- Consent Mode v2 es la forma en que un sitio web indica a las etiquetas de Google lo que ha aceptado un visitante, con cuatro señales: ad_storage, analytics_storage, ad_user_data y ad_personalization.
- Consent Mode no recoge el consentimiento: lo hace tu banner de cookies, y Consent Mode transmite la respuesta a Google.
- En la UE, las cookies de tracking para publicidad necesitan consentimiento previo, y todo uso de datos personales necesita una base jurídica conforme al RGPD.
- El server-side tracking cambia desde dónde se envían los datos, no si puedes enviarlos, así que no elimina la necesidad de consentimiento.
- ROASaurus no establece las señales de Consent Mode para tus etiquetas de Google. En Shopify sigue la Customer Privacy API; en otras tiendas online lee tu herramienta de consentimiento, incluido Google Consent Mode.
Consent Mode v2 es la forma que tiene Google de que un sitio web indique a sus etiquetas de Google si un visitante aceptó las cookies y el uso de sus datos para anuncios. Usa cuatro señales: ad_storage, analytics_storage, ad_user_data y ad_personalization. No pide el consentimiento por sí mismo. Lo pide tu banner de cookies y Consent Mode transmite la respuesta a Google.
Esta guía explica las cuatro señales, el Consent Mode básico y el avanzado, lo que la ley de la UE exige a una tienda online a grandes rasgos, cómo encaja el server-side tracking y cómo gestiona ROASaurus el consentimiento.
¿Qué es Consent Mode v2?
Consent Mode es una función de Google para sitios web y apps. El sitio establece un estado de consentimiento por defecto para cada visitante, normalmente denegado, y lo actualiza cuando el visitante responde al banner de cookies. Las etiquetas de Google leen ese estado y cambian su comportamiento. Con consentimiento, funcionan con normalidad. Sin consentimiento, no leen ni escriben cookies publicitarias y envían datos limitados o ninguno, según tu configuración.
La versión 2 añadió dos señales, ad_user_data y ad_personalization. Google las introdujo al reforzar la aplicación de su política de consentimiento de usuarios de la UE. Para los visitantes del Espacio Económico Europeo (EEE), los anunciantes que quieran usar la personalización de anuncios y la medición deben recoger el consentimiento y compartir las señales de consentimiento con Google. La política en sí abarca a los visitantes del EEE, el Reino Unido y Suiza.
Las cuatro señales de consentimiento
| Señal | Qué controla | Cuando se deniega |
|---|---|---|
ad_storage | Cookies e identificadores del dispositivo para publicidad | No se escriben ni se leen cookies publicitarias |
analytics_storage | Cookies e identificadores para analítica, como la duración de la visita | No se escriben ni se leen cookies de analítica |
ad_user_data | Envío de datos de usuario a Google para publicidad | No se recogen datos personales para anuncios, incluidos los datos con hash de las conversiones mejoradas |
ad_personalization | Publicidad personalizada | El remarketing y otros anuncios personalizados no reciben datos |
Un banner de cookies asigna sus propias categorías a estas señales. Una asignación habitual es: la categoría de marketing o publicidad establece ad_storage, ad_user_data y ad_personalization, y la categoría de analítica o estadísticas establece analytics_storage. Comprueba cómo lo hace tu herramienta de consentimiento, porque un solo error de asignación envía la respuesta equivocada a todas las etiquetas de Google de tu sitio.
Consent Mode básico y avanzado
Google ofrece dos formas de implementar Consent Mode. La diferencia es lo que ocurre antes del consentimiento y sin él.
- Las etiquetas de Google no se cargan hasta que el visitante responde al banner
- Si el visitante rechaza, no se envía ningún dato a Google, ni siquiera el estado de consentimiento
- El modelado de conversiones usa un modelo general
- Las etiquetas de Google se cargan enseguida, con el consentimiento denegado por defecto
- Sin consentimiento, las etiquetas envían mediciones sin cookies
- El modelado de conversiones usa un modelo creado para el anunciante
Técnicamente, Consent Mode funciona con dos comandos. El comando default establece el estado de consentimiento antes de que cualquier etiqueta de Google envíe datos. El comando update lo cambia cuando el visitante responde al banner.
// On every page, before any Google tag sends data:
gtag('consent', 'default', {
ad_storage: 'denied',
ad_user_data: 'denied',
ad_personalization: 'denied',
analytics_storage: 'denied'
});
// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
ad_storage: 'granted',
ad_user_data: 'granted',
ad_personalization: 'granted',
analytics_storage: 'granted'
});Las plataformas de gestión del consentimiento suelen enviar estos comandos por ti. Comprueba que lo hacen y que envían el update en cada página después de que el visitante haya respondido, no solo en la página donde se mostró el banner.
