Una página web puede tratar más datos de los que la empresa imagina. Herramientas de analítica, publicidad, mapas, chats, videos embebidos y píxeles pueden recopilar identificadores, comportamiento de navegación o información del dispositivo. Por eso, un banner genérico de “aceptar cookies” no debería ser el único control de privacidad del sitio.

No todas las tecnologías tienen la misma finalidad

El primer paso es inventariar qué herramientas se cargan en el sitio y para qué sirven. Algunas son necesarias para funciones solicitadas por el usuario; otras se utilizan para medición, personalización o publicidad. La empresa debe conocer qué información recopilan, qué proveedor la recibe y si el tratamiento puede identificar o hacer identificable a una persona directa o indirectamente.

El mecanismo de consentimiento debe corresponder al tratamiento real

Cuando una tecnología dependa del consentimiento como base de legitimación, la aceptación debería ser informada, específica y trazable. Un diseño que activa herramientas opcionales antes de la decisión del usuario o que dificulta rechazar y retirar preferencias puede generar una brecha entre el aviso publicado y el funcionamiento técnico real del sitio.

Para las tecnologías que requieren consentimiento, bloquee la ejecución hasta la acción afirmativa del visitante; no use casillas premarcadas ni considere el silencio como aceptación. Conserve evidencia de la decisión y de la información presentada, y permita retirar el consentimiento de forma sencilla y gratuita. Pruebe el sitio antes de decidir, después de rechazar y después de retirar preferencias: la configuración debe coincidir con el artículo 8 de la LOPDP y el artículo 5 del Reglamento General.

El aviso de privacidad y el banner deben decir lo mismo

La política o aviso debería explicar categorías de tecnologías, finalidades, terceros involucrados, conservación y mecanismos para modificar preferencias. Antes de analizar el flujo internacional, clasifique el rol del proveedor por operación. El encargo genuino no constituye transferencia ni comunicación de datos, conforme al artículo 23 de la Resolución SPDP-SPD-2026-0004-R; operar fuera de Ecuador no cambia por sí solo esa calidad. Mantenga contrato escrito, instrucciones y garantías de seguridad. Si el destinatario decide finalidades propias como responsable independiente, examine el régimen de transferencias que corresponda.

La revisión debe repetirse cuando cambia la página

Es común que marketing instale una nueva etiqueta o que un proveedor incorpore componentes adicionales sin actualizar la documentación. Conviene incluir el inventario de cookies y rastreadores dentro del control de cambios del sitio, de forma que toda nueva herramienta sea revisada antes de entrar en producción y quede reflejada en los registros de cumplimiento.

Lista de comprobación del resto de la web

• Formularios: justifique cada campo y su base; distinga los necesarios de los opcionales e informe antes o al recoger datos.
• Recorrido: envíe una consulta de prueba y localícela en correo, CRM y proveedores; no presuponga que solo existe en el formulario.
• Proveedores y seguridad: compruebe contratos, accesos administrativos, cuentas compartidas, actualizaciones y respaldos según el riesgo.
• Conservación: defina plazo o criterio por finalidad y compruebe la eliminación en sistemas y copias pertinentes.
• Derechos: pruebe el canal de acceso, rectificación y eliminación, sus responsables y los plazos aplicables.
• Evidencia: registre cada hallazgo, quién debe corregirlo y la prueba que permitirá cerrarlo.

Esta lista orienta la revisión; su alcance debe adaptarse a los tratamientos y no certifica automáticamente el cumplimiento. Consulte los avisos por capas y la atención de derechos para completar el recorrido.

¿Tener un banner de cookies significa que mi página ya cumple?

No. El banner es solo una parte. Debe coincidir con las tecnologías que realmente se ejecutan, permitir una gestión adecuada de preferencias y estar conectado con el aviso de privacidad y la documentación interna.

¿Las cookies siempre son datos personales?

Depende de la información tratada y de si permite identificar o hacer identificable a una persona. Por eso la revisión debe hacerse sobre cada tecnología y no solo sobre el nombre “cookie”.

¿Tu página usa Google Analytics, Meta Pixel, chats, mapas u otras etiquetas sin un inventario actualizado? En TempoLegal revisamos el flujo de datos del sitio, consentimientos, avisos y proveedores para alinear la operación digital con la LOPDP.

jag@tempolegal.com  ·  097 888 7392  ·  www.tempolegal.com

Fuentes oficiales: LOPDP; Reglamento General; Norma de transferencias 2026-0004-R. Contenido revisado por TempoLegal al 12 de octubre de 2026.