Guía · Normativa europea

GDPR para sitios con anuncios, explicado sin jerga legal

Si tu sitio recibe visitas de Europa y muestra anuncios, el GDPR y las reglas de cookies rigen para esas visitas, aunque la empresa sea brasileña. Esta guía muestra a quién se aplica la ley, qué es un consentimiento válido, cuánto cuesta equivocarse y qué exige Google a quienes usan AdSense y Ad Manager.

Auditar mi sitio ahora Leer la guía

✓Basado en el texto oficial del reglamento y en las orientaciones del EDPB
✓Ejemplos prácticos de lo que se puede y lo que no se puede
✓Lectura del sitio sin modificar nada

6bases legales para tratar datos personales

4%de la facturación mundial anual, el tope de las multas más altas

2018año en que el GDPR empezó a aplicarse

3regiones en la política de consentimiento de Google: EEE, Reino Unido y Suiza

Qué es

La ley europea que decide cómo pueden usarse los datos de las personas

El GDPR, llamado en español RGPD (Reglamento General de Protección de Datos), es el Reglamento (UE) 2016/679. Se adoptó en abril de 2016 y empezó a aplicarse el 25 de mayo de 2018 en todos los países de la Unión Europea, y también rige en el resto del Espacio Económico Europeo (Islandia, Liechtenstein y Noruega).

La ley protege los datos personales, es decir, cualquier información vinculada a una persona que pueda ser identificada. Para un sitio, esto incluye cosas que parecen técnicas: la dirección IP, los identificadores de cookies, los ID de dispositivo y el historial de navegación usado para elegir anuncios.

Quien decide por qué y cómo se usan los datos es el responsable del tratamiento (controlador). Casi siempre es el dueño del sitio. Quien procesa los datos en su nombre, como una herramienta de correo electrónico o de alojamiento, es el encargado del tratamiento (operador). Las redes de anuncios suelen actuar como controladores independientes para parte del uso.

El GDPR va junto con la Directiva ePrivacy (2002/58/CE), que trata específicamente las cookies. En la práctica, la regla es esta: guardar o leer cookies que no son estrictamente necesarias, como las de anuncios y de análisis, exige consentimiento previo. Y ese consentimiento debe seguir el estándar del GDPR.

Lista de verificación

Lo que debes cumplir

Estos son los puntos que la ley, las autoridades europeas y Google exigen a un sitio con anuncios que recibe visitantes del EEE.

Usa una CMP certificada por Google
Desde el 16 de enero de 2024, AdSense y Ad Manager exigen una CMP certificada por Google e integrada con el IAB TCF para mostrar anuncios personalizados en el EEE. Sin ella, ese tráfico solo puede recibir anuncios no personalizados o limitados.
Ejemplo
En AdSense, haz clic en Privacidad y mensajes en la barra lateral y crea el mensaje de regulaciones europeas, o elige otra CMP de la lista de Google.
Pide consentimiento antes de las cookies de anuncios
Las cookies que no son esenciales solo pueden guardarse después de una acción clara del visitante. Según el EDPB, las casillas ya marcadas, desplazarse por la página o seguir navegando no valen como consentimiento.
Ejemplo
Deja todas las finalidades sin marcar hasta que la persona haga clic en una opción.
Haz que rechazar y retirar sea tan fácil como aceptar
La mayoría de las autoridades europeas considera una infracción un banner sin opción de rechazo en la misma capa que el botón de aceptar. Retirar el consentimiento después también debe ser tan fácil como darlo.
Ejemplo
Usa el mensaje de 3 botones de Google, que muestra Consentir, No consentir y Administrar opciones en la primera pantalla, y un enlace fijo en el pie de página para reabrir las opciones.
4
Envía Consent Mode v2 a las etiquetas de Google
Si el sitio usa Google Analytics o Google Ads, Google exige recoger el consentimiento de los visitantes del EEE y enviar las señales ad_user_data y ad_personalization. El comando predeterminado debe ejecutarse antes de cualquier etiqueta que envíe datos.
```
gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});
```
Indica quién recibe los datos
La política de consentimiento de Google pide que el sitio identifique a cada empresa que pueda recoger o usar datos por los productos de Google. También pide información fácil de encontrar sobre cómo usa cada una esos datos.
Ejemplo
En la política de privacidad, incluye una sección Socios de publicidad con Google y cada red de anuncios que funciona en el sitio.
Guarda la prueba del consentimiento
Según el GDPR, al sitio le corresponde demostrar que se dio el consentimiento. La política de Google también exige guardar un registro de los consentimientos recogidos.
Ejemplo
Revisa en el panel de la CMP si el registro de consentimientos está activo y por cuánto tiempo se guarda.
No bloquees el contenido a quien rechaza
Las directrices del EDPB dicen que el acceso al servicio no debe depender de aceptar cookies. Un sitio que oculta todo hasta que se hace clic en aceptar no obtiene un consentimiento libre.
Ejemplo
Quien rechaza puede seguir leyendo el artículo y ver anuncios no personalizados o limitados.
Responde a las solicitudes en un plazo de un mes
Cuando un visitante pide acceso, corrección o eliminación de sus datos, la respuesta debe enviarse en principio en un plazo de un mes, sin costo. Si tienes dudas sobre casos específicos, consulta con tu área jurídica.
Ejemplo
Pon en la política de privacidad un correo electrónico solo para solicitudes de privacidad.

