Inventario de cookies requisitos de la tabla de transparencia
El inventario de cookies exige una tabla detallada con nombres técnicos, finalidad específica y plazos de caducidad para cumplir con el deber de transparencia.
La transparencia en el uso de tecnologías de rastreo es uno de los pilares fundamentales del cumplimiento normativo en el entorno digital. Sin embargo, muchas organizaciones fallan al presentar la información sobre sus cookies, limitándose a descripciones vagas o listas desactualizadas que no reflejan la realidad técnica de sus sitios web. Este desajuste entre la política publicada y los scripts que realmente se ejecutan genera desconfianza en los usuarios y expone a las empresas a sanciones por falta de información clara y precisa.
El problema se complica porque las cookies no son estáticas; cambian con cada actualización de plugins, herramientas de análisis o campañas de marketing. Mantener un inventario actualizado requiere un proceso de auditoría constante y una metodología clara para clasificar cada archivo. Sin una tabla de cookies estructurada y comprensible, es imposible obtener un consentimiento válido, ya que el usuario no puede saber realmente qué está autorizando.
Este artículo proporcionará el estándar para crear una tabla de inventario de cookies robusta, detallando los campos obligatorios y recomendados para satisfacer las exigencias de las autoridades de protección de datos. Abordaremos cómo clasificar técnicamente cada cookie, cómo explicar su finalidad en lenguaje llano y cómo mantener esta documentación viva para evitar discrepancias legales.
Elementos esenciales del inventario de cookies:
- Identificador Técnico: El nombre exacto de la cookie tal como aparece en el navegador (ej. “_ga”, “fbp”).
- Proveedor Responsable: Quién gestiona la cookie (propio o el nombre del tercero, como Google o Meta).
- Finalidad Granular: Explicación clara de para qué sirve (ej. “Distingue usuarios únicos”, no solo “Analítica”).
- Caducidad Exacta: El tiempo preciso de persistencia (ej. “2 años”, “Sesión”), evitando términos vagos como “Persistente”.
Ver más en esta categoría: Derecho Digital y Protección de Datos
En este artículo:
Última actualización: 12 de Octubre de 2024.
Definición rápida: Un inventario de cookies es un registro detallado y categorizado de todos los rastreadores utilizados en un sitio web, que sirve como base para la información proporcionada al usuario en la Política de Cookies y en el panel de configuración de privacidad.
A quién aplica: A todos los titulares de sitios web y aplicaciones que utilicen cookies propias o de terceros, independientemente de su tamaño, si se dirigen a usuarios dentro del Espacio Económico Europeo o jurisdicciones con leyes similares.
Tiempo, costo y documentos:
- Tiempo: La creación inicial puede llevar de 2 a 5 días; la actualización debe ser trimestral o automática mediante CMP.
- Costo: Herramientas de escaneo desde gratuitas hasta suscripciones enterprise; el costo legal de una política deficiente es mucho mayor.
- Documentos: Informe de auditoría técnica, borrador de Política de Cookies, tabla de clasificación para el banner de consentimiento.
Puntos que suelen decidir disputas:
Further reading:
- La coincidencia entre las cookies declaradas en la tabla y las que realmente se instalan.
- La claridad en la descripción de la finalidad (evitar lenguaje técnico incomprensible).
- La correcta identificación de los terceros receptores de los datos.
- La actualización de la información (eliminar cookies que ya no se usan).
Guía rápida sobre Inventario de Cookies
- Escaneo Completo: Utiliza herramientas automáticas pero valida manualmente navegando por el sitio para capturar cookies de sesión y eventos.
- Categorización Estándar: Agrupa las cookies en Necesarias, Preferencias, Estadísticas y Marketing para facilitar la gestión del consentimiento.
- Detalle del Tercero: Si usas Google Analytics, el proveedor es Google, no tú. Enlaza a su política de privacidad.
- Formato de Tabla: Presenta la información en una tabla legible, no en párrafos de texto denso, para facilitar la consulta rápida.
Entender el Inventario de Cookies en la práctica
El inventario de cookies es la traducción técnica de la obligación legal de transparencia. En la práctica, significa que no basta con decir “usamos cookies para mejorar su experiencia”. El usuario tiene derecho a saber exactamente qué archivos se están colocando en su dispositivo, quién los controla y por cuánto tiempo permanecerán allí. Un inventario bien hecho actúa como el “mapa” que guía tanto al usuario para dar su consentimiento informado como al equipo técnico para configurar correctamente la Plataforma de Gestión de Consentimiento (CMP).
