💻 computer science

A history of GDPR cookie banner compliance: the roles of publishers, regulators and CMPs

Este artículo analiza la evolución histórica del cumplimiento de los banners de cookies del RGPD en 11.346 sitios web, revelando un aumento significativo de las opciones de "rechazar todo" impulsado principalmente por las acciones de los editores y la presión regulatoria, al tiempo que destaca la necesidad de una orientación unificada de la UE y de la supervisión de las Plataformas de Gestión de Consentimiento para mejorar aún más la privacidad del usuario.

Autores originales: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Publicado 2026-07-01

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que el internet es un mercado gigante y bullicioso. En 2018, se introdujo un nuevo conjunto de reglas llamado GDPR para proteger a los compradores (usuarios) de ser rastreados sin su permiso. La herramienta principal utilizada para hacer cumplir estas reglas es el Banner de Cookies —ese cuadro emergente que ves en casi todos los sitios web preguntando: "¿Quieres que te rastreemos?".

Este documento es como un documental de seis años (2018–2024) que observa cómo han cambiado estos anuncios emergentes, quién está realizando realmente los cambios y si se están siguiendo las reglas. Los investigadores analizaron más de 11,000 sitios web en 30 países europeos para contar la historia.

Aquí tienes el desglose de la historia usando analogías sencillas:

1. Los tres personajes principales

El documento identifica tres grupos que influyen en cómo se ven y se comportan estos anuncios emergentes:

Los Editores (Dueños de los sitios web): Piensa en ellos como los Tenderos. Son los dueños de los sitios web y son legalmente responsables de pedir permiso.
Los Reguladores (DPA): Piensa en ellos como los Oficiales de Policía. Ellos escriben las reglas, dan consejos y emiten multas (tickets) a los tenderos que rompen la ley.
Las CMP (Plataformas de Gestión de Consentimiento): Piensa en ellas como Máquinas expendedoras de anuncios emergentes. Muchos tenderos no construyen sus propios anuncios; compran una "máquina" ya fabricada a una empresa (como OneTrust o Cookiebot) que muestra automáticamente el banner. Los investigadores querían ver si estas empresas de máquinas expendedoras estaban ayudando a los tenderos a seguir las reglas.

2. La gran historia: Las cosas están mejorando, pero lentamente

Al principio (2018), la situación era caótica. Solo alrededor del 3% de los sitios web tenían un botón de "Rechazar todo". La mayoría solo tenía un botón grande de "Aceptar", engañando efectivamente a la gente para que dijera que sí.

Para 2024, la situación ha mejorado significativamente. Ahora, alrededor del 30% de los sitios web tienen un botón de "Rechazar" claro. Es un salto enorme, pero significa que 7 de cada 10 sitios todavía no cumplen totalmente.

El "Efecto Dominó" de la Policía:
El documento encontró un fuerte vínculo entre los "Oficiales de Policía" (Reguladores) y el hecho de que los tenderos hagan lo correcto.

Ejemplo: En Francia, el regulador (CNIL) multó a Google y Meta por tener anuncios emergentes que dificultaban decir "No".
El Resultado: Inmediatamente después de las multas, los sitios web en Francia (e incluso en otros países) comenzaron a añadir botones de "Rechazar". Es como cuando un oficial de policía empieza a multar a la gente por no usar el cinturón de seguridad; de repente, todo el mundo empieza a abrocharse el cinturón.
El Contraste: En países donde los reguladores fueron silenciosos o no emitieron muchas multas (como Lituania o Polonia), los sitios web siguieron siendo perezosos y no añadieron botones de "Rechazar".

3. La sorpresa: Las "Máquinas Expendedoras" no ayudaron mucho

Los investigadores tenían una teoría: pensaban que las empresas que venden el software de anuncios emergentes (las CMP) actualizarían sus máquinas para ser más respetuosas con la privacidad automáticamente cuando las leyes cambiaran.

La prueba de realidad:
El estudio encontró que esto no sucedió.

Algunas "Máquinas Expendedoras" (como Cookiebot) actualizaron sus diseños para incluir botones de "Rechazar" para aproximadamente el 55% de sus clientes.
Otras "Máquinas Expendedoras" (como Cookies Consent) solo hicieron esto para aproximadamente el 13% de sus clientes.
La Conclusión: Las CMP mayormente se quedaron ahí sentadas. No obligaron a sus clientes a cambiar. En cambio, fueron los Tenderos (Editores) quienes realmente fueron, abrieron la máquina y cambiaron manualmente la configuración para ser más conformes con la ley. El documento sugiere que si un sitio web tiene un buen botón de "Rechazar", es porque el dueño del sitio web eligió ponerlo ahí, no porque la empresa de software se lo dijera.

4. El estado actual del mercado

Consolidación: El mercado de estas máquinas de anuncios emergentes se está reduciendo a unos pocos actores importantes. Las grandes empresas como OneTrust y Cookiebot son utilizadas ahora por la mayoría de los sitios web.
El Problema: Debido a que estas grandes empresas establecen la configuración "por defecto", y no siempre eligen las opciones más respetuosas con la privacidad por defecto, muchos sitios web terminan con anuncios emergentes deficientes a menos que el propietario los arregle manualmente.

