7 Dark Patterns en Cookie Banners con evaluación legal

Dark Pattern 1: Casillas preseleccionadas para los visitantes

Estado: Esto no es conforme con el RGPD.

Descripción: Las cookies esenciales están permitidas y pueden estar seleccionadas. Puede ser tentador preseleccionar también otras categorías. Esto probablemente resultaría en que más visitantes consientan las cookies funcionales, que son necesarias para muchas funciones de un sitio web moderno. Con la combinación de los botones «Aceptar todo» y «Guardar configuración», los visitantes podrían dar su consentimiento fácilmente. Sin embargo, recuerda: esta práctica no está permitida en la UE.

Dark Pattern 2: Cookies mal clasificadas

Estado: Esto no es conforme con el RGPD.

Descripción:

Si el primer truco con las casillas preseleccionadas no funciona, ¿quizás intentar declarar funcionalidades esenciales como esenciales? Claramente, esto no está permitido.

El gran problema con las cookies esenciales es que solo muy, muy pocas están permitidas.

• ¿Analytics? No. No es esencial. Tu Google Analytics tiene que quedarse fuera.
• ¿Vídeos? Ja. No, especialmente si usas hosts de vídeo populares de EE. UU. (Tampoco su opción de «sin cookies» o «menos rastreo»)
• ¿Algo relacionado con publicidad? ¿El Meta o Google Pixel? Eh, no. Obviamente no.
• ¿Tu CRM? Claramente... no es esencial.

... y lamentablemente, la lista continúa.

Dark Pattern 3: Sin opción de rechazar en la primera pantalla

Estado: Esto no es conforme con el RGPD.

Descripción: Es habitual ver cookie banners donde la opción de rechazar todas las cookies no está disponible de forma inmediata. En su lugar, está oculta detrás de un botón de «configuración» o similar. Esto aumenta significativamente las tasas de aceptación, ya que menos visitantes están dispuestos a navegar por un proceso engorroso. Es importante destacar que la opción de rechazar debe ser tan fácil de acceder como la de aceptar, lo que significa que debe mostrarse de forma destacada en la primera pantalla.

Dark Pattern 4: Hacer el botón de rechazar discreto y ocultarlo

Estado: Esto no es conforme con el RGPD.

Descripción: Si la opción de rechazar debe estar en la primera pantalla, algunos intentan hacerla tan discreta que apenas se nota. Los visitantes normalmente no quieren dedicar mucho tiempo a mirar banners y suelen elegir uno de los botones más prominentes. Un diseño así puede aumentar la tasa de aceptación de cookies. Sin embargo, no está permitido: como se explica en el Dark Pattern 3, la opción de rechazar debe ser tan accesible y visible como la de aceptar.

Dark Pattern 5: Hacer el botón de rechazar menos prominente

Estado: Aceptable en algunos países de la UE.

Descripción: ¿Estamos entrando en una zona gris donde cierta manipulación podría ser permisible? Bueno, más o menos. Siguiendo la lógica actual, el siguiente paso implica el diseño de los dos botones: Aceptar y Rechazar. Esto es marginalmente aceptable en algunos países de la UE. Consulta nuestra fuente al final del artículo para más detalles.

Dark Pattern 6: Mostrar repetidamente el cookie banner a visitantes que han rechazado

Estado: Aceptable en algunos países de la UE.

Descripción:

Simplemente no guardar cuando alguien ha rechazado puede ser una estrategia. Si los visitantes vuelven con regularidad, eventualmente pueden hartarse lo suficiente como para aceptar. Este proceso de preguntar repetidamente se conoce como "nudging".

Por supuesto, almacenar la respuesta en un cookie banner forma parte de las tecnologías esenciales, así que está permitido y no hay razón para no hacerlo. Sin embargo, puede que no sea muy agradable para tus visitantes sentirse molestados cada vez que visitan tu sitio, ¿verdad?

Dark Pattern 7: Cookie banner "sticky" con consentimiento implícito al usar el sitio

Estado: Lo adivinaste... no está permitido.

Descripción:

Esta es una táctica que se ha observado durante un largo período. Un banner que permanece fijo en la parte inferior de una página web ("sticky") a veces indica que el uso continuado del sitio web implica consentimiento.

Hay dos puntos clave a considerar: El consentimiento automático no es aceptable. Un banner sticky en sí mismo no necesariamente viola el Reglamento General de Protección de Datos (RGPD). Sin embargo, es crucial que la no interacción con el banner se interprete como rechazo. Debes asegurarte de que no se cargue nada antes de que los visitantes acepten. Nada de Google Analytics antes de eso, nada de YouTube... Normalmente, un banner así resulta en una tasa de rechazo mucho mayor, ya que la mayoría de los visitantes simplemente lo ignoran.

Ejemplo: Cómo deberían diseñarse los cookie banners en la práctica

El mensaje central en el diseño de cookie banners es simple: cualquier presión sobre los visitantes para que consientan no es aceptable.

ConPolicy ha desarrollado una «Buena Práctica» para cookie banners en colaboración con organizaciones como CookieFirst, Access Now, Telefonica y el BMUV. Los detalles de esta iniciativa se pueden consultar aquí (en alemán).

Lo que necesitas:

• Opciones equivalentes: Debe haber una opción clara para aceptar todas las cookies así como para rechazar todas.
• Consentimiento personalizable: Debe proporcionarse una opción para personalizar el consentimiento. Puede estar en la primera pantalla, pero no es obligatorio.
• Cerrar = Rechazar: Si se ofrece la opción de cerrar el banner, debe ser equivalente a seleccionar «rechazar todo».

Más detalles y fuentes

A menudo nos referimos al informe del verano de 2024, "noyb's Consent Banner Report: How authorities actually decide" que puedes consultar aquí. Este informe ilustra cómo las autoridades toman decisiones. Sin embargo, siempre se recomienda consultar la opción elegida con expertos en protección de datos para garantizar el cumplimiento.

El mejor diseño de cookie banner: no tener cookie banner

Sí, a veces es difícil de implementar, pero nadie te obliga a tener un cookie banner. La clave aquí es utilizar herramientas sin cookies y que no requieran consentimiento.

Existen alternativas para muchos servicios que no requieren consentimiento según el RGPD. Están diseñadas para no trabajar con los datos personales de tus visitantes.

Ejemplo:

• Para vídeos. Eh, ¡nosotros! Ignite es privacy-first y no requiere consentimiento, lo que lo convierte en una excelente alternativa a YouTube, Vimeo, Wistia, etc.
• Una alternativa a Google Analytics podría ser "Plausible" o "SimpleAnalytics".
• Una alternativa al ReCaptcha de Google es Friendly Captcha, etc.

En cuanto tengas un servicio que requiera consentimiento, necesitarás el cookie banner de nuevo. Pero eso no debería impedirte reemplazar proveedores; al fin y al cabo, las herramientas funcionan para todos los visitantes, no solo para los que dan su consentimiento.

Especialmente con los vídeos, este efecto es muy notable. Has gastado mucho dinero produciendo tus vídeos; ocultarlos detrás de soluciones de 2 clics no tiene sentido. Cuantas más personas vean realmente tus vídeos, mejor.