¿Cómo demuestras que un visitante dio su consentimiento?
Lo demuestras con un registro de consentimiento: una entrada guardada que muestra quién dio el consentimiento, cuándo, qué aceptó en cada categoría, cómo lo hizo y qué versión del aviso vio. El artículo 7.1 pone esa carga sobre ti. Una autoridad también puede revisar tu banner, pero demostrar el consentimiento significa presentar un registro concreto, de un visitante, en una fecha.
¿Un banner de cookies demuestra el consentimiento?
Lo que se te exige es demostrar que se dio el consentimiento, y todo el peso está en esa palabra: demostrar. No basta con enseñar que existe un banner, ni con una captura del que tiene tu web esta mañana. Las dos cosas describen tu configuración actual. Ninguna dice nada de lo que vio un visitante concreto un martes concreto de marzo, que es lo único por lo que alguien pregunta de verdad.
El artículo 7.1 del RGPD es la frase que importa, y las listas de comprobación publicadas la citan bien. Donde flojean es en la otra mitad del trabajo. Se extienden con la captura, con la lista de campos que debe guardar un registro, y apenas dicen nada de la recuperación: cómo sacas la entrada de un visitante, qué tiene que aguantar y a nombre de quién está. La captura es la mitad que viene con el producto. La recuperación es la mitad que descubres cuando te aprietan.
Un banner no es una prueba. Un registro, sí.
Un registro
- Quién: un ID de sesión seudónimo
- Cuándo: marca de tiempo y cualquier cambio
- Qué: categorías aceptadas y rechazadas
- Cómo: el mecanismo que usó
- Aviso: versión del banner en pantalla
Dónde se pierde
- Sin búsqueda: solo tasas de aceptación, nunca un visitante en una fecha
- Responsable erróneo: figura la agencia, no el dueño de la web
- Sin exportación: solo en el panel, se pierde al cambiar de herramienta o de agencia
Los tres fallos pasan una revisión de instalación.
Los cinco campos, y el que todo el mundo olvida
Quién, cuándo, qué, cómo y con qué aviso. Los cuatro primeros aparecen en casi todas las listas publicadas. El quinto es el que convierte el registro en una prueba, y es el que más a menudo falta.
Piensa en lo que dice un registro sin él: esta sesión aceptó analítica y publicidad en este momento exacto. No dice qué le contaron que estaba aceptando. Si el texto de tu banner cambió durante el año, y es casi seguro que lo hizo, un registro sin la versión del aviso no puede acreditar que esa persona aceptara nada en concreto.
El campo de quién parece un problema, pero no lo es: guardas una referencia seudónima de la sesión, no un nombre, porque recoger más datos identificativos para demostrar que pediste permiso para recoger datos sería un contrasentido. El repaso de los requisitos explica dónde encaja esto entre el resto de obligaciones.
¿Puedes sacar el registro de un visitante cuando te lo piden?
Hazla una vez. Es la única forma de saber si tu registro de consentimiento es una prueba o un adorno.
Elige una fecha real y un visitante real
Nada de sesiones de prueba. Elige un día cualquiera de hace unas semanas y coge un visitante de ese día, igual que llegaría una solicitud real. La prueba solo te dice algo si el registro ya ha pasado por tu periodo de conservación habitual y por lo que tu plataforma haga con los datos antiguos. Encontrar un registro de esta misma mañana demuestra poco.
Recupera el registro desde tu plataforma de consentimiento
Abre tu herramienta de consentimiento y busca la entrada de ese visitante. Cronométrate. Aquí es donde suele atascarse todo, o porque la interfaz solo muestra datos agregados y no permite buscar por persona, o porque la búsqueda necesita un identificador que nadie guardó. En los dos casos la conclusión es la misma: el registro existe, pero no hay manera de recuperarlo.
Comprueba que el registro responde a las cinco preguntas
Quién, cuándo, qué, cómo y con qué aviso. Una entrada que dice que un visitante aceptó, sin constancia de qué versión del banner vio ni de qué categorías aceptó, no demuestra nada sobre lo que aceptó realmente. El texto del aviso es el campo que más a menudo falta, y es el que da sentido a todos los demás.
Confirma quién figura en él como responsable del tratamiento
Lee el registro y mira a nombre de quién está. Si eres una agencia que gestiona el consentimiento de sus clientes, este campo decide de quién es la obligación que tienes entre manos. Sigue siendo del cliente, lleve el banner la marca que lleve, y un registro a nombre de la parte equivocada parece resuelto cuando no lo está.
