Casi todas las webs usan cookies: para que funcione el carrito, para medir visitas, para mostrar un vídeo o para hacer publicidad. Y casi todas tienen un banner. El problema es que muchos de esos banners no cumplen: informan, pero no dejan elegir; o cargan las cookies antes de que el usuario haya dicho nada.
Esta guía resume lo que exige la ley y cómo lo interpreta la AEPD en su guía sobre el uso de las cookies.
En resumen
- Las cookies que no son estrictamente necesarias (analítica, publicidad, redes sociales) requieren consentimiento previo.
- Aceptar y rechazar deben estar igual de visibles y ser igual de fáciles.
- Seguir navegando no es consentir. Nada de casillas premarcadas.
- Las cookies no deben cargarse hasta que el usuario acepte.
- Necesitas una política de cookies clara y una forma sencilla de cambiar de opinión en cualquier momento.
La norma: el artículo 22.2 de la LSSI
Las cookies no se regulan principalmente en el RGPD, sino en la Ley de Servicios de la Sociedad de la Información:
«Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización» (artículo 22.2 de la LSSI).
Cuando las cookies sirven para tratar datos personales (y la mayoría lo hacen, porque identifican el dispositivo), el consentimiento tiene que cumplir además los requisitos del RGPD: libre, específico, informado e inequívoco.
Qué cookies necesitan consentimiento
La propia ley exceptúa las cookies estrictamente necesarias para la comunicación o para prestar un servicio que el usuario ha pedido expresamente. Con carácter general:
| Tipo de cookie | Ejemplo | ¿Consentimiento? |
|---|---|---|
| Técnicas | Sesión, carrito, seguridad, equilibrio de carga | No |
| De preferencias pedidas por el usuario | Idioma elegido, guardar la elección del banner | Por lo general, no |
| Analíticas o de medición | Google Analytics y similares | Sí, como regla general |
| Publicitarias y de seguimiento | Píxeles de redes sociales, remarketing | Sí |
| De contenidos de terceros | Vídeos incrustados, mapas, botones de redes | Sí, si instalan cookies no exentas |
Cómo debe ser el banner
Según los criterios de la AEPD, la primera capa (el aviso que aparece al entrar) debe:
- Identificar al responsable de la web y explicar para qué se usan las cookies, y si hay terceros.
- Ofrecer un botón para aceptar y otro para rechazar, al mismo nivel y con la misma visibilidad. Rechazar no puede costar más clics que aceptar.
- Permitir configurar por finalidades.
- Enlazar a la política de cookies (segunda capa).
Y no debe:
- Entender que hay consentimiento porque el usuario sigue navegando, hace scroll o cierra el aviso.
- Usar casillas premarcadas.
- Usar colores, tamaños o textos que empujen a aceptar y escondan la opción de rechazar.
- Bloquear el acceso a la web si no se aceptan, salvo que se ofrezca una alternativa genuina y se informe adecuadamente.
El error más común: cargar antes de aceptar
Muchas webs muestran un banner correcto, pero las cookies de analítica o publicidad ya se han instalado antes de que el usuario haga clic. Eso no cumple. Las cookies no exentas solo deben activarse después del consentimiento. Puedes comprobarlo tú mismo: abre tu web en una ventana privada, abre las herramientas de desarrollador del navegador y mira qué cookies hay antes de tocar el banner.
Qué debe contar la política de cookies
- Qué son las cookies y para qué sirven, en lenguaje sencillo.
- Qué cookies usa tu web, con su finalidad y su duración.
- Quién las instala: tu empresa o terceros (identificándolos).
- Cómo aceptar, rechazar o retirar el consentimiento.
- Si hay transferencias de datos fuera del Espacio Económico Europeo.
Retirar el consentimiento tiene que ser tan fácil como darlo: lo habitual es un enlace o icono permanente que reabre el panel de configuración.
«Las pone Google, no yo»
Es una respuesta que oímos a menudo. Pero quien decide incluir en su web la analítica, el píxel de una red social o un vídeo incrustado es el titular de la web, y es quien debe informar y pedir el consentimiento antes de que esas cookies se instalen. Que las gestione un tercero no te quita esa obligación. Lo mismo ocurre si la web te la hizo una agencia: revisa lo que instaló y pide que el banner bloquee de verdad lo que no es necesario.
Tampoco vale el argumento de «solo es para estadísticas internas». Como regla general, la analítica necesita consentimiento. Si quieres medir sin molestar al usuario, hay herramientas configurables para recoger menos datos, pero conviene revisar cada caso antes de darlas por exentas.
Cada cuánto volver a preguntar
La AEPD recomienda no conservar la elección del usuario más de 24 meses y volver a preguntar pasado ese tiempo. También hay que volver a pedir el consentimiento si cambias de forma relevante las cookies o sus finalidades.
Checklist rápida para tu web
- Haz un inventario de las cookies y scripts de tu web (analítica, píxeles, vídeos, chat, mapas).
- Instala una herramienta de gestión del consentimiento bien configurada.
- Comprueba que nada no exento se carga antes de aceptar.
- Revisa que «Rechazar» esté al mismo nivel que «Aceptar».
- Actualiza la política de cookies con la lista real.
- Deja un acceso permanente para cambiar la configuración.
- Revisa también el aviso legal (artículo 10 de la LSSI) y la política de privacidad.
Si tienes tienda online, como muchos negocios de comercio, o tu negocio vive de la web, como las empresas tecnológicas, este punto es prioritario. Con nuestra adaptación legal de web revisamos cookies, banner y textos legales, y forma parte también de nuestro servicio de protección de datos.
¿Lo vemos juntos?
Revisamos tu web, te decimos qué cookies necesitan consentimiento y te dejamos el banner y los textos legales en regla. Para empresas de toda España.