Tecnoloxía e seguimento

A evolución das cookies: Do seguimento básico ao cumprimento estrito

7 de xullo de 2026 · 16 min de lectura

Resposta rápida

As cookies do navegador comezaron en 1994 como unha solución sinxela para manter o estado do carro da compra en todas as sesións web, pero a evolución das cookies, desde o seguimento básico ata o cumprimento estrito, transformounas nunha das tecnoloxías máis reguladas da historia dixital. Hoxe en día, despregar cookies sen o consentimento explícito do usuario pode expoñer as organizacións a importantes sancións reguladoras baixo marcos como o GDPR e o CCPA. Comprender esta evolución é esencial para calquera propietario de sitio web, desenvolvedor ou profesional da privacidade de datos que opere en 2026.

Puntos clave

As cookies foron inventadas por Lou Montulli en Netscape en 1994 para resolver un problema de HTTP sen estado, non para rastrexar usuarios
As cookies de terceiros permitiron a elaboración de perfís de comportamento entre sitios, o que provocou respostas reguladoras globais desde mediados dos anos 2000 en diante
O GDPR (2018) e o CCPA (2020) cambiaron fundamentalmente a forma en que os sitios web deben obter e documentar o consentimento das cookies
A depreciación das cookies de terceiros por parte de Google en Chrome acelerou a adopción de alternativas que preservan a privacidade, incluíndo estratexias de datos de primeira parte e análises do lado do servidor
As plataformas de xestión de consentimento (CMPs) son agora un requisito de cumprimento, non unha mellora opcional, para a maioría dos sitios web comerciais
As cookies de primeira parte seguen sendo legais e funcionais; a carga de cumprimento recae principalmente nas cookies de seguimento e publicidade
Os banners de consentimento de cookies deben cumprir estándares legais específicos: as caixas premarcadas, o consentimento agrupado e os patróns escuros están prohibidos baixo o GDPR
Os usuarios poden eliminar as cookies en calquera momento, pero facelo afecta a personalización, a persistencia do inicio de sesión e a precisión das análises

Que son as cookies e como funcionan?

As cookies son pequenos ficheiros de texto que un servidor web instrúe a un navegador para que almacene localmente no dispositivo dun usuario. Cando o usuario volve visitar o mesmo sitio, o navegador envía a cookie almacenada de volta ao servidor, o que lle permite recoñecer a sesión, lembrar preferencias ou asociar o comportamento entre páxinas.

Tecnicamente, unha cookie consiste nun par nome-valor máis atributos opcionais: data de caducidade, ámbito do dominio, ruta e bandeiras de seguridade como HttpOnly e Secure. As cookies de sesión caducan cando se pecha o navegador; as cookies persistentes permanecen ata a súa data de caducidade definida ou ata que o usuario as elimina. [8]

Tipos clave de cookies por función:

Tipo	Propósito	Vida útil típica
Sesión	Manter o estado de inicio de sesión	Sesión do navegador
Persistente	Lembrar preferencias	Días a anos
De primeira parte	Establecida polo dominio visitado	Varía
De terceiros	Establecida por dominios externos	A miúdo 1-2 anos
Análises	Medir o comportamento do tráfico	13-26 meses
Marketing/Seguimento	Crear perfís de anuncios	Ata 2 anos

A historia das cookies nos navegadores web

A evolución das cookies, desde o seguimento básico ata o cumprimento estrito, comeza cun problema de enxeñaría sinxelo. En 1994, Lou Montulli, un enxeñeiro de Netscape Communications, necesitaba unha forma de implementar un carro da compra virtual sen almacenar datos de sesión no lado do servidor. A súa solución foi a cookie HTTP, derivada dun concepto Unix existente chamado "magic cookie". [7]

O navegador de Netscape incluíu soporte para cookies en 1994, e Internet Explorer adoptou o estándar en 1995. En 1997, a IETF formalizara a especificación no RFC 2109. [8] O que comezou como unha solución para un protocolo sen estado converteuse rapidamente na columna vertebral da personalización, a autenticación e, fundamentalmente, a publicidade.

