Plataformas de gestión del consentimiento: comparativa

¿Qué plataforma de gestión del consentimiento (CMP) elegir para una web española? Respuesta directa: la que cumpla la Guía de cookies de la AEPD, que desde su actualización de 2023 exige un botón de “rechazar todo” tan visible como el de aceptar en la primera capa del banner, y que además registre el consentimiento de forma auditable. Para una web pequeña o mediana, Cookiebot y Usercentrics ofrecen planes por dominio con precios públicos; para grandes editores con publicidad programática, Didomi y las CMP con soporte del marco TCF de IAB son la referencia; y para quien quiere control total, existen opciones open source. La clave no es la marca, sino que el banner respete el criterio de la AEPD y guarde la prueba del consentimiento.

Esta comparativa analiza las principales CMP con criterios reales para el mercado español.

Puntos clave

• La Guía de cookies de la AEPD (2023) exige “rechazar todo” en la primera capa, tan accesible como “aceptar”.
• Una CMP debe registrar el consentimiento de forma auditable: qué, cuándo y cómo se consintió.
• El marco TCF de IAB importa si trabaja con publicidad programática; para una web corporativa, no es imprescindible.
• El precio se estructura por dominio y por volumen de páginas vistas; las opciones open source eliminan la licencia pero exigen mantenimiento.

Qué exige la Guía de cookies de la AEPD

La Agencia Española de Protección de Datos actualizó su Guía sobre el uso de cookies en 2023 para alinearla con las Directrices del Comité Europeo de Protección de Datos. Los puntos que una CMP debe respetar sin excepción:

• Rechazar es tan fácil como aceptar. El botón de “rechazar todo” debe estar en la primera capa, con el mismo formato y visibilidad que “aceptar todo”. Los banners que ocultan el rechazo en un segundo nivel incumplen.
• Sin muros de cookies injustificados. No se puede condicionar el acceso al sitio a la aceptación, salvo alternativas equivalentes válidas.
• Consentimiento previo. No se pueden instalar cookies no técnicas antes de obtener el consentimiento.
• Retirada sencilla. El usuario debe poder cambiar o retirar su elección con la misma facilidad con que la dio.

La base jurídica combina el art. 22.2 de la LSSI-CE con el RGPD. Analizamos el detalle en nuestra guía sobre la conformidad del banner de cookies con la AEPD y en la explicación de la Ley de Servicios de la Sociedad de la Información.

Comparativa de plataformas de consentimiento

Estas son las CMP más usadas en webs españolas, con su enfoque y su modelo de precio:

Cookiebot es una de las opciones más equilibradas para pymes: escanea el sitio, clasifica las cookies y genera un banner conforme, con un plan gratuito para webs muy pequeñas y planes de pago por dominio. Usercentrics, su matriz, apunta a un segmento más empresarial con más opciones de personalización. Didomi destaca en grandes editores con publicidad programática, donde el soporte del TCF de IAB es crítico. OneTrust ofrece una CMP potente dentro de su suite, pero su coste y complejidad rara vez se justifican para una web que solo necesita cumplir con las cookies. Las opciones open source eliminan la licencia, pero trasladan a su equipo el mantenimiento, las actualizaciones y la responsabilidad de que el banner siga siendo conforme.

Criterios de selección más allá del precio

El precio es solo un factor. Antes de elegir, valore:

• Registro de consentimiento. ¿Guarda la CMP prueba auditable de cada consentimiento (fecha, versión del banner, opción elegida)? Es la evidencia que pedirá la AEPD.
• Conformidad con la Guía de la AEPD. ¿El banner por defecto cumple el criterio de “rechazar todo” en primera capa, o hay que configurarlo a mano?
• Escaneo y clasificación. ¿Detecta automáticamente las cookies del sitio y las mantiene actualizadas?
• Idioma y soporte. ¿Ofrece el banner y el soporte en español?
• TCF, solo si lo necesita. El marco TCF de IAB es esencial para publicidad programática, pero una web corporativa sin ad tech no lo necesita y no debe pagar por complejidad de más.
• Coste por dominio. El precio escala por dominio y por páginas vistas; sume todos sus dominios antes de comparar.

Recuerde que la CMP resuelve la capa de cookies, no todo el cumplimiento. El consentimiento para otros tratamientos —formularios, newsletters— se gestiona aparte; vea nuestros ejemplos de consentimiento RGPD. Y el banner debe convivir con una política de privacidad conforme y una política de cookies bien redactada.

