Analítica sin banners. Diseñado para cumplir el RGPD, no por papeleo.
Los requisitos de consentimiento dependen del tratamiento y de las normas aplicables. Revisa la configuración técnica junto a la guía oficial para entender cuándo la medición puede funcionar sin diálogo de consentimiento y qué condiciones siguen aplicando.
Por qué los banners de cookies dejaron de funcionar
Los banners de consentimiento nunca fueron una estrategia de medición — fueron un instrumento de compliance pegado encima de una estrategia de medición que asumía que todos decían que sí. Tres cosas rompieron esa asunción, y una regulación de 2026 la rompió aún más.
Las tasas de rechazo superaron la línea de break-even
Cuando el visitante europeo medio decía sí el 80% del tiempo, la analítica de cookies absorbía la pérdida del 20%. Hoy la media de marcas consumer está entre 40% y 60% de rechazo. Las decisiones sobre el 40% restante son decisiones sobre una muestra auto-seleccionada — típicamente mayor, menos móvil, menos consciente de privacidad. El sesgo es silencioso y estructural.
El enforcement de dark-patterns cerró el agujero
La CNIL multó a Google y Amazon por diseño asimétrico de banner en 2023. El Garante italiano siguió, y los reguladores nacionales de la UE tratan ya un botón de «rechazar» escondido como infracción por sí misma: debe ser tan prominente como «aceptar», sin casillas pre-marcadas, sin copy manipulador. La ventana breve en la que el diseño inteligente de banner elevaba las tasas de aceptación está cerrada.
La fatiga de banner es ahora un coste UX documentado
Un estudio de la Universidad de Amsterdam de 2025 midió una caída del 14% en el engagement de primera página cuando el banner era la primera interacción. Para un eCommerce con paid acquisition a €5–30 CPC, el coste de abandono sólo por el banner ya excede el valor de los datos analíticos que lo gating.
El Digital Omnibus redibujaría la línea
La propuesta de la Comisión de noviembre de 2025 trasladaría las reglas sobre el equipo terminal al RGPD y eximiría de consentimiento la medición de audiencia agregada y first-party. Sigue siendo una propuesta — adopción realista en 2027–2028 — pero la dirección es clara. Lee las implicaciones prácticas en el impacto del banner sobre tu analítica. Efecto neto: el coste legal de correr analítica basada en cookies subió; la analítica sin consentimiento carga con algo más ligero: cumplir las condiciones de la exención.
La ruta arquitectónica a la legalidad
La exención no es una interpretación inteligente; es la redacción original. Tres anclajes regulatorios definen la vía, y un sistema de medición o vive dentro de ellos por diseño o no.
Anclaje 1
Art. 2 RGPD — ámbito material
El RGPD aplica al «tratamiento de datos personales». Dato personal es cualquier información que se refiere a una persona física identificada o identificable. Si un sistema de medición informa solo con conteos agregados — nunca un identificador persistente, nunca un perfil de comportamiento — sus informes no contienen datos personales. Un identificador de sesión seudonimizado tratado por el camino sigue siendo dato personal y necesita base jurídica, como el interés legítimo. Evalúa el dato en cada fase, no solo el informe final.
Anclaje 2
Art. 5(3) ePrivacy — almacenamiento en dispositivo
ePrivacy exige consentimiento antes de almacenar o acceder a información en el dispositivo del usuario. El ejemplo clásico es una cookie. Si el sistema de medición no escribe cookie ni localStorage, no conserva identificadores persistentes y usa lo que lee solo para las estadísticas de audiencia de la propia web — sin seguimiento entre webs ni reutilización —, encaja en la exención de medición de audiencia que autoridades como la CNIL y la AEPD aplican al Art. 5(3). No se requiere diálogo de consentimiento para esa ruta de procesamiento.
Anclaje 3
Los criterios de exención de la CNIL
La CNIL describe una exención condicionada para la medición de audiencia. Su alcance incluye límites de finalidad, de combinación de datos y de uso entre sitios, junto a otros requisitos. Revisa la guía completa de la CNIL frente a la configuración desplegada. Una etiqueta de producto no basta para dar por cumplida cada condición.
