¿Quién es propietario de tu cookie banner?

¿Quién es el responsable del cookie banner en tu organización?

Prueba a plantear esta pregunta en voz alta durante una reunión: ¿cuántos de nuestros visitantes rechazan el consentimiento y qué información seguimos teniendo sobre nuestro propio sitio web cuando eso ocurre?

En la mayoría de las organizaciones, se hace el silencio. No porque la respuesta sea complicada, sino porque nadie en la mesa se siente responsable de la cuestión. El cookie banner es el elemento más visto en casi cualquier sitio web y, al mismo tiempo, el único que no tiene un responsable asignado.

No se trata de un problema técnico. Es un problema organizativo disfrazado de técnico; por eso, acaba recayendo en las personas equivocadas.

En resumen

• El banner se adquiere como una solución de cumplimiento normativo, pero termina funcionando como un elemento operativo. Se revisa una vez y, después, nunca más.
• Cuatro roles distintos toman decisiones al respecto, pero nadie se hace cargo de las consecuencias finales.
• Esto no se soluciona con un banner «mejor», sino planteando cuatro preguntas que alguien debe ser capaz de responder.
• Esta misma cuestión sobre la responsabilidad se aplica a un nivel más profundo: el de la analítica y los datos. El banner es simplemente el ejemplo más visible.

El banner se revisa una vez y, después, nunca más

El patrón es sorprendentemente constante. Algo actúa como detonante: una auditoría, una nueva ley, una noticia o el lanzamiento de un nuevo sitio web. Se elige, configura y evalúa una plataforma de gestión del consentimiento. Alguien da su visto bueno: «esto es legalmente defendible» y, a partir de ahí, el tema se da por cerrado.

Desde ese momento, el banner realiza una función diaria que nadie vuelve a supervisar. Determina qué visitantes vuelves a ver y cuáles no, qué páginas se pueden medir y si el informe que presentarás a la dirección dentro de seis meses tiene alguna validez real. Es, por tanto, un elemento operativo, cotidiano y decisivo, a pesar de haber sido tratado como un proyecto puntual.

También se puede observar en el momento en que se detecta un fallo en el banner. Casi siempre ocurre por casualidad y, casi siempre, demasiado tarde: alguien nota que las cifras parecen extrañas, empieza a investigar y acaba descubriendo que el problema se originó en una actualización realizada hace seis semanas.

El concepto erróneo: «el banner está listo una vez que cumple con la legalidad»

Esta es la idea errónea que mantiene vivo todo este esquema.

La validación legal es un requisito mínimo, no un objetivo. Un banner que cumple con la normativa pero que es ignorado por la mayoría de los visitantes es, desde el punto de vista legal, perfectamente correcto; sin embargo, el resultado es un sitio web del que apenas obtienes información. Ambas afirmaciones son ciertas, pero las organizaciones suelen hacerse responsables solo de una de ellas.

En el fondo subyace una segunda idea errónea: la creencia de que hay que elegir entre cumplir con la normativa o poder realizar mediciones. Se trata de un falso dilema. Más allá de las opciones de «pedir consentimiento y medirlo todo» o «no pedir consentimiento y no medir nada», existe una tercera vía: lograr que una parte de la medición no requiera consentimiento.

Determinar si esto es admisible en tu caso particular, y hasta qué punto es viable, es algo que debe evaluar el responsable de privacidad de tu organización; en el caso de organizaciones de cierto tamaño, esto debería abordarse mediante una evaluación de impacto relativa a la protección de datos (DPIA, por sus siglas en inglés). No nos corresponde a nosotros tomar esa decisión, y deberías desconfiar de cualquier proveedor que te asegure, sin más, que no hay ningún problema.

