Guía · Normativa europea

DMA: por qué Google empezó a exigir Consent Mode v2

La Ley de Mercados Digitales (DMA) es una norma europea para las grandes plataformas, como Google. No habla directamente con tu sitio, pero cambió la forma en que Google recibe el consentimiento de los visitantes europeos. Esta guía explica qué es el DMA, qué le exige a Google y qué cambia para editores y anunciantes.

Auditar mi sitio ahora Leer la guía

✓Basado en el sitio oficial del DMA de la Comisión Europea
✓Explica la relación con las señales ad_user_data y ad_personalization
✓Lectura del sitio sin modificar nada

7empresas designadas como gatekeepers por la Comisión Europea

8servicios de Alphabet, dueño de Google, en la lista del DMA

10%de la facturación mundial, tope de las multas, o 20% en caso de reincidencia

2024año en que los gatekeepers empezaron a cumplir todas las obligaciones

Qué es

Una ley para las grandes plataformas digitales

La Ley de Mercados Digitales, o Digital Markets Act (DMA), es el Reglamento (UE) 2022/1925. Entró en vigor el 1 de noviembre de 2022 y pasó a ser aplicable el 2 de mayo de 2023.

El objetivo es hacer los mercados digitales más justos y abiertos. Para ello, el DMA crea una lista de deberes y prohibiciones para los llamados gatekeepers, o guardianes de acceso: empresas muy grandes que funcionan como puerta de entrada entre negocios y consumidores.

El DMA no reemplaza al GDPR ni a las reglas de competencia. Suma obligaciones a las que ya existen. Y, a diferencia del GDPR, no está dirigido a sitios comunes: quienes deben cumplirlo son los gatekeepers.

Aun así, el efecto llega a cualquier sitio con anuncios de Google. Para cumplir el DMA, Google tuvo que cambiar la forma en que recibe y usa el consentimiento de los visitantes europeos, y trasladó esa exigencia a editores y anunciantes.

Lista de verificación

Lo que debes cumplir

La DMA obliga a los gatekeepers, pero Google traslada a tu sitio el deber de recoger y enviar el consentimiento de los visitantes del EEE.

Pide consentimiento también para Google
La política de consentimiento de Google exige un consentimiento válido para las cookies, cuando la ley lo pide, y para el uso de datos personales en anuncios personalizados. Esto vale para todo sitio que usa productos de Google con visitantes del EEE.
Ejemplo
Google aparece en la lista de socios del banner, con las finalidades de anuncios.
Envía las cuatro señales de Consent Mode v2
Para seguir usando medición, anuncios personalizados y remarketing con visitantes del EEE, Google pide que el sitio envíe las señales ad_user_data y ad_personalization, además de ad_storage y analytics_storage.
Ejemplo
En la CMP, activa la integración con Consent Mode y comprueba que aparezcan las cuatro señales.
3
Define el valor predeterminado antes de cualquier etiqueta
Google pide que el comando predeterminado de consentimiento se ejecute en todas las páginas antes de cualquier comando que envíe datos. Así, no sale nada antes de la elección del visitante.
```
gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});
```
Usa una CMP certificada con TCF para los anuncios
Para los anuncios personalizados de Google en el EEE, el Reino Unido y Suiza, AdSense y Ad Manager exigen una CMP certificada por Google e integrada con el IAB TCF.
Habilita las finalidades que Google necesita
En el TCF, Google necesita consentimiento en las finalidades 1, 3 y 4 para anuncios personalizados y en la finalidad 1 para no personalizados. Sin consentimiento en la finalidad 1, el sitio no debe llamar a la etiqueta de anuncios de Google.
Ejemplo
En la CMP, activa Google como proveedor y marca las finalidades 1, 3 y 4 como disponibles.
Informa el consentimiento al enviar listas de clientes
Desde marzo de 2024, las listas de clientes del EEE enviadas a Google Ads deben llevar los dos consentimientos como concedidos. Sin ellos, esos datos no se usan para la personalización.
Guarda registros y explica cómo revocar
La política de Google pide que el sitio guarde un registro de los consentimientos y dé instrucciones claras para que la persona retire su elección.
Ejemplo
Un enlace fijo en el pie de página, Preferencias de privacidad, vuelve a abrir el banner.