La implementación técnica — recolección first-party server-side sin identificadores persistentes — está documentada en analítica sin cookies. El diagrama de arquitectura y el detalle del pipeline viven en Cómo funciona. La misma respuesta para el marketer que tiene que explicarlo a su equipo, con dibujos, está en por qué Sealmetrics mide sin consentimiento.
Guía de autoridades, por país
Seis autoridades europeas de protección de datos han publicado guía explícita de exención para analítica que cumple los criterios arquitectónicos. La redacción cambia; la conclusión converge.
Francia
CNILRevisa la guía de la CNIL sobre medición de audiencia y las condiciones de la exención de consentimiento.
Alemania
DSK / BfDIConsulta la guía de la DSK para las reglas aplicables al despliegue concreto en Alemania: la DSK no extiende la exención del §25(2) TDDDG a la medición de audiencia.
España
AEPDRevisa la guía de cookies de la AEPD y evalúa la finalidad y la configuración de la medición.
Italia
GaranteConsulta la guía del Garante sobre cookies y otras tecnologías de seguimiento.
Reino Unido
ICO (PECR)La Sección 99 de la Data (Use and Access) Act 2025 modifica la Regulación 6 de PECR para permitir almacenar o acceder a información en el dispositivo del usuario sin consentimiento cuando la única finalidad es compilar estadísticas. En vigor desde el 5 de febrero de 2026.
Países Bajos
Autoriteit PersoonsgegevensConsulta la guía de la autoridad neerlandesa sobre cookies y analítica antes de evaluar una exención.
Las páginas dedicadas por país (/es/gdpr-analytics/france,/spain,/germany) son parte del roadmap de contenido para Q3 2026.
«Sin consentimiento» vs «consent-light» — la distinción que importa para DPOs
Confusión común: herramientas de analítica ligera que dicen «no banner needed» mientras siguen instalando una cookie first-party o un ID de visitante aleatorio. Desde la perspectiva de integración con CMP la experiencia es parecida. Desde la perspectiva regulatoria, no son la misma categoría.
Consent-light
- Instala una cookie first-party o ID de visitante (a menudo aleatorio).
- Se justifica bajo «interés legítimo» — postura que varias autoridades han rechazado para tracking entre sesiones.
- Almacena el identificador en el dispositivo → el Art. 5(3) ePrivacy se sigue disparando.
- El argumento depende de una interpretación banner-free que las autoridades pueden cuestionar caso por caso.
Sin consentimiento (Sealmetrics)
- No instala cookie, no escribe localStorage, no genera ID de visitante.
- El ámbito material RGPD no se activa — no se procesan datos personales.
- El Art. 5(3) ePrivacy no se dispara — nada se almacena en el dispositivo.
- Alineado con los criterios de exención CNIL, la guía AEPD, la posición DSK, las declaraciones de AP y ICO.
Para un DPO evaluando riesgo de vendor, la pregunta práctica es: ¿la defensa de la herramienta depende de interpretación regulatoria, o de la ausencia de condiciones disparadoras? La arquitectura sin consentimiento es la segunda respuesta.
Qué viene con la plataforma
La exención arquitectónica elimina la carga del consentimiento. La siguiente documentación cubre el resto de una revisión de vendor:
Data Processing Agreement, Art. 28 RGPD compliant, firmado por Sealmetrics S.L. como encargado. Pre-rellenado, listo para contraseñar.
Documento de revisión de transferencia, privacidad y seguridad. Cubre flujos de datos, sub-procesadores (ninguno fuera de la UE sobre dato de visitante), retención, cifrado en reposo y en tránsito, control de accesos y procedimiento de brecha.
Lista completa de sub-procesadores con sus roles, jurisdicciones y DPAs se incluye en el paquete TPSR. UE-only por política.
