Consentimiento de cookies frente a política de cookies: cuál es la diferencia

A menudo se usan los términos indistintamente, pero resuelven problemas diferentes. Una política de cookies es documentación. El consentimiento de cookies es aplicación. Una dice a los visitantes qué haces; el otro se asegura de que solo lo hagas después de que acepten y guarda un registro de que fue así.

Acertar con la distinción importa porque tener una política de cookies magníficamente redactada mientras los rastreadores se activan al cargar la página es un incumplimiento, y también lo es un banner de consentimiento impecable que no enlaza con ninguna política.

Una política de cookies es una página o sección estática que explica, en lenguaje claro, qué cookies y tecnologías similares instala tu sitio, quién las coloca, qué hacen, cuánto duran y cómo puede controlarlas un visitante. Suele situarse junto a tu política de privacidad o dentro de ella y se enlaza desde el pie de página y desde el propio banner de consentimiento.

Su función es la transparencia. Satisface la parte «informado» del consentimiento informado al dar a las personas el detalle que necesitan para tomar una decisión real. Una buena política de cookies enumera las cookies por categoría y nombra a los terceros implicados, en lugar de ofrecer texto genérico y vago.

El consentimiento de cookies es el sistema interactivo que se ejecuta en el navegador del visitante. Bloquea las cookies no esenciales hasta que el visitante decide, presenta las opciones, aplica la decisión liberando los rastreadores o manteniéndolos bloqueados y guarda un registro de qué se eligió y cuándo.

Donde la política son palabras en una página, el consentimiento es comportamiento en tiempo real. Es la parte que de verdad impide que un rastreador instale una cookie antes de que el visitante acepte, y es la parte que produce la prueba que enseñarías a un regulador.

Los dos están pensados para reforzarse mutuamente. El banner de consentimiento enlaza con la política de cookies para que los visitantes puedan leer el detalle antes de elegir. La política describe las categorías que el banner de consentimiento permite activar y desactivar. Cuando añades o quitas un rastreador, actualizas ambos: el texto de la política y la asignación de categorías del banner.

Mantenerlos sincronizados es donde muchos sitios se desvían. Se añade un rastreador a través de una herramienta de marketing, el banner no se actualiza para bloquearlo y la política nunca lo menciona. Ahora las tres capas no coinciden. Un escaneo de descubrimiento que encuentre todas las cookies y alimente tanto el banner como la política los mantiene alineados.

En la mayoría de las jurisdicciones, sí. El GDPR y las normas ePrivacy esperan un consentimiento informado, que requiere la divulgación que aporta una política de cookies, y un consentimiento previo, que requiere el mecanismo de consentimiento. La DPDPA de India espera un aviso detallado y un consentimiento verificable, de nuevo dos capas. Incluso los regímenes de exclusión como el de California esperan tanto una divulgación de privacidad clara como un mecanismo de exclusión que funcione.

La respuesta práctica es que la política sin consentimiento deja rastreadores ejecutándose de forma ilícita, y el consentimiento sin política deja a los visitantes desinformados. Necesitas el documento y el mecanismo, mantenidos coherentes entre sí.