En la Unión Europea, la cookie que se carga antes del clic es la que recibe la multa
Un banner de consentimiento no es consentimiento si las cookies ya estaban ahí cuando apareció.
Lo que multaron los reguladores
La autoridad francesa de protección de datos, la CNIL, ha multado a sitios por cookies escritas en cuanto llegó el visitante, antes de cualquier clic en el banner:
- SHEIN, 150 millones de euros, por cookies instaladas sin consentimiento (CNIL, 1 de septiembre de 2025).
- Condé Nast, editora de vanityfair.fr, 750.000 euros, por el mismo motivo (CNIL, 20 de noviembre de 2025).
No son casos aislados. En octubre de 2026 la CNIL multó a FNAC Darty con 7 millones de euros por un rastreador en su aplicación móvil, instalado sin consentimiento (CNIL, 22 de octubre de 2026). Y la CNIL sancionó a 21 organizaciones por cookies y otros rastreadores solo en 2025 (Solutions Numériques, 9 de febrero de 2026).
La regla, en un párrafo
La ley de la Unión Europea pide el consentimiento del visitante antes de que un sitio guarde o lea en su dispositivo información que no es esencial: rastreadores de analítica, de publicidad y de redes sociales, entre otros. Las cookies que el sitio necesita estrictamente para funcionar son otro caso. Los reguladores europeos también han dicho que desplazarse por la página no es consentimiento (EDPB, Directrices 05/2020 sobre el consentimiento). Así que la pregunta de un regulador es sencilla: ¿qué hizo la página antes de que el visitante eligiera algo?
Lo que el informe registra antes de la elección
SiteMerit abre su página en un navegador real, se desplaza hasta el final y no hace clic en nada. Todo lo que registra ocurrió antes de cualquier elección. El informe completo muestra:
- Rastreo antes del consentimiento: solicitudes a dominios de publicidad, analítica y redes sociales, cookies y claves de almacenamiento de rastreo (localStorage, sessionStorage, IndexedDB), grabadores de sesión, y Google Fonts descargadas de los servidores de Google antes de la elección.
- Cada cookie escrita al cargar, agrupada por la empresa dueña de su dominio, con sus atributos y su duración efectiva.
- Con quién habla la página: cada dominio de terceros que recibió una solicitud durante la primera carga, con el recuento.
- El enlace a la política de privacidad: si la página enlaza a la política del propio sitio, y si se abre.
- La declaración de accesibilidad: si la página lleva a una, y si ese enlace abre una declaración real. La ley europea de accesibilidad (European Accessibility Act) la pide a muchas empresas; las microempresas que prestan servicios están exentas (CCPC, Irlanda).
Cada elemento viene con la evidencia que observamos, para que su desarrollador encuentre el script que lo instaló y su delegado de protección de datos (DPO) o su abogado vea exactamente lo que ocurrió.
Lo que no hace
Detectamos señales de rastreo antes de la elección. No decimos si eso infringe la ley en su sitio, porque depende de la finalidad, la base jurídica y dónde opera. No evaluamos su banner de consentimiento, no probamos lo que ocurre después del clic y no emitimos opiniones de conformidad. Cada informe cubre una página, la dirección que usted nos da.
El mismo problema en cualquier sitio: cookies guardadas antes de que nadie acepte
Empiece por la muestraLa muestra ejecuta 8 verificaciones en su página, 2 por área. El rastreo antes del consentimiento no está entre ellas: necesita el navegador real del informe completo. El informe completo ejecuta las 45 verificaciones, con evidencia y guía de corrección, por US$ 29,70, una sola vez, y solo se cobra a su tarjeta cuando se entrega el informe.