Fitos clave na historia das cookies:

1994: Lou Montulli inventa a cookie HTTP en Netscape [5]
1996: Financial Times publica unha das primeiras advertencias públicas sobre o seguimento baseado en cookies [7]
Anos 2000: As redes de anuncios despregan cookies de terceiros para crear perfís de comportamento entre sitios
2011: A Directiva de Cookies da UE require o consentimento informado para as cookies non esenciais
2018: O GDPR eleva drasticamente o nivel de cumprimento, requirindo un consentimento explícito e granular
2020: O CCPA outorga aos consumidores de California o dereito a optar por non participar na venda de datos baseados en cookies
2024: Google comeza a depreciación gradual das cookies de terceiros en Chrome [10]

Cookies de primeira parte vs. cookies de terceiros: Cal é a diferenza?

As cookies de primeira parte son establecidas polo dominio que o usuario está a visitar activamente. As cookies de terceiros son establecidas por un dominio diferente, normalmente unha rede de anuncios, un provedor de análises ou unha plataforma de redes sociais incrustada na páxina.

Esta distinción é enormemente importante tanto para a funcionalidade como para o cumprimento. As cookies de primeira parte xeralmente considéranse de menor risco porque o usuario ten unha relación directa co dominio que as establece. As cookies de terceiros, pola contra, permiten que unha única entidade publicitaria rastrexe o comportamento dun usuario en miles de sitios web non relacionados, creando perfís de comportamento detallados sen o coñecemento significativo do usuario. [6]

"A cookie de terceiros converteuse no motor da economía da vixilancia, non porque fose deseñada para ese propósito, senón porque a súa arquitectura técnica fixo que o seguimento entre sitios fose trivialmente fácil de implementar a escala."

A maioría das regulacións de privacidade modernas diríxense especificamente ás cookies de seguimento de terceiros, aínda que os requisitos de consentimento aplícanse a todas as cookies non esenciais, independentemente da súa orixe.

Que é o GDPR e como afecta ás cookies?

O Regulamento Xeral de Protección de Datos (GDPR), que entrou en vigor en maio de 2018, trata os identificadores de cookies como datos persoais cando se poden usar para identificar ou perfilar un individuo. Segundo o GDPR, os sitios web que serven a residentes da UE deben obter un consentimento libre, específico, informado e inequívoco antes de colocar calquera cookie non esencial. [2]

Os requisitos de cumprimento de cookies do GDPR inclúen:

O consentimento debe obterse antes de que se establezan as cookies, non despois
Os usuarios deben poder rexeitar o consentimento tan facilmente como poden aceptalo
As caixas de consentimento premarcadas están explicitamente prohibidas
O consentimento debe ser granular: os usuarios poden aceptar cookies de análises pero rexeitar cookies de publicidade
Os rexistros de consentimento deben almacenarse e ser auditables
Os usuarios deben poder retirar o consentimento en calquera momento

As violacións conlevan multas potenciais de ata o 4% da facturación anual global ou 20 millóns de euros, o que sexa maior. A aplicación da normativa intensificouse desde 2020, con autoridades de protección de datos en Francia, Irlanda, Italia e España emitindo multas substanciais por banners de consentimento non conformes. [4]

Requisitos de cumprimento de cookies do CCPA

A Lei de Privacidade do Consumidor de California (CCPA), efectiva en xaneiro de 2020 e reforzada pola Lei de Dereitos de Privacidade de California (CPRA) en 2023, adopta un enfoque diferente pero complementario. En lugar de requirir o consentimento opt-in para todas as cookies de seguimento, o CCPA outorga aos consumidores o dereito a optar por non participar na "venda" ou "compartición" da súa información persoal, o que inclúe datos de comportamento baseados en cookies transmitidos a plataformas de publicidade de terceiros.

As obrigas do CCPA para o uso de cookies inclúen:

Debe mostrarse de forma destacada un enlace "Non vender nin compartir a miña información persoal"
As empresas deben respectar os sinais de Control de Privacidade Global (GPC) como un mecanismo de exclusión válido
As políticas de privacidade deben divulgar as categorías de datos persoais recollidos mediante cookies
Os consumidores teñen dereito a solicitar a eliminación dos datos recollidos mediante cookies

As empresas suxeitas ao CCPA que tamén serven a usuarios da UE deben conciliar ambos os marcos, normalmente implementando unha solución de xestión de consentimento capaz de xestionar conxuntos de regras específicos da xurisdición.

