Gestionar el consentimiento de cookies en muchos sitios de clientes

Para gestionar el consentimiento de cookies en muchos sitios de clientes, estandariza todo lo técnico y mantén todo lo legal específico de cada cliente. Usa un único patrón de configuración, un único modelo de categorías y un único enfoque de bloqueo de scripts para todos los sitios. Da a cada cliente su propia configuración, el texto de su política, sus reglas regionales y sus registros de consentimiento. Y vuelve a escanear con regularidad, porque los sitios de los clientes siguen cambiando después del lanzamiento.

¿Quién es responsable del consentimiento en el sitio de un cliente?

Normalmente, el cliente. Como empresa que decide por qué y cómo se tratan los datos de los visitantes, el cliente suele ser el responsable del tratamiento según el RGPD, y es la parte con la que contactará un regulador.

Las agencias suelen actuar como encargadas del tratamiento cuando gestionan etiquetas, analítica o registros de consentimiento por cuenta de un cliente. El artículo 28 del RGPD exige un contrato que establezca lo que un encargado puede hacer con esos datos. En la práctica, eso significa:

• Un contrato de encargo del tratamiento con cada cliente cuyos datos personales trates.
• La aprobación por escrito del cliente de los textos del banner, las categorías, las regiones y la política de cookies.
• Una línea clara entre la implementación y el asesoramiento jurídico. Recomienda que sea el asesor jurídico del cliente quien decida las cuestiones discutibles, como si usar el modo de consentimiento avanzado.

Unas funciones claras protegen tanto a la agencia como al cliente. Cuando llega una reclamación, todo el mundo debería saber ya quién aprobó qué.

¿Qué conviene estandarizar entre clientes?

Estandariza la ingeniería y el proceso, no el contenido legal. Una base común reduce el tiempo de configuración, y todos los sitios se benefician cuando corriges o mejoras algo una sola vez.

Estandarizar para todos los clientes	Configurar para cada cliente
Componente del banner, accesibilidad y presupuesto de rendimiento	Nombre de la empresa, imagen de marca e idiomas
Modelo de categorías: necesarias, preferencias, analítica, marketing	Qué proveedores y cookies hay en cada categoría
Patrón de bloqueo de scripts	Regiones atendidas y el banner que ve cada región
Lógica de valores predeterminados y actualizaciones de Google Consent Mode	Modo básico o avanzado, según la decisión jurídica del cliente
Formato del registro de consentimiento y mecánica de conservación	Plazo de conservación y condiciones del encargo del tratamiento
Calendario de escaneos y enrutamiento de alertas	Responsables del cliente que reciben las alertas

Usa el mismo enfoque para bloquear scripts hasta obtener el consentimiento en todas partes. Cuando todos los sitios siguen un mismo patrón, cualquier desarrollador de tu equipo puede depurar el sitio de cualquier cliente en minutos, en lugar de volver a aprender una configuración a medida.

Mantén tu base común bajo control de versiones, con un registro de cambios. Cuando la modifiques, despliega la actualización de forma deliberada, cliente por cliente, y anota qué versión usa cada sitio.

¿Cómo se incorpora el sitio de un nuevo cliente?

Trata la incorporación como una secuencia fija para que nada se quede por el camino con las prisas de una fecha de entrega.

1. Auditar: haz una auditoría de cookies del sitio en producción para inventariar cookies, scripts y proveedores.
2. Clasificar: asigna cada proveedor a una categoría y señala todo lo que no puedas identificar para que el cliente lo explique.
3. Decidir las regiones: confirma de dónde vienen los visitantes y qué normas se aplican, como el consentimiento previo y expreso del RGPD en la UE, el RGPD del Reino Unido y PECR en el Reino Unido, o los derechos de exclusión (opt-out) de la CCPA en California.
4. Configurar: crea el banner del cliente, el enlace a su política y las versiones en cada idioma a partir de tu base común.
5. Bloquear etiquetas: bloquea los scripts no esenciales hasta obtener el consentimiento y define los valores predeterminados de Consent Mode en Google Tag Manager (GTM).
6. Probar: confirma que no se ejecuta nada no esencial antes del consentimiento y que tanto el rechazo como la retirada funcionan.
7. Aprobar: obtén la aprobación por escrito del cliente antes de la puesta en marcha.
8. Entregar: documenta lo que configuraste, quién puede modificarlo y cómo puede el cliente solicitar los registros de consentimiento.

El paso 2 es donde aparecen la mayoría de las sorpresas. Los sitios antiguos suelen arrastrar scripts que nadie en el lado del cliente recuerda haber añadido, y cada uno necesita un responsable y una finalidad antes de poder clasificarse.

¿Cómo se mantiene el cumplimiento de los sitios de clientes tras el lanzamiento?

Programa escaneos periódicos y configura alertas ante los cambios. Los sitios de los clientes se desvían con el tiempo: un equipo de marketing añade un píxel en GTM, la actualización de un plugin trae una cookie nueva o una herramienta de landing pages incorpora sus propios rastreadores.

Controles para mantener esa desviación a raya:

• Restringe quién puede publicar en los contenedores de GTM de los clientes y exige ajustes de consentimiento en cada etiqueta nueva.
• Vuelve a escanear tras cada nueva versión y con una periodicidad fija, y dirige las cookies nuevas sin clasificar a un responsable concreto del cliente.
• Sube la versión del banner y vuelve a pedir el consentimiento cuando cambien de forma sustancial las finalidades o los proveedores.
• Revisa el diseño del banner al menos una vez al año a la luz de las directrices vigentes de los reguladores sobre patrones manipuladores.

Comunica estos hallazgos a los clientes en un resumen breve y periódico: nuevos proveedores detectados, versiones del banner modificadas y asuntos pendientes. Así se pone de manifiesto el valor del trabajo y las decisiones quedan documentadas.

¿Cómo se gestionan los registros de consentimiento de muchos clientes?

Mantén los registros de cada cliente separados lógicamente, con el acceso limitado a las personas que trabajan para ese cliente. Mezclar datos de varios clientes en un registro compartido crea problemas de confidencialidad y complica las exportaciones.

Cada cliente debería poder obtener, cuando lo solicite, una exportación de sus propios registros de consentimiento, por ejemplo para responder a un regulador o a una solicitud de acceso de un interesado. Acordad en el contrato qué pasa con los registros cuando termine la relación: devolverlos, eliminarlos o ambas cosas, y en qué plazos.

Aplica la misma disciplina a las personas. Usa control de acceso basado en roles y autenticación multifactor, y retira el acceso sin demora cuando alguien deje el equipo o termine la relación con un cliente.

En resumen

Las agencias que gestionan bien el consentimiento lo tratan como un producto repetible, no como un proyecto para cada sitio. Estandariza la base técnica, deja las decisiones jurídicas en manos del cliente, supervisa los sitios de forma continua y mantén los registros de cada cliente separados y exportables. Herramientas como Cookiesh ofrecen marca blanca y multitenencia para agencias, lo que ayuda a aplicar esta guía desde un único lugar.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.