5. La conclusión final

El documento concluye que, si bien el internet se está volviendo ligeramente más respetuoso con la privacidad del usuario, esto sucede porque los Tenderos finalmente están escuchando a la Policía, no porque las empresas de Máquinas Expendedoras estén siendo útiles.

Los autores sugieren que para que el internet sea verdaderamente seguro para todos, necesitamos:

Reglas más uniformes: Todos los "Oficiales de Policía" en toda Europa deben ponerse de acuerdo en exactamente cuáles son las reglas, para que los tenderos no estén confundidos.
Más supervisión de las Máquinas Expendedoras: Las empresas que venden el software de anuncios emergentes deberían ser más responsables. Si ellas son las que establecen las configuraciones por defecto, deberían ser responsables de asegurar que esos valores por defecto sean legales y justos.

En resumen: las reglas están funcionando, pero solo cuando la policía vigila de cerca, y las herramientas que se usan para seguirlas necesitan una actualización seria.

Resumen Técnico: Una Historia del Cumplimiento de los Banners de Cookies de la RGPD

Planteamiento del Problema
Desde la implementación del Reglamento General de Protección de Datos (RGPD) en mayo de 2018, los banners de cookies se han convertido en la interfaz principal para que los usuarios expresen su consentimiento con respecto al seguimiento y la publicidad en línea. Sin embargo, el panorama de estos banners se ha caracterizado por interfaces no conformes, diseños manipulativos (patrones oscuros o dark patterns) y una variación significativa entre las distintas regiones geográficas. Si bien investigaciones previas han documentado la prevalencia del incumplimiento y la existencia de patrones oscuros, ha habido un enfoque limitado en las motivaciones detrás de las mejoras de cumplimiento a lo largo del tiempo. Específicamente, los roles de tres actores clave —editores (propietarios de sitios web), reguladores (Autoridades de Protección de Datos o APD) y Plataformas de Gestión de Consentimiento (CMP, por sus siglas en inglés)— en impulsar o dificultar el cumplimiento siguen sin explorarse suficientemente en un contexto longitudinal. Este artículo busca analizar la evolución histórica de los banners de cookies para determinar qué actores son responsables de las tendencias de cumplimiento y cómo las acciones regulatorias influyen en las elecciones de diseño.

Metodología
Los autores realizaron un análisis longitudinal de 11.364 sitios web en 30 países del Espacio Económico Europeo (EEE) durante un período de seis años (septiembre de 2018 a septiembre de 2024).

Fuentes de Datos: Para superar las limitaciones del rastreo en vivo y garantizar la reproducibilidad, el estudio utilizó un enfoque de archivo dual combinando HTTPArchive (que rastrea la composición web desde 2012) y la Wayback Machine. Esto permitió la reproducción retrospectiva de instantáneas históricas de páginas web.
Mecanismo de Reproducción: Los investigadores desarrollaron un método para reproducir las instantáneas archivadas interceptando el tráfico a través de un proxy HTTP. Los recursos faltantes (comunes en los archivos debido a los límites de corte) se recuperaron dinámicamente mediante la API de la Wayback Machine, mientras que las imágenes y las fuentes se omitieron para centrarse en la lógica del diseño del banner. Esto aseguró una reproducción de contenido dinámico offline y consistente.
Selección de Sitios Web: La muestra se derivó de la lista de Chrome User Experience Report (CrUX), filtrada por dominios de nivel superior de código de país (ccTLD) para asegurar que los sitios estuvieran dirigidos a audiencias europeas. Se seleccionaron aleatoriamente 500 sitios web por país (cuando fue posible), lo que resultó en un conjunto de datos total de 11.364 dominios únicos.
Detección y Análisis: Se utilizó una herramienta automatizada, extendida de Bouhoula et al., para detectar los banners. El marco empleó filtrado HTML, inspección de z-index y un modelo de lenguaje para identificar términos relacionados con cookies con una precisión del 100% y una recuperación (recall) del 86,9%. La herramienta clasificó las opciones del banner (Aceptar, Rechazar, Configuración) y detectó la presencia o ausencia de un botón de "Rechazar".
Proxy de Cumplimiento: El estudio se centró en la presencia de un botón de "Rechazar" igualmente accesible como un proxy primario para el cumplimiento del RGPD. Esta métrica objetiva evita juicios legales subjetivos sobre "muros de cookies" o interpretaciones nacionales específicas, centrándose en el requisito fundamental de que declinar el consentimiento debe ser tan sencillo como aceptarlo.
Correlación de la Actividad de las APD: Los autores correlacionaron las tasas de cumplimiento con la actividad de las APD, extrayendo datos sobre sanciones, multas y orientación regulatoria de "GDPRhub" y "Consent Banner Report".

