Qué carga el navegador antes de que alguien pulse «Aceptar»

Para cada sitio se abre un segundo contexto de navegador, limpio: sin cookies, sin almacenamiento, sin historial. El contexto del propio escaneo de accesibilidad no sirve, porque ya ha recogido cookies tras la primera página. En ese contexto limpio se carga la página de inicio exactamente una vez. Se registran todas las llamadas salientes y todas las cookies colocadas después. Lo que se mide es, por tanto, el estado anterior a cualquier consentimiento.

No se hace clic en nada. Ni en «Aceptar» ni en «Rechazar» — ambos serían una declaración de voluntad en nombre ajeno, y no nos arrogamos hacerla por nadie. Eso nos cuesta información: no sabemos qué pasa después de un clic. Pero deja limpia la medición, porque el estado previo al consentimiento es justamente el que aborda el § 25.

La ejecución dura entre 3,5 y 5,2 segundos por sitio y corre en paralelo al escaneo de accesibilidad; la duración total de un escaneo apenas varía.

En lugar de «infracción» hay cinco niveles. Hallazgo significa: acreditado. Indicio significa: ambiguo. Observación no reprocha nada. Sin novedad significa que no se encontró nada. No comprobable significa que faltaba la base. Todo caso dudoso se rebaja, nunca se sube. Y en ningún sitio pone «conforme»: un certificado sería tanto un veredicto jurídico sobre una empresa ajena como lo sería una acusación.

Durante la fase de pruebas encontramos y corregimos tres falsos positivos propios: la cookie de detección de bots de Cloudflare __cf_bm se contaba como cookie publicitaria; nuestro propio aviso legal se señalaba como remisión a la plataforma de resolución de litigios suprimida, cuando en realidad explica su supresión; y una cesta vacía con «0,00 €» en una página informativa se marcaba como oferta sin indicación de IVA. Lo decimos porque una medición sin fuentes de error conocidas no es una medición sino una afirmación.

En el sitio de un minorista de deporte al aire libre, la medición registró en la primera carga de la página de inicio, en un navegador limpio y sin ninguna interacción: 17 llamadas a servicios con finalidad reconocible de medición o publicidad y 5 cookies colocadas con finalidad conocida de medición o publicidad. Había un banner de consentimiento visible en ese momento.

Los servicios contactados, con el número de llamadas: Google Ads (16), Google DoubleClick (16), Criteo (14), una red publicitaria de subasta en tiempo real (7), un punto de sincronización de DoubleClick (6, expresamente un punto de transferencia de datos), una segunda red RTB (6), Microsoft Advertising (6) y una red de recomendación de contenidos (6). A ello se sumaron llamadas clasificadas como ambiguas, a un gestor de etiquetas y a un sello de confianza.

Entre las cookies colocadas figuraban test_cookie (doubleclick.net), _fbp (píxel de Meta), MUID (bing.com) y dos cookies de Criteo. En total, tras esa única carga había 36 cookies en el navegador — 4 con función técnica conocida, 27 sin finalidad determinable por nosotros.

Lo que no concluimos de ello. No decimos que este sitio infrinja el § 25 TDDDG. Si un almacenamiento concreto es «estrictamente necesario» en el sentido del apartado 2 depende de una finalidad que solo conoce el responsable. Lo que decimos es: ese es el estado que encuentra un visitante antes de haber decidido nada. Esa constatación es verificable — cualquiera puede reproducirla en dos minutos.

El gestor de etiquetas se dispara al margen del banner. El caso más frecuente: la herramienta de consentimiento está instalada y funciona, pero una etiqueta del contenedor se dispara en «todas las páginas» en lugar de en el evento de consentimiento. El banner aparece, la etiqueta se dispara igual. Desde fuera ambos son indistinguibles.

Los componentes de terceros traen sus propias redes. Un sello de confianza, una ventana de chat, un mapa incrustado, un reproductor de vídeo: cada uno carga a menudo otros hosts que ni siquiera aparecen en la propia herramienta de consentimiento, porque se añaden solo en tiempo de ejecución.

Las integraciones del lado del servidor esquivan la capa de consentimiento. Lo que pasa por el servidor propio no lo ve el navegador como tercero — pero el almacenamiento en el equipo terminal se produce igualmente, y eso es lo que aborda el § 25.

Y las preconexiones cuentan. Las indicaciones preconnect y dns-prefetch hacia redes publicitarias establecen la conexión antes de que se decida la llamada propiamente dicha. La intención es la velocidad; lo que se mide es una llamada.

Porque una tienda en línea debe bastante más que accesibilidad — y porque en este campo toda la competencia comprueba solo accesibilidad. Aviso legal (§ 5 de la ley alemana de servicios digitales), política de privacidad (artículo 13 del RGPD), consentimiento (§ 25 TDDDG), indicación de precios (§§ 3, 4 y 6 del reglamento alemán de precios), información sobre desistimiento (§ 312d del Código Civil alemán en relación con el artículo 246a EGBGB): cinco cuerpos normativos que se aplican a la misma página que la norma EN 301 549.

En nuestro caso, esa parte se ejecuta de forma añadida en la misma pasada. El resultado de accesibilidad no se ve afectado — mismos conjuntos de reglas, mismas cifras — y si la comprobación de deberes falla, el escaneo termina igualmente.

Deliberadamente no comprobados, en cambio: el proceso de compra y el etiquetado del botón conforme al § 312j del Código Civil alemán (habría que llenar la cesta), la corrección material de los textos legales, la mención de mediación de los §§ 36 y 37 VSBG (de redacción libre y no distinguible con fiabilidad de una mención incidental), los deberes de etiquetado propios de productos y el diseño del banner de consentimiento en detalle. Un «Rechazar» más difícil de encontrar que un «Aceptar» no lo medimos — eso sería una valoración, no una medición.