Como obter o consentimento do usuario para as cookies

Obter un consentimento válido para as cookies require máis que colocar un banner nunha páxina. O consentimento debe cumprir os estándares legais da xurisdición aplicable antes de que se activen as cookies non esenciais.

Un fluxo de consentimento conforme segue estes pasos:

Bloquear todas as cookies non esenciais para que non se activen ata que se rexistre o consentimento
Mostrar un aviso de consentimento claro e en linguaxe sinxela explicando que cookies se usan e por que
Ofrecer opcións xenuínas de aceptar e rexeitar co mesmo nivel de prominencia
Proporcionar controis de categoría granulares (análises, marketing, preferencias)
Rexistrar o evento de consentimento cunha marca de tempo, versión e identificador de usuario
Respectar a retirada do consentimento inmediatamente e propagar o cambio a todas as etiquetas activas

Plataformas como Biscotti CMP están deseñadas para xestionar este fluxo de traballo, xestionando a recollida, almacenamento e distribución de sinais de consentimento a ferramentas de marketing e análises posteriores en múltiples xurisdicións.

Mellores prácticas para os banners de consentimento de cookies

Un banner de consentimento mal deseñado é en si mesmo un risco de cumprimento. Os reguladores dirixíronse especificamente aos patróns escuros, incluíndo deseños que dificultan o rexeitamento, ocultan a opción de rexeitar detrás de varios clics ou usan o contraste de cores para empurrar aos usuarios cara á aceptación.

Características dun banner de consentimento conforme:

Igual peso visual para os botóns de aceptar e rexeitar
Sen interruptores preseleccionados para categorías non esenciais
Linguaxe clara sen xerga legal
Un mecanismo persistente para revisar e cambiar as preferencias de consentimento
Deseño adaptable a móbiles que non oculte o contido da páxina

O deseño do banner de consentimento debe probarse coa orientación específica emitida pola autoridade de protección de datos relevante. A CNIL francesa, por exemplo, publicou recomendacións técnicas detalladas sobre formatos de banner aceptables que van máis alá do texto base do GDPR. [9]

Que substituíu as cookies de terceiros despois de que Google as eliminase gradualmente?

A depreciación das cookies de terceiros por parte de Google en Chrome, que comezou en serio en 2024, acelerou a busca de alternativas funcionais. Ningún substituto único logrou unha adopción universal, pero varias abordaxes gañaron tracción. [10]

Principais alternativas ás cookies en 2026:

Estratexias de datos de primeira parte: Recollida de datos de comportamento directamente a través de propiedades propias e sesións autenticadas
Análises do lado do servidor: Trasladar a execución de etiquetas ao servidor para reducir a dependencia das cookies do lado do cliente
APIs de Privacy Sandbox: Suite de APIs baseadas no navegador de Google (Topics API, Protected Audience API) deseñadas para permitir a publicidade baseada en intereses sen identificadores entre sitios
Publicidade contextual: Segmentación baseada no contido da páxina en lugar do historial do usuario
Salas limpas de datos: Contornos que preservan a privacidade onde se poden combinar conxuntos de datos de primeira parte de varias partes sen intercambio de datos brutos
IDs universais: Identificadores baseados en correo electrónico cifrado compartidos entre redes de editores co consentimento do usuario

Cada alternativa ten as súas propias implicacións de consentimento e cumprimento. A publicidade contextual non require datos do usuario; as solucións de ID autenticadas aínda requiren o consentimento explícito baixo o GDPR.

Son seguras as cookies e cales son os riscos de privacidade?

As cookies en si non son código executable e non poden instalar malware. Non obstante, conlevan riscos de privacidade significativos, especialmente cando se usan para o seguimento entre sitios ou cando son interceptadas a través de conexións inseguras.