Expórtalo antes de necesitarlo
Pide una exportación completa en un formato que puedas leer sin el proveedor: un archivo, no una vista del panel. Hazlo ahora, mientras la cuenta sigue activa. Una exportación que nunca has hecho es una función que das por hecho que existe, y el momento en que más necesitas el registro es justo cuando es menos probable que sigas teniendo acceso.
Los tres fallos que parecen un éxito
Los tres dejan una instalación que pasa la revisión. La herramienta está, el banner funciona, el panel se llena de tasas de aceptación, y lo que necesitarías el día que te lo pidan no está.
Sin búsqueda. La plataforma está pensada para sacar informes, no para buscar. Puedes ver qué porcentaje de visitantes aceptó el mes pasado, pero no responder a una pregunta sobre uno solo de ellos. Es el más común de los tres y el que más fácil se pasa por alto, porque el panel parece una prueba.
El responsable equivocado. Este es cosa de agencias, y no hace ruido. Un registro a nombre de la agencia en lugar del propietario de la web no traslada la obligación: solo consigue que el papeleo contradiga la ley. A nombre de quién está el registro, dónde se guarda y si se va con el cliente lo explicamos en la nota sobre gestionar el consentimiento con tu propia marca.
Sin exportación. Un registro que solo puedes leer dentro de un panel es un registro que puedes perder por un plan cancelado, una migración o una cuenta que ya no tienes. El cambio de herramienta es justo donde las pruebas suelen desaparecer.
Demostrarlo y transmitirlo son dos trabajos distintos
Aquí se suelen mezclar dos cosas. El registro demuestra que se dio el consentimiento. No dice nada de si tus etiquetas se comportaron después como pidió el visitante, que es otra capa y el tema de la guía para verificar la señal. Una web puede tener registros impecables y aun así filtrar datos cuando alguien rechaza. Necesitas las dos cosas, y cada una falla por su cuenta.
Velo registra cada decisión de consentimiento como un evento inmutable y devuelve un ID de comprobante para cada una, que es lo que hace posible buscarla más adelante. Cómo funciona lo tienes en la página de producto.
Preguntas frecuentes
Lo que más se pregunta sobre este tema.
¿Cómo demuestras que un visitante dio su consentimiento?
Con un registro de consentimiento que puedas recuperar cuando te lo pidan: una entrada guardada que muestre quién dio el consentimiento, cuándo, qué aceptó en cada categoría, cómo lo hizo y qué versión del aviso vio. El principio de responsabilidad proactiva del RGPD obliga al responsable del tratamiento a demostrar que se dio el consentimiento, así que la prueba no es si tienes un banner, sino si puedes presentar el registro de un visitante concreto en una fecha concreta.
¿Qué tiene que contener un registro de consentimiento?
Cinco cosas. Quién: un identificador seudónimo que vincula el registro a una sesión, sin nombrar a ninguna persona. Cuándo: una marca de tiempo de la elección y de cualquier cambio posterior. Qué: las categorías aceptadas y rechazadas, no un simple sí. Cómo: el mecanismo utilizado. Y con qué aviso: la versión del texto del banner que había en pantalla en ese momento. Ese último campo es el que convierte los otros cuatro en una prueba.
¿Cuánto tiempo tienes que conservar los registros de consentimiento?
La ley no da una cifra, y por eso las guías publicadas hablan de un periodo de conservación adecuado y no de un plazo concreto. El razonamiento con el que se quedan la mayoría de los equipos es que el registro tiene que durar más que el tratamiento que autorizó, más el margen en el que podría llegar razonablemente una reclamación. La trampa es borrar el registro en cuanto alguien retira su consentimiento: a partir de ahí ya no puedes demostrar que el consentimiento era válido mientras te amparabas en él. El plazo concreto pídeselo a tu asesor legal, no lo copies del valor por defecto de un proveedor.
¿De quién son los registros de consentimiento cuando el banner lo gestiona una agencia?
El cliente, en casi todos los casos, porque el responsable del tratamiento es quien decide para qué y cómo se tratan los datos, y ese es el propietario de la web, no la agencia que configura la herramienta. La pregunta práctica es dónde se guardan los registros y si se van contigo. Si el registro está en una cuenta de la agencia, al terminar la relación la prueba del consentimiento del cliente puede quedarse atrapada en un entorno al que ya no tiene acceso.
¿Qué pasa con tu registro de consentimiento si cambias de plataforma?
Se queda donde estaba salvo que lo traslades a propósito, y la plataforma nueva empieza de cero. Tu obligación de demostrar el consentimiento cubre el periodo anterior al cambio igual que el posterior, así que exporta el registro antiguo antes de dar de baja la cuenta anterior y apunta la fecha del cambio.
Privacidad web, en un solo lugar.
Analiza tu web →© 2026
