La mayoría de los sitios tienen un banner de cookies porque su analítica necesita uno. Quita la exigencia y el banner se puede ir con ella, junto con el problema de la tasa de consentimiento que hay debajo, que es la parte que te cuesta de verdad.

Esto es un resumen de cómo funcionan las reglas en la práctica, no un consejo jurídico. Si tu situación es poco habitual, pregúntale a alguien cualificado.

La regla va del almacenamiento, no de las cookies

El texto pertinente es el artículo 5, apartado 3, de la Directiva ePrivacy, que cada Estado miembro de la UE ha transpuesto en su propio derecho: en España, el artículo 22.2 de la LSSI, que aplica la AEPD. No menciona las cookies. Cubre el hecho de almacenar información en el equipo terminal de un usuario, o acceder a información almacenada en él, su teléfono, su portátil.

Esa redacción es deliberadamente neutra desde el punto de vista tecnológico, y zanja una cuestión sobre la que la gente sigue discutiendo. localStorage es almacenamiento en el dispositivo del usuario. También lo es sessionStorage, un registro de IndexedDB, una entrada de caché usada como identificador, y una huella de canvas; esta última porque leer las características de un dispositivo es «acceder a información almacenada en» ese dispositivo.

Cambiar document.cookie por localStorage.setItem no cambia nada jurídicamente. Un gran número de herramientas de analítica «sin cookies» hacen exactamente eso, y se describen como libres de cookies sobre esa base. La prueba es si se escribe algo en la máquina del visitante o se lee de ella, no cómo se llame la API.

La excepción, y por qué la analítica rara vez encaja en ella

El artículo 5, apartado 3, tiene dos excepciones. El almacenamiento se permite sin consentimiento cuando tiene como única finalidad efectuar una transmisión, o cuando es estrictamente necesario para un servicio que el usuario ha pedido expresamente.

«Estrictamente necesario» significa necesario para aquello que el visitante pidió. Un carrito de la compra entra: sin él, el pago que el visitante pidió no funciona. Una sesión de inicio de sesión entra. La analítica no, porque el sitio funciona perfectamente para el visitante lo estés contando o no. La medición es algo que pediste tú.

Algunas autoridades han abierto un hueco estrecho para la medición de audiencia en propio. La CNIL francesa es el ejemplo más claro: publica una excepción para la analítica estrictamente limitada a medir la audiencia del propio sitio, usada solo por el editor del sitio, sin seguimiento entre sitios y con un límite de conservación. Sus condiciones son concretas y vale la pena leerlas si operas en Francia; la AEPD publica su propia guía sobre el uso de las cookies, que aborda las cookies de medición o analítica en términos parecidos. Muchos Estados miembros no tienen equivalente, y por eso una herramienta que evita del todo el almacenamiento en el dispositivo es la posición más sencilla.

Lo que te cuesta un banner

Aparte de ser feo, un banner de consentimiento tiene un coste medible: los visitantes que rechazan faltan en tus datos.

La tasa exacta depende de tu público, de tu geografía y de cómo esté redactado el banner, así que trata cualquier cifra publicada con recelo, incluidas las que se dicen con confianza. Lo que sí es constante es el sentido. La gente con más probabilidades de rechazar se inclina hacia los preocupados por su privacidad, los técnicos y los que usan bloqueadores, y esos no son una muestra aleatoria de tu tráfico. Tu analítica deja de ser un recuento y pasa a ser una encuesta con un grupo de respondientes que se ha elegido a sí mismo.

Esa distorsión se propaga. La tasa de conversión se calcula sobre un denominador al que le falta una fracción desconocida de las visitas. La atribución por canal no tiene los canales de los que venían esos visitantes. Los resultados de las pruebas A/B salen del subconjunto que aceptó ser medido.

Peor, la pérdida es silenciosa. Nada en el panel dice «y ocurrió un 30 % más de visitas que no puedes ver». Los números parecen completos.

A qué se parece una identidad sin almacenamiento en el dispositivo

Si no se puede escribir nada en el dispositivo, la pregunta obvia es cómo se distingue a un visitante de otro.

La respuesta es derivar un identificador en el servidor a partir de cosas que la petición ya lleva (normalmente la dirección IP, el agente de usuario, el sitio y la fecha) y hacer un hash de todo junto con un secreto que rota. Rotar el secreto a diario significa que el identificador de un visitante dado es distinto mañana y no se puede reconstruir después, ni siquiera por quien tenga los datos.

Eso te da recuentos exactos dentro de un día y te hace perder deliberadamente la capacidad de seguir a alguien de un día a otro. Es un trato real, y vale la pena ser directo sobre qué informes te cuesta:

  • Los visitantes únicos por día, las sesiones, la tasa de rebote, las fuentes, las páginas, las conversiones funcionan todos con normalidad.
  • Las tasas de visitantes que vuelven y las cohortes de retención de varios días, no. No pueden, porque todo el objetivo es que el identificador de ayer sea irrecuperable.

Quien afirme que puedes tener identidad de un día a otro sin nada almacenado en el dispositivo y sin identificador persistente está describiendo una huella, se llame como se llame, y una huella cae de lleno dentro del artículo 5, apartado 3.

Dónde se sitúa Skomi

Skomi deriva la identidad en el servidor a partir de una sal que rota a diario y no se guarda en ningún sitio. El rastreador no escribe ninguna cookie y no toca ningún almacenamiento del dispositivo del visitante; el código que lo haría no está simplemente desactivado, está fuera del archivo que descarga el navegador, que es una afirmación materialmente distinta de «no lo usamos».

Las cohortes de retención son el informe que esto cuesta, y se dice claramente en la página de Analytics en vez de enterrarse. Un sitio que las quiera puede activar por sitio una identidad almacenada en el dispositivo, momento en el que vuelve a necesitar un banner, que es la descripción honesta de lo que hace ese interruptor.

La otra cosa que vale la pena comprobar en cualquier herramienta que evalúes: si el proveedor puede unir a tus visitantes entre los demás sitios que mide. Un identificador por sitio que no cruza nunca las fronteras entre sitios es una postura de privacidad distinta de uno global, y no suele anunciarse.

Qué comprobar en tu propio sitio

  1. Abre tu sitio en una ventana privada con las herramientas de desarrollo abiertas.
  2. Antes de aceptar nada, mira Aplicación → Local Storage, Session Storage, IndexedDB y Cookies.
  3. Todo lo que haya ahí se escribió antes del consentimiento. Si lo puso tu analítica, el banner no te sirve de nada jurídicamente, porque el almacenamiento ya ocurrió.

Ese tercer punto atrapa más sitios que ningún otro error aislado. Un banner que aparece después de que el rastreador ya haya escrito su identificador es decoración.

Si quieres que sea la propia herramienta la razón por la que el banner puede irse, para eso está hecho el valor por defecto de Skomi. Las páginas de comparación dicen cuáles de las alternativas comparten ese valor por defecto y cuáles no, incluidas las filas en las que ganan.

El mecanismo tiene un nombre y una definición: sin cookies significa una identidad derivada en el servidor a partir de una sal que cambia cada día, que es también por lo que un visitante que vuelve la semana que viene se cuenta como nuevo.