# Prueba del consentimiento: registros listos para una auditoría

> Qué debe contener un registro de consentimiento listo para auditorías, cuánto conservarlo y por qué los registros encadenados con hash resisten el escrutinio.

Source: https://www.cookiesh.eu/es/blog/proof-of-consent-records  
Published: 2026-09-15

## Key takeaways

- El artículo 7, apartado 1, del RGPD exige que toda organización que se base en el consentimiento pueda demostrar que cada persona consintió realmente.
- Un registro de consentimiento útil recoge un ID seudónimo, la marca de tiempo, la versión del banner y de la política, las decisiones por categoría, el método y la región.
- Versiona y archiva cada texto del banner y de la política para poder demostrar lo que vio el visitante, no solo en qué hizo clic.
- Los registros a prueba de manipulaciones, como las cadenas de hash, te permiten demostrar a un auditor que los registros no se editaron a posteriori.
- Los registros de consentimiento también son datos personales, así que minimízalos, restringe el acceso y fija un plazo de conservación.

La prueba del consentimiento es un registro que muestra quién consintió, cuándo, a qué y cómo, para que puedas demostrar un consentimiento válido si un regulador o un visitante lo solicita. Según el artículo 7, apartado 1, del RGPD, esa carga recae sobre ti. Un buen registro vincula un ID seudónimo con una marca de tiempo, la versión exacta del banner mostrado, las decisiones por categoría, el método utilizado y las normas regionales aplicadas.

## ¿Por qué necesitas una prueba del consentimiento?

Porque el RGPD hace recaer la carga de la prueba sobre la organización, no sobre el visitante. El artículo 7, apartado 1, establece que, cuando el tratamiento se basa en el consentimiento, el responsable debe ser capaz de demostrar que la persona consintió, y el artículo 5, apartado 2, te hace responsable de demostrar el cumplimiento de forma más general.

En el caso de las cookies, la obligación de preguntar procede del artículo 5, apartado 3, de la Directiva ePrivacy, mientras que el estándar de consentimiento procede del RGPD. Las directrices del CEPD sobre el consentimiento dejan el método a tu elección, pero esperan que puedas demostrar cómo y cuándo se obtuvo el consentimiento y qué información recibió la persona en ese momento.

Los registros de consentimiento salen a relucir más a menudo de lo que los equipos esperan: consultas de los reguladores, reclamaciones de usuarios, solicitudes de acceso de los interesados y procesos de due diligence en rondas de financiación o adquisiciones. Como muestran las [actuaciones sancionadoras](/es/blog/cookie-enforcement-lessons) pasadas, los reguladores examinan con detalle lo que hacía realmente el banner, y un registro limpio es la forma más rápida de responder.

## ¿Qué debe contener un registro de consentimiento?

Como mínimo: quién (de forma seudónima), cuándo, qué vio, qué eligió, cómo lo eligió y qué normas se aplicaron. Cada campo responde a una pregunta que probablemente hará un auditor.

| Campo | Ejemplo | Por qué importa |
|---|---|---|
| ID de consentimiento | UUID aleatorio guardado en una cookie propia | Vincula el registro a un navegador sin identificar a la persona |
| Marca de tiempo | `2026-09-15T09:42:17Z` (UTC) | Demuestra que el consentimiento se dio antes de que empezara cualquier seguimiento |
| Versión del banner | `banner-v14` | Demuestra qué textos, botones y diseño se mostraron |
| Versión de la política | `cookie-policy-2026-08` | Muestra qué información recibió la persona |
| Decisiones por categoría | Preferencias activadas, analítica activada, marketing desactivado | Demuestra un consentimiento específico y granular |
| Método | Aceptar todo, rechazar todo, preferencias guardadas, señal GPC | Demuestra una acción afirmativa y no un silencio |
| Región y conjunto de normas | UE, opt-in del RGPD | Muestra qué régimen jurídico aplicó tu banner |
| Idioma | `de-DE` | Confirma que la información se mostró en el idioma del visitante |
| Sitio | `shop.example.com` | Mantiene separados los registros de distintos dominios y propiedades |
| Vínculo con la cuenta (opcional) | ID interno de usuario tras iniciar sesión | Sincroniza las decisiones entre dispositivos y ayuda a responder a las solicitudes de acceso |

El campo del método importa porque el consentimiento debe proceder de un acto afirmativo claro. El TJUE confirmó en el asunto Planet49 (C-673/17) que las casillas premarcadas no cuentan, así que un registro que muestra un clic deliberado es mucho más sólido que uno que se limita a decir “consintió”.

Registra cada cambio como un evento nuevo en lugar de sobrescribir el anterior. Una retirada también es un evento, igual que una renovación cuando vuelves a preguntar tras un cambio en la política.

Deja fuera lo que no necesitas. Guarda la región derivada en lugar de la dirección IP completa y mantén los nombres y las direcciones de correo electrónico fuera del registro de consentimiento. La minimización de datos (artículo 5, apartado 1, letra c) se aplica a tus pruebas tanto como a cualquier otra cosa.

## ¿Cómo demuestras lo que vio realmente el visitante?

Versiona y archiva cada configuración del banner y cada política de cookies. Un registro que dice `banner-v14` solo es útil si puedes presentar `banner-v14` exactamente como apareció, incluidas las etiquetas de los botones, las categorías, las listas de proveedores y cada variante de idioma.

