone «Rechazar todas» y «Aceptar todas» como el mismo botón, sin que se puedan diferenciar desde el back office, y declara Consent Mode v2 lo primero del <head>, en modo básico o avanzado. El bloqueo es real: reescribe el HTML para dejar inertes los scripts de categorías no aceptadas, sustituye iframes por un aviso con «Cargar este contenido» y frena en el navegador lo que se añade por JavaScript, sin bloquear nunca los módulos de pago. Guarda cada decisión con su instantánea y la exporta a CSV, mantiene un inventario de cookies que se rellena solo y una tabla para tu política. Importa la configuración de hicookielaw, Cookies Plus y EU Cookie Law, y tiene un modo prueba para verlo antes que tus clientes.

Este artículo es informativo y no sustituye el asesoramiento legal. Para un caso concreto, consúltalo con quien te asesore en protección de datos.