En la práctica

Lo correcto y lo incorrecto

IncorrectoLa primera pantalla solo tiene aceptar, y rechazar está escondido en otro menú.
CorrectoLa primera pantalla muestra aceptar y rechazar con el mismo destaque.
IncorrectoLas casillas de anuncios personalizados ya aparecen marcadas.
CorrectoLas finalidades de anuncios empiezan sin marcar y solo cambian cuando la persona elige.
IncorrectoLas etiquetas de anuncios y de medición se activan antes de que el visitante elija.
CorrectoLas etiquetas de Google empiezan con el consentimiento denegado y esperan la respuesta del banner.
IncorrectoLa política es un texto genérico sin socios y solo aparece en una página escondida.
CorrectoLa política de privacidad enumera los socios de anuncios y tiene un enlace en todas las páginas.

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Para los anuncios personalizados de Google en el EEE, la CMP debe estar en la lista de Google, y estas son las páginas oficiales para elegir y configurar una.

A quién se aplica

Tu sitio en Brasil también puede estar dentro del GDPR

La ley no mira solo dónde está la empresa. Mira dónde están las personas cuyos datos se usan.

Empresas en la Unión Europea

Toda empresa establecida en la UE sigue el GDPR, sin importar dónde se procesen los datos o dónde estén los servidores.

Empresas fuera de Europa

El artículo 3 alcanza a quien está fuera de la UE y ofrece productos o servicios a personas en la UE o monitorea su comportamiento allí. Los anuncios personalizados y las cookies de rastreo son un ejemplo claro de monitoreo.

Sitio brasileño con público europeo

Un blog en portugués con visitas de Portugal, o un sitio en inglés con tráfico de Alemania, debe tratar esas visitas según las reglas europeas, aunque tenga CNPJ y servidor en Brasil.

Reino Unido y Suiza

Tienen leyes propias, parecidas al GDPR (UK GDPR y la ley suiza de protección de datos). Para Google, los tres territorios siguen la misma política de consentimiento.

Bases legales

Las 6 bases legales del artículo 6

Todo uso de datos personales necesita una base legal elegida antes de empezar. Para las cookies de anuncios, en la práctica, la base es el consentimiento.

Consentimiento

La persona está de acuerdo de forma libre y clara. Es la base exigida para las cookies no esenciales y para los anuncios personalizados.

Contrato

El dato es necesario para cumplir un contrato con la persona, como entregar un pedido o mantener una suscripción.

Obligación legal

Una ley obliga a guardar o usar el dato, como las facturas y los registros contables.

Intereses vitales

Proteger la vida de la persona o de otra persona. Rara vez se aplica a sitios de contenido.