Lo que la ley de la UE exige a una tienda online
Dos leyes de la UE importan sobre todo para el tracking publicitario, y Google añade su propia política encima. Esto es un resumen a grandes rasgos.
Las normas de ePrivacy sobre cookies
La Directiva ePrivacy cubre el almacenamiento de información en el dispositivo de un visitante, como las cookies, y su lectura posterior. Las cookies estrictamente necesarias para un servicio que el visitante ha pedido, como el carrito de la compra o un inicio de sesión, no necesitan consentimiento. Las cookies de tracking para publicidad sí. Según la guía de la UE para empresas, el consentimiento va primero: esas cookies no se pueden instalar cuando la página se abre por primera vez. El consentimiento debe darse por finalidad, y retirarlo debe ser tan fácil como darlo.
El RGPD y los datos personales
El RGPD se aplica a todo uso de datos personales, como una dirección de email, un número de teléfono o los datos de un pedido. Cada uso necesita una de las seis bases jurídicas, por ejemplo el consentimiento, un contrato o el interés legítimo. Solo puedes tratar los datos que necesites para la finalidad. Un servicio que trata datos personales por ti, como una herramienta de tracking, necesita un contrato escrito contigo.
La política de consentimiento de usuarios de la UE de Google
Si usas los productos publicitarios de Google, esta política añade una obligación contractual. Para los visitantes del EEE, el Reino Unido y Suiza, debes obtener un consentimiento válido para las cookies cuando la ley lo exija y para el uso de datos personales para personalizar anuncios. Debes conservar registros del consentimiento, explicar cómo retirarlo y nombrar claramente a cada parte que recibe los datos.
| Norma | Qué abarca | Ejemplo en una tienda online |
|---|---|---|
| Directiva ePrivacy | Almacenar información en el dispositivo y leerla después | La cookie del píxel de Meta, una cookie de id de visitante |
| RGPD | Cualquier tratamiento de datos personales | Enviar un email con hash junto con una compra a una plataforma publicitaria |
| Política de consentimiento de usuarios de la UE de Google | Productos publicitarios de Google usados con visitantes del EEE, el Reino Unido y Suiza | Pasar las señales de Consent Mode a las etiquetas de Google |
¿El server-side tracking necesita consentimiento?
El server-side tracking cambia desde dónde se envía un evento: tu servidor en lugar del navegador del visitante. No cambia lo que puedes enviar. Dos puntos lo explican.
Primero, la mayoría de las configuraciones server-side siguen empezando en el navegador. Un script lee el click id de la URL de llegada y lo guarda en el dispositivo, así que las normas de ePrivacy se aplican a ese paso. Segundo, enviar una compra con un email con hash, una dirección IP o un click id a una plataforma publicitaria es un tratamiento de datos personales. Necesita una base jurídica conforme al RGPD, sea cual sea la ruta que siga el dato. Nuestra guía sobre qué es el server-side tracking explica la parte técnica.
Minimización de datos y hash
Envía lo que la plataforma necesita para vincular y contar la conversión, no el pedido entero. Las plataformas publicitarias piden que los campos personales, como el email y el teléfono, se normalicen y se les aplique el hash SHA-256 antes de enviarlos. El hash protege el valor original en su camino hacia la plataforma, pero no es anonimización: la plataforma compara el hash con sus propios datos de usuario para encontrar una coincidencia. Trata los datos con hash como datos personales.
Qué envía una tienda online con y sin consentimiento
Como ejemplo de dónde traza la línea una herramienta, esto es lo que hace ROASaurus en Shopify con Respect visitor consent activado, que es el valor por defecto.
