Casi todos los sitios web usan cookies, pero pocos gestionan cookies y consentimiento de forma realmente conforme a la normativa española. Esta guía reúne todo lo que necesitas saber: qué exige la ley, cómo debe ser un panel conforme y qué errores evitar.
Cookies y consentimiento: qué dice la ley
El uso de cookies no técnicamente necesarias se regula en España por el artículo 22 de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE), en combinación con el consentimiento exigido por el RGPD. Esto obliga a informar con claridad y a obtener un consentimiento previo antes de activar cualquier cookie no esencial.
Tipos de cookies y cuáles necesitan consentimiento
| Tipo de cookie | ¿Necesita consentimiento? |
|---|---|
| Técnicas o necesarias | No, están exentas por ley |
| De preferencias | Sí, salvo que sean estrictamente necesarias para el servicio solicitado |
| Analíticas | Sí, salvo excepciones muy limitadas |
| Publicitarias o de seguimiento | Sí, siempre |
Cómo debe ser un panel conforme, con ejemplo
Un panel conforme bloquea las cookies no esenciales hasta obtener el consentimiento, ofrece un botón de rechazo igual de accesible que el de aceptación, permite elegir por categorías y facilita retirar el consentimiento en cualquier momento. Un texto de ejemplo correcto: «Este sitio usa cookies técnicas siempre activas y, con tu consentimiento, cookies de analítica. Puedes Aceptar, Rechazar o Configurar tus preferencias» con los tres botones igual de visibles.
El error más sancionado: el cookie wall disfrazado
El error que más multas ha generado en España es un panel con un botón grande de «Aceptar» y ninguna opción visible para rechazar, obligando al usuario a buscar el rechazo entre varios clics adicionales. La AEPD considera que este diseño no constituye un consentimiento válido, por mucho que técnicamente exista un botón de rechazo escondido.
Renovación y gestión posterior del consentimiento
El consentimiento de cookies no dura para siempre. La práctica recomendada es volver a solicitarlo aproximadamente cada 12 meses, o antes si cambia sustancialmente el tipo de cookies que utiliza el sitio web. Deja además un enlace permanente, normalmente en el pie de página, con el texto «Configuración de cookies», para que cualquier visitante pueda cambiar sus preferencias cuando quiera.
Cookies de terceros: quién es responsable
Muchas cookies no esenciales las coloca en realidad un proveedor externo, como una herramienta de analítica o una red social integrada. Aunque el proveedor sea quien técnicamente instala la cookie, la responsabilidad de obtener el consentimiento recae sobre el titular del sitio web donde se muestra. Revisar cada integración externa es imprescindible antes de darla por conforme.
Cómo redactar tu aviso de cookies
El aviso de cookies suele ser una página independiente de la política de privacidad, aunque ambas deben estar coordinadas. Debe listar, como mínimo, el nombre de cada cookie, su finalidad, su duración y si requiere consentimiento. Desarrollamos esta redacción con más detalle en cómo usar cookies de forma conforme a la LSSI-CE.
Consentimiento más allá de las cookies
El mismo estándar de consentimiento libre, específico, informado e inequívoco se aplica a otros tratamientos, como la suscripción a una newsletter. Si gestionas una, revisa también newsletter y doble consentimiento: cómo hacerlo bien, que explica el mismo principio aplicado al email marketing.
Casos por tipo de sitio web
Una tienda online suele necesitar cookies de analítica y, si hace remarketing, también publicitarias; consulta el ejemplo para tienda online. Un blog con pocos recursos puede prescindir de la mayoría de cookies no esenciales usando herramientas de analítica sin cookies, como se explica en el ejemplo para blog. Revisa los seis casos completos en ejemplos por tipo de sitio.
La dirección IP, casi siempre presente
Incluso un sitio web que evita al máximo las cookies sigue registrando direcciones IP en los logs del servidor, consideradas dato personal según la interpretación mayoritaria. Este tratamiento suele apoyarse en el interés legítimo de mantener la seguridad técnica, no en el consentimiento, y merece su propia mención breve junto a la sección de cookies.
