El aviso de cookies y la revolución de la privacidad digital

El aviso que aparece al entrar en una web no inventó las cookies ni acabó con el rastreo, pero convirtió la privacidad en una decisión cotidiana. Su expansión en Europa coincidió con la aplicación del Reglamento General de Protección de Datos (RGPD), que desde mayo de 2018 obligó a miles de organizaciones a explicar qué información recopilan, con qué propósito y bajo qué base jurídica. La gran transformación fue hacer visible una práctica que antes ocurría casi siempre en segundo plano.

Por eso el efecto del banner va mucho más allá de sus botones. Alteró el diseño de las páginas, la publicidad digital y la relación entre empresas y usuarios; además, dejó al descubierto una tensión que sigue sin resolverse: internet ofrece muchos servicios sin un precio directo, pero parte de su financiación depende de conocer los hábitos de quienes los utilizan. El cartel es la cara pública de una disputa por el poder sobre los datos, no la solución definitiva.

La privacidad salió de la letra pequeña

El RGPD fue aprobado en abril de 2016 y comenzó a aplicarse en mayo de 2018. Ese intervalo hizo que la norma pareciera durante un tiempo una reforma distante, propia de despachos y departamentos jurídicos. La percepción cambió cuando las webs empezaron a pedir consentimiento, revisar sus formularios y modificar sus avisos. Para muchas personas, el reglamento europeo se hizo real de golpe, en una pantalla que antes solo mostraba el contenido buscado. La privacidad dejó de ser una cláusula escondida y pasó a formar parte de la navegación.

La norma no creó de cero todos los derechos relacionados con los datos, pero reforzó y armonizó su protección en la Unión Europea. También alcanzó a compañías radicadas fuera de Europa cuando tratan datos de personas que viven en la UE o vigilan su comportamiento. La idea central es sencilla: recoger información personal no es una actividad neutral ni ilimitada. Debe existir una finalidad, una base jurídica y una explicación comprensible. La distancia geográfica dejó de servir como excusa automática para observar a usuarios europeos sin atender a sus derechos.

El reglamento consolidó derechos como acceder a los datos, corregirlos, solicitar su supresión, oponerse a ciertos tratamientos, limitar su uso y, en determinadas circunstancias, trasladarlos a otro servicio. Son herramientas distintas, no un botón universal para borrar cualquier rastro de internet. Aun así, modificaron el lenguaje con el que se habla de información personal: una persona no es solo una suma de señales aprovechables para vender anuncios. Sus datos están ligados a derechos que las organizaciones deben respetar.

Las cookies no son todas iguales

Una cookie es un pequeño archivo que un sitio guarda en el navegador del dispositivo. Puede recordar una sesión iniciada, conservar una preferencia o permitir que funcione una prestación solicitada por el usuario. Otras cookies, en cambio, se emplean para observar la navegación, reconocer visitas sucesivas o ayudar a construir perfiles con fines publicitarios. Llamarlas a todas por el mismo nombre oculta diferencias importantes: la función del archivo determina buena parte de su relevancia para la privacidad.

Las cookies técnicas imprescindibles para prestar un servicio o recordar una opción solicitada no se encuentran en la misma situación que las destinadas al seguimiento publicitario. Por eso no es correcto concluir que cualquier cookie exige siempre el mismo permiso. Las reglas europeas sobre privacidad en las comunicaciones electrónicas y la normativa de protección de datos se relacionan, pero no son idénticas. El aviso que aparece en una web intenta explicar ese uso y recabar consentimiento cuando corresponde; no convierte por sí solo en legítimo cualquier tratamiento. El banner informa y solicita permiso, pero no sustituye las obligaciones de la empresa.

La distinción entre cookies propias y de terceros también ayuda a entender el cambio. Las primeras las instala, en general, la web que se visita; las segundas pueden permitir que otros servicios participen en la medición o el seguimiento entre sitios. En especial, la publicidad comportamental se benefició durante años de señales que acompañaban al usuario mientras saltaba de una página a otra. El resultado era una imagen cada vez más detallada de sus intereses, aunque cada sitio por separado pareciera saber poco. El valor comercial estaba en conectar fragmentos dispersos de actividad.