Desde Govanalytics, podemos hablar sobre el plano técnico: hemos desarrollado nuestra plataforma partiendo de la premisa de que esa tercera opción debería existir, para que, al menos, sea posible valorar el equilibrio entre ambas alternativas. En la práctica, observamos que, en muchas organizaciones, esta opción ni siquiera se plantea. No es que se haya analizado y descartado, sino que nunca llega a ponerse sobre la mesa, porque no hay nadie cuya función sea plantearla. Ese es, precisamente, el problema de la falta de un responsable claro.

Nuestra postura: asigna un único responsable al banner, centrado en los resultados

Nuestra postura es sencilla: el banner debe tener un único responsable, que ha de ser la persona a la que se le exige rendir cuentas por los resultados que genera el sitio web. No se trata de quien asume el riesgo legal, ni de quien se encargó de su implementación técnica.

Existe una objeción importante al respecto: si el responsable de privacidad es quien asume la responsabilidad legal, ¿no debería ser él quien tome la decisión? Es cierto, pero la responsabilidad sobre el resultado y la capacidad de veto son dos cosas distintas. El responsable de privacidad conserva, por supuesto, su derecho de veto. Lo que no debería recaer sobre él es la responsabilidad de detectar que el banner ha dejado de funcionar tras la última actualización, ni de determinar qué pregunta sobre el sitio web requiere realmente una respuesta. Esa es una tarea que corresponde a otros; y, si no se le asigna a nadie, simplemente no se lleva a cabo.

Cuatro roles, cuatro decisiones y un asiento vacío

Es útil tener claro quién decide qué. En términos generales, hay cuatro roles involucrados:

• Comunicación o marketing: a menudo eligen al proveedor y son responsables del alcance y los resultados. La decisión que les corresponde es: ¿qué pregunta sobre nuestro sitio web queremos poder responder y cuál es el mínimo necesario para lograrlo?
• El responsable de privacidad: asume el riesgo y tiene capacidad de veto. La decisión que le corresponde es: ¿qué categorías, qué base legal y qué elementos se consideran estrictamente necesarios?
• TI o el equipo web: se encargan de la implementación y el mantenimiento. La decisión que les corresponde es: ¿en qué punto de la cadena se gestiona el consentimiento y qué proveedores obtienen acceso al sitio web a través de él?
• El departamento de compras (Procurement) se encarga del contrato. Aquí se toman decisiones clave: dónde se almacenan los datos, cómo extraerlos y qué información conservas si decides cancelar el servicio.

Y luego, el vacío. En lo que respecta al resultado final, la capacidad de medición en sí misma, la mayoría de las organizaciones no tienen un rol definido. No se trata de una negligencia por parte de nadie en particular; simplemente, nunca se asignó esta responsabilidad a nadie. El resultado es que la única persona que podría haber detectado un problema, sencillamente, no existe.

Las cuatro preguntas

No hace falta una reorganización para solucionar esto. Basta con plantear cuatro preguntas en una reunión para identificar dónde está la carencia.

1. ¿Qué porcentaje de nuestros visitantes rechaza el consentimiento, y desde cuándo lo sabemos? Si la respuesta es una estimación, o algo como «probablemente alrededor de un tanto por ciento», significa que no lo estás midiendo. Y sí, es posible medirlo.
2. ¿Qué seguimos midiendo cuando alguien rechaza el consentimiento? Hay tres respuestas honestas: nada, datos agregados o medición sin cookies. Las tres son defendibles; lo que no es aceptable es no saber cuál de ellas se aplica.
3. ¿Quién se da cuenta si el banner deja de funcionar tras una actualización? Sigue preguntando hasta obtener un nombre. «Ya lo veremos en las cifras» no es un nombre.
4. Si cambiamos de proveedor el próximo año, ¿qué perdemos? Aquí surge la pregunta que siempre plantea un responsable de seguridad, y a la que el típico «cumplimos con el RGPD» nunca responde: ¿dónde están esos datos ahora mismo?, ¿quién tiene acceso a ellos? y ¿a quién pertenecen cuando finaliza el contrato? No se trata de un certificado, sino de una ubicación concreta.

