Auditoría de cookies en 51 dominios: −29 % de exposición a sanción
51 dominios en toda Europa, cada uno de un equipo distinto, y legal sin forma de saber si todos cumplían: las cookies eran terreno de nadie entre legal, marketing e IT.
Lo que cambió
Medida como hallazgos de cumplimiento abiertos — cookies que saltan antes del consentimiento o mal clasificadas — entre dos auditorías consecutivas (Q4 2025 → Q2 2026): 211 resueltos, 93 nuevos, 17 regresiones cazadas.
antes 345 · después 244De no existir una vista conjunta a una nota por dominio, comparable entre países.
antes 0 · después 51Paso a paso, con su efecto en los datos
- 01
Diccionario propio de cookies
Cada cookie, identificada: qué herramienta la genera, para qué sirve y en qué grupo de consentimiento debe estar. Es el criterio contra el que se compara todo lo demás.
cada cookie con propósito y grupo asignados - 02
Escaneo recurrente de todos los dominios
Los scans de OneTrust de cada dominio, ordenados y almacenados bajo una misma estructura en una base de datos conjunta. La foto deja de depender de que alguien la pida.
la foto se rehace sola cada ciclo - 03
Nota de riesgo por dominio
Comparando cada scan contra el diccionario afloran las cookies que saltan antes del consentimiento — el riesgo grave — y las mal clasificadas. Cada dominio recibe una nota con escala de colores, comparable entre países.
el riesgo grave destaca solo - 04
Ciclo de corrección por equipos
Cada responsable ve qué corregir y cuánto mejoraría su nota; lo resuelto se verifica en el siguiente scan, y lo que reaparece se reabre como regresión.
211 hallazgos resueltos en un ciclo
El punto de partida
Un grupo de seguridad con presencia en toda Europa: 51 dominios entre webs de marketing por país y dominios corporativos, cada uno gestionado por un equipo distinto. Legal del grupo necesitaba poder afirmar que todas esas webs cumplían la normativa europea de cookies y no estaban expuestas a sanciones. Y no tenía manera de saberlo.
No por dejadez, sino por cómo se reparte el conocimiento: legal no entiende la parte técnica, marketing no domina ni las cookies ni lo legal, e IT no entiende lo legal. Las cookies acaban siendo terreno de nadie — y con decenas de webs que cambian cada semana, la foto de cumplimiento caduca antes de terminar de hacerla a mano.
Por qué esto es riesgo, no papeleo
Lo que un inspector comprueba en una web es exactamente lo que un escaneo de cookies detecta: qué se instala antes del consentimiento y qué sobrevive al botón de rechazar. Con un solo dominio, es un expediente posible; con 51 dominios en países distintos, cada web es un expediente potencial ante su propia autoridad — y las sanciones se acumulan por web, no por empresa. Para un grupo de este tamaño, la pregunta de legal (“¿estamos bien en todas partes?”) no se puede responder con una auditoría puntual: hace falta un sistema.
La solución: un sistema, no un informe
Montamos el flujo sobre su CMP, OneTrust, cuyos escaneos son fiables. Lo que no existía era la capa de encima: los scans de todos los dominios ordenados bajo una misma estructura en una base de datos conjunta, y un diccionario propio de cookies — qué herramienta genera cada una, para qué sirve, en qué grupo de consentimiento debe estar — contra el que comparar cada scan.
De esa comparación sale lo que importa: las cookies que saltan antes del consentimiento cuando no deberían (el riesgo grave, el que destaca en rojo y hay que corregir ya) y las mal clasificadas entre grupos (menos crítico). Encima, una capa de visualización con nota por dominio y escala de colores: cada responsable ve su estatus, cómo compara con los demás países del grupo y qué tiene que cambiar para mejorar su nota.
Lo que el sistema no hace
La honestidad de este caso está en los números intermedios. La auditoría no corrige nada por sí sola: detecta, prioriza y asigna; corrigen los equipos de cada país. Y no existe el “terminado”: en el último ciclo, junto a los 211 hallazgos resueltos aparecieron 93 nuevos — las webs cambian, se añaden herramientas, los themes se tocan — y 17 regresiones: cosas ya arregladas que volvieron. Eso no es un fallo del sistema; es la razón de que la auditoría sea recurrente y no un proyecto de una vez. Sin el ciclo, las regresiones las descubre una inspección.
Un matiz metodológico: las cifras cuentan hallazgos de clasificación (cookies antes del consentimiento o mal agrupadas), donde la comparación entre auditorías es limpia aunque el diccionario evolucione.
El resultado
Entre dos auditorías consecutivas, los hallazgos abiertos pasaron de 345 a 244: un 29 % menos, con el 61 % de lo detectado en el ciclo anterior resuelto. Pero el dato que legal valora no es ese, sino el que no sale en la banda: por primera vez existe una respuesta con fecha, dominio a dominio, a la pregunta “¿estamos expuestos?”. Y cuando la respuesta es sí en algún dominio, viene con la lista de qué corregir.
Queda un coste que conviene decir en voz alta: cumplir bien significa no medir a quien rechaza. Esa pérdida tiene arreglo parcial y legal — de eso va Consent Mode —, pero el orden correcto es este: primero saber que cumples, después recuperar visión.
Legal pasó de intuir a medir: una nota por dominio comparable entre países y una tendencia que enseñar — un 29 % menos de exposición abierta entre dos auditorías. El cumplimiento de cookies dejó de ser una pregunta sin dueño y pasó a ser una lista de tareas con responsable, verificada cada ciclo.
Cuéntanos qué no te cuadra en tus datos.
Te decimos rápido si podemos ayudarte y cuál sería el primer paso.
- 1 Te leemos
Tu mensaje lo lee el equipo y te respondemos rápido.
- 2 Hablamos
Una llamada corta para entender dónde estás y qué necesitas medir.
- 3 Siguiente paso
Te proponemos algo concreto, sin compromiso.
¿Listo para empezar?
Estaremos encantados de hablar contigo.