Conformidad & RGPD
Cómo auditar la conformidad RGPD de tu sitio web en 2026
Tener un banner de cookies no prueba nada. La conformidad RGPD de un sitio se constata en el navegador: qué se activa antes del mínimo clic, y qué pasa de verdad cuando se rechaza. Así auditas tu sitio — a mano, en unos diez minutos.
La mayoría de los sitios que auditamos muestran un banner y se creen en regla. Sin embargo, en la mayoría de los casos, hay rastreadores — Google Analytics, Meta Pixel, retargeting — que se activan antes de que el visitante haya hecho clic en nada, o siguen funcionando tras un rechazo. El banner tranquiliza, pero no bloquea nada. Una auditoría RGPD sirve exactamente para medir esa brecha entre lo que crees y lo que tu sitio hace realmente.
Qué verifica realmente una auditoría RGPD
Una auditoría útil no lee tu aviso legal: observa el comportamiento técnico de la página. Los puntos a controlar:
- Rastreadores antes del consentimiento — qué cookies y scripts se activan al cargar, antes de cualquier acción del visitante.
- Efectividad del rechazo — tras un clic en « Rechazar », ¿los rastreadores de marketing se detienen de verdad, o solo desaparece el banner?
- Transferencias fuera de la UE — a qué servidores y CDN se van los datos (a menudo Estados Unidos, sin garantías).
- Banner de consentimiento — presencia, y sobre todo simetría « Aceptar » / « Rechazar ».
- Google Consent Mode v2 — ¿bien configurado, o en modo « concedido por defecto »?
- Rastreadores enmascarados (CNAME cloaking) — soplones disfrazados de subdominio first-party.
El método manual: 10 minutos con las DevTools
Puedes hacer una primera constatación tú mismo, sin herramientas. Abre tu sitio en navegación privada, luego las herramientas de desarrollo del navegador (F12):
- Pestaña « Application » → Cookies: recarga la página sin tocar el banner. Cualquier cookie que no sea de las estrictamente necesarias (carrito, sesión, seguridad, la propia cookie de consentimiento) no debería estar ahí.
- Pestaña « Network »: localiza los dominios de terceros. ¿Ves llamadas a
google-analytics.com,facebook.netodoubleclick.netantes de tu clic? Eso es una brecha. - Haz clic en « Rechazar » y recarga: ¿vuelven las mismas llamadas? Si es así, tu rechazo no es efectivo.
Este método es fiable pero tedioso, y se le escapan los rastreadores enmascarados por CNAME cloaking o los activados con retardo. Para detectarlos, espera unos segundos antes de leer la pestaña « Network », y comprueba con una consulta DNS si un subdominio first-party (como metrics.tusitio.es) apunta por CNAME a un tercero.
La conformidad no se lee en una política de privacidad: se constata en el navegador, antes del clic y tras un rechazo. Si un rastreador de marketing se ejecuta en una de esas dos fases, tienes una brecha que corregir.
Leer el resultado: las brechas más frecuentes
Cuatro constataciones se repiten casi siempre:
- Analytics antes del consentimiento — Google Analytics cargado en el primer render. Es la brecha n.º 1; ver también nuestro artículo sobre el coste SEO del banner de cookies.
- Rechazo inoperante — el banner se cierra pero los píxeles siguen. En Shopify es casi sistemático: cómo demostrarlo en cinco minutos.
- Píxeles publicitarios — Meta, TikTok, Google Ads, a menudo colocados por un tag manager.
- Dependencias fuera de la UE — CDN y fuentes alojados en Estados Unidos, que exponen la IP de tus visitantes.
Corregir: por dónde empezar
La lógica no es « pedir mejor el consentimiento », sino reducir lo que lo hace necesario. Tres principios:
- Separa los usos: la medición de audiencia por un lado, el marketing por otro. Una herramienta de medición que ni lee ni escribe nada en el dispositivo no activa la obligación de consentimiento (artículo 5(3) de la directiva ePrivacy).
- Bloquea antes del clic: ningún rastreador no esencial debe ejecutarse mientras el visitante no haya aceptado, y un rechazo debe cortarlos de verdad.
- Elige herramientas que no abran el debate: una analítica sin cookie ni identificador persistente saca la medición de audiencia de la ecuación del consentimiento. Es el enfoque de Snorklee — sin banner, sin cookie.
Una auditoría es una constatación técnica indicativa, no un asesoramiento jurídico: puede contener falsos positivos. Para una decisión, hazla validar por un DPO o un abogado.
Más allá del RGPD: la soberanía
Ser « conforme » no dice nada sobre adónde van tus datos. Un sitio puede respetar el RGPD y depender por completo de servicios estadounidenses. Para cartografiar esas dependencias, lista los dominios de terceros en la pestaña « Network » y comprueba, para cada uno, la jurisdicción de la empresa que lo controla: el método se detalla en «Alojado en Europa» no significa soberano.
En resumen
Auditar tu sitio no es releer tus condiciones: es abrir el navegador y mirar qué se activa antes del clic y tras un rechazo. Hazlo una vez para entender, y de nuevo tras cada cambio de etiqueta, plugin o banner.
¿Hace falta todavía un banner de cookies en 2026? →
¿Cómo auditar la conformidad RGPD de tu sitio?
Abre tu sitio en navegación privada e inspecciona, en las DevTools, las cookies y peticiones de red activadas antes de cualquier clic y tras un rechazo: solo deben aparecer los elementos estrictamente necesarios. Repite esta constatación en tres fases: antes del consentimiento, tras la aceptación, tras el rechazo.
¿Basta un banner de cookies para ser conforme?
No. Un banner que no impide que los rastreadores se activen antes del clic — o que no los corta tras un rechazo — no te hace conforme. La conformidad se constata en el comportamiento técnico de la página, no en la presencia de un banner.
¿Qué verifica una auditoría RGPD de un sitio web?
Los rastreadores colocados antes del consentimiento, la efectividad del rechazo, las transferencias de datos fuera de la UE, la presencia y simetría del banner, la configuración de Google Consent Mode v2 y los rastreadores enmascarados por CNAME cloaking.
Publicado en junio de 2026. Marco jurídico: artículo 5(3) de la directiva 2002/58/CE (ePrivacy) — información general, no un asesoramiento jurídico individualizado. Una auditoría es indicativa y puede contener falsos positivos o falsos negativos.