Interés público

Tareas de interés público o de autoridad oficial. Lo usan los organismos públicos, casi nunca los editores.

Interés legítimo

Un interés real de la empresa que no pase por encima de los derechos de la persona, como la seguridad del sitio. No sustituye el consentimiento exigido para las cookies de anuncios.

Consentimiento válido

Libre, específico, informado e inequívoco

El GDPR define el consentimiento como una manifestación libre, específica, informada e inequívoca de la voluntad de la persona, dada mediante una declaración o una acción afirmativa clara. Cada una de esas palabras tiene un efecto práctico en el banner de cookies.

Libre significa que existe una elección de verdad. El botón de rechazar debe estar tan a la vista como el de aceptar, y rechazar no puede acarrear perjuicio. Las orientaciones del Comité Europeo de Protección de Datos (EDPB) dicen que bloquear el contenido hasta que la persona acepte las cookies, el llamado cookie wall, no genera un consentimiento libre.

Específico e informado significa que la persona sabe para qué sirve cada uso y quiénes son los socios que reciben los datos. Inequívoco significa que hubo una acción clara: las casillas ya marcadas, el silencio, seguir navegando o desplazar la página no cuentan como consentimiento.

Por último, el artículo 7 exige que retirar el consentimiento sea tan fácil como darlo. En la práctica, el sitio necesita un enlace o botón permanente, como Preferencias de cookies en el pie de página, que reabra las opciones en cualquier momento. Y el controlador debe poder probar que la persona consintió, por eso la CMP guarda un registro de cada elección.

Obligaciones del sitio

Lo que debe tener un sitio con anuncios para visitantes europeos

Mapea lo que recopila el sitioEnumera las cookies, las etiquetas y los socios de anuncios que cargan en cada página. Sin ese mapa, el banner y la política de privacidad quedan incompletos.
Muestra un banner de consentimiento antes de las cookiesUsa una CMP que bloquee las cookies de anuncios y de análisis hasta la elección de la persona, con botones de aceptar y rechazar al mismo nivel.
Publica una política de privacidad claraExplica quién es el controlador, qué datos se usan, para qué, con qué base legal, por cuánto tiempo, con qué socios y cómo ejerce la persona sus derechos.
Atiende los derechos de las personasTen un canal para las solicitudes de acceso, rectificación, supresión, portabilidad, oposición y retiro del consentimiento. La respuesta debe llegar sin demora, por regla general dentro de un mes.
Documenta y evalúa los riesgosMantén un registro de las actividades de tratamiento. Cuando el uso de los datos represente un riesgo alto, como el monitoreo a gran escala, haz una evaluación de impacto (DPIA).
Prepara la respuesta a incidentesUna filtración de datos con riesgo para las personas debe comunicarse a la autoridad en un máximo de 72 horas después de que la empresa tenga conocimiento de ella.
Verifica si necesitas un representante en la UELas empresas de fuera de la UE que entran en el GDPR por el artículo 3 pueden tener que nombrar a un representante en la Unión. Confirma con tu asesor jurídico si tu caso encaja en las excepciones.

Supervisión y multas

Quién supervisa y cuánto cuesta equivocarse

Cada país tiene su autoridad de protección de datos, como la CNIL en Francia y la CNPD en Portugal. Reciben reclamaciones, investigan y aplican sanciones.

Multas de hasta 20 millones de euros o el 4%

Para las infracciones más graves, como usar datos sin base legal o incumplir el consentimiento, el tope es de 20 millones de euros o el 4% de la facturación mundial anual, lo que sea mayor.

Multas de hasta 10 millones de euros o el 2%

Para fallas de organización, como no mantener registros o no hacer la evaluación de impacto cuando se exige, el tope es de 10 millones de euros o el 2% de la facturación mundial.

Otras medidas

La autoridad puede dar una advertencia, ordenar que se corrija el banner, limitar o prohibir un tratamiento de datos. Para una infracción solo probable, puede emitir apenas un aviso.

Criterios del valor

La multa tiene en cuenta la gravedad, la duración, si hubo intención o negligencia, lo que se hizo para reducir el daño y el nivel de cooperación con la autoridad.