Contribuciones Clave

Análisis Longitudinal: El artículo proporciona una evaluación histórica de seis años de la evolución de los banners de cookies, yendo más allá de las instantáneas estáticas para revelar tendencias en el diseño respetuoso de la privacidad.
Impacto Regulatorio Transnacional: Ofrece un análisis granular de las diferencias de cumplimiento en 30 países, cuantificando la correlación entre la aplicación de la ley/orientación de las APD y las tasas de cumplimiento.
Evaluación de la Influencia de las CMP: El estudio investiga 18 CMP distintas (categorizadas como Integrales, Plugin y de Código Abierto) para medir su contribución específica al cumplimiento, comparando los banners proporcionados por las CMP frente a las soluciones propias (in-house).

Resultados

Tendencia General de Cumplimiento: Existe una evolución positiva, aunque lenta, en las prácticas de privacidad. La tasa de sitios web que presentan tanto las opciones de "Aceptar" como las de "Rechazar" aumentó del 2,94% en 2018 al 30,66% en 2024.
Cambios Temporales: Se identificaron dos períodos significativos de mejora:
- 2022: Un aumento del 7,5% en la adopción del botón de rechazo, coincidiendo con la acción de ejecución de la CNIL contra Google y Meta con respecto a la ubicación de los botones de rechazo.
- 2024: Un aumento del 8,82%, potencialmente vinculado a las directrices del EDPB y la ejecución continua.
Variaciones por País: Las tasas de cumplimiento varían significamente. Dinamarca, Francia y Austria muestran consistentemente los niveles más altos de cumplimiento. Por el contrario, Lituania, Polonia y Bulgaria presentan las tasas más bajas.
Correlación Regulatoria: Existe una fuerte correlación positiva ( $r=0,62$ ) entre la publicación de orientación regulatoria y el cumplimiento. Existe una correlación positiva moderada ( $r=0,42$ ) entre las acciones de ejecución (multas/casos) y el cumplimiento. Los países con APD activas (por ejemplo, Francia, España) muestran un mayor cumplimiento que aquellos con actividad limitada.
Desempeño de las CMP:
- La adopción de CMP aumentó del 11,60% (2018) al 40,29% (2024), con una consolidación del mercado en torno a los principales actores como OneTrust, Cookiebot y Google Funding Choices.
- Divergencia: Las tasas de cumplimiento varían drásticamente entre las CMP. En 2024, Cookiebot mostró una tasa de cumplimiento del 55,16% (presencia del botón de rechazo), mientras que Cookies Consent mostró solo un 13,39%.
- Motor de Cambio: El estudio encontró que las CMP mostraron poca respuesta a la presión regulatoria. Las mejoras en el cumplimiento fueron impulsadas principalmente por los propietarios de los sitios web (editores), quienes eligieron activamente configurar o cambiar a configuraciones más conformes. Los clientes nuevos y existentes de las CMP mostraron tendencias de cumplimiento similares, lo que sugiere que los cambios se originaron en los editores, no en las configuraciones por defecto de las CMP.

Significado y Reivindicaciones
El artículo sostiene que las mejoras observadas en el cumplimiento del RGPD no son el resultado de un estándar industrial unificado o de un comportamiento proactivo de las CMP, sino que son un proceso reactivo impulsado por la ejecución regulatoria y la iniciativa de los editores.

Rol de los Reguladores: Los autores enfatizan que la actividad de las APD es un motor crítico. Los "efectos dominó" de casos de alto perfil (como CNIL vs. Google/Meta) demuestza que la acción regulatoria puede forzar cambios de diseño rápidos en todo el ecosistema.
Rol de las CMP: El estudio cuestiona la suposición de que las CMP son la solución principal para el cumplimiento. Destaca que las CMP han contribuido poco a la mejora de las tasas de cumplimiento y que a menudo proporcionan interfaces por defecto divergentes y, en ocasiones, no conformes. Los autores argumentan que las CMP carecen actualmente de incentivos suficientes para priorizar los valores predeterminados respetuosos de la privacidad sobre la retención de clientes o la "optimización del consentimiento".
Responsabilidad Compartida: El artículo concluye que el cumplimiento es una responsabilidad compartida. Si bien los editores son los agentes finales del cambio, la falta de supervisión regulatoria sobre las CMP permite la persistencia de diseños manipulativos. Los autores abogan por:
- Una colaboración y orientación más uniforme entre los reguladores de la UE para reducir la divergencia interpretativa.
- La supervisión regulatoria de las CMP, potencialmente a través de la clarificación de la "corresponsabilidad" o el mandato de señales de consentimiento técnicas (por ejemplo, a través de los proveedores de navegadores) para restringir las interfaces de los banners no conformes.

El trabajo sirve como base para que académicos, reguladores y partes interesadas de la industria desarrollen estrategias que permitan motivar mejor a los actores clave y mejorar la privacidad del usuario, señalando que, si bien el progreso es positivo, persisten desafíos significativos en cuanto al diseño manipulativo y la elección del usuario.