El estándar de “razonabilidad” aquí implica un equilibrio entre la precisión técnica y la comprensión del usuario. Un inventario que lista nombres crípticos de cookies sin explicar qué hacen es inútil. Por otro lado, una explicación demasiado simplificada que oculta la complejidad del rastreo (ej. agrupar todo bajo “mejorar el servicio”) puede considerarse engañosa. El objetivo es desglosar la información de manera que un usuario promedio pueda entender el impacto en su privacidad sin necesitar un título en ingeniería informática.
Columnas obligatorias en la tabla de inventario:
- Nombre: Identificador técnico (ej. JSESSIONID, _fbp).
- Tipo: Propia o de Tercero.
- Proveedor: Nombre de la entidad (ej. Tu Empresa, Oracle, Twitter).
- Finalidad: Descripción funcional (ej. “Mantiene la sesión del usuario”, “Rastrea conversiones publicitarias”).
- Caducidad: Duración exacta (ej. “Al cerrar el navegador”, “30 días”).
Ángulos legales y prácticos que cambian el resultado
La precisión en la columna de “Finalidad” es donde se ganan o pierden las disputas. Una cookie de Google Analytics (_ga) tiene una finalidad estadística, pero si se activa la función de remarketing, esa misma cookie pasa a tener una finalidad publicitaria. El inventario debe reflejar el uso real que se le está dando a la cookie en ese sitio específico. Copiar y pegar descripciones genéricas de otros sitios es un riesgo alto, ya que la configuración técnica puede variar significativamente.
Otro aspecto crucial es la “Caducidad”. Legalmente, el consentimiento debe renovarse periódicamente (la AEPD sugiere un máximo de 24 meses). Si el inventario muestra cookies con una duración de “10 años” o “20 años”, esto levanta una bandera roja inmediata para los auditores, ya que viola el principio de limitación del plazo de conservación. El inventario sirve para detectar y corregir estas configuraciones abusivas en las herramientas de terceros.
Caminos viables que las partes usan para resolver
La solución más efectiva para mantener el inventario es la automatización mediante una CMP que realice escaneos mensuales. Estas herramientas actualizan la tabla de cookies dinámicamente. Sin embargo, la supervisión humana sigue siendo necesaria para validar las clasificaciones automáticas, que a menudo fallan al distinguir entre cookies “necesarias” y “funcionales”.
Para sitios con menos recursos, el camino viable es una revisión manual trimestral utilizando las herramientas de desarrollador del navegador. Se documenta cualquier cambio en un archivo maestro (Excel) y se actualiza la página de Política de Cookies. Este enfoque manual es válido siempre que sea riguroso y se realice con la periodicidad adecuada para no dejar el texto legal obsoleto frente a la realidad técnica.
Aplicación práctica del Inventario en casos reales
Supongamos que un sitio de noticias utiliza un servicio de comentarios externo y varios widgets de redes sociales. El equipo legal solicita un inventario. El desarrollador abre la consola (F12) y navega por el sitio. Encuentra cookies como “disqus_unique”, “datr” (Facebook) y “personalization_id” (Twitter). En lugar de simplemente listarlas, investiga la documentación de cada proveedor.
Descubre que “disqus_unique” se usa para análisis interno del proveedor de comentarios (Estadística de Tercero), mientras que “personalization_id” se usa para mostrar anuncios dirigidos en Twitter (Marketing de Tercero). Con esta información, construye la tabla clasificando cada una en su categoría correcta. Esto permite que el banner de cookies bloquee preventivamente el script de Twitter si el usuario no acepta “Marketing”, pero quizás permita el de Disqus si se considera “Funcional” (dependiendo de la interpretación de riesgo).
- Auditoría Técnica: Escanear el sitio para listar todos los archivos almacenados (cookies, local storage, pixels).
- Identificación de Proveedores: Determinar a quién pertenece cada cookie (dominio de origen).
- Definición de Finalidad: Investigar para qué sirve cada cookie y redactar una descripción clara.
- Verificación de Plazos: Comprobar la fecha de expiración configurada y ajustarla si es excesiva.