Todo el procesamiento en Dublín, Irlanda, sobre infraestructura europea. Sin sub-procesadores estadounidenses en la ruta de datos analíticos. Evaluación de transferencia Schrems II innecesaria — no hay transferencia.
Fija e idéntica para todos los planes, aplicada por TTL automático de base de datos: log técnico a nivel de evento 1 día, agregados horarios 90 días, agregados diarios y conversiones 24 meses. No se almacenan datos crudos a nivel individual más allá de la ventana de agregación al milisegundo.
La documentación completa de seguridad y arquitectura vive en Seguridad. Actualmente no estamos certificados en ISO 27001 ni SOC 2 — el roadmap y los controles que ya operamos están documentados completos.
Lectura relacionada
Preguntas frecuentes de DPOs
- ¿La analítica sin consentimiento es realmente legal bajo RGPD?
- Depende del tratamiento real y de las normas aplicables. Revisa si se tratan datos personales, si se almacena o se lee información del dispositivo y si aplica una exención. La CNIL describe una exención condicionada para la medición de audiencia. Las demás fuentes oficiales enlazadas abajo deben leerse en sus propios términos: no establecen una exención uniforme ni certifican ningún producto. En Alemania, la DSK no extiende la exención a la medición de audiencia.
- ¿Qué cambiaría el Digital Omnibus UE?
- Todavía nada: es una propuesta de la Comisión (COM(2025) 837, de 19 de noviembre de 2025), en procedimiento legislativo ordinario, con enmiendas sustantivas probables y adopción realista en 2027–2028. Tal como está redactada trasladaría las reglas sobre el equipo terminal al RGPD mediante un nuevo artículo 88a y eximiría de consentimiento la medición de audiencia agregada, first-party y de uso propio del responsable. Si sale adelante en esa forma, el banner deja de ser la línea divisoria y la pregunta pasa a ser qué te cuesta en medición una configuración de exención. La arquitectura sin consentimiento no se ve afectada en ningún caso — no hay banner que diseñar ni consentimiento que registrar.
- ¿Sigo necesitando un banner por otras razones?
- Posiblemente — para pixels de Google Ads, Meta, herramientas A/B o cualquier script third-party que sí instale cookies. Sealmetrics elimina la razón específica de analítica para el banner, no todas las razones. Muchos equipos reducen el alcance del banner (o lo eliminan en páginas sin ad-pixels) cuando la analítica se mueve a una capa sin consentimiento.
- ¿En qué se diferencia de herramientas «consent-light» o «privacy-friendly»?
- La mayoría de herramientas lightweight todavía instalan una cookie first-party o un ID de visitante aleatorio — son consent-light, no consentless. Las etiquetas de producto no bastan para comparar despliegues: revisa identificadores, finalidades, combinación de datos y capacidades de reporting frente a los requisitos aplicables. Sealmetrics se centra en la medición agregada; revisa su documentación actual y tu configuración antes de decidir si hace falta consentimiento.
- ¿Y Schrems II y las transferencias a EE.UU.?
- El procesamiento es exclusivamente en Dublín, Irlanda, sobre infraestructura europea. No hay sub-procesadores estadounidenses en la ruta de datos. No se requiere evaluación de impacto de transferencia Schrems II porque no hay transferencia. El DPA, las SCCs (donde sean necesarias para servicios auxiliares) y el paquete TPSR están disponibles para revisión legal.
- ¿Cambia la base legal si añado CRM o marketing tools después?
- La base legal de la capa de analítica no cambia. Lo que cambia es la superficie general: si añades una herramienta que sí almacena cookies o procesa datos personales, esa herramienta trae su propio requisito de consentimiento. El estatus de Sealmetrics lo determina su propia arquitectura, no las otras herramientas que corran junto a ella.
Una revisión legal. Resuelta.
Reserva 30 min con el founder. Trae a tu DPO. Resolvemos las preguntas de arquitectura y te entregamos el DPA + TPSR en la llamada.
Hecho por un founder · alojado en UE por diseño