¿Qué evidencia necesita una auditoría de consentimiento de cookies?

El consentimiento es una secuencia, y la evidencia tiene que seguirla. El primer estado es la página antes de cualquier interacción: qué cookies existen y qué solicitudes a terceros ya se dispararon. Aquí aparece la mayoría de los problemas, porque un gestor de etiquetas o un píxel publicitario puede cargar antes que el banner.

El segundo estado es el banner: si aparece y qué opciones son visibles en su primera capa, en particular si existe ahí una opción de rechazo o solo un botón de aceptar y un enlace de configuración. El tercer y el cuarto estados son la página después de aceptar y después de rechazar. Compararlos muestra si la elección realmente cambia lo que instala el sitio.

La evidencia es útil cuando otra persona puede confiar en ella más adelante. Eso exige la URL exacta, la fecha y hora, el dispositivo y el navegador usados, y el contexto de red desde donde se hizo la visita. También exige capturas vinculadas a las listas de cookies que ilustran, para que quien revise no dependa de un resumen.

Dos detalles técnicos deciden si una lista de cookies es confiable. El perfil del navegador no debe arrastrar cookies de cuentas ajenas, o se contarán por error como propias del sitio. Y el banner debe detectarse por sus botones, no por cualquier enlace que mencione la privacidad, o un enlace del pie de página se reportará como banner de consentimiento.

Muchas plataformas de consentimiento muestran banners distintos, o ninguno, según dónde parezca estar el visitante. Una corrida desde una SIM real fuera de la UE muestra lo que recibe un visitante fuera de la UE. No muestra lo que recibe un visitante ubicado en la UE, y no debe presentarse como una auditoría de visitante europeo.

Ese límite sigue siendo útil. Los píxeles que se disparan antes del consentimiento para una audiencia suelen dispararse para todas, y la ausencia de una opción de rechazo es una decisión de diseño que tiende a repetirse. Pero el hallazgo debe reportarse con su punto de observación, y una conclusión sobre visitantes de la UE necesita un punto de observación en la UE.

La empresa indica un dominio o URL y una frecuencia de corrida. En cada corrida un teléfono Android físico carga la página y registra la presencia del banner, las opciones visibles, las cookies antes y después del consentimiento, los cambios relevantes entre corridas y las capturas. Se excluye una línea base de cookies preexistentes del perfil para contar solo las cookies propias del sitio.

Cada corrida produce un registro de evidencia firmado y un reporte para el cliente en JSON y PDF, construido solo con datos guardados. Las capturas se conservan 60 días en Founder y 90 días en Standard. Un hallazgo documentado durante los backtests: la tienda piloto no ofrecía entonces opción de rechazo e instalaba cookies de Facebook antes del consentimiento.

Consent & Cookie Check nunca afirma que un sitio cumple la ley. Registra lo que ocurrió en un dispositivo real para que el equipo legal, el auditor o el responsable de privacidad lleguen a esa conclusión con mejor material.