Un vídeo de YouTube, un mapa de Google Maps o una fuente de Google Fonts incrustados en una página de WordPress contactan con los servidores de Google en cuanto se abre la página, antes de que el visitante haya hecho nada. Esa petición lleva la dirección IP del visitante, y el contenido incrustado puede instalar cookies o usar el almacenamiento local. Según el RGPD, esto necesita consentimiento. La solución es mostrar un recuadro provisional con un botón y cargar el contenido real solo cuando el visitante hace clic en él o acepta la categoría.
Esta guía explica por qué cada uno de los tres es un problema, qué cambian de verdad las opciones de «privacidad mejorada» y cómo conservar tus vídeos y mapas sin enviar datos antes del consentimiento.
Por qué los contenidos incrustados son un problema de RGPD
Cuando una página contiene un <iframe> de youtube.com o de google.com/maps, el navegador del visitante lo descarga de Google. Google recibe la dirección IP, la dirección de la página y los datos del navegador, y el reproductor o el mapa incrustado ejecuta scripts propios de Google, que pueden guardar identificadores en el dispositivo.
La dirección IP es un dato personal. Las normas de ePrivacy exigen consentimiento para almacenar o leer información en el dispositivo, salvo que sea estrictamente necesario, y un vídeo incrustado que el visitante no ha pedido reproducir no es estrictamente necesario para la página. Así que el contenido incrustado debe esperar.
La sentencia de Google Fonts
El ejemplo más claro viene de Alemania. El 20 de enero de 2022, el Tribunal Regional de Múnich (LG München I, 3 O 17493/20) condenó al titular de un sitio web a pagar 100 euros de indemnización a un visitante, porque el sitio cargaba Google Fonts desde los servidores de Google y, con ello, pasaba la dirección IP del visitante a Google sin consentimiento. El tribunal señaló que el sitio podía haber alojado las fuentes en su propio servidor (resumen del despacho Plutte, en alemán).
La cantidad era pequeña. Lo que vino después, no: en 2022 se enviaron miles de cartas de requerimiento a titulares de sitios alemanes exigiendo un pago por el mismo motivo. La lección vale para cualquier contenido incrustado: si un recurso viene de un tercero y no es necesario, o espera al consentimiento o pasa a tu propio servidor.
¿Basta con youtube-nocookie.com?
YouTube ofrece un «modo de privacidad mejorada»: cambias la dirección del vídeo incrustado de youtube.com a youtube-nocookie.com. Según la página de ayuda de YouTube, las reproducciones en este modo no influyen en la experiencia de YouTube del espectador y los anuncios que se muestran no son personalizados.
Es útil, pero no resuelve la cuestión del consentimiento:
- el navegador sigue contactando con los servidores de Google al cargar la página, con la dirección IP del visitante;
- el reproductor sigue ejecutando scripts de Google y puede guardar datos en el dispositivo en cuanto se reproduce el vídeo;
- el propio YouTube advierte de que, al salir del vídeo incrustado con un clic, se llega a sitios con su propio seguimiento.
Usa la dirección nocookie y, aun así, retén el vídeo hasta el consentimiento.
Google Maps
Un mapa incrustado funciona igual: un iframe de Google que carga scripts de Google. Para una página de contacto tienes tres opciones:
- Recuadro provisional con un botón. El mapa se carga solo cuando el visitante hace clic en «Mostrar mapa».
- Una imagen estática y un enlace. Una captura del mapa enlazada a Google Maps. No se carga nada hasta que el visitante sale de tu sitio porque quiere.
- Solo la dirección. Muchas veces lo que la gente necesita de verdad es la dirección, el horario y un enlace de «Cómo llegar».
Cómo funciona un buen recuadro provisional
El patrón que resuelve todo esto se llama click-to-load, o «dos clics». En lugar del vídeo, el visitante ve un recuadro del mismo tamaño con:
- el nombre del proveedor, por ejemplo «YouTube»;
- una frase sobre lo que pasa si lo carga («Este vídeo está alojado en YouTube, que puede instalar cookies»);
- un botón para cargarlo ahora.
Hacer clic en el botón es una acción clara y específica, así que puede valer como consentimiento para esa categoría. La página conserva su diseño, el visitante conserva la elección y el vídeo queda a un clic en lugar de desaparecer.
Cómo hacerlo en WordPress
WordPress convierte automáticamente en vídeo incrustado un enlace de YouTube pegado en la página, y los maquetadores añaden mapas con un widget, así que los iframes llegan de muchos sitios: el editor de bloques, Elementor, el tema, un plugin. Sustituirlos uno a uno a mano es lento y se rompe la próxima vez que alguien pega un enlace.
Cookie Consent lo resuelve en el servidor. Antes de enviar la página, encuentra los iframes y scripts de YouTube, Vimeo, Google Maps y los demás servicios que conoce, y sustituye cada uno por un recuadro con el nombre del proveedor y un botón para cargarlo. Cuando el visitante acepta la categoría, en el banner o en el recuadro, el contenido real vuelve sin recargar la página.
También reconoce Google Fonts, que aparecen en la categoría Preferencias con una nota que sugiere alojarlas en tu servidor, que sigue siendo la mejor solución. Para cambiar el texto del recuadro, consulta Textos e idiomas; para encontrar contenidos incrustados que no conocías, ejecuta el escaneo que se describe en Terceros, escaneo y reglas propias.
Lista de comprobación para contenidos incrustados
- Google Fonts y otros servicios de fuentes: alojados en tu propio servidor.
- YouTube y Vimeo: dirección nocookie cuando sea posible, y un recuadro provisional hasta el consentimiento.
- Google Maps: recuadro provisional, imagen estática o un simple enlace.
- Cada contenido incrustado aparece en la política de cookies con su proveedor.
- Prueba en una ventana privada: ninguna petición a
youtube.com,google.com/mapsnifonts.googleapis.comantes de una elección.
Para el resto del banner, desde el botón Rechazar hasta el registro de consentimientos, consulta Banner de cookies RGPD para WordPress.
Preguntas frecuentes
¿Necesito consentimiento para incrustar un vídeo de YouTube?
En la UE, en la práctica sí. El vídeo incrustado contacta con Google en cuanto se carga la página y puede guardar identificadores en el dispositivo. Muestra un recuadro provisional y carga el vídeo cuando el visitante haga clic o acepte la categoría.
¿youtube-nocookie.com hace que el vídeo incrustado cumpla el RGPD?
Por sí solo, no. El modo de privacidad mejorada limita el uso que hace YouTube de la reproducción, pero el navegador sigue contactando con Google con la dirección IP del visitante y el reproductor puede guardar datos en cuanto se reproduce el vídeo.
¿Se pueden usar Google Fonts según el RGPD?
El Tribunal Regional de Múnich declaró ilícito en enero de 2022 cargarlas desde los servidores de Google sin consentimiento. Alojar los archivos de las fuentes en tu propio servidor resuelve el problema y no necesita consentimiento.
¿Un clic en el recuadro provisional del vídeo puede valer como consentimiento?
Sí, si el recuadro dice claramente qué proveedor se va a cargar y qué implica. Hacer clic en el botón es una acción específica e informada para esa categoría.
