Cookies antes del consentimiento: cómo comprobarlo

Muchas webs de negocios cargan Google Analytics, el píxel de Meta o Google Ads en el mismo instante en que alguien las abre, sin aviso y sin que nadie haya aceptado nada. Lo comprobamos el 19 de septiembre de 2026 en la web antigua de un bar de Puerto Banús: diez peticiones de medición y cuatro cookies en la primera visita, sin ningún aviso. No es un caso raro, es lo normal en webs montadas hace unos años y no tocadas desde entonces. Comprobarlo en tu web te lleva cinco minutos y no requiere ser técnico.

¿Qué cargaba la web antigua sin consentimiento?

Abrimos la portada una sola vez, sin hacer clic en nada, y anotamos lo que salía hacia fuera. Salieron diez peticiones: a Google Analytics, a Google Ads con DoubleClick y a Meta. Se crearon cuatro cookies, entre ellas los identificadores de Google Analytics, de Google Ads y del píxel de Meta. Un parámetro de las peticiones mostraba además que no existía Consent Mode, es decir, ningún ajuste que dijera a Google si había consentimiento. El gestor de etiquetas estaba instalado pero vacío: no hacía nada.

Todo esto lo había montado en su día una agencia, y desde entonces funcionaba con cada visitante. Nadie en el bar lo sabía, porque nadie lo veía: el código no muestra nada, los datos salen en silencio.

¿Qué exige la ley en España?

El Reglamento General de Protección de Datos y la normativa de cookies: las cookies que no sean estrictamente necesarias solo pueden instalarse tras el consentimiento, y rechazar tiene que ser tan sencillo como aceptar. La Agencia Española de Protección de Datos publica guías sobre cómo debe ser el aviso. Los detalles los revisa tu asesoría; lo que aportamos como constructores es la parte técnica: nada se carga antes de que alguien diga que sí, y el «no» es un botón igual de visible.

Conviene distinguir aviso y consentimiento. Un banner que solo informa mientras ya carga todo es decoración. Lo que cuenta es que los servicios arranquen después del clic, no antes.

¿Cómo ves lo que carga tu web?

Sin herramientas, en el navegador: abre las herramientas de desarrollo, pestaña «Red», recarga la página y no hagas clic en nada. Cada línea con google-analytics, doubleclick, googleadservices o facebook es una petición anterior al consentimiento. En la pestaña «Aplicación» o «Almacenamiento» están las cookies; nombres como _ga, _gcl_au o _fbp pertenecen a servicios de medición.

Más fácil: nuestro Cookie-Check abre tu web exactamente así, sin hacer clic, y cuenta los servicios ajenos antes del consentimiento. El resultado lleva la prueba, para que tu webmaster sepa dónde mirar.

¿Qué hace una web que lo hace bien?

Dos ejemplos de nuestras obras. La nueva web del mismo bar tiene un aviso con «Aceptar todo», «Rechazar todo» y ajustes; Google Analytics y el píxel de Meta cargan solo tras el sí, y en la primera visita salen cero peticiones a servicios ajenos. La web de una sociedad de inversión en Zug va por el otro camino: no pone ninguna cookie de seguimiento, y su aviso dice exactamente eso. Las dos son honestas. Lo que no es honesto es el aviso detrás del cual ya corre todo.

Un efecto secundario que debes conocer: quien mide solo tras el consentimiento ve en su estadística menos visitantes que antes. No porque vengan menos, sino porque ya no se cuenta a todos. En nuestros casos lo decimos antes de que alguien se asuste.