En la práctica

Lo correcto y lo incorrecto

IncorrectoLas etiquetas de Google se activan antes del banner y sin las señales nuevas.
CorrectoLas etiquetas de Google empiezan con las cuatro señales denegadas y solo cambian después de la elección.
IncorrectoRechazar exige abrir varias pantallas, mientras que aceptar lleva un clic.
CorrectoEl visitante puede aceptar o rechazar con la misma facilidad.
IncorrectoLa política no menciona a Google ni a las otras redes de anuncios.
CorrectoLa política de privacidad menciona a Google y explica cómo usa los datos.

Herramientas oficiales

CMPs certificadas y enlaces oficiales

La DMA no tiene una lista propia de CMP, así que valen la lista de CMP certificadas de Google y la guía oficial de Consent Mode.

Gatekeepers

Quiénes fueron designados por la Comisión Europea

Seis empresas fueron designadas el 6 de septiembre de 2023. Booking entró en mayo de 2024. En total, la lista oficial incluye 23 servicios básicos de plataforma.

Alphabet (Google)

Búsqueda, YouTube, Android, Chrome, Google Play, Google Maps, Google Shopping y el servicio de publicidad en línea.

Amazon y Apple

Marketplace y publicidad de Amazon. App Store, iOS, iPadOS y Safari de Apple.

ByteDance, Microsoft y Booking

TikTok, LinkedIn, Windows y la plataforma de reservas de Booking.

La regla del consentimiento

El punto del DMA que afecta a los anuncios

Entre las reglas del DMA, una afecta directamente a la publicidad: el gatekeeper no puede tratar datos personales de usuarios que provienen de servicios de terceros para hacer publicidad, ni combinar o cruzar datos entre sus servicios, sin que el usuario lo haya elegido y haya dado su consentimiento en el sentido del GDPR.

Los considerandos del reglamento explican cómo debe ser ese consentimiento. La persona debe poder elegir libremente. No dar el consentimiento no puede ser más difícil que darlo. Retirarlo debe ser tan fácil como darlo. Y el gatekeeper no puede volver a pedirlo más de una vez al año a quien ya lo rechazó.

Quien rechaza también debe tener acceso a una alternativa menos personalizada, pero equivalente. El servicio no puede quedar condicionado al consentimiento.

Para Google, esto significa: cuando los datos de un visitante llegan por las etiquetas instaladas en sitios y apps de terceros, como las de Google Ads, Analytics, AdSense y Ad Manager, Google necesita saber si ese visitante europeo dio su consentimiento. Aquí es donde entran las nuevas señales de Consent Mode.

Cronología

Del reglamento a las nuevas señales de Google

Las fechas que explican por qué 2024 fue el año del cambio.

1 de noviembre de 2022
El DMA entra en vigor
El Reglamento (UE) 2022/1925 pasa a existir oficialmente.
2 de mayo de 2023
El DMA pasa a ser aplicable
Las empresas que alcanzan los umbrales tienen dos meses para avisar a la Comisión.
6 de septiembre de 2023
Gatekeepers designados
Alphabet, Amazon, Apple, ByteDance, Meta y Microsoft son designados, con hasta seis meses para cumplir las obligaciones.
Octubre de 2023
Google avisa a los desarrolladores
Google publica cambios en las API de anuncios para apoyar el DMA, con un objeto de consentimiento para conversiones y listas de clientes.
16 de enero de 2024
CMP certificada para editores
AdSense, Ad Manager y AdMob pasan a exigir una CMP certificada por Google e integrada con el TCF para los anuncios personalizados en el EEE y el Reino Unido.
7 de marzo de 2024
Las obligaciones del DMA rigen por completo
Los gatekeepers deben cumplir todas las obligaciones. Google refuerza la política de consentimiento de la UE y las listas de clientes sin consentimiento empiezan a perder alcance.