Principais riscos de privacidade asociados ás cookies:

Elaboración de perfís entre sitios: As cookies de terceiros permiten perfís de comportamento detallados sen o coñecemento do usuario
Secuestro de sesións: As cookies transmitidas a través de HTTP non cifrado poden ser interceptadas por atacantes en redes compartidas
Sincronización de cookies: As redes de anuncios comparten identificadores de cookies entre si, ampliando o alcance do seguimento máis aló dunha única plataforma
Cookies zombi: Algunhas tecnoloxías de seguimento intentan recrear cookies eliminadas mediante a pegada dixital do navegador ou o almacenamento local

As bandeiras HttpOnly e Secure mitigan algúns vectores de ataque, pero non abordan os riscos estruturais de privacidade do seguimento de comportamento. [8]

Como comprobar que cookies está a usar un sitio web

Calquera usuario ou desenvolvedor pode auditar as cookies dun sitio web usando as ferramentas nativas do navegador. En Chrome ou Firefox, abrir as Ferramentas para desenvolvedores (F12) e navegar á pestana Aplicación ou Almacenamento revela todas as cookies actualmente establecidas para o dominio activo, incluíndo os seus nomes, valores, dominios, datas de caducidade e bandeiras de seguridade.

Para unha auditoría máis estruturada, as ferramentas que rastrexan un sitio e categorizan as cookies por tipo e propósito proporcionan unha imaxe máis completa, o que é particularmente útil para a documentación de cumprimento. Os sitios web deben realizar auditorías periódicas de cookies porque os scripts de terceiros engadidos a través de xestores de etiquetas poden introducir novas cookies sen unha revisión explícita.

Como afectan as cookies ao rendemento do sitio web?

As cookies teñen un impacto medible pero normalmente modesto no rendemento da carga da páxina. Cada solicitude HTTP a un dominio inclúe todas as cookies establecidas para ese dominio no encabezado da solicitude, o que engade unha sobrecarga proporcional ao número e tamaño das cookies presentes.

As implicacións de rendemento máis significativas proveñen do JavaScript que establece as cookies: os scripts de etiquetas de terceiros, as plataformas de xestión de consentimento e as bibliotecas de análises engaden peso á páxina e tempo de execución. As implementacións de etiquetas mal xestionadas poden engadir centos de milisegundos ao Tempo ata o Primeiro Byte (TTFB) e á Pintura Contida Máis Grande (LCP), ambos os cales afectan as puntuacións de Core Web Vitals.

A mellor práctica é cargar scripts non esenciais de forma asíncrona, usar un sistema de xestión de etiquetas para controlar a orde de activación e auditar os scripts de cookies de terceiros regularmente para detectar redundancias.

Poden os usuarios eliminar as cookies e que ocorre?

Si, os usuarios poden eliminar as cookies en calquera momento a través da configuración do navegador, e facelo é inmediato e completo para as cookies almacenadas. As consecuencias dependen do tipo de cookie eliminada.

Eliminar as cookies de sesión pecha a sesión do usuario nas sesións activas
Eliminar as cookies de preferencia restablece a configuración gardada, como o idioma ou as opcións de visualización
Eliminar as cookies de análises restablece a identificación do visitante, facendo que os usuarios que regresan aparezan como novos visitantes nas plataformas de análises
Eliminar as cookies de publicidade elimina os perfís de segmentación de anuncios, aínda que o seguimento baseado en pegadas dixitais pode persistir parcialmente

Os usuarios que eliminan as cookies pero non axustan as súas preferencias de consentimento normalmente volverán a ser "cookificados" na súa próxima visita, xa que o propio rexistro de consentimento pode almacenarse como unha cookie. Algunhas CMPs usan o almacenamento de consentimento do lado do servidor para abordar este problema.

Can Users Delete Cookies and What Happens?

Conclusión: Navegando polo futuro do cumprimento das cookies

A evolución das cookies, desde o seguimento básico ata o cumprimento estrito, reflicte unha reflexión máis ampla sobre como se construíu a infraestrutura dixital sen as salvagardas de privacidade adecuadas. O que comezou como unha solución de enxeñaría de 30 liñas en 1994 converteuse na base dun ecosistema publicitario de billóns de dólares, e despois converteuse nunha das tecnoloxías máis litixiosas da historia reguladora. [1]

Próximos pasos accionables para propietarios de sitios web e desenvolvedores en 2026:

Realizar unha auditoría completa de cookies do seu sitio web, incluíndo todos os scripts de terceiros cargados a través de xestores de etiquetas
Implementar unha Plataforma de Xestión de Consentimento como Biscotti CMP para xestionar a recollida e documentación de consentimento consciente da xurisdición
Revisar o seu banner de consentimento segundo a orientación reguladora actual, comprobando especificamente os patróns escuros e as opcións de aceptar/rexeitar de igual peso
Desenvolver unha estratexia de datos de primeira parte para reducir a dependencia das cookies de seguimento de terceiros
Establecer un recordatorio de calendario recorrente para volver a auditar as cookies trimestralmente, xa que os scripts de terceiros cambian con frecuencia
Asegurarse de que a súa política de privacidade reflicta con precisión as categorías e propósitos de todas as cookies en uso

