Banner de cookies y LGPD: lo que la ley y la ANPD exigen de tu sitio

Abre tu sitio en una ventana de incógnito. Antes de hacer clic en nada, abre las DevTools en la pestaña Network y recarga. Si en la lista aparece google-analytics.com, connect.facebook.net o analytics.tiktok.com, tu banner de cookies es decorativo: pregunta cuando la respuesta ya fue dada.

Es el error más común que vemos en la auditoría de seguridad de Sentinela, y no es el único. El banner es la parte de la ley brasileña de protección de datos (LGPD) que cualquier visitante —y cualquier fiscalizador— puede revisar sin pedir acceso a nada. Por eso vale la pena hacerlo bien.

Lo que dice la LGPD (y lo que no dice)

La LGPD no tiene un artículo llamado "cookies". Lo que existe son reglas generales que se aplican a cualquier dato personal, y una cookie de rastreo es dato personal siempre que identifica o hace identificable a una persona, que es exactamente el propósito de un píxel de anuncios. El RGPD europeo (GDPR) parte de la misma lógica.

Los puntos que importan para el banner:

• Art. 7, I y art. 8 — cuando la base legal es el consentimiento, este debe ser libre, informado e inequívoco, y otorgado antes del tratamiento.
• Art. 8, §4 — el consentimiento genérico es nulo. "Al seguir navegando aceptas" no sirve.
• Art. 8, §5 — el titular puede revocarlo en cualquier momento, mediante un procedimiento gratuito y sencillo.
• Art. 9 — el titular tiene derecho a información clara sobre la finalidad, la duración y con quién se comparten los datos.

En 2022 la ANPD (la autoridad brasileña de protección de datos) publicó la Guía Orientativa sobre Cookies y Protección de Datos Personales, que traduce esas reglas al banner. No es ley, pero es la lectura de la autoridad que fiscaliza, y es el documento que se citará si alguien reclama por tu sitio.

Lo que la ley no exige: un diseño específico, un color de botón, un proveedor certificado. Exige que la elección sea real.

Lo que la guía de la ANPD pide del banner

Resumiendo la guía en seis prácticas:

1. Bloqueo previo. Las cookies no necesarias solo se graban después del consentimiento. Un banner que aparece con el píxel ya disparado no recoge consentimiento: registra un hecho consumado.
2. Rechazar en la primera capa. El visitante debe poder rechazar las cookies no necesarias sin entrar a un submenú. Esconder el "rechazar" detrás de "configuración" es el patrón que la guía señala como problemático.
3. Sin casillas premarcadas. Una categoría opcional empieza desactivada. El consentimiento es una acción, no una omisión.
4. Separación por finalidad. Necesarias, análisis, publicidad, funcionalidad: el visitante elige por categoría, y cada una explica para qué sirve.
5. Información accesible. Un enlace a la política de cookies desde el banner, con qué cookies existen, de quién son y cuánto duran.
6. Revocación fácil. Un camino permanente (enlace en el pie de página, botón flotante) para reabrir las preferencias y cambiar de opinión.

Un punto que vale resaltar: las cookies estrictamente necesarias (sesión, carrito, la propia cookie que guarda la elección) no dependen del consentimiento. Se apoyan en otra base legal, y el banner debe informarlas, no pedir permiso por ellas.

Rechazar con el mismo peso que aceptar

La guía de la ANPD habla de rechazo en la primera capa. La interpretación europea (EDPB, directrices 03/2022 sobre dark patterns) va más allá y considera un vicio el botón de rechazar apagado, gris, pequeño o en forma de enlace mientras el de aceptar es un botón de color.

La regla práctica que adoptamos en las auditorías: si un visitante con prisa solo alcanza a ver un botón, la elección no es libre. El "Rechazar" debe tener el mismo relleno, el mismo tamaño y el mismo contraste que el "Aceptar". "Personalizar" puede ser secundario: no es una decisión final, es un camino hacia ella.

