Consent Mode y CMP

Conforme al GDPR y ePrivacy, por lo general necesita consentimiento explícito antes de establecer cookies no esenciales o compartir datos con fines publicitarios. Sin embargo, bloquear todas las etiquetas cuando se deniega el consentimiento implica perder por completo la medición.

Google Consent Mode es un puente: las etiquetas leen las opciones de consentimiento del usuario y adaptan su comportamiento, enviando datos completos, señales que preservan la privacidad o nada en absoluto.

Consent Mode v2 define cuatro estados clave. Dos ya existían: analytics_storage y ad_storage. En v2 se añadieron dos: ad_user_data y ad_personalization.

Cada uno puede ser 'granted' o 'denied'. ad_user_data controla si los datos del usuario pueden enviarse a Google para anuncios; ad_personalization controla si pueden utilizarse para publicidad personalizada y remarketing.

El flujo consta de dos pasos. Primero, se ejecuta un comando predeterminado antes de que se active cualquier etiqueta, que normalmente establece todo como denegado para los usuarios de la UE. Después, cuando el usuario hace clic en el banner, un comando de actualización refleja su elección real.

Establecer el valor predeterminado antes de que se carguen las etiquetas es fundamental. De lo contrario, las etiquetas podrían activarse con el seguimiento completo antes de obtener el consentimiento, lo que constituiría una infracción.

Consent Mode básico bloquea por completo las etiquetas de Google hasta que se concede el consentimiento; antes no se envía ningún ping. Consent Mode avanzado carga las etiquetas de inmediato, pero cuando se deniega el consentimiento envía «pings» sin cookies: señales anónimas sin identificadores.

El modo avanzado proporciona datos para el modelado de conversiones de Google, que estima las conversiones que no puede observar directamente. Normalmente recupera más datos, pero plantea un debate más amplio sobre el cumplimiento normativo.

En el modo avanzado, cuando se deniega el consentimiento, Google sigue recibiendo un ping mínimo sin cookies: una marca de tiempo, la URL de la página, el propio estado del consentimiento y un identificador aleatorio que no se almacena.

Estos pings no contienen datos personales ni establecen cookies, por lo que pueden justificarse. Proporcionan a los modelos de Google suficiente señal agregada para estimar las conversiones no observadas.

Una Consent Management Platform (CMP) es la herramienta que muestra el banner, registra las elecciones del usuario, almacena pruebas del consentimiento y comunica esa elección a sus etiquetas.

Algunos ejemplos son Cookiebot, OneTrust, Usercentrics y Didomi. La CMP es la fuente de verdad del consentimiento; Consent Mode es la forma en que las etiquetas de Google responden a él.

Para Consent Mode v2, Google exige una CMP certificada para productos como el remarketing de Google Ads y el tráfico del EEE. Una CMP certificada integra correctamente las señales de v2 y figura en la lista de aplicaciones aprobadas por Google.

La CMP debe transmitir los cuatro parámetros de consentimiento e integrarse con el IAB Transparency and Consent Framework (TCF) cuando corresponda. Usar un banner no certificado o creado manualmente puede provocar que se desactiven algunas funciones.

El IAB Transparency and Consent Framework es un estándar del sector que codifica el consentimiento en una «TC string»: un token compacto que indica qué finalidades y proveedores ha autorizado el usuario.

Los socios de tecnología publicitaria leen la TC string para saber si pueden procesar datos. Muchas CMP la generan automáticamente; es una infraestructura compleja, por lo que los sitios más pequeños suelen utilizar una configuración más sencilla certificada por Google sin implementar todo el TCF.

El patrón de integración es el siguiente: la CMP se carga primero y establece el valor predeterminado de Consent Mode como denegado. Cuando el usuario elige una opción, la CMP activa la actualización del consentimiento y genera un evento en dataLayer.

Después, las etiquetas de GTM reaccionan automáticamente a Consent Mode mediante comprobaciones de consentimiento integradas o utilizan activadores condicionados al evento de consentimiento. El orden importa: primero la CMP y después GTM; primero el valor predeterminado y después la actualización.

El consentimiento viaja con el evento hasta su servidor de etiquetado. Cada etiqueta del lado del servidor puede comprobar el estado del consentimiento en la carga útil antes de reenviarlo a un destino.

Por tanto, incluso después del navegador, una señal ad_user_data denegada debe impedir que la etiqueta de Meta CAPI o Google Ads envíe datos. La aplicación del consentimiento debe existir tanto en el cliente como en el servidor.

Bien implementados, Consent Mode y una CMP certificada permiten respetar las elecciones de los usuarios y seguir midiendo mediante modelado, sin establecer cookies no autorizadas. Mal implementados, se convierten en una pantalla para encubrir un seguimiento ilegal.

Realice auditorías periódicas: confirme que los valores predeterminados sean denegados, que los banners ofrezcan una opción real de rechazo, que se registre la prueba del consentimiento y que ninguna etiqueta identificativa se active antes de obtenerlo.

Consent Mode v2 utiliza cuatro señales (analytics_storage, ad_storage, ad_user_data, ad_personalization), configuradas como granted o denied, con un flujo en el que primero se establece denied por defecto y después se envía update. El modo avanzado envía pings sin cookies cuando se deniega el consentimiento para impulsar el modelado.

Una CMP certificada por Google es la fuente de verdad que muestra el banner, registra el consentimiento y proporciona estas señales, además de la TC string del IAB. Aplique el consentimiento tanto en el cliente como en el servidor y audite que los valores predeterminados sean denegados antes de que se active cualquier etiqueta.