Cronología

Las fechas que más afectan a un sitio con anuncios

De la regla de cookies a la exigencia de una CMP certificada por Google.

2002
Directiva ePrivacy
Crea las reglas europeas para las cookies y las comunicaciones electrónicas, reforzadas más tarde para exigir consentimiento antes de guardar cookies no esenciales.
27 de abril de 2016
Se adopta el GDPR
Se aprueba el Reglamento (UE) 2016/679, con un plazo de dos años para que las empresas se adapten.
25 de mayo de 2018
El GDPR empieza a regir
Empiezan a aplicarse las reglas de consentimiento, derechos y multas. En el mismo mes, Google lanza actualizaciones para editores y anunciantes.
2020
Directrices 05/2020 del EDPB
El comité europeo detalla el consentimiento válido: los cookie walls, el desplazamiento de la página y las casillas premarcadas no sirven.
16 de enero de 2024
CMP certificada en Google
Para los anuncios personalizados en el EEE y el Reino Unido, AdSense, Ad Manager y AdMob pasan a exigir una CMP certificada por Google e integrada con el TCF.
31 de julio de 2024
Suiza entra en la regla
La exigencia de una CMP certificada con TCF pasa a regir también para los visitantes de Suiza.

AdSense y Ad Manager

Lo que exige Google a quienes tienen visitantes europeos

La Política de consentimiento de usuarios de la UE de Google rige para el EEE, el Reino Unido y Suiza. Pide un consentimiento legalmente válido para las cookies donde la ley lo exige, consentimiento para usar datos en anuncios personalizados, la identificación de todos los socios que reciben datos, el registro de las elecciones e instrucciones claras para retirar el consentimiento.

Desde el 16 de enero de 2024, para recibir anuncios personalizados en esas regiones, el sitio necesita una CMP certificada por Google e integrada con el TCF de IAB Europe. El Mensaje de privacidad de AdSense y de Ad Manager es una de las opciones certificadas.

Sin una CMP certificada, el tráfico europeo puede quedarse solo con anuncios no personalizados o anuncios limitados, que pagan menos. En el panel de AdSense, esto aparece como personalización de anuncios restringida en el EEE, el Reino Unido y Suiza. Si el sitio también usa Google Analytics o Google Ads, Consent Mode lleva la elección del banner hasta esas etiquetas.

Google puede limitar o suspender el uso de sus productos a quien no cumple la política. Por eso, el banner correcto es al mismo tiempo una cuestión legal y una cuestión de ingresos.

En la práctica

Qué se puede y qué no se puede en el banner y en las cookies

Ejemplos reales de configuraciones que aparecen en sitios con anuncios.

Sí se puede

Botones Aceptar todo y Rechazar todo lado a lado, con el mismo tamaño y destaque
Cargar cookies esenciales, como el carrito o el inicio de sesión, sin pedir consentimiento
Mostrar el mensaje del TCF solo a visitantes del EEE, el Reino Unido y Suiza
Un enlace Preferencias de cookies en el pie de página que reabra las opciones en cualquier momento
Enumerar los socios de anuncios en la segunda capa del banner, con la finalidad de cada uno
Ofrecer anuncios no personalizados a quien rechaza

No se puede

Guardar cookies de anuncios antes de que la persona responda al banner
Esconder el Rechazar en otra pantalla mientras el Aceptar queda destacado
Dejar las casillas de finalidades ya marcadas
Tratar el desplazamiento de la página o seguir navegando como consentimiento
Bloquear todo el contenido hasta que la persona acepte las cookies
Usar un plugin de cookies común sin certificación de Google para anuncios personalizados

Errores comunes

Fallas que más aparecen en sitios brasileños con tráfico europeo

Casi todas pasan desapercibidas, porque el sitio sigue funcionando y los anuncios siguen apareciendo.

Creer que la ley no rige para Brasil

La empresa es brasileña, pero el visitante está en Portugal. Para ese visitante, rigen las reglas europeas y la política de Google.