El botón también se convirtió en un campo de batalla

Cuando se generalizaron los avisos, muchas webs ofrecieron un botón destacado para aceptar y escondieron el rechazo detrás de menús, enlaces menos visibles o varios pasos. La apariencia podía sugerir que había elección, aunque el diseño empujara a entregar más información. La regulación y las directrices de las autoridades fueron señalando que aceptar y rechazar no debían presentarse como caminos deliberadamente desiguales. Un consentimiento no es libre si la interfaz castiga una de las opciones.

Este problema se conoce como diseño manipulador o patrón engañoso: una interfaz aprovecha la atención limitada, la prisa o la confusión para orientar la decisión. No hace falta una amenaza explícita. Basta con que la opción favorable al sitio sea inmediata y la alternativa resulte difícil de encontrar. Así, la discusión sobre privacidad dejó de ser exclusivamente jurídica y entró en el terreno de la arquitectura de la información, los colores, el lenguaje y el número de clics. La libertad de elección depende también de cómo está construida la pantalla.

En España, la Agencia Española de Protección de Datos actualizó en julio de 2023 su guía sobre el uso de cookies y aclaró que las alternativas a aceptarlas no tienen por qué ser necesariamente gratuitas. Algunos sitios comenzaron a implantar opciones de pago para quienes no aceptan ciertos tratamientos; el 11 de enero de 2024 se señaló como fecha límite para aplicar las novedades contempladas en la guía. Esta posibilidad no significa que todas las webs puedan imponer cualquier condición: la validez del consentimiento y la existencia de una alternativa real dependen del contexto. La regla abrió un debate, no una autorización sin límites.

La guía también indicó que aceptar y rechazar deben estar al mismo nivel, que el usuario ha de poder retirar el consentimiento de forma visible y sencilla y que no se le debe pedir de nuevo cada vez que visita la página. La AEPD recomienda que el plazo del consentimiento no supere los 24 meses. En la práctica, el diseño de los avisos continúa siendo dispar, y algunas páginas ofrecen opciones gratuitas mientras otras plantean pagar para navegar sin determinados usos de datos. La posibilidad de decir que no importa tanto como la facilidad para cambiar de opinión.

La paradoja del clic automático

El aviso buscaba que la decisión fuera consciente, pero su repetición ha producido el efecto contrario en parte de los usuarios. Un cartel aparece en una web, luego en otra, y otra vez al cambiar de dispositivo o borrar datos del navegador. Ante la interrupción constante, muchas personas aceptan sin leer para llegar cuanto antes al contenido. La privacidad se volvió visible, pero también rutinaria. La fatiga del consentimiento puede convertir una elección formal en un gesto mecánico.

Este desgaste no demuestra que la norma carezca de sentido. Muestra que un derecho puede debilitarse cuando se presenta como una sucesión interminable de decisiones pequeñas y poco comprensibles. Si cada aviso usa términos técnicos, mezcla finalidades distintas o complica el rechazo, el usuario difícilmente puede valorar qué está autorizando. La transparencia no consiste en amontonar texto legal en una ventana, sino en comunicar de manera clara y permitir una decisión efectiva. Más información no equivale automáticamente a más comprensión.

También explica por qué el banner no es una defensa completa contra el seguimiento. Una persona puede rechazar ciertas cookies y seguir dejando señales mediante otras tecnologías o interacciones con servicios conectados. Algunos sitios pueden combinar datos obtenidos de distintas fuentes, y existen métodos que intentan reconocer dispositivos a partir de características del navegador o del sistema. El consentimiento para cookies, por tanto, no es sinónimo de anonimato. El rastreo digital puede adoptar formas distintas de un archivo guardado en el navegador.

La publicidad busca una salida al rastreo tradicional

La retirada o limitación de las cookies de terceros en distintos navegadores presionó a la industria publicitaria para buscar otros métodos de segmentación. En ese contexto, Google presentó Privacy Sandbox como un conjunto de propuestas destinado a reducir ciertas formas de seguimiento sin eliminar la publicidad personalizada. El interés económico era evidente: mantener un negocio publicitario a gran escala y, al mismo tiempo, responder a las críticas sobre la vigilancia individual. La disputa no enfrentaba privacidad y anuncios de forma abstracta, sino modelos concretos de negocio.

