En un duro golpe a la privacidad del consumidor, una nueva auditoría forense revela que los gigantes tecnológicos Google, Microsoft y Meta están ignorando sistemáticamente las señales de exclusión de privacidad definidas legalmente. Según la Auditoría de Privacidad de California de marzo de 2026, realizada por webXray, 194 servicios de publicidad en línea están estableciendo cookies de seguimiento incluso después de que los usuarios invoquen explícitamente el Control Global de Privacidad

En un duro golpe a la privacidad del consumidor, una nueva auditoría forense revela que los gigantes tecnológicos Google, Microsoft y Meta están ignorando sistemáticamente las señales de exclusión de privacidad definidas por ley.

Según la Auditoría de Privacidad de California de marzo de 2026 realizada por webXray, 194 servicios de publicidad en línea están colocando cookies de rastreo incluso después de que los usuarios activen explícitamente el Global Privacy Control (GPC).

Dirigida por el Dr. Timothy Libert, exlíder de la política de cookies de Google, la investigación de webXray analizó el tráfico web en miles de sitios populares en California.

Los hallazgos exponen lo que los investigadores identifican como un incumplimiento a escala industrial de la Ley de Privacidad del Consumidor de California (CCPA), señalando que el 55% de los sitios auditados colocan cookies publicitarias a pesar de las solicitudes de exclusión de los usuarios.

Cómo el rastreo elude las exclusiones

La auditoría destaca los mecanismos técnicos específicos que estas empresas utilizan para burlar las preferencias de privacidad. Cuando un usuario activa el GPC, su navegador envía un encabezado de solicitud de red sec-gpc: 1.

Según la ley de California, las empresas deben respetar esto como una solicitud válida para dejar de compartir datos personales, pero la auditoría encontró fallos evidentes:

• Google (86% de tasa de fallo): Cuando los servidores publicitarios de Google reciben la señal sec-gpc: 1, la ignoran de forma rutinaria y responden con un comando para crear la cookie publicitaria "IDE" de dos años. Los investigadores señalan que Google podría solucionar esto fácilmente devolviendo un código de estado HTTP 451 "No disponible por razones legales".
• Microsoft (50% de tasa de fallo): Similar a Google, la red de rastreo de Microsoft recibe la señal GPC pero devuelve incondicionalmente una cookie de rastreo "MUID" de un año al dispositivo del usuario.
• Meta (69% de tasa de fallo): El fragmento de píxel de rastreo de Meta, que los editores integran en sus sitios web, no contiene código para verificar la señal GPC. Se activa sin condiciones, registrando eventos de rastreo independientemente de la configuración de privacidad del usuario.

Quizás el descubrimiento más preocupante es el fracaso de las Plataformas de Gestión de Consentimiento (CMP). La auditoría encontró que la gran mayoría de los banners de cookies en realidad no protegen a los usuarios.

Peor aún, los banners de elección de cookies certificados por Google a menudo no impiden que Google coloque cookies después de que un usuario se excluya. En tres proveedores principales de CMP certificados por Google probados por webXray, las tasas de fallo en la exclusión oscilaron entre el 77% y el 91%.

Consecuencias regulatorias y mitigación

Los reguladores de California han dejado claro que ignorar el GPC es una infracción sancionable, y las recientes acciones de aplicación de la CCPA han resultado en multas masivas para las empresas que no procesan correctamente las exclusiones.

La Auditoría de Privacidad de California proyecta una exposición potencial de responsabilidad agregada de 5.800 millones de dólares en toda la industria debido a estas violaciones continuas.

Para mitigar estas amenazas a la privacidad y evitar multas regulatorias, las organizaciones deberían implementar las siguientes estrategias:

• Rechazo del lado del servidor: Los servidores publicitarios deben configurarse para detectar el encabezado sec-gpc: 1 e inmediatamente descartar la solicitud, asegurando que no se entreguen cargas útiles de rastreo.
• Carga condicional de scripts: Los administradores de sitios web deberían envolver los scripts de rastreo de terceros en declaraciones condicionales que verifiquen navigator.globalPrivacyControl antes de su ejecución.
• Auditoría independiente de tráfico: Las organizaciones no pueden confiar ciegamente en los banners de consentimiento de terceros; los equipos de cumplimiento deben monitorear activamente las solicitudes de red en vivo para verificar que las cookies realmente se bloqueen.