Consent Mode y cookies en Perú

¿Qué es Consent Mode de Google?

El Consent Mode, también llamado Google Consent Mode o modo de consentimiento, es una función de Google que ajusta el comportamiento de las etiquetas según lo que la persona eligió sobre sus cookies. Las etiquetas de Google Analytics y de Google Ads ya traen esa revisión integrada.

Consent Mode necesita que ya exista un aviso de cookies, también llamado banner de cookies. Según la ayuda de Google Analytics, no incluye un banner propio y trabaja con el que tengas, sea una plataforma de administración de consentimiento (CMP) o una solución a medida. Muchas CMP se conectan solas, y Google menciona entre sus socios a Cookiebot, CookieYes e iubenda.

¿Qué son las cookies y qué pasa con tus datos si las rechazan?

Las cookies son archivos que una web envía al equipo de quien la visita para recoger y guardar información de su navegación. GA4 usa cookies propias, _ga y _ga_<id>, para distinguir a cada visitante y cada sesión. Cuando alguien rechaza las cookies de estadísticas, tus reportes cambian de tres maneras.

• Las visitas no se pueden contar una por una. Sin consentimiento, los eventos no se asocian con un identificador de usuario persistente. Si Analytics recibe 10 vistas de página, no puede decir si vienen de 10 personas o de una.
• Google estima una parte con modelado. GA4 usa lo que recibe sin cookies y el comportamiento de quienes sí aceptaron para estimar a quienes rechazaron, solo cuando puede asegurar la calidad del modelo. Entre sus requisitos, tu propiedad necesita al menos mil eventos al día de visitantes que rechazan, durante 7 días como mínimo, y al menos mil usuarios diarios que aceptan, durante 7 de los 28 días anteriores. Una web con pocas visitas puede no llegar a esas cifras.
• Tus anuncios miden distinto. Si la persona no acepta el permiso ad_user_data, la exportación de conversiones con ID de clic a Google Ads es limitada, por ejemplo para optimizar ofertas con las conversiones de Analytics.

Medir con consentimiento obliga a aceptar que hay datos que no se recuperan. Lo que sí se puede es medir bien lo que cada persona aceptó y saber cuánto falta.

¿Qué diferencia hay entre Consent Mode básico y avanzado?

Google ofrece dos formas de implementarlo. Se diferencian en cuándo cargan las etiquetas y en qué recibe Google cuando la persona rechaza.

Google recomienda cargar las etiquetas siempre, no solo cuando la persona acepta, para que GA4 pueda completar los datos que faltan. Cuál usar depende de lo que decida tu negocio con su abogado.

¿Qué es Consent Mode v2 y aplica en Perú?

Consent Mode v2 es la versión que Google actualizó en noviembre de 2023 con dos parámetros más, ad_user_data y ad_personalization. Con el primero decides si se envían a Google los datos del usuario para publicidad, y con el segundo si se muestran anuncios personalizados.

La política de consentimiento de usuarios de la UE de Google se refiere a personas del Espacio Económico Europeo, el Reino Unido y Suiza, y las actualizaciones de la versión 2 están dirigidas a quienes reciben datos de usuarios del EEE. Para tus visitantes de Perú rige la Ley 29733, que no nombra a Consent Mode, una función de Google. Por eso Google recomienda fijar los valores iniciales por región, y así no pierdes medición donde tu negocio no pide el aviso.

Si además vendes o mides a personas que están en la Unión Europea, el RGPD, o GDPR en inglés, puede aplicarte aunque tu negocio esté en Perú. Su artículo 3 alcanza a quien no está establecido en la Unión cuando ofrece bienes o servicios a personas que residen allí, o controla su comportamiento.

¿Cómo se pide el consentimiento de cookies en Perú?

La Ley 29733 y su Reglamento, aprobado por el Decreto Supremo 016-2024-JUS, piden un consentimiento libre, previo, expreso, inequívoco e informado para tratar datos personales. Cada característica, la prueba y la revocación se explican en la guía de la Ley 29733 de protección de datos personales. Para un aviso de cookies pesan tres cosas.

