Qué es una CMP (plataforma de consentimiento)

Una plataforma de gestión del consentimiento (CMP, por sus siglas en inglés) es el software que pregunta a tus visitantes si aceptan las cookies y otras formas de seguimiento similares, retiene todo lo que necesita consentimiento hasta que responden y guarda un registro de lo que eligieron. Muchas también generan la lista de cookies que necesita tu política y transmiten la elección a herramientas como Google Analytics. El banner es la parte que ves; la CMP es la maquinaria que hay detrás.

El término no es solo jerga de proveedores. La CNIL francesa lo usa en su recomendación sobre cookies, donde sugiere que la empresa que proporciona una CMP puede conservar, con marca de tiempo, las sucesivas configuraciones de la herramienta, como una forma de demostrar que el consentimiento se recogió correctamente.

Por qué la necesitan los sitios

En la UE, el artículo 5.3 de la Directiva ePrivacy solo permite a un sitio almacenar o leer información en el dispositivo de un visitante con su consentimiento, salvo que sea estrictamente necesario para un servicio que ha solicitado o se haga únicamente para transmitir una comunicación. El RGPD define después qué es el consentimiento: una manifestación de voluntad «libre, específica, informada e inequívoca», expresada «mediante una declaración o una clara acción afirmativa». El Reino Unido tiene una norma equivalente en el PECR.

En un sitio con un gestor de etiquetas, una herramienta de analítica, un píxel publicitario y un par de vídeos incrustados, cumplir esa norma a mano es casi imposible. Ese es el trabajo del que se encarga una CMP.

Qué hace una CMP

Muestra la elección. Un banner que ofrece Aceptar y Rechazar al mismo nivel, además de una forma de elegir por categorías. Cuando el grupo de trabajo sobre banners de cookies del CEPD consultó a las autoridades europeas, «una amplia mayoría» consideró una infracción que una capa del banner tenga un botón para aceptar pero ninguna opción para rechazar. El mismo informe confirma que las casillas premarcadas no producen un consentimiento válido.

Bloquea antes del consentimiento. Las cookies y los scripts que necesitan consentimiento tienen que esperar hasta que el visitante lo dé. Las cookies instaladas sin consentimiento fueron el motivo de la multa de 150 millones de euros de la CNIL a SHEIN en 2025, y nuestro análisis de lo que sancionan de verdad los reguladores muestra con qué frecuencia aparece este problema.

Registra la decisión. Según el artículo 7.1 del RGPD, «el responsable deberá ser capaz de demostrar que [el interesado] consintió». Una CMP guarda qué eligió cada visitante y cuándo.

Permite a los visitantes cambiar de opinión. El artículo 7.3 añade: «Será tan fácil retirar el consentimiento como darlo». En la práctica, eso significa un enlace o un icono que vuelve a abrir la elección en cualquier página.

Explica las cookies. El consentimiento solo cuenta si es informado, así que el banner y la política de cookies tienen que decir qué cookies usa el sitio y para qué. Cuáles de ellas necesitan realmente consentimiento es una cuestión de finalidad, que tratamos en qué cookies necesitan consentimiento.

Transmite la elección. Otras herramientas necesitan saber qué decidió el visitante:

Señal	Qué transmite	Quién la espera
Google Consent Mode	Cuatro tipos de consentimiento: `ad_storage`, `analytics_storage`, `ad_user_data` y `ad_personalization`	Las etiquetas de Google. Para los visitantes del EEE, Google dice que «debes recoger el consentimiento» y compartir las señales de consentimiento para seguir usando sus funciones de medición, personalización de anuncios y remarketing (Google)
Global Privacy Control (GPC)	Una señal del navegador que pide a los sitios que no vendan ni compartan los datos del visitante	El fiscal general de California dice que «las empresas sujetas a la ley deben respetarla como una solicitud válida del consumidor» (OAG)
El TCF de IAB Europe	Una cadena de consentimiento estándar para los proveedores de publicidad	Google exige una CMP certificada por Google e integrada con el TCF para los anuncios personalizados a través de AdSense, Ad Manager o AdMob en el EEE, el Reino Unido y Suiza (Google)

Consent Mode no le pregunta nada al visitante. La documentación de Google espera que primero obtengas la elección mediante un banner, tu propia solución o una CMP, y que después la transmitas.

