Los banners de consentimiento y la brecha de medición

En el Reino Unido, las cookies y las tecnologías similares se rigen por el artículo 6 de las Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR). La Data (Use and Access) Act 2025 sustituyó el artículo 6 por un texto nuevo con efecto desde el 5 de febrero de 2026. La regla general no cambia. Sin perjuicio del Anexo A1, nadie puede almacenar información, ni acceder a información almacenada, en el equipo terminal de un abonado o usuario. El nuevo texto añade que provocar ese almacenamiento o acceso también cuenta, y que acceder incluye recopilar la información que el dispositivo emite automáticamente.

La Information Commissioner's Office (ICO), la autoridad británica de protección de datos, publicó la versión definitiva de su guía sobre tecnologías de almacenamiento y acceso el 29 de abril de 2026. La guía abarca cookies, píxeles de seguimiento, decoración de enlaces, almacenamiento local, huella digital del dispositivo, scripts y etiquetas. Establece cinco excepciones al requisito de consentimiento: comunicación, uso estrictamente necesario, fines estadísticos, apariencia y asistencia en emergencias.

Para los informes a la dirección, la excepción por fines estadísticos es la que más importa. Según la guía de la ICO, una organización puede usar analítica sin consentimiento cuando el único fin es recopilar información estadística sobre cómo se utiliza su servicio, con vistas a mejorarlo. La información resultante debe ser agregada, los visitantes deben recibir información clara y completa, y debe existir un medio sencillo y gratuito para oponerse. Un proveedor externo de analítica puede intervenir, pero debe actuar como encargado del tratamiento y no puede combinar los datos con información de otras fuentes.

La excepción tiene límites claros. La ICO afirma que los fines de publicidad en línea "no están exentos de los requisitos de consentimiento de PECR y nunca lo han estado", e incluye entre ellos la medición y el rendimiento de los anuncios. Vincular el ID de un visitante con sus compras para poder compartir las conversiones con los socios publicitarios sigue requiriendo consentimiento.

La Data (Use and Access) Act solo modifica la legislación del Reino Unido. Las organizaciones con visitantes de la UE necesitan una revisión aparte con las normas que se aplican donde se encuentran esos visitantes.

Los sitios web que usan etiquetas de Google les transmiten las decisiones de consentimiento a través del Modo de consentimiento de Google. La documentación para desarrolladores de Google describe dos formas de implementarlo, y la elección cambia lo que la empresa puede ver.

En el modo de consentimiento básico, las etiquetas de Google quedan bloqueadas hasta que el visitante interactúa con el banner. Si el visitante rechaza, no se envía ningún dato a Google, ni siquiera el estado del consentimiento. El modelado de conversiones de Google Ads recurre entonces a un modelo general.

En el modo de consentimiento avanzado, las etiquetas se cargan con el consentimiento establecido por defecto como "denied" (denegado). Mientras el consentimiento está denegado, envían mediciones sin cookies, y la medición completa solo empieza cuando el visitante otorga su consentimiento. Google afirma que esto permite un modelo específico para cada anunciante en lugar de uno general.

Cada tipo de consentimiento tiene efectos concretos. Con analytics_storage denegado, Google Analytics no lee ni escribe sus cookies propias. Con ad_storage denegado, no se escriben nuevas cookies publicitarias y las direcciones IP se truncan en el momento de la recopilación. Con ad_user_data denegado, no se envían los datos propios cifrados con hash para las conversiones avanzadas. Cada uno de ellos reduce la proporción de la actividad que puede observarse y vincularse a un visitante concreto a lo largo de una sesión o de una visita posterior.

Google Analytics 4 cubre parte de la brecha con el modelado del comportamiento, que estima el comportamiento de los visitantes que rechazaron las cookies de analítica a partir del de visitantes similares que las aceptaron. El centro de ayuda de Google enumera las condiciones. El Modo de consentimiento debe estar implementado en todas las páginas con la implementación avanzada. La propiedad debe recopilar al menos 1.000 eventos diarios con analytics_storage denegado durante al menos 7 días. También debe tener al menos 1.000 usuarios diarios que envíen eventos con analytics_storage otorgado en al menos 7 de los 28 días anteriores. Cumplir estos umbrales no garantiza la elegibilidad.

Una propiedad con un tráfico modesto puede quedar por debajo de ellos, y Google es explícito sobre la consecuencia. Si no hay suficiente tráfico con consentimiento para entrenar el modelo, no se informa de los eventos de los visitantes que rechazaron el consentimiento.

Donde el modelado sí funciona, se detiene en determinadas funciones. Google indica que no son compatibles las audiencias, el explorador de usuarios, las exploraciones de cohortes y de valor del ciclo de vida del usuario, los segmentos de secuencia, los informes de retención, las métricas predictivas y la exportación de datos, incluida la exportación a BigQuery. Un almacén de datos alimentado con la exportación a BigQuery contiene, por tanto, solo datos observados, mientras que la interfaz de GA4 con la identidad para los informes Combinada muestra datos observados más datos modelados. Cuando el panel del almacén de datos y la pantalla de GA4 dan recuentos de usuarios distintos para la misma semana, esta es una de las razones documentadas que conviene revisar primero.

La excepción de 2026 permite que la analítica que cumple sus condiciones funcione sin consentimiento, mientras que la medición publicitaria sigue dependiendo de él. Una organización que traslade su analítica a la excepción puede ver cómo aumentan las sesiones y los usuarios en sus informes de analítica mientras las conversiones que reportan sus plataformas publicitarias siguen donde estaban. Esa diferencia se debería a lo que cada sistema tiene permitido observar, sin ningún cambio de la demanda detrás.

Trate la fecha de cualquier cambio en la configuración del consentimiento como una ruptura de la serie. Regístrela en el calendario de informes, mantenga líneas de tendencia separadas para antes y después, y evite comparar tasas de conversión a través de la ruptura sin un ajuste explícito. Use el número de pedidos de la plataforma de comercio o del ERP como serie de referencia, porque no depende de que un navegador almacene nada y no cambia cuando se rediseña un banner.

El CTO debería saber qué plataforma de gestión del consentimiento se utiliza, si el Modo de consentimiento de Google está implementado en su forma básica o avanzada, y si todas las etiquetas del sitio, incluidas las de otros proveedores, respetan la decisión del visitante.

El responsable de protección de datos debería poder decir en qué excepción de PECR se apoya cada tecnología no publicitaria, dónde se encuentra el medio sencillo para que el visitante se oponga y si el contrato del proveedor de analítica lo convierte en encargado del tratamiento.

El CMO y el CFO deberían saber qué métricas del directorio son observadas y cuáles incluyen datos modelados, si la propiedad de GA4 cumple los umbrales del modelado del comportamiento y qué serie sirve de referencia cuando los sistemas no coinciden. Cada respuesta necesita un responsable designado y una revisión cada vez que cambien el banner, la plataforma de consentimiento o el conjunto de etiquetas.