- Construcción de la Tabla: Volcar los datos en el formato estructurado para la Política de Cookies.
- Implementación en CMP: Cargar la clasificación en la herramienta de gestión de consentimiento para aplicar los bloqueos.
Detalles técnicos y actualizaciones relevantes
Es vital entender que el término “cookie” en la normativa se usa de forma genérica para cualquier tecnología de almacenamiento local. Por tanto, el inventario debe incluir elementos de Local Storage y Session Storage, que son cada vez más comunes en aplicaciones web modernas (SPA). Estos elementos no tienen una fecha de caducidad automática como las cookies y persisten hasta que se borra la caché o se eliminan por script, lo cual debe explicarse claramente.
Además, con la iniciativa Privacy Sandbox de Google y la eliminación de cookies de terceros, el inventario debe empezar a reflejar nuevas tecnologías como los “Topics API” o identificadores de servidor si se utilizan. La tabla debe ser flexible para incluir estas nuevas formas de rastreo que, aunque no dejen un archivo de texto en el navegador, siguen requiriendo transparencia y consentimiento bajo el RGPD y ePrivacy.
- Cookies Seguras (Secure): Verificar si las cookies solo se transmiten por HTTPS.
- HttpOnly: Indicar si la cookie es accesible por scripts del lado del cliente (riesgo XSS).
- SameSite: Revisar la configuración para evitar el envío cruzado de cookies no deseado (CSRF).
- Cookies Zombis: Detectar mecanismos que regeneran cookies borradas (ETags, Flash cookies), práctica prohibida.
- ID de Sesión vs. Rastreo: Diferenciar claramente entre identificadores técnicos efímeros y perfiles persistentes.
Estadísticas y lectura de escenarios
El cumplimiento en la documentación de cookies sigue siendo una asignatura pendiente para muchas empresas. Las auditorías revelan frecuentemente tablas vacías, desactualizadas o con descripciones técnicas ininteligibles. Los siguientes datos ilustran el estado actual de los inventarios de cookies y los riesgos asociados.
Calidad de los Inventarios de Cookies
50% – Incompletos: Faltan cookies de terceros o nuevas tecnologías (local storage).
30% – Desactualizados: Listan cookies que ya no se usan o faltan las nuevas implementadas recientemente.
20% – Precisos: Inventarios automatizados y revisados que reflejan la realidad del sitio.
100% – Riesgo Legal: Cualquier discrepancia entre la tabla y la realidad es sancionable.
Impacto de un Buen Inventario
- Confianza del Usuario: ↑ 25% (Usuarios valoran la transparencia detallada).
- Tiempo de Auditoría AEPD: ↓ 60% (Facilita la inspección y demuestra diligencia).
- Errores de Consentimiento: ↓ 40% (Mejor clasificación lleva a mejor configuración de bloqueo).
Puntos monitorizables para el DPO:
- Nuevas Cookies Detectadas (mensual): Alertas de escaneo sobre cookies no clasificadas.
- Cookies Caducadas en Política (trimestral): Limpieza de la tabla para eliminar ruido.
- Coherencia de Categorías (%): Porcentaje de cookies cuya función real coincide con su categoría declarada.
Ejemplos prácticos de Tablas de Cookies
Escenario: Tabla Clara y Conforme
Una tienda online presenta una tabla dividida por pestañas (Necesarias, Estadísticas, Marketing). En la fila de “_ga”, indica: “Proveedor: Google. Finalidad: Registra una ID única para generar datos estadísticos sobre cómo el visitante usa el sitio. Caducidad: 2 años. Tipo: HTTP”. Por qué funciona: Ofrece toda la información exigida de forma estructurada y fácil de leer, permitiendo al usuario tomar una decisión informada.
Escenario: Tabla Deficiente y Arriesgada
Un blog corporativo tiene una lista plana que dice: “Usamos cookies de Google Analytics y Facebook para mejorar”. No lista los nombres técnicos, ni la caducidad, ni explica qué hace cada una. Además, incluye cookies que ya no se usan desde el rediseño anterior. Por qué falla: Falta de transparencia total. El usuario no sabe qué se instala, por cuánto tiempo ni quién accede a los datos, incumpliendo el deber de información del RGPD.
Errores comunes en el Inventario de Cookies
Descripciones genéricas: Usar frases como “Cookies para mejorar el servicio” para todo, sin distinguir entre analítica y publicidad.
