Consent Mode v2: medir sin consentimiento es ilegal y además es un dato falso

Consent Mode v2 es el mecanismo con el que las etiquetas de Google reciben lo que el usuario eligió en el banner de cookies y ajustan su comportamiento: con consentimiento miden con cookies; sin él, envían pings sin identificador que Google usa para modelar lo que falta. Sin este mecanismo, o mides a todo el mundo sin permiso, que es ilegal, o pierdes a quien rechaza y tu dato queda sesgado.

Este artículo es para quien tiene GA4 y Google Ads en una web española y no sabe si cumple, para quien instaló un plugin de cookies y dio el asunto por cerrado, y para quien va a montar un panel de marketing y necesita que el dato de abajo sea legal y sea real. Las dos cosas van juntas, y es lo primero que revisamos antes de construir dashboards de marketing que el equipo usa.

Vas a encontrar qué es Consent Mode v2 y qué cambió respecto a la primera versión, qué dicen la AEPD, el RGPD y la LOPDGDD, por qué el dato sin consentimiento es falso además de ilegal, cómo modela Google las conversiones que faltan, una tabla de comprobaciones para tu web y qué pasa con Complianz y el resto de plataformas de consentimiento.

¿Qué es Consent Mode v2 y qué cambió respecto a la primera versión?

Consent Mode es la forma en que la etiqueta de Google (gtag o Google Tag Manager) recibe el estado de consentimiento del usuario y lo aplica a Analytics, Google Ads y Floodlight. La versión 2, exigida por Google desde marzo de 2024 para usuarios del Espacio Económico Europeo, añade dos señales a las dos originales: además de analytics_storage y ad_storage, hay que enviar ad_user_data y ad_personalization.

Google lo describe en la documentación del Consent Mode v2: el banner no lo pone Google, lo pone tu plataforma de consentimiento; lo que hace Consent Mode es trasladar la decisión a las etiquetas. Con analytics_storage denegado, Analytics no lee ni escribe cookies propias y envía pings sin cookies con dimensiones gruesas (país, tipo de dispositivo, página). Con ad_storage denegado, no se escriben cookies publicitarias ni se leen las existentes.

Hay dos formas de implementarlo, y la diferencia importa para el dato. En la implementación básica, las etiquetas de Google no se cargan hasta que el usuario acepta; si rechaza, no se envía nada, y Google no puede modelar el comportamiento en Analytics. En la avanzada, las etiquetas se cargan antes del banner con el estado por defecto en denegado, y cuando el usuario rechaza envían los pings sin cookies que alimentan el modelado.

Las dos cumplen la ley si el banner es correcto. La diferencia es que la avanzada te devuelve una estimación de lo que no puedes medir, y la básica te deja a ciegas con la parte de usuarios que rechaza.

¿Qué dice la ley sobre medir sin consentimiento?

En España, la norma que regula las cookies es el artículo 22.2 de la LSSI, que exige consentimiento informado para almacenar o acceder a información en el dispositivo del usuario salvo que sea estrictamente necesario para el servicio que ha pedido. El RGPD define qué es un consentimiento válido y trata los identificadores en línea como datos personales. La LOPDGDD adapta el RGPD a España y organiza el régimen sancionador. La AEPD lo concreta en su guía de cookies.

La guía de cookies de la AEPD se actualizó en julio de 2023 para adaptarla a las directrices del Comité Europeo de Protección de Datos, con fecha límite de adaptación el 11 de enero de 2024. Sus exigencias prácticas: rechazar tiene que estar al mismo nivel que aceptar, sin que cueste más clics ni se esconda en un segundo panel; nada de casillas preseleccionadas; información clara de qué cookies hay y para qué; y la posibilidad de retirar el consentimiento con la misma facilidad con la que se dio. Las cookies de análisis están entre las que necesitan consentimiento previo.