Consent Mode v2

Las dos señales que nacieron para cumplir el DMA

Antes de 2024, Consent Mode tenía dos señales principales: ad_storage, para las cookies de anuncios, y analytics_storage, para las cookies de medición. Indicaban si el navegador podía guardar cookies, pero no si la persona aceptaba que Google usara sus datos para publicidad.

La versión 2 trajo dos señales nuevas. ad_user_data indica si los datos del visitante pueden enviarse a Google con fines de publicidad en línea. ad_personalization indica si la persona acepta anuncios personalizados, como el remarketing.

Con estas señales, Google puede demostrar que tiene el consentimiento que exige el DMA para usar los datos que llegan por las etiquetas. Sin ellas, Google deja de usar los datos de los visitantes del EEE para crear audiencias, hacer remarketing y personalizar anuncios.

Consent Mode no es un banner. Quien le pregunta al visitante es la CMP. Consent Mode solo lleva la respuesta hasta las etiquetas de Google.

Qué cambia para cada lado

Editores y anunciantes sienten el DMA de formas distintas

El mismo visitante europeo pasa por los dos lados: por el sitio que muestra el anuncio y por el sitio del anunciante que mide la conversión.

Editores (AdSense y Ad Manager)

La señal principal para los anuncios es la cadena del TCF enviada por una CMP certificada por Google.

La CMP certificada ya lleva el consentimiento a Google mediante el TCF
Quien rechaza todavía puede recibir anuncios no personalizados o limitados
Consent Mode completa la configuración cuando el sitio usa Analytics
Sin una CMP certificada, el tráfico del EEE pierde los anuncios personalizados
Un banner mal configurado hace caer los ingresos europeos
La personalización restringida aparece en el panel de AdSense

Anunciantes (Google Ads y Analytics)

La señal principal es Consent Mode v2, con los cuatro parámetros.

Con el modo avanzado, Google modela las conversiones de quien rechazó
Las audiencias y el remarketing continúan para quien aceptó
Las cargas de conversiones y listas llevan el consentimiento incluido
Sin ad_user_data y ad_personalization, se pierden el remarketing y las audiencias en el EEE
Las listas de clientes sin consentimiento pierden alcance
La medición de conversiones queda incompleta

Supervisión

Las sanciones del DMA, que recaen sobre los gatekeepers

Quien aplica el DMA es la Comisión Europea. Las multas son para los gatekeepers, pero la presión llega a los socios, que deben enviar las señales correctas.

Multa de hasta el 10%

De la facturación mundial anual total de la empresa por incumplimiento.

Hasta el 20% en caso de reincidencia

Para infracciones repetidas, el tope se duplica.

Multas diarias

Pagos periódicos de hasta el 5% de la facturación media diaria para forzar el cumplimiento.

Informes de cumplimiento

Los gatekeepers entregan informes y una descripción auditada de las técnicas de elaboración de perfiles de consumidores.

Qué hacer

Cómo dejar el sitio listo para el DMA

Usa una CMP certificada por GooglePara los editores con tráfico del EEE, el Reino Unido o Suiza, es el requisito para los anuncios personalizados. El mensaje de privacidad de AdSense y de Ad Manager es una de las opciones.
Activa Consent Mode v2 en la CMPComprueba que la CMP envíe las cuatro señales: ad_storage, analytics_storage, ad_user_data y ad_personalization.
Define el valor predeterminado antes de las etiquetasEl comando de consentimiento predeterminado debe ir en la parte superior de la página, antes de gtag.js, de Google Tag Manager y del código de anuncios.
Usa regionesDeniega por defecto donde la ley exige consentimiento previo y mantén concedido en el resto del mundo, si la ley local lo permite.
Revisa las cargas de datosSi envías conversiones offline o listas de clientes a Google Ads, informa el consentimiento junto con ellas o haz la confirmación que pide la interfaz.