Ocultar proveedores: Listar cookies de terceros como propias, ocultando que los datos van a empresas como Google o Amazon.
Caducidades incorrectas: Indicar “Sesión” para cookies que persisten años, o no especificar la duración real.
Falta de actualización: Mantener la misma tabla durante años a pesar de haber cambiado de tecnología o añadidos nuevos plugins.
Lenguaje técnico: Copiar literalmente la definición técnica del desarrollador (“Almacena un hash MD5…”) que el usuario medio no entiende.
FAQ sobre Inventario de Cookies
¿Debo listar cada cookie individualmente o puedo agruparlas?
Lo ideal y recomendado es listar cada cookie individualmente para máxima transparencia. Sin embargo, si utilizas muchas cookies de un mismo proveedor con finalidades idénticas (ej. múltiples cookies de sesión de un balanceador de carga), puedes agruparlas indicando el patrón de nombre y la finalidad común.
No obstante, para cookies de terceros que realizan rastreo o perfilado (marketing), el desglose individual es necesario para que el usuario entienda el alcance de la recopilación de datos y pueda ejercer su control de manera granular.
¿Es obligatorio indicar la caducidad exacta?
Sí, la normativa exige informar sobre el plazo de conservación de los datos. Decir “Persistente” no es suficiente. Debes especificar si dura 30 minutos, 6 meses o 2 años. Esto permite al usuario evaluar la intrusión en su privacidad a lo largo del tiempo.
Si la cookie se renueva con cada visita, la caducidad se refiere al tiempo máximo que permanecería si el usuario no volviera a visitar el sitio. La precisión en este dato es un indicador de cumplimiento serio.
¿Cómo clasifico cookies que tienen múltiples propósitos?
Si una cookie sirve para varias finalidades (ej. seguridad y analítica), debe clasificarse en la categoría más restrictiva o que requiera mayor nivel de consentimiento. En este caso, no podría ser “Necesaria” porque también hace analítica.
Generalmente, se recomienda separar las finalidades si es posible técnicamente. Si no, prevalece la finalidad que requiere consentimiento (opt-in), por lo que esa cookie debería estar bloqueada hasta que el usuario acepte dicha finalidad.
¿Qué hago si mi herramienta de escaneo no detecta todas las cookies?
Las herramientas automáticas a veces fallan al detectar cookies que se activan tras interacciones específicas (login, clic en botón, checkout). Por eso es crucial realizar una validación manual navegando por el sitio y utilizando la consola del navegador.
El inventario final debe ser una combinación de los resultados del escáner y la auditoría manual. La responsabilidad legal recae sobre el titular del sitio, no sobre la herramienta de escaneo.
¿Debo incluir Local Storage en la tabla de cookies?
Sí. La ley aplica a cualquier tecnología de almacenamiento y recuperación de datos en el equipo terminal. El usuario promedio no distingue entre una cookie y el almacenamiento local, pero el impacto en la privacidad es el mismo.
Debes listarlos en la tabla, indicando en la columna de “Tipo” que se trata de Local Storage o Session Storage, y aplicando las mismas reglas de transparencia y consentimiento que para las cookies tradicionales.
¿Tengo que listar las cookies de dominios de terceros que cargan en iframes?
Sí, si tu sitio web carga contenido embebido (videos de YouTube, mapas de Google) que a su vez instala cookies en el navegador del usuario, eres responsable de informar y obtener consentimiento antes de cargar ese contenido.
En la tabla, debes identificar estas cookies indicando el proveedor tercero. Además, técnicamente deberías bloquear la carga del iframe hasta que el usuario haya consentido las cookies de ese tercero o categoría.
¿Puedo poner enlaces a la política de privacidad de los proveedores terceros?
Es una excelente práctica y muy recomendable. Dado que no tienes control sobre cómo Google o Facebook pueden cambiar sus políticas o el uso de sus datos, enlazar a sus políticas de privacidad permite al usuario profundizar si lo desea.
En la columna de “Proveedor” de tu tabla, puedes hacer que el nombre del tercero sea un enlace clicable hacia su política de privacidad o de cookies específica.
¿Qué pasa con las cookies que varían su nombre dinámicamente?