El RGPD aporta las definiciones. El artículo 4.1 incluye los identificadores en línea entre los datos personales, y el considerando 30 nombra las cookies como ejemplo. El artículo 4.11 exige que el consentimiento sea libre, específico, informado e inequívoco, mediante una acción afirmativa clara; el artículo 7.1 pone la carga de la prueba en quien trata los datos. Las multas del artículo 83.5 llegan a 20 millones de euros o el 4 % del volumen de negocio anual, lo que sea mayor, para las infracciones de los principios básicos del tratamiento.

La LOPDGDD, la Ley Orgánica 3/2018, completa el reglamento en España. Su artículo 6 recuerda que el consentimiento es una manifestación de voluntad libre, específica, informada e inequívoca, y que no se puede supeditar la ejecución de un contrato a consentir tratamientos que no sean necesarios para ese contrato. Su título IX fija cómo se aplican las sanciones del RGPD en España y qué autoridad las impone.

La consecuencia para GA4 es directa: tal como se instala por defecto, escribe la cookie _ga con un identificador de cliente, y eso es almacenar un dato personal en el dispositivo. Hace falta consentimiento previo, y la carga de demostrarlo es tuya. Si además tratas datos de salud, como una clínica con formulario de cita, el artículo 9 del RGPD añade una capa más; lo explico en IA en clínicas y datos de salud.

¿Por qué medir sin consentimiento da un dato falso?

Medir sin consentimiento da un dato falso porque mezcla dos poblaciones distintas sin saber cuál es cuál, y porque el día que lo arregles tus series históricas se partirán en dos. Una web que ignora el banner mide a todo el mundo; una que lo respeta mide solo a quien acepta. Comparar una con otra, o el antes con el después, es comparar cosas distintas con el mismo nombre.

El problema de fondo es la muestra sesgada. Quien acepta las cookies no es una muestra al azar de tus visitantes: la tasa de aceptación cambia con el dispositivo, el navegador, el país, la edad y hasta con la página por la que se entra. Si tu tráfico de Instagram rechaza más que el de búsqueda de marca, GA4 verá menos conversiones de Instagram de las que hay, y el panel dirá que ese canal rinde peor. La decisión que tomes con ese dato será coherente con el dato y equivocada con la realidad.

El segundo problema es la mezcla. En auditorías de medición es frecuente encontrar webs donde el banner controla el plugin de cookies, pero GA4 se carga desde otro sitio: un plugin de la plantilla, Site Kit, un fragmento en el pie de página que puso otra agencia. El resultado es que una parte de la medición respeta el consentimiento y otra no, en la misma propiedad. Nadie puede decir qué porcentaje del dato es legal, ni qué porcentaje está duplicado.

El tercero es el salto cuando se arregla. Al pasar de medir a todo el mundo a medir solo a quien acepta, las visitas de GA4 bajan, y dirección pregunta por qué ha caído el tráfico. No ha caído: antes el dato estaba inflado y era ilegal, y ahora es menor y es real. Los pedidos de la tienda y los leads del CRM, que se registran con base en el contrato y no en una cookie, no se han movido; por eso son la fuente de verdad para las ventas y GA4 es la fuente para el origen.

¿Cómo modela Google las conversiones que faltan?

Google modela las conversiones que faltan a partir de las que sí observa. Con la implementación avanzada, los pings sin cookies de quien rechazó le dicen cuántas visitas y cuántas conversiones hubo sin identificador, y con las de quien aceptó aprende qué relación hay entre tráfico y conversiones por canal, dispositivo y país. Con esa relación estima las que no pudo atribuir y las reparte en los informes.

En la documentación del Consent Mode, Google distingue dos modelados. El de conversiones, en Google Ads y en GA4, rellena las conversiones que no se pudieron enlazar con un clic por falta de consentimiento. El de comportamiento, solo en GA4, estima usuarios, sesiones y eventos de quien rechazó, y exige la implementación avanzada y unos requisitos de volumen de datos que Google fija y que una web pequeña puede no alcanzar. Si no los alcanza, GA4 muestra solo lo observado.