Una de las primeras ideas de Google fue FLoC, sigla de Federated Learning of Cohorts. En vez de identificar a cada persona por separado, proponía agrupar navegadores con intereses parecidos en cohortes amplias. El sistema pretendía que los anunciantes recibieran una categoría colectiva, no el historial completo de un individuo. Sin embargo, especialistas en seguridad y privacidad cuestionaron si la combinación de esa categoría con otras señales podía ayudar a identificar a una persona o revelar rasgos sensibles. Ocultar el nombre no garantiza que un perfil deje de ser reconocible.

Las críticas también apuntaron a que las categorías podían reflejar temas delicados y a que el navegador seguiría clasificando los intereses de quien lo usa. Google abandonó esa propuesta y presentó Topics, una alternativa que describía como más controlable. En el diseño anunciado, Chrome asignaría temas relacionados con la actividad de navegación directamente en el dispositivo, sin enviar a un servidor externo el proceso de clasificación. Era un cambio de método, no la desaparición de la publicidad basada en intereses. La pregunta seguía siendo quién define y comparte el perfil, aunque el perfil adoptara otra forma.

Según la descripción inicial, Topics asignaría cinco temas por semana y renovaría la selección cada tres semanas. Cuando una web compatible consultara la API, podría recibir tres temas, uno correspondiente a cada una de las últimas tres semanas. El usuario tendría la posibilidad de revisar y quitar categorías desde la configuración del navegador. La propuesta contemplaba unos 300 temas en esa fase y sugería que el catálogo podía crecer hasta varios miles. El control ofrecido consistía en inspeccionar y excluir intereses concretos, no en dejar de generar cualquier señal de navegación.

Google aseguró que se evitarían categorías sensibles, pero el propio planteamiento reconocía riesgos: una web podía combinar los temas con otras señales e intentar inferir información confidencial. También se cuestionó que categorías demasiado amplias fueran poco útiles para anunciantes que buscan llegar a públicos concretos. Topics ilustra un límite persistente de las soluciones técnicas: una herramienta puede reducir una forma de rastreo y, aun así, dejar abiertas otras posibilidades de correlación o identificación. Cambiar el mecanismo no elimina por sí solo la tensión entre privacidad y segmentación.

Internet nunca fue gratis del todo

El debate sobre los muros de cookies hizo más visible una pregunta incómoda: si una página permite navegar sin aceptar determinados tratamientos a cambio de una tarifa, ¿existe una alternativa auténtica? El modelo digital ha presentado muchos servicios como gratuitos, aunque su financiación pueda depender de publicidad, datos, atención y tiempo de uso. Pagar dinero es un coste más fácil de identificar; ceder información puede parecer invisible hasta que los datos se combinan o se utilizan para orientar decisiones. La gratuidad suele describir el precio en caja, no todos los intercambios que sostienen el servicio.

Pero cobrar por una alternativa no resuelve automáticamente la cuestión ética ni la jurídica. Importa qué datos se recogen, para qué se usan, cuánto cuesta evitar el tratamiento y si la persona puede elegir sin quedar excluida de manera desproporcionada. A la vez, exigir que todo servicio digital sea gratuito y no utilice datos de ningún tipo tampoco explica cómo se financiaría. El debate permanece abierto porque afecta al corazón de la economía de la web: quién paga por los contenidos y quién obtiene valor de la actividad de los usuarios. La elección entre dinero y datos no siempre es tan sencilla como parece.

Las empresas tuvieron que cambiar por dentro

Reducir el RGPD a los avisos sería como explicar una ciudad por sus semáforos. La norma obligó a las organizaciones a revisar qué información conservan, para qué la necesitan, cuánto tiempo la guardan y quién puede acceder a ella. También aumentó la importancia de documentar las decisiones, informar sobre los tratamientos y revisar los contratos con proveedores. Lo que antes podía resolverse con una política copiada de otra web empezó a exigir procesos y responsabilidades identificables. La protección de datos pasó de ser un texto legal a una tarea de gestión.