| Dato | El visitante permite las cookies de marketing | El visitante rechaza |
|---|---|---|
| Cookie de id de visitante | Establecida | No establecida |
| Click ids y UTM | Almacenados | No almacenados |
| Eventos de navegación, como visitas de página y añadidos al carrito | Almacenados con el id de visitante | Conservados sin id de visitante, dirección IP ni datos del navegador, y no enviados a las plataformas publicitarias |
| Píxeles del navegador de Meta, TikTok y otros | Cargados y enviando eventos | No cargados, sin eventos del navegador |
| Conversión de Google Ads desde el checkout de Shopify | Enviada | No enviada |
| Pedido pagado, enviado desde el servidor | Enviado con click ids, datos de cliente con hash del pedido, y la dirección IP y el user agent | Se envía a Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft y Taboola con los datos del cliente del pedido con hash, y la dirección IP y el user agent del pedido, sin click ids. LinkedIn y los destinos añadidos después no reciben nada; GA4 recibe una venta anónima |
| Dirección de la landing page de un pedido de Shopify | Se usa en los informes de atribución de ROASaurus, no se envía a las plataformas publicitarias | Se usa en los informes de atribución de ROASaurus, no se envía a las plataformas publicitarias |
Si se puede enviar el pedido pagado de un visitante que rechazó es una cuestión jurídica, y la respuesta puede variar según la tienda y el país. ROASaurus lo envía por defecto. Si tu asesoramiento jurídico indica que los eventos de compra también necesitan consentimiento previo, ponte en contacto con ROASaurus antes de activar las compras server-side. Consentimiento y privacidad tiene los detalles para Shopify y otras tiendas online.
Cómo gestiona ROASaurus el consentimiento y las señales de Consent Mode
ROASaurus no establece las señales de Google Consent Mode para tus etiquetas de Google. Lee la elección del visitante de una fuente distinta según tu tienda online:
- En Shopify, el script de la tienda y los píxeles del checkout leen la Customer Privacy API de Shopify, que rellena tu banner de cookies. El píxel del checkout también sigue una elección que el comprador cambie durante el checkout. La guía sobre server-side tracking en Shopify muestra cómo funciona paso a paso.
- En otras tiendas online, el script de ROASaurus lee OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, los banners IAB TCF, los comandos
consentde Google Consent Mode y la WP Consent API. Con Google Consent Mode, el consentimiento de marketing significa quead_storageyad_user_dataestán concedidos, y puedes asignar otras categorías por herramienta. Con otro banner, llama atlq('consent', true)otlq('consent', false)cuando el visitante elija. - Las conversiones de Google Ads se envían solo desde el checkout de Shopify. ROASaurus carga allí la etiqueta de Google solo para los compradores que permiten las cookies de marketing, pero no envía con ella señales de Consent Mode.
- Desde el servidor, ROASaurus transmite la elección en los propios campos de consentimiento de Google: los eventos de Google Analytics 4 llevan
ad_user_datayad_personalization, concedidos para los visitantes que dieron su consentimiento y denegados para los pedidos enviados como ventas anónimas, y las subidas de leads a Google Ads llevan el consentimientoad_user_data.
Tus propias etiquetas de Google siguen necesitando Consent Mode. Si usas etiquetas de Google Ads o Google Analytics en tu sitio, tu banner o tu herramienta de consentimiento tiene que enviarles las señales. Si anuncias a visitantes del EEE, consulta con el proveedor de tu herramienta de consentimiento o con tu desarrollador si tu configuración completa, incluidas las conversiones de Google Ads desde el checkout, cumple los requisitos de Google para tu cuenta.
Lista de comprobación de consentimiento para tiendas online
- Instala un banner de cookies
Debe bloquear las cookies de marketing, y las de analítica cuando tu ley lo exija, hasta que el visitante acepte. En Shopify, usa un banner que escriba en la Customer Privacy API.
- Asigna el banner a Consent Mode
Establece las cuatro señales como denegadas por defecto y actualízalas desde el banner, para que tus etiquetas de Google sigan la elección del visitante.
- Configura tu herramienta de tracking para que respete el consentimiento
En ROASaurus, mantén activado Respect visitor consent en Store settings. En tiendas online distintas de Shopify, comprueba que ROASaurus lee tu herramienta de consentimiento, o transmite la decisión con
tlq('consent', …). - Decide sobre las compras server-side
Pregunta a tu asesor jurídico si se pueden enviar los pedidos pagados de los visitantes que rechazaron y con qué base jurídica.
- Actualiza tu aviso de privacidad y tus contratos
Nombra cada plataforma publicitaria que reciba datos, explica cómo retirar el consentimiento y firma un acuerdo de tratamiento de datos con cada encargado del tratamiento.
- Prueba ambas respuestas
Rechaza las cookies en una ventana privada del navegador y comprueba en las herramientas para desarrolladores que no se carga ningún píxel publicitario ni se establece ninguna cookie de id de visitante. Después acepta y comprueba que aparecen ambos.
Fuentes
- Google for Developers: Consent mode overview
- Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
- Google: EU user consent policy
- Your Europe: Online privacy, how to use cookies on your website
- Your Europe: Data protection under GDPR
En ROASaurus
- Ayuda: consentimiento y privacidad
- Server-side tracking en ROASaurus
- Integración con Google Ads
- Integración con Shopify