Banner que solo informa

Una barra con el texto Este sitio usa cookies y un botón OK no pide consentimiento. Las cookies ya se guardaron antes del clic.

Etiquetas que cargan antes de la elección

El código de anuncios o Analytics está en la parte superior de la página, por encima de la CMP. Las cookies se guardan en los primeros segundos, sin consentimiento.

Política de privacidad genérica

Texto copiado de otro sitio, sin mencionar a Google, a los socios de anuncios, las bases legales ni cómo retirar el consentimiento.

Sin camino para cambiar de opinión

Después del primer clic, el visitante ya no encuentra el banner. Retirar el consentimiento resulta más difícil que darlo.

Mensaje europeo para el mundo entero

Mostrar el TCF a visitantes de Brasil o de Estados Unidos no se exige y hunde los ingresos de esos visitantes sin necesidad.

En ConsentMode

Qué revisa la auditoría sobre el GDPR en tu sitio

Abre el sitio como un visitante de Europa y como un visitante de fuera, y muestra en una captura dónde aparece el banner y dónde no.
Verifica si hay cookies de anuncios o de análisis guardadas antes de cualquier clic en el banner.
Identifica la CMP, lee la cadena del TCF y comprueba si está en la lista de CMP certificadas de Google.
Comprueba si el botón de rechazar está en la primera capa y si existe un enlace para reabrir las preferencias.
Lee la política de privacidad y señala lo que falta: Google, socios de anuncios, cookies y cómo retirar el consentimiento.

Hacer una auditoría Ver todo lo que se revisa

Consentimiento europeo incompletoConsentimiento · visitante del EEE

Grave

✓el banner aparece para el visitante del EEEok

✕cookies de anuncios antes de la elecciónrevisar

✕CMP certificada por Googleausente

!botón rechazar solo en la segunda caparevisar

✓la política de privacidad menciona a Googleok

Cómo corregirlo: cambia el plugin por una CMP certificada con TCF, coloca su código antes de las etiquetas de anuncios y lleva el botón rechazar a la primera pantalla.

Preguntas frecuentes sobre el GDPR

Mi sitio es brasileño y está escrito en portugués. ¿Me afecta el GDPR?

Rige para las visitas que vienen de Europa cuando usas cookies de anuncios o de rastreo en esos visitantes. Para el público de Brasil, rige la LGPD. Por eso, la configuración correcta usa regiones: reglas europeas para los europeos, reglas locales para el resto.

¿Necesito consentimiento para Google Analytics?

En Europa, las cookies de análisis no se consideran estrictamente necesarias, así que por regla general exigen consentimiento previo. Consent Mode ayuda a respetar esa elección sin perder toda la medición.

¿Puedo usar el interés legítimo para los anuncios personalizados?

Para guardar y leer cookies de anuncios, la regla europea de cookies exige consentimiento. Además, Google pide consentimiento para los anuncios personalizados en el EEE, el Reino Unido y Suiza. En la práctica, el camino seguro es el consentimiento.

¿Está prohibido el cookie wall?

Las directrices del EDPB dicen que condicionar el acceso al contenido a la aceptación de cookies no genera un consentimiento libre. Algunos países discuten modelos alternativos, como pagar para navegar sin anuncios, pero eso exige un análisis jurídico caso por caso.

¿Cuánto tiempo vale un consentimiento?

El GDPR no fija un plazo único. Muchas autoridades recomiendan volver a pedirlo después de algunos meses, y el TCF de IAB Europe también tiene reglas propias. Consulta las orientaciones del país de tu público y las de tu CMP.

¿ConsentMode sustituye a un abogado o a una CMP?

No. ConsentMode es una auditoría de solo lectura. Muestra lo que hace el sitio con cada tipo de visitante, con capturas y un plan de corrección. La decisión jurídica y el banner siguen en manos de tu equipo y de tu CMP.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Descubre qué ven los visitantes europeos en tu sitio

La auditoría abre el sitio como un visitante de Europa, comprueba el banner, las cookies y el TCF, y muestra exactamente qué corregir.

Comenzar la auditoría