Registrar la elección (la parte que nadie ve)

El banner recoge el consentimiento; el registro es lo que prueba que existió. Si la ANPD o un titular pregunta "¿cuándo aceptó esta persona la publicidad?", la respuesta tiene que existir:

• fecha y hora de la decisión;
• qué se aceptó y qué se rechazó, por categoría;
• qué versión del banner estaba publicada (si el texto o las categorías cambiaron, el consentimiento antiguo puede no valer para el nuevo);
• un identificador de la decisión que no sea, a su vez, un dato personal innecesario.

Guardar la IP en texto plano "por si acaso" es un contrasentido: creas una base de datos personales para demostrar que respetas los datos personales. Un hash resuelve el problema de la prueba sin crear el otro.

Los cinco errores que más aparecen

De lo que vemos en las auditorías, en orden de frecuencia:

1. Tracker antes de aceptar. GA4, Meta Pixel o TikTok cargando en la primera solicitud. El banner existe, pero el script no lo espera.
2. Banner de "acepta o nada". Un solo botón, o el rechazo enterrado en el segundo nivel.
3. Consentimiento que no cambia nada. El visitante rechaza y los scripts cargan igual: el banner graba la elección, pero nadie conecta la elección con la carga de las etiquetas.
4. Sin camino de vuelta. Después de aceptar, no hay dónde cambiar de opinión.
5. Política de cookies genérica. Un texto copiado que no enumera las cookies que el sitio realmente usa, porque nadie sabe cuáles son.

El tercero es el más traicionero, porque pasa a simple vista: el banner aparece, tiene los dos botones, y aun así no protege nada. Solo la pestaña Network lo delata.

Checklist para revisar tu sitio hoy

En una ventana de incógnito, sin hacer clic en nada:

• Ningún script de análisis o publicidad aparece en la pestaña Network antes de la elección.
• El banner tiene "Rechazar" en la primera pantalla, con el mismo destaque que "Aceptar".
• Ninguna categoría opcional viene marcada.
• Después de rechazar y recargar, los trackers siguen fuera.
• Existe un enlace permanente para reabrir las preferencias.
• La política de cookies enumera las cookies reales, con proveedor y duración.
• Puedes mostrar, para un visitante específico, qué eligió y cuándo.

Si algún punto falló, el riesgo no es teórico: la LGPD prevé multas de hasta el 2% de la facturación, con un tope de R$ 50 millones por infracción, además de amonestación y publicidad de la infracción, que para muchas empresas duele más que la multa.

Cómo resolverlo sin armar todo a mano

Se puede cumplir este checklist con código propio, pero cada punto es un proyecto: inventariar las cookies, retener los scripts hasta la aceptación, guardar el registro, mantener la política actualizada cuando marketing agrega una etiqueta nueva.

Para eso existe una plataforma de consentimiento (CMP). La nuestra es Cokei, de M2HP, la misma empresa de Sentinela. Escanea las cookies del sitio, retiene los scripts que dependen del consentimiento, registra cada elección (con la IP guardada solo como hash) y genera la política de cookies a partir de lo que encontró. El "Rechazar todo" aparece en la primera capa con la misma clase visual que el "Aceptar", y no hay forma de desactivarlo en los modos LGPD y GDPR.

Una salvedad honesta, que la propia Cokei hace: ningún bloqueo automático atrapa el 100% de los casos. Los scripts inline que graban cookies directamente y las etiquetas disparadas desde dentro de Google Tag Manager necesitan marcado manual o el Consent Mode de Google. La plataforma dice dónde está el límite en lugar de prometer cumplimiento automático.

Si quieres saber cómo sale tu banner visto desde fuera, el siguiente texto de la serie muestra lo que verifica la auditoría de Sentinela y cómo corregir cada hallazgo. Y si estás eligiendo una herramienta, hicimos un comparativo de las plataformas de consentimiento.