• Las cookies pueden ser datos personales. El Reglamento incluye entre ellos a los identificadores en línea que identifican o hacen identificable a una persona, y la Autoridad Nacional de Protección de Datos Personales (ANPD) ha señalado que por medio de las cookies es posible tratar datos personales. En una opinión consultiva de enero de 2022 agregó que, si identifican a una persona, ese tratamiento debe cumplir la ley, entre otras cosas informando y pidiendo el consentimiento.
• Aceptar no puede ser la única opción. En 2022, la ANPD declaró responsable a la empresa dueña de un sitio web por usar cookies de marketing sin obtener válidamente el consentimiento de sus usuarios. Consideró que un aviso con solo un botón de aceptar cumple de forma incompleta la libertad del consentimiento, porque la persona no sabe que puede negarse, y valoró como corrección completa un aviso que permite aceptar o negar cada tipo de cookie. Se dictó bajo el reglamento de 2013, que ya pedía las mismas cuatro características.
• El acceso no se condiciona. Según el Reglamento, amenazar con negar el acceso a un servicio que normalmente es libre afecta la libertad del consentimiento cuando los datos que se piden no son indispensables para prestarlo.

Esto resume lo que dicen las normas y no reemplaza la opinión de un abogado de protección de datos. Google también sugiere consultar con tu departamento legal qué solución de consentimiento le conviene a tu empresa.

¿Es obligatorio tener un aviso y una política de cookies?

Depende de los datos que recoja tu web. El Reglamento no menciona las cookies por su nombre, pero la Ley 29733 pide informar a la persona, antes de recopilar sus datos, para qué se usarán, quiénes los reciben, cuánto tiempo se conservan y cómo ejercer sus derechos. Si los datos se recogen en línea, esa información puede darse con una política de privacidad fácilmente accesible e identificable.

Sobre las cookies, la ANPD separó las que sirven al adecuado funcionamiento del sitio web de las que recogen preferencias o analizan el comportamiento con fines comerciales o publicitarios, y puso la exigencia del consentimiento en este segundo grupo.

Una política de cookies útil dice qué cookies usa tu web y para qué. Las de GA4 son _ga y _ga_<id>, con vencimiento de 2 años por defecto, un plazo que se puede cambiar en la configuración de la etiqueta.

Si usas Google Analytics, sus condiciones del servicio piden además una política de privacidad que avise del uso de cookies y de identificadores similares, y que explique que usas Google Analytics y cómo recopila y procesa datos.

La ANPD respondió una consulta que tomaba como ejemplo las cookies de Google Analytics. Concluyó que, si esa información sale de Perú, hay un flujo transfronterizo cuya comunicación al Registro Nacional es responsabilidad del titular de la página web, sean cookies propias o de terceros. Es una opinión anterior al reglamento vigente, y el detalle está en la guía de la Ley 29733.

¿Cómo medir tu web respetando el consentimiento?

Si ya mides con GA4 y Tag Manager, este es un buen orden para revisar tu medición:

1. Haz el inventario de lo que mide tu web. Anota qué etiquetas cargan, como GA4, Google Ads o los píxeles de otras redes, y qué cookies guarda cada una.
2. Publica tu política de privacidad y deja que se vea. Enlázala en el pie y junto a cada formulario, con lo que pide la Ley: quién trata los datos, para qué, con quién se comparten, por cuánto tiempo y cómo ejercer los derechos.
3. Instala un aviso que deje aceptar o rechazar por tipo de cookie. Es el formato que la ANPD valoró como corrección completa. Si usas una CMP, elige una que se conecte con Consent Mode.
4. Conecta el aviso con Consent Mode y fija los valores iniciales. Se definen antes de que cualquier etiqueta envíe datos de medición y, según Google, conviene aplicarlos por región.
5. No mandes datos personales a Analytics. Google pide que nombres, correos o teléfonos no viajen a Analytics. Revisa que no aparezcan en las direcciones de tus páginas, en sus títulos ni en los campos de tus formularios.
6. Prueba qué se envía y guarda la prueba. Con Tag Assistant puedes depurar el modo de consentimiento cuando la persona acepta y cuando rechaza. Guarda además el registro de lo aceptado, porque la carga de la prueba es tuya.

¿Cómo funciona Consent Mode, con un ejemplo?

Con ese orden, la dueña sabe qué parte de sus inscripciones se mide completa y qué parte falta, y decide con datos de su propio negocio.