Rechazar cookies en 292 tiendas online españolas: qué pasa después, medido y validado a mano

Entre el 13 % y el 32 % de las tiendas online españolas que pude probar sigue enviando datos a rastreadores después de que el visitante pulsa «Rechazar». Es una estimación sobre 150 tiendas, validada a mano en 81, con un intervalo amplio que explico más abajo. Mi primera cifra era del 34 %, y no te la creas: menos de la mitad de lo que marcó el robot se confirmó al revisarlo.

Lo que encontré

• Después de rechazar: la estimación es del 22,3 % con evidencia estricta (intervalo 12,8–31,8) y del 32,0 % si cuento también los casos ambiguos (22,6–41,4).
• Antes de elegir: el 45,7 % de las tiendas con banner ya tiene cookies de tracking cuando el visitante todavía no ha decidido. Es más frecuente que lo que pasa después de rechazar.
• El propio banner: casi una de cada cuatro (23,5 %) de las tiendas con banner propio no ofrece «Rechazar» a primer nivel.
• Un caso extremo: en un sitio de la muestra, el botón «Rechazar» concede el consentimiento.

Cómo lo medí

• Muestra: 300 tiendas .es (Shopify, WooCommerce, PrestaShop y Magento) elegidas al azar de una lista pública de dominios, tras excluir las que usé para probar el método. 292 se escanearon completas.
• Robot: un navegador automatizado identificado, que respeta robots.txt, visita solo la página de inicio, una vez por sitio y a un ritmo bajo. Aquí explica quién es y cómo pedir que no visite una web.
• Dos detectores independientes de «sigue enviando datos tras rechazar»: uno con señales propias (consentimiento, cookies, peticiones de Google) y otro con una lista pública de rastreadores.
• La medida principal la fijé antes de sacar la muestra final, para no elegirla viendo los resultados.
• Validación a ciegas: revisé a mano 81 sitios, los 51 que marcó algún detector y 30 de los que no marcó, elegidos al azar. Sin saber de qué grupo venían, con un navegador normal: espero 6 segundos, pulso «Rechazar» y observo 9 más.

El resultado principal

El intervalo es ancho a propósito. Con 81 sitios validados no se puede decir más fino, y prefiero un rango honesto a una cifra que parezca más segura de lo que es.

Por qué no te quedes con el 34 %

El método automático marcó 51 de 150 sitios. Al revisarlos a mano:

• Solo el 38,8 % de los marcados se confirma con evidencia estricta (19 de 49). Contando los ambiguos sube al 67,3 %.
• El 13,8 % de los no marcados sí enviaba (4 de 29). El método se deja casos reales.

Un «ambiguo» es un sitio con el consentimiento de Google denegado de forma explícita y en el que lo único que sale tras el clic es un ping de Clarity o de Bing sin cookies, o de Klaviyo. Esos servicios tienen un modo «sin consentimiento» que desde fuera no se puede distinguir de enviar datos.

Por eso la cifra que cito es la estimación validada, no la marca automática.

Qué pasa antes de elegir

Lo más repetido ocurre antes de que nadie haya elegido nada, no después de pulsar «Rechazar».

Qué siguió enviándose tras rechazar (lectura exploratoria)

Esta tabla la definí después de ver los datos, no forma parte de la medida fijada. La incluyo porque cambia cómo se lee la cifra. Clasifica los 49 sitios marcados por el detector de la lista de rastreadores según lo que enviaba:

Los píxeles de redes sociales y de marketing (TikTok, Meta, HubSpot) son los que más se confirman: Consent Mode de Google no los gobierna, así que dependen de que alguien los condicione al banner a mano. Las marcas solo por Klaviyo no se confirmaron en ningún caso, y con Clarity la mayoría quedan en ambiguo.

Un botón de «Rechazar» que concede el consentimiento

En uno de los sitios, el botón «Rechazar» disparaba el mismo evento que «Aceptar»: el consentimiento pasaba a concedido y aparecían cookies de analítica y de grabación de sesiones que no estaban. Lo comprobé dos veces, la segunda con el almacenamiento limpio. No digo cuál es: es un fallo de configuración y no el objetivo del estudio, y no nombro ningún sitio.

Límites

• No es una auditoría legal. Mide comportamiento técnico observable, no cumplimiento.
• No representa a todas las tiendas españolas. Son webs .es con ranking en una lista pública y plataforma detectable en la página de inicio.
• Una visita por sitio con un navegador automatizado, y 9 segundos de ventana tras el clic. El comportamiento puede variar con la ubicación, el historial y el momento.
• Prueba de rechazo hecha en el 54,1 % de los sitios con tracking (140 de 259). La cifra principal se refiere a esos 150 y no se extrapola al resto.
• Una persona evaluadora y 81 sitios. De ahí los intervalos anchos.
• Hay rastreadores que no se ven, como los que usan websockets (Hotjar, por ejemplo), y ambiguos que no se pueden resolver desde fuera.
• Las lecturas por tipo de rastreador son exploratorias: las definí tras ver los datos.

Si tienes una tienda: cinco comprobaciones

1. Rechaza en incógnito y mira Network durante 30 segundos. Es la prueba que describo en Consent Mode v2: Basic vs Advanced.
2. No te fíes solo de Consent Mode de Google. TikTok, Meta, HubSpot, Clarity, Hotjar y otros tienen su propio mecanismo: tienen que estar condicionados al banner uno por uno.
3. Mira qué hay antes de elegir. Con el banner a la vista y sin pulsar nada, abre Application, Cookies. Si ya hay analítica o publicidad, ese es el hueco.
4. Que «Rechazar» esté a primer nivel y haga lo que dice. Pulsa y comprueba qué evento se dispara, no solo qué se ve.
5. Declara el consent default. Sin un default declarado, las etiquetas de Google se comportan como con el consentimiento concedido hasta que alguien lo cambie, y si «Rechazar» no envía una actualización explícita, no cambia nada.

Datos, ética y créditos

El robot se identifica, respeta robots.txt y tiene una página pública con cómo pedir que no visite tu web. Solo se guardan resultados técnicos, no datos personales, y se publican agregados, sin nombrar empresas ni sitios. Los resultados por sitio son privados. La lista de rastreadores es la lista pública de Disconnect, usada solo para este estudio y sin redistribuirla.

Si quieres que compruebe qué pasa en tu tienda al pulsar «Rechazar», así es como trabajo.