Banners de cookies: detecta los diseños engañosos
Tu banner de cookies debería facilitar la decisión. Si decir que no exige un trabajo de detective, hay que revisar el diseño.
Los patrones oscuros son recursos de diseño de la interfaz que empujan a las personas hacia una decisión que quizá no tomarían de otro modo. En un banner de cookies, eso puede significar ocultar el rechazo, preseleccionar finalidades opcionales o redactar el texto de forma difícil de entender. Una tasa de aceptación alta no te dice si los visitantes entendieron la opción.
Para los equipos con visitantes europeos, una referencia útil es el informe del grupo de trabajo sobre banners de cookies del CEPD. Recoge las posiciones mínimas que acordaron las autoridades europeas de protección de datos al tramitar una serie de reclamaciones sobre banners de cookies. Además se aplican las normas y orientaciones nacionales, así que el mismo diseño no se evalúa igual en todos los países.
Cada patrón incluye un problema breve y una solución concreta. Las soluciones son recomendaciones prácticas nuestras; cuando un punto procede de la ley o de las orientaciones de una autoridad, lo indicamos.
1. La opción de rechazar está ahí, pero cuesta verla
Un botón grande de «Aceptar todo» ocupa el centro. La alternativa es un enlace poco visible dentro de un párrafo. Técnicamente, los visitantes pueden rechazar, pero antes tienen que encontrar la opción.
Problema: El rechazo no parece una opción. Tiene el estilo del texto normal, está lejos de los botones o escondido en la explicación, y en un móvil puede desaparecer por completo.
Solución: Convierte el rechazo en un botón junto a «Aceptar todo», con el mismo tamaño y la misma forma. En el móvil, apila ambos botones a todo el ancho. Un compañero debería encontrar la opción de rechazo en un móvil sin ninguna pista.
El grupo de trabajo del CEPD puso esto como ejemplo de un diseño que no da lugar a un consentimiento válido: la única alternativa al consentimiento es un enlace «rechazar» incrustado en el texto, sin apoyo visual suficiente para llamar la atención de un usuario medio.
En Francia, la CNIL ordenó a varios editores de webs en diciembre de 2024 que cambiaran los banners en los que la opción de rechazo era un enlace incrustado en la información o tenía mucho menos énfasis que la aceptación, porque rechazar no era tan fácil como aceptar.
Este patrón trata de la visibilidad. El patrón 3 trata del número de pasos: una opción de rechazo puede ser fácil de ver y aun así llevar a un largo recorrido por los ajustes.
2. Las categorías opcionales empiezan activadas
Un visitante abre las preferencias y encuentra el marketing ya activado. Guardar la pantalla podría registrar una decisión que nunca tomó.
Problema: Los interruptores de analítica o de marketing están activados antes de que el visitante los toque, así que no hacer nada parece una aceptación.
Solución: Desactiva por defecto todas las categorías opcionales cuando se exija consentimiento previo (opt-in). Solo el almacenamiento estrictamente necesario sigue activado, marcado como siempre activo, con una explicación de una línea junto a cada interruptor.
Aquí la posición de la UE es clara. El considerando 32 del RGPD dice que las casillas ya marcadas no deben constituir consentimiento, y el grupo de trabajo del CEPD confirmó que las casillas de aceptación premarcadas no dan lugar a un consentimiento válido.
3. Rechazar requiere más pasos que aceptar
Cuenta los clics. Si aceptar cuesta uno, pero rechazar exige un panel de ajustes, varios interruptores y un botón de guardar, los dos caminos están haciendo trabajos muy distintos.
Problema: La primera capa ofrece «Aceptar todo» y «Ajustes», pero ninguna forma de rechazar. Rechazar significa abrir una segunda capa, desactivar categorías y confirmar.
Solución: Pon «Rechazar todo» en la misma capa que «Aceptar todo», para que rechazar cueste un clic, igual que aceptar. Mantén «Gestionar preferencias» como tercer botón para los visitantes que quieran hacer una elección concreta.
En el informe del CEPD, una amplia mayoría de las autoridades participantes consideró una infracción que una capa con un botón de consentimiento no ofrezca ninguna opción para rechazar. Unas pocas autoridades opinaron de otro modo, porque la Directiva ePrivacy no menciona expresamente una opción de rechazo. Consulta las orientaciones de la autoridad competente para tu web.
4. El color y el contraste ocultan una opción
Los colores de marca están bien. Los controles que desaparecen, no. Un texto de rechazo en gris claro sobre fondo blanco puede ser difícil de leer incluso cuando alguien lo busca.
Problema: «Aceptar todo» es un botón relleno con un color de marca intenso, mientras que el rechazo es un texto de bajo contraste sobre fondo claro. Una acción salta a la vista; la otra pasa fácilmente desapercibida.
