La mayoría de los sitios tienen un banner de cookies porque su analítica necesita uno. Elimina esa exigencia y el banner puede desaparecer con ella, junto con el problema de la tasa de consentimiento que esconde, que es lo que de verdad te cuesta.

Esto es un resumen de cómo funcionan las reglas en la práctica, no asesoramiento jurídico. Si tu situación es poco habitual, consulta a un profesional cualificado.

La regla trata del almacenamiento, no de las cookies

El texto pertinente es el artículo 5, apartado 3, de la Directiva ePrivacy, que cada Estado miembro de la UE ha transpuesto en su propio derecho: en España, el artículo 22.2 de la LSSI, que aplica la AEPD. No menciona las cookies. Cubre el hecho de almacenar información en el equipo terminal de un usuario, o acceder a información almacenada en él: su teléfono, su portátil.

Esa redacción es deliberadamente neutra desde el punto de vista tecnológico, y zanja una cuestión sobre la que la gente sigue discutiendo. localStorage es almacenamiento en el dispositivo del usuario. También lo es sessionStorage, un registro de IndexedDB, una entrada de caché usada como identificador, y una huella de canvas; esta última porque leer las características de un dispositivo es «acceder a información almacenada en» ese dispositivo.

Cambiar document.cookie por localStorage.setItem no cambia nada jurídicamente. Un gran número de herramientas de analítica «sin cookies» hacen exactamente eso, y por eso se presentan como libres de cookies. La prueba es si se escribe algo en el dispositivo del visitante o se lee de él, no cómo se llame la API.

La excepción, y por qué la analítica rara vez encaja en ella

El artículo 5, apartado 3, tiene dos excepciones. El almacenamiento se permite sin consentimiento cuando tiene como única finalidad efectuar una transmisión, o cuando es estrictamente necesario para un servicio que el usuario ha pedido expresamente.

«Estrictamente necesario» significa necesario para aquello que el visitante pidió. Un carrito de la compra cumple la condición: sin él, el pago que el visitante pidió no funciona. Una sesión iniciada también. La analítica no, porque el sitio funciona perfectamente para el visitante lo estés contando o no. La medición es algo que pediste tú.

Algunas autoridades han abierto un hueco estrecho para la medición de audiencia propia. La CNIL francesa es el ejemplo más claro: publica una excepción para la analítica estrictamente limitada a medir la audiencia del propio sitio, usada solo por el editor del sitio, sin seguimiento entre sitios y con un límite de conservación. Sus condiciones son concretas y vale la pena leerlas si operas en Francia; la AEPD publica su propia guía sobre el uso de las cookies, que aborda las cookies de medición o analítica en términos parecidos. Muchos Estados miembros no tienen equivalente, y por eso lo más sencillo es una herramienta que evite del todo el almacenamiento en el dispositivo.

Lo que te cuesta un banner

Aparte de ser feo, un banner de consentimiento tiene un coste medible: los visitantes que rechazan faltan en tus datos.

La tasa exacta depende de tu público, de tu geografía y de cómo esté redactado el banner, así que trata cualquier cifra publicada con recelo, incluidas las que se presentan con mucha seguridad. Lo que sí es constante es el sentido. Quienes más tienden a rechazar son, sobre todo, personas preocupadas por su privacidad, perfiles técnicos y usuarios de bloqueadores, y esos no son una muestra aleatoria de tu tráfico. Tu analítica deja de ser un recuento y pasa a ser una encuesta con un grupo de encuestados que se ha elegido a sí mismo.

Esa distorsión se propaga. La tasa de conversión se calcula sobre un denominador al que le falta una fracción desconocida de las visitas. A la atribución por canal le faltan los canales de los que venían esos visitantes. Los resultados de las pruebas A/B salen del subconjunto que aceptó ser medido.

Peor aún: la pérdida es silenciosa. Nada en el panel dice «y hubo un 30 % más de visitas que no puedes ver». Los números parecen completos.

Cómo es una identidad sin almacenamiento en el dispositivo

Si no se puede escribir nada en el dispositivo, la pregunta obvia es cómo se distingue a un visitante de otro.

La respuesta es derivar un identificador en el servidor a partir de cosas que la petición ya contiene (normalmente la dirección IP, el agente de usuario, el sitio y la fecha) y hacer un hash de todo junto con un secreto que rota. Rotar el secreto a diario significa que el identificador de un visitante dado es distinto mañana, y destruir el secreto antiguo significa que nadie puede reconstruirlo después, ni siquiera quien tenga los datos.

Eso te da recuentos exactos dentro de un día y te hace perder deliberadamente la capacidad de seguir a alguien de un día a otro. Es una contrapartida real, y vale la pena ser directo sobre qué informes te cuesta:

  • Los visitantes únicos por día, las sesiones, la tasa de rebote, las fuentes, las páginas, las conversiones funcionan todos con normalidad.
  • Las tasas de visitantes que vuelven y las cohortes de retención de varios días, no. No pueden, porque todo el objetivo es que el identificador de hoy no pueda vincularse con el de ayer.

Quien afirme que puedes tener identidad de un día a otro sin nada almacenado en el dispositivo y sin identificador persistente está describiendo una huella, se llame como se llame, y una huella cae de lleno dentro del artículo 5, apartado 3.

Dónde se sitúa Skomi

Skomi deriva la identidad en el servidor a partir de una sal que rota a diario y se destruye a los dos días. El rastreador no escribe ninguna cookie ni guarda ningún identificador en el dispositivo del visitante; el código que lo haría no está simplemente desactivado, está fuera del archivo que descarga el navegador, lo que es una afirmación muy distinta de «no lo usamos». Lo único que guarda ahí es una decisión del propio visitante, como que cerró el widget de opiniones, y solo después de que la tome.

Las cohortes de retención son el informe que esto cuesta, y se dice claramente en la página de Analytics en vez de enterrarse. Un sitio que las necesite puede activar, sitio por sitio, una identidad almacenada en el dispositivo, y a partir de ahí vuelve a necesitar un banner: esa es la descripción honesta de lo que hace ese interruptor.

La otra cosa que vale la pena comprobar en cualquier herramienta que evalúes: si el proveedor puede relacionar a tus visitantes con los de los demás sitios que mide. Un identificador por sitio que no cruza nunca las fronteras entre sitios es una postura de privacidad distinta de uno global, y no suele anunciarse.

Qué comprobar en tu propio sitio

  1. Abre tu sitio en una ventana privada con las herramientas de desarrollo abiertas.
  2. Antes de aceptar nada, mira Aplicación → Local Storage, Session Storage, IndexedDB y Cookies.
  3. Todo lo que haya ahí se escribió antes del consentimiento. Si lo puso tu analítica, el banner no te sirve de nada jurídicamente, porque el almacenamiento ya ocurrió.

Ese tercer punto hace caer a más sitios que cualquier otro error. Un banner que aparece después de que el rastreador ya haya escrito su identificador es decoración.

Si quieres que sea la propia herramienta la razón por la que el banner puede desaparecer, para eso está hecho el valor por defecto de Skomi. Las páginas de comparación dicen cuáles de las alternativas comparten ese valor por defecto y cuáles no, incluidos los puntos en los que salen ganando.

El mecanismo tiene un nombre y una definición: sin cookies significa una identidad derivada en el servidor a partir de una sal que cambia cada día, y es también la razón por la que un visitante que vuelve la semana que viene se cuenta como nuevo.