Lo que una CMP no hace

Para un sitio europeo que usa analítica o publicidad, una CMP es la forma práctica de cumplir la norma. No basta por sí sola, y un proveedor que te diga lo contrario está exagerando lo que ofrece.

No hace que cumplas la normativa. Una CMP configurada con Rechazar escondido, o con una cookie de marketing clasificada como necesaria, recoge un consentimiento que no es válido.
Solo controla lo que conoce. Un script pegado directamente en una plantilla o una etiqueta que añada alguien de marketing el próximo trimestre pueden quedar fuera de ella. Y decide si una etiqueta se ejecuta, no lo que hace la etiqueta una vez que se ejecuta: en el caso Apoteket, el filtro de consentimiento funcionó, y aun así el píxel de Meta envió a Meta los nombres, las direcciones y las compras de clientes que habían aceptado las cookies de marketing.
No ve tus servidores. Los datos que tu backend envía a una plataforma publicitaria nunca pasan por el banner.
No decide por ti. Qué cookies son necesarias, qué base jurídica se aplica al tratamiento posterior y qué dice tu política de privacidad siguen siendo decisiones tuyas.

Cómo elegir una

Pregunta	Por qué importa
¿Bloquea antes del consentimiento?	Compruébalo: abre una ventana privada, abre DevTools y mira las cookies antes de tocar el banner. Nuestro verificador de cookies hace lo mismo para una sola URL.
¿Está Rechazar en la primera capa, igual de fácil que Aceptar?	La mayoría de las autoridades europeas consideran una infracción la falta de una opción para rechazar, como se ha visto arriba.
¿Encuentra tus cookies por ti?	Una lista de cookies mantenida a mano se queda desfasada la próxima vez que alguien añade una etiqueta.
¿Qué leyes cubre?	La UE y el Reino Unido esperan un opt-in. Las leyes estatales de EE. UU., como la CCPA, esperan un opt-out y que se respete GPC.
¿Qué señales necesitas?	Consent Mode v2 si usas Google Ads o Analytics; el TCF si vendes anuncios personalizados a través de los productos de Google para editores.
¿Dónde se guardan los registros de consentimiento?	Contienen direcciones IP y elecciones, que son datos personales.
¿Cuánto les cuesta a tus páginas?	Cada visitante carga el script antes que cualquier otra cosa.

Tenemos comparaciones lado a lado de Katla y otras CMP, con los datos de cada competidor sacados de sus propias páginas públicas, en nuestras páginas de comparación.

Consejo

Antes de comparar funciones, comprueba lo único que prometen todas las CMP: carga tu propio sitio en una ventana privada y mira si ya hay alguna cookie de analítica o de publicidad antes de hacer clic en nada.

Dónde encaja Katla

Katla es una CMP, y esto es, sin rodeos, lo que hace hoy. Tiene dos modos de consentimiento, RGPD (opt-in) y US State Laws (CCPA, opt-out), y el modo Auto elige entre ellos según la zona horaria del visitante. Aceptar, Rechazar y Personalizar aparecen juntos en la primera capa, sin nada preseleccionado. En el modo RGPD, el bloqueador de cookies bloquea las cookies no funcionales antes del consentimiento y elimina las que se hubieran instalado antes de que se ejecutara, y los scripts etiquetados con data-katla-category esperan a que se acepte su categoría.

Envía señales de Google Consent Mode v2 y respeta GPC (no Do Not Track). Los registros de consentimiento guardan la decisión más reciente de cada visitante, con sus categorías, su fecha y hora y una dirección IP truncada, y todo está alojado en la UE, en Fráncfort. Katla también escanea tu sitio, clasifica cada cookie con IA y genera la política de cookies a partir de lo que encuentra, en 13 idiomas.

No es compatible con el IAB TCF. Si necesitas anuncios personalizados a través de AdSense o Ad Manager para visitantes europeos, necesitas una CMP certificada para el TCF, y Katla no lo es.

Este artículo explica lo que hacen las plataformas de gestión del consentimiento. No constituye asesoramiento jurídico.