Banner sin opción de rechazar: lo que señala la auditoría LGPD y cómo corregirlo

Cuando la auditoría de Sentinela llega a la capa LGPD (la ley brasileña de protección de datos), hace lo que haría un fiscalizador: entra a tu sitio como un visitante que acaba de llegar, sin aceptar nada, y anota lo que pasó. ¿Qué scripts de terceros cargaron? ¿Qué cookies se grabaron? ¿Hay un banner? ¿Permite rechazar?

El resultado aparece como hallazgos en el informe, cada uno con su severidad. Este texto explica los seis que tratan de consentimiento, qué significa cada uno y cómo corregirlo.

Si todavía no sabes qué debe tener un banner, empieza por el texto anterior de la serie.

Cómo funciona la verificación

La probe LGPD pide la home del sitio como un visitante nuevo: sin cookies, sin ningún clic. En la respuesta busca:

• trackers conocidos —Google Analytics, Google Ads, Meta Pixel, TikTok, LinkedIn, Hotjar y similares— por el script cargado y por las cookies grabadas;
• un banner de consentimiento, por la firma de las plataformas conocidas y por marcas comunes de banners propios;
• la opción de rechazar dentro del banner.

Todo esto es observación externa: la auditoría no entra a tu servidor ni al panel de tu herramienta de consentimiento. Justamente por eso es útil: ve lo que ve el visitante.

Los hallazgos, uno por uno

Cookies o scripts de rastreo sin banner

Qué dice: el sitio grabó cookies de rastreo, o cargó scripts de análisis y publicidad, en la primera solicitud, y no se encontró ningún banner de consentimiento.

Por qué es grave: es tratamiento de datos personales para análisis o publicidad sin consentimiento alguno. No hay nada que discutir sobre la calidad del banner, porque no existe.

Cómo corregirlo: instalar un banner que bloquee los scripts hasta la aceptación. Instalar solo el aviso no lo resuelve: el hallazgo vuelve como el siguiente de la lista.

Scripts de rastreo detectados (con banner)

Qué dice: hay banner, y hay trackers en la página. Desde la observación externa no se puede afirmar si esperan la aceptación.

Cómo revisarlo: en una ventana de incógnito, abre las DevTools en la pestaña Network antes de cualquier clic. Si los dominios de los trackers aparecen ahí, no esperan. Rechaza, recarga y revisa de nuevo: deben seguir fuera.

Banner de consentimiento no detectado

Qué dice: no encontramos ningún banner conocido. Puede ser ausencia real o un banner propio que no reconocemos.

Cómo corregirlo: si el banner existe y es hecho en casa, una clase reconocible en el contenedor (por ejemplo cookie-consent) ya ayuda. Si no existe, este es el primer paso.

Banner sin opción visible de rechazar

Qué dice: encontramos el banner, pero ningún botón o enlace de "Rechazar", "Denegar" o equivalente. Es el banner de "acepta o nada".

Por qué es grave: el consentimiento sin alternativa no es libre (LGPD, art. 8, §4), y la guía de cookies de la ANPD (la autoridad brasileña de protección de datos) pide el rechazo en la primera capa. Es un hallazgo alto, y pesa en el cumplimiento de la LGPD y del GDPR en el informe.

Cómo corregirlo: poner "Rechazar" (o "Solo necesarias") en la primera pantalla del banner, con el mismo destaque visual que "Aceptar": mismo relleno, tamaño y contraste. Un enlace gris al pie del banner no basta.

Opción de rechazo no verificable desde fuera

Qué dice: el banner existe, pero está montado en shadow DOM, un área de la página aislada del HTML principal que algunas plataformas usan para que el estilo del sitio no rompa el banner. Los botones no aparecen en el HTML servido, así que no se puede confirmar ni negar que el rechazo exista.

Por qué es solo informativo: afirmar "tu banner no deja rechazar" sin ver los botones sería inventar. El hallazgo dice lo que no pudimos ver y te pide que lo revises en el panel de tu herramienta. No descuenta nota.

Cómo resolverlo de una vez: depende de la plataforma. Si expone la configuración del banner públicamente, la auditoría puede leerla en lugar de adivinar, y es lo que hacemos con Cokei, como explicamos abajo.

El caso de Cokei: rechazo verificado por la configuración

Cokei, la plataforma de consentimiento de M2HP, dibuja el banner en shadow DOM. Por eso, hasta octubre de 2026, todo sitio con Cokei recibía el hallazgo "no verificable".

Hoy la auditoría reconoce el script de Cokei en la página, lee la configuración pública de ese banner y verifica si el rechazo está activado. Hay tres desenlaces posibles:

• rechazo activado: ningún hallazgo de rechazo;
• rechazo desactivado: el hallazgo alto de "banner sin opción de rechazar", con la configuración citada como evidencia;
• no pudimos leer la configuración: vuelve el hallazgo informativo, sin adivinar en ninguna dirección.

En la práctica, el primero es el único que ocurre hoy: en los modos LGPD y GDPR, Cokei fuerza el "Rechazar todo" en la primera capa, con la misma clase visual que el "Aceptar", y no ofrece un botón para desactivarlo. Cuando entró esa regla, los banners que tenían el rechazo desactivado recibieron una nueva versión, y se volvió a preguntar a los visitantes, porque el consentimiento recogido sin opción de rechazar no vale.

Algo que la configuración no nos dice es si el botón de rechazar parece tan importante como el de aceptar en la pantalla de tu sitio. En Cokei eso lo garantiza el propio diseño del banner; en otra plataforma, vale la pena revisarlo con tus propios ojos.

Corregir en el orden correcto

Si tu informe trajo varios de estos hallazgos, el orden que más reduce el riesgo por hora de trabajo es:

1. Bloquear los trackers hasta la aceptación. Es lo que convierte el banner de aviso en control.
2. Poner el rechazo en la primera capa, con el mismo peso.
3. Dar un camino de vuelta: enlace o botón permanente para reabrir las preferencias.
4. Registrar las elecciones con fecha y versión del banner.

Cokei cubre los cuatro: escanea las cookies, retiene los scripts que dependen del consentimiento, registra cada decisión y mantiene el botón "Gestionar cookies" en la esquina de la página. Si tu operación usa Google Ads o GA4, configura también el Consent Mode v2: es lo que evita que Google pierda las conversiones de quienes rechazaron.

Después de corregir, vuelve a ejecutar la auditoría. El hallazgo solo sale del informe cuando la corrección se observa en la ejecución siguiente; hasta entonces sigue ahí, porque la ausencia de un hallazgo solo vale cuando fue medida.