Reglas prácticas para que esto funcione:

- Trata los textos y los ajustes del banner como contenido versionado, con un registro de cambios y una persona responsable de su aprobación.
- Conserva una captura renderizada de cada versión en cada idioma.
- Conserva los resultados del escaneo que alimentaron tu lista de cookies en su momento; una [auditoría de cookies](/es/blog/how-to-run-a-cookie-audit) periódica los genera.
- Sube la versión cada vez que cambien las finalidades, los proveedores o los textos, y vuelve a preguntar cuando el cambio sea sustancial.

## ¿Por qué importa que los registros sean a prueba de manipulaciones?

Un registro de consentimiento que se puede editar sin dejar rastro es una prueba débil. Si los registros pueden modificarse a posteriori, un auditor no puede distinguir un registro auténtico de uno retocado justo antes de una investigación.

Los registros a prueba de manipulaciones hacen detectables las ediciones. La técnica habitual es una cadena de hash: cada registro guarda un hash criptográfico del registro anterior, de modo que modificar o eliminar cualquier entrada rompe todos los hashes posteriores.

```ts
import { createHash } from 'node:crypto';

type Category = 'necessary' | 'preferences' | 'analytics' | 'marketing';

interface ConsentRecord {
  consentId: string;
  timestamp: string;
  bannerVersion: string;
  region: string;
  method: 'accept_all' | 'reject_all' | 'save_preferences' | 'gpc';
  choices: Record<Category, boolean>;
  prevHash: string; // hash del registro anterior de la cadena
}

function hashRecord(record: ConsentRecord): string {
  // En producción, usa una serialización canónica para que el orden de las claves no cambie el hash
  return createHash('sha256').update(JSON.stringify(record)).digest('hex');
}
```

Combina la cadena con un almacenamiento de solo anexado y un acceso de escritura muy restringido. Copia periódicamente el último hash a un sistema independiente o a una exportación firmada, para que ni siquiera un administrador pueda reescribir el historial sin que aparezca la discrepancia.

## ¿Cuánto tiempo debes conservar los registros de consentimiento?

Conserva cada registro mientras te bases en ese consentimiento, más un periodo limitado después. El RGPD no fija un número concreto de años.

Las directrices del CEPD indican que la obligación de demostrar el consentimiento dura tanto como el tratamiento. Una vez finalizado el tratamiento, conserva la prueba solo mientras la necesites por obligaciones legales o posibles reclamaciones judiciales. Recoge el plazo elegido en tu política de conservación y aplícalo de forma automática.

Decide también con qué frecuencia volverás a preguntar. Basarse indefinidamente en un único clic es difícil de defender, y algunos reguladores publican directrices sobre los intervalos de renovación, así que comprueba qué se aplica en tus mercados.

## Lista de comprobación para estar listo ante una auditoría

Repasa estas preguntas antes de que lo haga un auditor:

1. Dado un ID de consentimiento, ¿puedes recuperar todos sus eventos en orden?
2. ¿Puedes presentar la versión exacta del banner y de la política que vio la persona?
3. ¿Puedes demostrar que los scripts no esenciales no se ejecutaron antes del consentimiento?
4. ¿Se registran los rechazos y las retiradas con la misma claridad que las aceptaciones?
5. ¿Detectarías un registro editado o eliminado, y quién puede escribir en el registro?
6. ¿Está el registro minimizado, con control de acceso y sujeto a una regla de conservación?
7. ¿Puedes exportar los registros de una persona en un formato legible para responder a una solicitud de acceso?

Si no puedes responder a las siete, empieza por las lagunas más cercanas a las [condiciones del consentimiento válido](/es/blog/valid-consent-checklist): lo que vio la persona y cómo actuó.

## En resumen

La prueba del consentimiento consiste en poder contar una historia completa y creíble sobre la elección de cualquier visitante: qué vio, qué hizo, cuándo y con qué normas. Minimiza lo que guardas, versiona lo que muestras y haz que el registro sea a prueba de manipulaciones. Herramientas como Cookiesh pueden automatizar el mantenimiento de registros con registros de consentimiento inmutables y encadenados con hash.

*Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.*

## FAQ

### ¿Basta una cookie en el navegador del visitante como prueba del consentimiento?

No. Una cookie del navegador le indica a tu sitio lo que eligió el visitante, pero no puedes presentársela a un regulador, y el visitante puede eliminarla en cualquier momento. Necesitas un registro del lado del servidor que controles tú, vinculado al mismo ID seudónimo.

### ¿Debo registrar los rechazos además de las aceptaciones?

Sí. Registrar los rechazos demuestra que tu banner ofrecía una elección real y que tu sitio la respetó. Eso importa cuando un regulador examina si rechazar era tan fácil como aceptar.

### ¿Los registros de consentimiento son en sí mismos datos personales?

Normalmente, sí. Un ID seudónimo que puede vincularse a un dispositivo o a una cuenta sigue siendo un dato personal según el RGPD. Por eso, los registros de consentimiento necesitan las mismas protecciones que otros datos personales: controles de acceso, minimización y un plazo de conservación.

### ¿Tengo que registrar el consentimiento para las cookies estrictamente necesarias?

Las cookies estrictamente necesarias no requieren consentimiento, así que no hay nada que demostrar. Aun así, muchos equipos anotan que la categoría de necesarias estaba activa, lo que documenta qué se estaba ejecutando cuando llegó el visitante.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [ICO (UK Information Commissioner's Office)](https://ico.org.uk/)