Si has llegado hasta aquí no te ha saltado ningún aviso de cookies. No es un descuido ni una temeridad legal: es la consecuencia de una decisión técnica.
El banner no es la obligación
Existe una confusión muy extendida: se ha interiorizado que «cumplir el RGPD» consiste en poner un banner. La obligación real, que viene del artículo 22.2 de la LSSI y del propio RGPD, es distinta:
Hay que informar y obtener consentimiento antes de instalar en el dispositivo cualquier cosa que no sea estrictamente necesaria para prestar el servicio.
El banner es el instrumento para conseguir ese consentimiento. Si no hay nada que consentir, el instrumento sobra. Un aviso que aparece para decir «no usamos cookies» y pedir que aceptes es, literalmente, una molestia sin función.
Qué hace falta dejar de usar
La lista corta de lo que hay que quitar para llegar aquí:
- Analítica. Google Analytics es el motivo número uno por el que un sitio necesita banner. Si de verdad hace falta medir, existen alternativas que agregan sin identificar; pero en una web corporativa de diez páginas, lo habitual es que nadie mire nunca esos datos.
- Fuentes tipográficas remotas. Cargar una fuente desde un servidor ajeno envía la IP de quien visita a ese tercero. Alojarlas en el propio dominio lo resuelve y además es más rápido.
- Vídeos y mapas incrustados. Un
iframede YouTube o de Google Maps instala cookies antes de que nadie pulse nada. - Píxeles y botones sociales. El botón «me gusta» es un rastreador con forma de botón.
Quitar esas cuatro cosas cubre prácticamente todos los casos de una web de empresa.
Lo que sí sigue siendo obligatorio
Suprimir el banner no suprime el resto. En España siguen haciendo falta:
- Un aviso legal con los datos identificativos del titular, que exige el artículo 10 de la LSSI-CE. Es un requisito independiente del RGPD y mucha gente lo confunde con la política de privacidad.
- Una política de privacidad que explique qué se trata, con qué base legal, durante cuánto tiempo y cómo ejercer los derechos.
- En los formularios, consentimiento expreso y la información básica al lado del propio campo, no escondida tras un enlace.
Y una regla que no aparece en ningún texto legal pero ahorra disgustos: no registrar en los logs lo que la gente escribe. El formulario de esta web se convierte en un correo y se olvida; si el envío falla, se registra el error, no el mensaje.
La excepción honesta
Conviene decir lo que sí hay, porque «cero cookies» es una frase que casi nadie
puede sostener del todo. Esta web se sirve desde Cloudflare, y Cloudflare instala
una cookie técnica, cf_clearance, para distinguir el tráfico de personas del
automatizado.
Esa cookie entra en la excepción del artículo 22.2: es estrictamente necesaria para prestar el servicio, no identifica a nadie y no sirve para seguir a la gente entre sitios. Por eso sigue sin hacer falta banner. Pero está ahí, y lo correcto es contarlo en la política de privacidad en vez de proclamar un cero que no es cierto.
La regla práctica: mirá lo que instala tu sitio con las herramientas de desarrollo del navegador antes de escribir la política, no después. Nosotros lo descubrimos así.
El efecto secundario
Hay un motivo egoísta para trabajar así, más allá del cumplimiento: una web sin rastreadores es una web rápida. Los banners de consentimiento suelen pesar más que todo el contenido de la página que tapan, y las librerías de analítica bloquean el hilo principal justo cuando el navegador intenta pintar.
No recoger datos sale gratis, va más rápido y no hay que explicárselo a nadie en una inspección.