Hay que entender qué es ese dato. Es una estimación estadística, no una medición; sirve para que el total se parezca a la realidad y para que el reparto entre canales no esté sesgado por la tasa de aceptación. No sirve para saber qué hizo un usuario concreto, y eso es correcto: ese usuario dijo que no. En el panel, los datos modelados se tratan como lo que son: una aproximación al total, con la tienda o el CRM como cifra cierta al lado.

Lo que el modelado no arregla: un banner ilegal. Si las cookies se escriben antes de responder, o rechazar está escondido, el modelado opera sobre un dato que no deberías tener. Primero el banner, después el modo de consentimiento, y el modelado llega solo.

¿Cómo comprobar que Consent Mode v2 está bien montado?

Se comprueba con las herramientas del navegador en una ventana privada, en tres momentos: antes de responder al banner, después de rechazar y después de aceptar. Lo que se mira es qué peticiones salen hacia Google, qué parámetros llevan y qué cookies hay en el navegador. Son nueve comprobaciones y se hacen en veinte minutos; es lo que hacemos en cada auditoría de medición.

Los valores de gcs se leen así: G1 seguido de dos dígitos, el primero para ad_storage y el segundo para analytics_storage, donde 0 es denegado y 1 concedido. G100 es todo denegado; G111, todo concedido; G101, publicidad denegada y analítica concedida. Es la comprobación más rápida que existe y la que menos webs pasan.

Si fallan la 1 o la 3, el problema es legal y va primero. Si fallan la 2, la 6 o la 7, el problema es de implementación y lo normal es que haya una etiqueta cargada fuera del control del banner. Si falla la 5, el usuario está siendo medido de forma distinta en cada página y tu dato está mezclado. La 8 y la 9 no las ve ninguna herramienta; las ve un inspector.

¿Qué pasa con Complianz y las otras plataformas de consentimiento?

Complianz, Cookiebot, CookieYes, Didomi, Usercentrics y el resto de plataformas de consentimiento traen integración con Consent Mode v2, y ninguna la garantiza por el hecho de estar instalada. La plataforma pone el banner, guarda la elección y envía el estado a Google; pero solo controla las etiquetas que pasan por ella. Lo que se cargue por otro camino se salta el banner, y es lo que más vemos.

En WordPress, el caso típico es Complianz con GA4 cargado tres veces: por el propio Complianz, por Site Kit y por un fragmento que alguien pegó en la plantilla hace años. El banner controla uno; los otros dos miden a todo el mundo desde que se abre la página. La comprobación 1 de la tabla lo detecta en diez segundos: si hay más de una petición a Analytics con distintos identificadores de medición, o alguna sin gcs, hay una etiqueta huérfana.

Lo que hay que mirar en la plataforma: que la opción de Consent Mode esté activada y en modo avanzado si quieres modelado; que el estado por defecto sea denegado y no «concedido hasta que rechace»; que la región aplicada incluya a España y no solo a quien detecte como Unión Europea por IP, porque un usuario con VPN no debería medirse distinto; y que el banner cumpla la guía de la AEPD, porque la configuración por defecto de varias plataformas aún esconde el botón de rechazar en una segunda capa.

Lo que no hace falta: pagar por una plataforma cara cuando una web pequeña tiene GA4 y un píxel. Complianz en su versión gratuita bien configurado cumple; una plataforma de 100 € al mes mal configurada no. Lo que tampoco hace falta es el tracking server-side para cumplir: mover la medición al servidor no quita la obligación de consentimiento, y hay quien lo vende como si lo hiciera. Cuándo sí compensa está en server-side: cuándo hace falta.

Una vez el consentimiento está bien, el siguiente problema suele ser el resto de la configuración de GA4: eventos de clic marcados como conversión, pasarelas de pago como fuente, retención en dos meses. Están en los siete errores de GA4, y es el orden que seguimos en datos para decidir en marketing: primero legal, después limpio, después útil.

Si quieres seguir por aquí, tienes más en nuestros artículos de datos para decidir.

Preguntas frecuentes