Qué pueden y qué no pueden verificar los escáneres de cumplimiento automatizados

Los escáneres automatizados se han convertido en el primer paso habitual del cumplimiento web. Son rápidos, baratos en comparación con una auditoría manual y repetibles. También es fácil confiar demasiado en ellos. Esta guía explica qué hacen realmente, para que pueda leer correctamente un informe y elegir un servicio adecuado.

Cómo funciona un escáner

La mayoría de los servicios cargan sus páginas en un navegador real automatizado, a menudo desde una ubicación en la UE y con un perfil limpio. Registran las cookies, el almacenamiento, las solicitudes de red y el HTML de la página y, después, interactúan con el banner de consentimiento: aceptando, rechazando o ambas cosas. Unas reglas asocian lo que observan con requisitos jurídicos, por ejemplo «una solicitud a un host publicitario antes del consentimiento» con el artículo 5, apartado 3, de la Directiva ePrivacy. Los mejores servicios conservan capturas de pantalla, registros de solicitudes y marcas de tiempo como prueba.

Dónde destacan los escáneres

• Seguimiento previo al consentimiento. Detectar cookies y solicitudes a terceros antes de cualquier elección es su principal punto fuerte, y la infracción más común en la práctica.
• Comportamiento del banner. Si existe «rechazar», si funciona y si los rastreadores vuelven tras navegar.
• Inventario. Una lista de cada cookie, clave de almacenamiento y host de terceros, útil para su política de privacidad y sus registros.
• Comprobaciones de presencia. Si el aviso legal, la política de privacidad y las condiciones están enlazados desde todas las páginas.
• Accesibilidad básica. Contraste, falta de texto alternativo, campos sin etiqueta y criterios WCAG similares comprobables por una máquina.
• Regresión. Volver a ejecutar el análisis tras cada publicación detecta la etiqueta que alguien añadió el viernes.

Dónde llegan a su límite

• Documentos y contratos. Los registros de las actividades de tratamiento (artículo 30 del RGPD), los contratos de encargo del tratamiento (artículo 28), las garantías de las transferencias y las evaluaciones de impacto (artículo 35) no están en el sitio web.
• Tratamiento en el servidor. El etiquetado en el servidor, la sincronización con el CRM y lo que ocurre con los formularios enviados son invisibles desde el navegador.
• Áreas privadas y procesos de compra. Salvo que proporcione al escáner credenciales o cuentas de prueba, las páginas de cuenta y los flujos de pago no quedan cubiertos.
• El significado. Una herramienta puede detectar que una política de privacidad menciona la «conservación»; no puede confirmar que el plazo indicado sea lo que hacen sus sistemas.
• El juicio jurídico. Si un interés legítimo prevalece sobre los derechos del visitante, o si una cookie es estrictamente necesaria para su servicio, es una cuestión de valoración.
• La accesibilidad manual. Los recorridos con teclado, el uso con lector de pantalla y la carga cognitiva conforme a la European Accessibility Act requieren a una persona.

Cómo elegir un servicio

Los servicios que evaluamos se diferencian menos en si encuentran cookies que en lo que hacen con el resultado. Preguntas que conviene plantearse:

1. Alcance. ¿Solo cookies y consentimiento, o también política de privacidad, aviso legal, derecho del consumidor y accesibilidad?
2. Interacción con el consentimiento. ¿Prueba el recorrido de rechazo o solo enumera cookies?
3. Pruebas. ¿Registra el informe cuándo, desde dónde y cómo se probó el sitio, con capturas de pantalla o registros de solicitudes que podría mostrar a una autoridad?
4. Profundidad europea. ¿Conoce las particularidades nacionales, como las normas sobre el aviso legal, los idiomas y las orientaciones de las autoridades de los países en los que vende?
5. Correcciones. ¿Cada hallazgo incluye orientaciones concretas que su desarrollador pueda aplicar?
6. Transparencia de precios. ¿Se publican los precios y los límites, o solo están disponibles previa solicitud?

Estas preguntas son, de forma ponderada, los criterios de nuestra página de metodología. Una lista de hallazgos más larga no es automáticamente mejor: los falsos positivos cuestan tiempo de desarrollo, y un informe que no distingue una cookie estrictamente necesaria de una publicitaria enseña a los equipos a ignorarlo.

¿Plataforma de consentimiento o escáner?

Una plataforma de gestión del consentimiento (CMP) gestiona su banner; un escáner comprueba si el banner y todo lo demás del sitio se comportan como deben. Algunos proveedores ofrecen ambas cosas, y muchas CMP incluyen un análisis de cookies para completar su lista de cookies. Si ya utiliza una CMP, sigue mereciendo la pena una prueba aparte del recorrido de rechazo desde fuera de la CMP, porque el fallo más común es una CMP bien instalada con etiquetas que la eluden.