Cómo configurar la CMP para cumplir con la AEPD

Instalar una CMP no garantiza el cumplimiento: la configuración por defecto de muchas plataformas no respeta el criterio español. Estos son los ajustes que hay que verificar tras instalarla:

1. Active el botón de rechazo en la primera capa. Compruebe que “rechazar todo” aparece junto a “aceptar todo”, con el mismo tamaño y color. Es el punto que la AEPD mira primero y el que más banners incumplen.

2. Bloquee las cookies hasta el consentimiento. Configure la CMP para que ninguna cookie no técnica se instale antes de que el usuario elija. El escaneo previo debe categorizar bien las cookies para no bloquear las estrictamente necesarias.

3. Habilite la retirada sencilla. Debe existir un enlace o icono permanente para cambiar o retirar el consentimiento con la misma facilidad con que se dio.

4. Configure la conservación del registro. Asegúrese de que la CMP guarda cada consentimiento con su fecha, la versión del banner y la opción elegida, y de que ese registro se conserva un plazo razonable como prueba.

5. Traduzca el banner al español. El texto debe ser claro y comprensible para el usuario español, sin tecnicismos que oculten el propósito de las cookies.

6. Revise tras cada cambio del sitio. Un plugin nuevo puede introducir cookies no declaradas. Programe reescaneos periódicos para que la lista de cookies siga siendo veraz.

Con estos seis ajustes verificados, la CMP deja de ser un banner decorativo y pasa a ser una herramienta de cumplimiento real. Saltarse la configuración es el error más común: se instala la plataforma, se deja por defecto y se asume, erróneamente, que ya se cumple.

Las cookies sí se sancionan en España

Conviene no subestimar el riesgo. La AEPD ha sancionado de forma reiterada a empresas por instalar cookies sin consentimiento válido o por banners que no permitían rechazar con facilidad. En el ámbito europeo, la CNIL francesa multó a Google con 150 millones de euros y a Facebook (Meta) con 60 millones en enero de 2022, precisamente por dificultar el rechazo de cookies. En España, las cookies son además una de las vías habituales de reclamación en el sector del marketing digital; nuestro análisis de sanciones de la AEPD en marketing y publicidad recoge la tendencia. La base normativa está en la Directiva 2002/58/CE (ePrivacy), aún vigente a la espera del futuro Reglamento ePrivacy.

Una CMP bien configurada no es un adorno legal: es la prueba de que la web obtiene y guarda el consentimiento como exige la AEPD. Para las empresas que quieren gestionar el consentimiento junto al resto de su cumplimiento, plataformas europeas como Legiscope permiten coordinar la documentación de privacidad, aunque la capa técnica del banner la resuelve una CMP especializada.

Véase también: modelo de formulario de consentimiento.

FAQ

¿Es obligatorio usar una CMP en España?

No es obligatorio usar una CMP concreta, pero sí obtener y registrar el consentimiento para las cookies no técnicas conforme a la Guía de la AEPD. En la práctica, cumplir ese estándar a mano es inviable en cualquier web con analítica o publicidad, por lo que una plataforma de gestión del consentimiento es la forma razonable de hacerlo y de conservar la prueba.

¿Qué diferencia hay entre una CMP con TCF y una sin él?

El marco de transparencia y consentimiento (TCF) de IAB estandariza cómo se transmite el consentimiento a la cadena de publicidad programática. Es imprescindible si su web monetiza con ad tech y terceros anunciantes. Una web corporativa o de servicios sin publicidad programática no lo necesita y puede optar por una CMP más sencilla.

¿Sirve una CMP gratuita o de código abierto?

Puede servir para una web pequeña, siempre que se configure para cumplir la Guía de la AEPD y registre el consentimiento. La contrapartida de las opciones gratuitas y open source es que su equipo asume el mantenimiento, las actualizaciones y la responsabilidad de que el banner siga siendo conforme cuando cambie la normativa o el sitio.

Conclusión

La mejor plataforma de gestión del consentimiento para una web española es la que cumple la Guía de cookies de la AEPD por defecto —con “rechazar todo” en primera capa— y registra el consentimiento de forma auditable. Para pymes, Cookiebot y Usercentrics ofrecen la mejor relación valor/precio; para grandes editores, Didomi. Antes de elegir, revise la conformidad del banner con la AEPD y no pague por funciones de ad tech que su web no usa.