Cookies y consentimiento: qué exige la normativa y los errores más frecuentes en las webs
El banner de cookies es probablemente el elemento legal más visible de una web… y uno de los que peor se aplican. Detrás hay dos normas que se combinan: el artículo 22.2 de la Ley 34/2002 (LSSI-CE), que regula el uso de cookies y tecnologías similares, y el Reglamento (UE) 2016/679 (RGPD), que define cómo debe ser un consentimiento válido.
Qué se considera “cookie” a efectos legales
La norma no se limita a las cookies clásicas: abarca cualquier dispositivo que almacene o recupere información en el equipo del usuario, como local storage, píxeles de seguimiento, identificadores de dispositivo o huellas digitales del navegador. Si tu web guarda o lee algo en el terminal del visitante, hay que mirar si se necesita consentimiento.
Qué cookies necesitan consentimiento y cuáles no
- Exentas (estrictamente necesarias): las que permiten la comunicación, o las que son imprescindibles para prestar un servicio que el usuario ha pedido expresamente: sesión, autenticación, seguridad, carrito de la compra, equilibrado de carga o recordar la elección de idioma durante la sesión.
- Con consentimiento previo: analítica, personalización no esencial, publicidad comportamental, redes sociales y vídeos incrustados que instalan cookies de terceros.
La exención se interpreta de forma restrictiva: que una cookie sea útil para ti no la convierte en necesaria para el usuario. Y el uso de herramientas de analítica de terceros suele requerir consentimiento.
Cómo debe ser un consentimiento válido
El RGPD exige una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una acción afirmativa clara (art. 4.11). El artículo 7 añade que debes poder demostrarlo y que retirarlo tiene que ser tan fácil como darlo.
Los errores más frecuentes
- Cargar las cookies antes de que el usuario decida. Si los scripts de analítica o publicidad se ejecutan al abrir la página, el banner es decorativo.
- Casillas premarcadas o interruptores activados por defecto. El silencio o la inacción no son consentimiento.
- Entender que “seguir navegando” o hacer scroll equivale a aceptar. No es una acción afirmativa inequívoca.
- Un botón “Aceptar” destacado y un rechazo escondido en varios clics o en un enlace diminuto. Rechazar debe ser tan sencillo como aceptar.
- Información genérica o inexistente: no decir qué cookies se usan, con qué finalidad, quién las instala y cuánto duran.
- Agrupar todas las finalidades en un único “Aceptar todo”, sin permitir elegir por categorías.
- Condicionar el acceso a la web a aceptar sin ofrecer una alternativa equivalente, lo que puede invalidar el carácter libre del consentimiento.
- No poder cambiar de opinión. La configuración debe ser accesible en cualquier momento, por ejemplo con un enlace permanente en el pie de página.
- No conservar la prueba del consentimiento (cuándo, qué versión del texto, qué elecciones).
- Política de cookies desactualizada que no coincide con las cookies reales que instala la web.
Qué debe decir tu política de cookies
- Qué son las cookies y qué tipos usa tu sitio.
- Para cada una (o cada familia): nombre, titular (propio o tercero), finalidad y duración.
- Cómo aceptar, rechazar o cambiar la configuración en cualquier momento.
- Cómo eliminarlas desde el navegador.
- La relación con tu política de privacidad cuando las cookies implican tratamiento de datos personales.
Una revisión rápida de tu web
- Abre la web en una ventana privada y, sin aceptar nada, mira en las herramientas del navegador qué cookies y qué peticiones de terceros se crean.
- Comprueba que el botón de rechazar es tan visible como el de aceptar.
- Rechaza y verifica que, tras recargar, no se instalan cookies no exentas.
- Localiza el acceso para modificar la elección y comprueba que funciona.
- Compara la lista real de cookies con lo que dice tu política.
Mantén el texto alineado con la realidad
La política de cookies cambia cada vez que añades una herramienta o un proveedor. Gestionarla como un documento versionado, con historial y publicada desde un único sitio —por ejemplo con LegalCloud— evita que el texto de la web se quede atrás respecto a lo que realmente ocurre.
La AEPD publica una guía específica sobre el uso de cookies en aepd.es, y el Comité Europeo de Protección de Datos ha emitido directrices sobre el consentimiento en edpb.europa.eu. Este artículo es informativo y no sustituye el asesoramiento jurídico para tu caso.