La pregunta que queda sin respuesta señala el rol que te falta. Ese es todo el diagnóstico.

La misma pregunta, un nivel más profundo

Todo lo mencionado anteriormente sobre el banner se aplica a cualquier componente que tome decisiones en tu nombre dentro de tu propio sitio web. El banner es simplemente el ejemplo más visible y, por tanto, el punto de partida más sencillo.

Plantea la misma pregunta respecto a tus herramientas de analítica. No se trata de «quién gestiona la cuenta», sino de: ¿quién es el propietario de los datos cuando finaliza el contrato?, ¿quién tiene acceso a ellos actualmente? y ¿qué conservas si tu proveedor cambia sus tarifas o elimina una funcionalidad en la que basabas tu operativa? Esto último no es una hipótesis; sucede, y suele ocurrir precisamente a aquellas organizaciones que no tenían una respuesta preparada de antemano.

No somos neutrales en este aspecto, así que lo diremos claramente: Govanalytics se basa en la pila tecnológica de código abierto d8a.tech, lo que permite que el cliente pueda seguir utilizándola por su cuenta, incluso sin nosotros. No se trata de un favor ni de una táctica de venta; es la única forma de garantizar que la respuesta a la pregunta «¿de quién son estos datos?» no dependa de nuestra buena voluntad. Y, precisamente, ese es el tipo de respuesta que un responsable de seguridad quiere escuchar.

Puedes aplicar este criterio a cualquier proveedor, incluyéndonos a nosotros o a tu plataforma de gestión del consentimiento (CMP). No preguntes simplemente si cumplen con la normativa, ya que todos dirán que sí. Pregunta dónde residen los datos, quién tiene acceso a ellos y qué conservas cuando finalizas la relación con el proveedor. Si alguien no puede responder a esto en una sola frase, es que no tiene la respuesta.

Puedes ver un ejemplo de cómo es una respuesta de este tipo en este mismo sitio web. La lista de subprocesadores de Consent Studio detalla, para cada entidad: quién es, en qué país se encuentra, con qué finalidad trata los datos y qué información se procesa; además, incluye listas diferenciadas para visitantes y para clientes. Para los visitantes de la UE, se aplican dos requisitos simultáneos: los datos deben permanecer dentro de los Estados miembros de la UE, y la entidad que realiza el tratamiento debe ser una organización europea sin una empresa matriz fuera de la UE. Es precisamente en este segundo requisito donde suelen desmoronarse la mayoría de las promesas sobre el «almacenamiento en la región de la UE».

Lo que hace útil a esta lista no es que todo parezca perfecto, sino que también incluye los elementos más «incómodos»: una herramienta estadounidense para la gestión interna de proyectos y una red de distribución de contenidos (CDN) que utiliza nodos fuera de la UE para atender a visitantes que también se encuentran fuera de ella. Cuando una respuesta sobre la ubicación de los datos parece demasiado perfecta, probablemente no sea una respuesta real, sino simple material publicitario. Este es el tipo de documento que deberías solicitar a todos tus proveedores; el hecho de que no exista ya dice mucho.

¿Qué puedes hacer con esto?

Incluye estas cuatro preguntas en el orden del día de la próxima reunión en la que coincidan los responsables de comunicación, privacidad y TI. Suele ser el único momento del trimestre en el que los tres están presentes, así que aprovéchalo.

A continuación, designa a un responsable y asígnale dos funciones: no podrá modificar el banner por su cuenta (ya que esto tiene implicaciones legales) y será la persona encargada de responder a las dos primeras preguntas cada trimestre. Es una tarea trimestral de apenas media hora que marca la diferencia entre saber algo con certeza y simplemente suponerlo.

Y si descubres que no es posible responder a la segunda pregunta porque nadie sabe qué se sigue midiendo cuando el usuario ha rechazado el consentimiento, ese es precisamente el momento de darte cuenta de que, en realidad, tienes capacidad de elección al respecto.