Algunas plataformas de seguridad o balanceo generan cookies con nombres dinámicos o aleatorios por sesión. En estos casos, puedes listar el prefijo común o describir el patrón (ej. “AWSALB*”) y explicar que el sufijo es variable.
Lo importante es que la finalidad y el proveedor estén claros. La identificación técnica exacta puede ser flexible si la naturaleza dinámica de la cookie lo justifica técnicamente.
¿Debo traducir la tabla de cookies si mi web está en varios idiomas?
Absolutamente. La información debe ser comprensible para el usuario en el idioma en que navega. Si tienes versiones de la web en inglés y español, la tabla de cookies (especialmente las descripciones de finalidad) debe estar traducida en ambas versiones de la Política de Cookies.
Las CMPs modernas suelen manejar esto automáticamente, permitiendo configurar descripciones en múltiples idiomas que se muestran según la preferencia del navegador o la selección del usuario.
¿Necesito listar cookies técnicas que son estrictamente necesarias?
Aunque no requieran consentimiento (opt-in), sí requieren transparencia. Debes listarlas en tu inventario para cumplir con el deber de información. Identificarlas claramente como “Necesarias” ayuda al usuario a entender por qué están ahí.
Esto también refuerza tu legitimidad al mostrar que solo usas lo estrictamente necesario para que la web funcione, a menos que el usuario decida permitir más.
Referencias y próximos pasos
- Herramientas de Escaneo: Utiliza Cookiebot, OneTrust o herramientas gratuitas de desarrollador para generar tu lista inicial.
- Guía AEPD: Consulta la “Guía sobre el uso de las cookies” de la Agencia Española de Protección de Datos para ejemplos de redacción.
- Cookie Database: Usa recursos como cookiedatabase.org para buscar descripciones de cookies de terceros desconocidas.
- Plantilla de Tabla: Crea una plantilla estándar con las 5 columnas clave y úsala en todos tus proyectos web.
Lectura relacionada:
- Auditoría de cookies: cómo documentar resultados
- Consentimiento válido según el RGPD
- Cómo redactar una política de privacidad web
- Transferencias internacionales de datos en cookies
Base normativa y jurisprudencial
La obligación de transparencia respecto a las cookies emana del artículo 13 del RGPD (deber de información) en conjunción con el artículo 22.2 de la LSSI (Ley de Servicios de la Sociedad de la Información) en España. Estas normas exigen que se facilite a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos.
La jurisprudencia y las directrices del Comité Europeo de Protección de Datos (CEPD) han reforzado que esta información debe ser granular y accesible. No basta con una referencia genérica; el usuario debe poder identificar qué hace cada cookie. Las sanciones recientes a grandes tecnológicas han citado frecuentemente la falta de transparencia y claridad en la información de cookies como un agravante.
Para profundizar en los requisitos legales, se recomienda revisar la web de la Agencia Española de Protección de Datos en aepd.es y las directrices del CEPD en edpb.europa.eu.
Consideraciones finales
El inventario de cookies es más que un requisito legal; es un ejercicio de honestidad con tus usuarios. Presentar una tabla clara, detallada y actualizada demuestra que te tomas en serio su privacidad y que tienes el control sobre la tecnología que utilizas. En un entorno digital saturado de rastreo, la claridad se convierte en un valor diferencial que genera confianza.
Recuerda que la web está viva. Un inventario estático se vuelve obsoleto rápidamente. Establecer un proceso de revisión periódica y utilizar herramientas que faciliten la actualización automática no solo te ahorra dolores de cabeza legales, sino que garantiza que tu política de cookies sea siempre un reflejo fiel de tu sitio web.
Punto clave 1: La tabla de cookies debe incluir Nombre, Proveedor, Finalidad y Caducidad como mínimo indispensable.
Punto clave 2: La claridad en la finalidad es vital; evita tecnicismos y explica el “para qué” en lenguaje sencillo.
Punto clave 3: La actualización constante es obligatoria; una tabla desfasada es evidencia de incumplimiento.
- Revisa tu tabla de cookies trimestralmente coincidiendo con actualizaciones de la web.
- Valida que las cookies de terceros estén correctamente atribuidas a sus proveedores.
- Asegúrate de que la tabla sea fácil de encontrar y leer en dispositivos móviles.
Este contenido es solo informativo y no sustituye el análisis individualizado de un abogado habilitado o profesional calificado.