Solución: Da a las opciones principales el mismo estilo de botón o, al menos, un peso visual comparable y textos legibles. Comprueba cada texto con las pautas de contraste del W3C (4,5:1 para texto normal) y haz visible el foco del teclado.
Las autoridades lo valoran caso por caso. El grupo de trabajo del CEPD acordó que no se puede imponer un estándar general de color o contraste, pero citó un ejemplo manifiestamente engañoso: un botón de rechazo cuyo texto tiene un contraste tan bajo que resulta ilegible para prácticamente cualquier usuario. Las recomendaciones prácticas de la CNIL sobre cookies también tratan el énfasis visual engañoso.
5. Una redacción vaga oculta la finalidad
«Mejorar tu experiencia» puede significar recordar una preferencia de idioma, medir visitas o crear una audiencia publicitaria. Son actividades distintas.
Problema: El texto del banner usa frases genéricas en lugar de decir qué hacen las cookies opcionales, así que los visitantes no saben qué están aceptando.
Solución: Nombra cada finalidad con palabras sencillas, por ejemplo: «Usamos cookies analíticas opcionales para saber qué páginas visita la gente». Describe la publicidad en una frase aparte y menciona solo las herramientas y finalidades que tu web usa de verdad.
El grupo de trabajo del CEPD acordó que un banner debe dejar claro de qué trata, cuál es la finalidad del consentimiento y cómo darlo. Una frase pulida que describe las herramientas equivocadas no cumple ese objetivo.
6. Rechazar te hace sentir culpable
«No, gracias, no quiero una web mejor» no es un texto útil para un botón de consentimiento. Añade un argumento a una decisión que debería entenderse por sí sola.
Problema: El botón de aceptar suena positivo, mientras que el texto de rechazo recurre a la culpa o al sarcasmo. La redacción presiona a los visitantes en lugar de describir la opción.
Solución: Usa textos de botón neutros y paralelos, como «Aceptar todo», «Rechazar todo» y «Gestionar preferencias». Reserva el texto persuasivo para las partes de tu web en las que los visitantes esperan que se intente convencerlos.
7. Cambiar una decisión es más difícil que tomarla
El banner desaparece tras la aceptación. Ahora el visitante tiene que buscar en tu política o contactar con soporte para retirar el consentimiento.
Problema: Tras la primera decisión no hay ninguna forma visible de volver a los ajustes, así que retirar el consentimiento cuesta mucho más esfuerzo que aceptar.
Solución: Añade un botón de ajustes de cookies que siga disponible en todas las páginas, o un enlace claramente identificado en un lugar fijo como el pie de página, que vuelva a abrir las mismas opciones. Después prueba el resultado: tras la retirada, las etiquetas opcionales deberían dejar de ejecutarse.
El artículo 7, apartado 3, del RGPD exige que retirar el consentimiento sea tan fácil como darlo. El grupo de trabajo del CEPD menciona como ejemplos un pequeño icono visible de forma permanente o un enlace en un lugar visible y habitual, pero no hay ningún diseño concreto obligatorio para la retirada; las autoridades evalúan la solución caso por caso.
Una revisión mejor que «¿ha subido la aceptación?»
Pide a alguien ajeno al proyecto que complete tres tareas: rechazar las cookies opcionales, permitir solo la analítica y, más tarde, retirar ese permiso. Fíjate en dónde duda. Después haz la prueba técnica de «Rechazar todo» para comprobar que la web respeta sus decisiones.
Para ver diseños que mantienen claras las opciones aunque cambie el tratamiento visual, consulta seis ejemplos de diseño de banners de cookies.
Tres preguntas rápidas
¿Puede un banner de cookies usar los colores de nuestra marca?
Sí. La cuestión práctica es si los visitantes pueden seguir leyendo, entendiendo y usando todas las opciones. La coherencia de marca debería ayudar a las personas a orientarse.
¿Una tasa de consentimiento alta demuestra que el banner es bueno?
Por sí sola, no. Revisa la interfaz, el significado de las opciones y el comportamiento resultante de las etiquetas antes de sacar conclusiones de las cifras de aceptación.
¿Son iguales las reglas de diseño fuera de Europa?
No. En California, por ejemplo, muchas opciones de privacidad son de exclusión (opt-out) y no de consentimiento previo (opt-in), pero la normativa sigue exigiendo simetría en las opciones. El aviso de aplicación de la CPPA sobre patrones oscuros también señala que el acuerdo obtenido mediante patrones oscuros no es consentimiento. Consulta el consentimiento de cookies en la UE frente a California para una comparación más amplia.