Ejemplo de valor denegado por defecto para algunas regiones (la lista completa incluye todos los países del EEE, más el Reino Unido y Suiza)

gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied',
  region: ['AT', 'BE', 'DE', 'ES', 'FR', 'IT', 'PT', 'GB', 'CH'],
  wait_for_update: 500
});

Errores comunes

Lo que más aparece en los sitios después del DMA

Todos estos errores dejan el banner funcionando en apariencia, pero Google recibe la señal equivocada.

Consent Mode v1 todavía en el sitio

El sitio envía ad_storage y analytics_storage, pero no ad_user_data ni ad_personalization. Para Google, falta el consentimiento que se exige para los anuncios.

Señales enviadas después de las etiquetas

La CMP se carga después del código de anuncios. Las primeras solicitudes salen sin ninguna señal de consentimiento.

Rechazo que no llega a Google

El visitante rechaza en el banner, pero la actualización (update) no se envía. Las etiquetas siguen como si nada hubiera cambiado.

Todo denegado en el mundo entero

El valor denegado se aplica a todos los países. Los visitantes de Brasil y de EE. UU. pierden anuncios sin necesidad.

En ConsentMode

Qué revisa la auditoría sobre el DMA y Consent Mode

Abre el sitio como visitante del EEE y lee los comandos de consentimiento en el código de la página, en el orden en que aparecen.
Comprueba si las cuatro señales están presentes en el valor predeterminado y en la actualización (update) después de la elección.
Identifica la CMP, lee la cadena del TCF y verifica si la CMP está en la lista de certificadas de Google.
Compara la visita europea con la de fuera de Europa para ver si las regiones son correctas.
Muestra dónde corregir, con captura y el camino en la CMP, en Google Tag Manager o en WordPress.

Hacer una auditoría Ver todo lo que se revisa

Preguntas frecuentes sobre el DMA

¿El DMA se aplica a mi sitio?

No directamente. El DMA es para los gatekeepers, como Alphabet. Pero, para cumplir el DMA, Google exige que editores y anunciantes envíen el consentimiento de los visitantes europeos. En la práctica, quien usa productos de Google siente el efecto.

¿Cuál es la diferencia entre el DMA y el GDPR?

El GDPR protege los datos personales y se aplica a cualquier empresa que trate datos de personas en Europa. El DMA regula el comportamiento de las grandes plataformas en el mercado. El DMA usa la definición de consentimiento del GDPR.

Mi público es solo brasileño. ¿Necesito Consent Mode v2?

Para los visitantes de Brasil, Google no lo exige. Si tienes visitantes del EEE, la exigencia se aplica a ellos. Usa regiones para no denegar el consentimiento en Brasil.

¿Consent Mode v2 es lo mismo que el TCF?

No. El TCF es el estándar de IAB Europe que usan las CMP certificadas para pasar el consentimiento a todos los socios de anuncios. Consent Mode es la forma en que Google recibe la elección en sus propias etiquetas. Una CMP certificada suele encargarse de ambos.

¿Las señales nuevas hacen caer los ingresos?

No por sí solas. Lo que reduce los ingresos es no enviar las señales, o denegar todo en el mundo entero. Con las señales correctas y las regiones bien definidas, quien acepta sigue con anuncios personalizados.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si tu sitio envía las señales que Google espera

La auditoría lee los comandos de consentimiento, la CMP y el TCF como un visitante europeo y muestra qué corregir.

Comenzar la auditoría

DMA: por qué Google empezó a exigir Consent Mode v2

Una ley para las grandes plataformas digitales

Lo que debes cumplir

Pide consentimiento también para Google

Envía las cuatro señales de Consent Mode v2

Define el valor predeterminado antes de cualquier etiqueta

Usa una CMP certificada con TCF para los anuncios

Habilita las finalidades que Google necesita

Informa el consentimiento al enviar listas de clientes

Guarda registros y explica cómo revocar