O panorama de cumprimento seguirá evolucionando. As regulacións de privacidade están a expandirse xeograficamente, a aplicación está a intensificarse e os provedores de navegadores están a construír restricións adicionais directamente nas súas plataformas. As organizacións que traten a gobernanza das cookies como unha disciplina operativa continua en lugar dun proxecto de implementación única estarán mellor posicionadas para manter tanto a confianza do usuario como a posición reguladora.

Preguntas frecuentes

Cal é a diferenza entre unha cookie de sesión e unha cookie persistente? Unha cookie de sesión elimínase cando se pecha o navegador e úsase para manter o estado durante unha única visita, como manter un usuario conectado. Unha cookie persistente ten unha data de caducidade definida e permanece no dispositivo entre sesións, usada para preferencias, análises e publicidade.

Todas as cookies requiren consentimento baixo o GDPR? Non. As cookies estritamente necesarias, como as requiridas para a autenticación de inicio de sesión ou a funcionalidade do carro da compra, están exentas dos requisitos de consentimento baixo o GDPR. Todas as cookies non esenciais, incluídas as cookies de análises e publicidade, requiren o consentimento previo explícito.

Que é unha Plataforma de Xestión de Consentimento (CMP)? Unha CMP é unha ferramenta de software que xestiona a recollida, almacenamento e aplicación do consentimento do usuario para as cookies. Presenta o banner de consentimento, rexistra as eleccións do usuario e sinala esas eleccións ás etiquetas de marketing e análises posteriores. Biscotti CMP (www.biscotti-cmp.com) é unha desas plataformas construídas para o cumprimento de múltiples xurisdicións.

Pode funcionar un sitio web sen cookies? Si, pero con limitacións significativas. A funcionalidade principal, como a persistencia do inicio de sesión, os carros da compra e o contido personalizado, normalmente depende das cookies de primeira parte. As funcións de análises e publicidade pódense substituír parcialmente por alternativas sen cookies, pero con menor precisión.

Que é un patrón escuro nun banner de consentimento de cookies? Un patrón escuro é unha técnica de deseño que manipula aos usuarios para que acepten cookies que doutro xeito rexeitarían. Exemplos inclúen facer que o botón "Aceptar todo" sexa prominente e colorido mentres se oculta "Rexeitar todo" detrás de varios menús, ou usar caixas premarcadas para categorías non esenciais.

Canto tempo deben conservarse os rexistros de consentimento? Segundo o GDPR, os rexistros de consentimento deben conservarse durante o tempo que continúe a actividade de procesamento, máis un período razoable para demostrar o cumprimento en caso de consulta reguladora. Moitas organizacións conservan os rexistros de consentimento durante un mínimo de tres anos.

Que é o Control de Privacidade Global (GPC)? GPC é un sinal a nivel de navegador que comunica automaticamente a preferencia de exclusión dun usuario aos sitios web. Segundo o CCPA/CPRA, as empresas de California están obrigadas a respectar os sinais de GPC como unha exclusión válida da venda ou compartición de datos persoais.

As cookies de análises considéranse datos persoais baixo o GDPR? Xeralmente si. As cookies de análises que asignan un identificador único a un navegador pódense usar para perfilar o comportamento individual ao longo do tempo, o que constitúe o procesamento de datos persoais baixo o GDPR, requirindo unha base legal como o consentimento.

Que ocorre se un sitio web non cumpre as regras de cookies do GDPR? As autoridades de protección de datos poden emitir advertencias, reprimendas e multas. As multas do GDPR por violacións de cookies oscilaron entre decenas de miles e centos de millóns de euros, dependendo da gravidade, duración e número de individuos afectados.

É válido o consentimento implícito (continuar navegando) baixo o GDPR? Non. O Tribunal de Xustiza da Unión Europea e varias autoridades de protección de datos confirmaron que a navegación continuada non constitúe un consentimento válido. O consentimento debe ser un acto afirmativo e inequívoco.