¿El consentimiento de cookies cubre localStorage, los píxeles y el fingerprinting?

Sí. La norma de la UE sobre cookies del artículo 5, apartado 3, de la Directiva ePrivacy nunca menciona las cookies. Abarca el almacenamiento de información en el dispositivo del usuario y el acceso a información que ya está en él, mediante cualquier tecnología. localStorage, IndexedDB, los píxeles de seguimiento y los scripts de huella digital del dispositivo (fingerprinting) entran en su ámbito, y el Comité Europeo de Protección de Datos (CEPD) lo confirmó en sus Directrices 2/2023.

¿Qué dice realmente la ley?

El artículo 5, apartado 3, establece que almacenar información, o acceder a información ya almacenada, en el equipo terminal de un usuario solo está permitido con su consentimiento, después de haberle facilitado información clara y completa. Hay dos excepciones: el almacenamiento o el acceso necesarios únicamente para transmitir una comunicación, y el almacenamiento o el acceso estrictamente necesarios para prestar un servicio que el usuario haya solicitado expresamente.

La palabra “cookie” solo aparece en los considerandos, como ejemplo. La obligación en sí se define por lo que ocurre en el dispositivo, no por el mecanismo. Por eso “ley de cookies” es un nombre engañoso, y por eso sacar los datos de seguimiento de las cookies no los saca del ámbito de la ley. Para ver cómo interactúa esta norma con el RGPD, consulta Directiva ePrivacy frente a RGPD.

¿Qué aclararon las Directrices 2/2023 del CEPD?

El CEPD publicó las Directrices 2/2023 para zanjar el debate sobre el alcance técnico del artículo 5, apartado 3, y adoptó su versión definitiva en 2024. Las directrices descomponen la norma en elementos e interpretan cada uno de forma amplia.

• Información significa cualquier información, no solo datos personales. Un identificador aleatorio o un ajuste del dispositivo cuentan.
• Equipo terminal es cualquier dispositivo que se conecta a una red: un portátil, un teléfono, una smart TV o un coche conectado.
• Almacenar abarca cualquier escritura en el dispositivo, ya sea en cookies, en el almacenamiento del navegador, en la caché o en archivos.
• Acceder ocurre siempre que una entidad da pasos para obtener información del dispositivo. Ordenar al navegador que envíe información cuenta, aunque nadie lea directamente el almacenamiento.

El último punto es el más importante. Según esta interpretación, un script que pide al navegador su resolución de pantalla, las fuentes instaladas o su huella gráfica está accediendo a información, y también lo hace una etiqueta de imagen que hace que el navegador envíe una solicitud con identificadores.

El CEPD también analiza casos de uso concretos, como los píxeles de seguimiento, los enlaces de seguimiento, los datos tratados localmente y enviados después, algunas formas de seguimiento basado en la IP, los dispositivos conectados y los identificadores únicos. En todos ellos la pregunta es la misma: ¿alguien hizo que se almacenara información en el dispositivo del usuario o que se enviara desde él?

¿Qué tecnologías necesitan consentimiento?

Aplica la misma prueba a todas las tecnologías: si almacena o lee información en el dispositivo y no es estrictamente necesaria para algo que el usuario ha solicitado, necesita consentimiento.

Tecnología	¿Entra en el ámbito del artículo 5, apartado 3?	Uso habitual que necesita consentimiento
Cookies HTTP y de JavaScript	Sí	Identificadores de analítica y publicidad
localStorage y sessionStorage	Sí	ID de cliente de analítica, búferes de grabación de sesiones
IndexedDB y Cache Storage	Sí	Datos publicitarios o de seguimiento en caché
Píxeles de seguimiento (web y correo electrónico)	Sí, según el CEPD	Seguimiento de conversiones, seguimiento de aperturas de correo
Scripts de fingerprinting	Sí, según el CEPD	Identificación entre sitios sin cookies
Parámetros de seguimiento en enlaces	Puede, según cómo se defina y se lea el identificador	Atribución de clics y campañas

La tabla es un punto de partida, no un veredicto. Un píxel que solo se usa para cargar una imagen decorativa no rastrea nada, mientras que un script de analítica “sin cookies” que construye un hash estable del dispositivo normalmente sí lo hace.

¿Sigue aplicándose la excepción de lo estrictamente necesario?

Sí, y también es tecnológicamente neutra. Si algo es estrictamente necesario para prestar un servicio que el usuario ha solicitado expresamente, puedes almacenarlo o leerlo sin consentimiento, sea cual sea el mecanismo de almacenamiento.

Ejemplos habituales en localStorage:

// Estrictamente necesario: el usuario ha pedido estas funciones
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // recordar la propia elección

// Necesita consentimiento: identifica el dispositivo con fines de analítica o publicidad
localStorage.setItem('analytics_client_id', crypto.randomUUID());

La prueba es la finalidad, no la tecnología. La misma clave puede estar exenta en un uso y necesitar consentimiento en otro, así que no reutilices un valor necesario, como un ID de sesión, para la analítica. Para una lista más completa, consulta qué se considera una cookie estrictamente necesaria.

¿El fingerprinting evita el requisito del consentimiento?

No. El fingerprinting se vende a menudo como una forma de esquivar los banners de cookies, pero depende de leer características del dispositivo a través del navegador, algo que el CEPD considera un acceso a información del dispositivo. Necesita consentimiento y, como los usuarios no pueden ver ni borrar una huella digital como borran las cookies, los reguladores tienden a considerarlo más intrusivo, no menos.

Lo mismo se aplica a los proveedores “sin cookies” que construyen un identificador persistente a partir de señales del dispositivo. Si quieres analítica sin consentimiento, la vía honesta es recopilar menos: recuentos agregados sin ningún identificador persistente. Consulta las opciones en analítica sin cookies: qué funciona sin consentimiento.

¿Qué debo hacer en mi sitio?

Trata cada tecnología de almacenamiento o acceso como si fuera una cookie.

1. Haz inventario de todo. Tu auditoría de cookies debe incluir las claves de localStorage, sessionStorage e IndexedDB, las solicitudes salientes de píxeles y los scripts que leen características del dispositivo, no solo las cookies.
2. Clasifica por finalidad. Marca cada elemento como estrictamente necesario o como de analítica, marketing o funcional, con las mismas categorías que tu banner.
3. Bloquea antes del consentimiento. Retén los scripts y los píxeles que escriben o leen datos no esenciales hasta que el usuario acepte. Consulta cómo bloquear scripts de terceros hasta obtener el consentimiento.
4. Infórmalo. Tu política de cookies también debe mencionar las tecnologías distintas de las cookies, con su finalidad y su duración.
5. Limpia tras un rechazo o una retirada. Elimina las claves no esenciales del almacenamiento del navegador cuando un usuario diga que no, igual que borrarías las cookies.

En resumen

Las normas de consentimiento de la UE se fijan en lo que ocurre en el dispositivo, no en cómo se llama la tecnología. Si almacenas o lees algo con fines de analítica, publicidad o seguimiento, ya sea en una cookie, en localStorage, mediante un píxel o con fingerprinting, primero necesitas consentimiento. Herramientas como Cookiesh analizan a la vez las cookies, las claves de almacenamiento y las solicitudes a terceros, de modo que el seguimiento sin cookies aparece en el mismo inventario que todo lo demás.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.