La seguridad también quedó más ligada a la privacidad. Cuando ocurre una brecha relevante, las organizaciones deben valorar sus efectos y cumplir las obligaciones de notificación que correspondan. En determinados casos, además, es obligatorio contar con un delegado de protección de datos, una figura que asesora y supervisa el cumplimiento. Su función no es decorar la página con un contacto institucional: debe poder señalar riesgos y pedir explicaciones. Proteger información exige demostrar medidas, no limitarse a prometer cuidado.

El régimen de sanciones reforzó ese cambio al dar consecuencias económicas y operativas a las infracciones. Las autoridades pueden imponer multas elevadas y, según el caso, limitar tratamientos. La aplicación de la norma, sin embargo, no ha sido uniforme ni rápida en todos los expedientes. Las investigaciones complejas y transfronterizas pueden prolongarse, mientras las plataformas siguen desarrollando productos a gran velocidad. Aun con esas dificultades, la posibilidad de una intervención regulatoria modificó los incentivos de las empresas. La privacidad dejó de ser una preocupación reputacional sin coste potencial.

España también marcó límites a la vigilancia política

En 2018 España aprobó la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, que acompañó la aplicación del reglamento europeo e incorporó cuestiones propias. Una de sus disposiciones más controvertidas permitía a los partidos políticos recopilar determinadas opiniones políticas manifestadas en páginas web y otras fuentes de acceso público para actividades electorales. La posibilidad de perfilar a la ciudadanía a partir de su rastro digital generó preocupación por el efecto sobre la libertad ideológica. La información visible en internet no equivale a un permiso ilimitado para explotarla.

El Tribunal Constitucional anuló ese precepto al considerar que la habilitación era demasiado imprecisa y permitía una injerencia intensa sin garantías suficientemente definidas. El caso mostró que las reglas de protección de datos no son solo una cuestión de anuncios personalizados o preferencias comerciales. También afectan a la relación entre ciudadanía, partidos y democracia. La digitalización puede hacer más eficaz la comunicación política, pero esa eficacia no elimina la necesidad de límites claros. La tecnología electoral tampoco queda fuera de los derechos fundamentales.

Del aviso visible a los sistemas que no preguntan

Durante años, la imagen más reconocible de la privacidad digital ha sido el banner. Sin embargo, los sistemas que ordenan contenidos, predicen intereses o clasifican a las personas pueden operar sin una interrupción visible. El cambio de escala está en pasar de registrar una visita a inferir qué podría interesar a alguien, qué comportamiento es probable o qué contenido conviene mostrarle. La información observada y la información deducida no son lo mismo, aunque ambas puedan influir en decisiones. El siguiente gran desafío es entender qué se puede inferir a partir de los rastros.

Por eso la conversación ya no se limita a aceptar o rechazar cookies. También trata sobre cómo se diseñan los sistemas automatizados, qué datos utilizan, qué consecuencias producen y hasta qué punto una persona puede conocer o cuestionar una decisión. El banner interrumpe y pide una respuesta; un algoritmo puede orientar la experiencia de forma silenciosa, seleccionando lo que aparece y lo que queda fuera. Esa diferencia hace más difícil detectar la influencia y exigir explicaciones. La ausencia de un aviso no significa que no haya tratamiento ni efectos.

Diez años después de la aprobación del RGPD, el balance es mixto. La norma elevó el estándar de protección, dio un marco común a derechos importantes y obligó a las empresas a justificar mejor el uso de información personal. No eliminó la vigilancia comercial, la fatiga de los avisos ni las dificultades para hacer cumplir las reglas con rapidez. Tampoco podía resolver por sí sola el conflicto entre servicios financiados por publicidad y la expectativa de navegar sin ser perfilado. Regular cambió las condiciones del debate, pero no hizo desaparecer sus intereses enfrentados.

El aviso de cookies cambió internet porque volvió discutible lo que antes se daba por hecho. Puso la privacidad a la vista, mostró que el diseño de una pantalla puede influir en una decisión y obligó a explicar prácticas que ocurrían lejos de la mirada del usuario. A veces el resultado es una ventana repetitiva y poco eficaz; otras, una oportunidad para revisar qué se comparte. Su legado no consiste en haber resuelto el rastreo, sino en haberlo convertido en una cuestión pública. La privacidad dejó de ser invisible, aunque todavía sea frágil.