Consentimiento granular por categoría
Un panel realmente conforme no se limita a un interruptor único de «cookies sí o no»: permite activar o desactivar cada categoría por separado (analítica, personalización, publicidad), de modo que una persona pueda aceptar la analítica y rechazar la publicidad sin tener que elegir entre todo o nada. Esta granularidad es uno de los criterios que la AEPD revisa con más frecuencia en sus inspecciones.
Cookies y dispositivos móviles
Las mismas reglas se aplican a las visitas desde el móvil, aunque el espacio en pantalla sea más reducido. Un panel de cookies mal adaptado a pantallas pequeñas, donde el botón de rechazo queda oculto o exige hacer scroll para encontrarlo, puede considerarse igualmente una forma de dificultar el rechazo frente a la aceptación, con el mismo riesgo de sanción que en escritorio.
Qué registrar como prueba del consentimiento
Si alguna vez se cuestiona si el consentimiento de cookies fue válido, la carga de la prueba recae en el responsable del sitio web, no en la persona usuaria. Por eso conviene que tu herramienta de gestión de consentimiento registre la fecha, la versión del texto mostrado y las categorías exactas que la persona aceptó o rechazó.
Herramientas de analítica sin cookies
Cada vez existen más soluciones de analítica que funcionan sin cookies y sin almacenar direcciones IP completas, pensadas específicamente para no necesitar consentimiento previo. Cambiar a una de estas herramientas simplifica mucho el panel de cookies, porque reduce el número de categorías que hay que gestionar y explicar a los visitantes.
El aviso de cookies frente a la política de privacidad
Aunque están estrechamente relacionados, el aviso de cookies y la política de privacidad son documentos distintos: el primero detalla cada cookie concreta, mientras que la segunda explica el conjunto de tratamientos de datos del sitio web. Mantenerlos como páginas separadas, enlazadas entre sí, facilita actualizar uno sin tener que revisar el otro cada vez.
Consentimiento de cookies y menores de edad
Si tu sitio web puede recibir visitantes menores, el consentimiento de cookies debería ir acompañado de un lenguaje especialmente claro, evitando tecnicismos innecesarios. No existe una edad mínima específica distinta para el consentimiento de cookies frente al consentimiento general de datos personales, así que se aplica el mismo límite de 14 años que fija la LOPDGDD.
Checklist final antes de publicar tu panel
- El botón de rechazo es igual de visible que el de aceptación, sin colores ni tamaños que favorezcan a uno sobre otro.
- Las cookies no esenciales permanecen bloqueadas hasta obtener el consentimiento explícito.
- Existe la opción de configurar por categorías, no solo aceptar o rechazar todo.
- Hay un enlace permanente de «Configuración de cookies» accesible desde cualquier página.
- El texto explica con claridad qué cookies usa el sitio y con qué finalidad, sin fórmulas genéricas.
Un error que se repite: no adaptar el aviso a cada cambio
Cada vez que añades una nueva herramienta que instala cookies, como un widget de chat o una integración publicitaria nueva, tu aviso de cookies debería actualizarse en el mismo momento, no meses después. Dejar el aviso desactualizado, aunque el panel siga funcionando técnicamente, es una de las incidencias que más a menudo detecta la AEPD al revisar una reclamación.
Por dónde empezar si nunca has revisado tu panel
Si nunca has auditado tu propio panel de cookies, empieza por lo más visible: abre tu sitio web en modo incógnito, comprueba si el botón de rechazo está igual de accesible que el de aceptación, y anota cuántas cookies se instalan antes de dar ningún consentimiento. Esa primera comprobación, de apenas cinco minutos, suele bastar para detectar el problema más urgente.
Consulta el texto oficial de la LSSI-CE en el BOE para el detalle legal completo.
Sigue explorando
Más artículos: La guía completa de la política de privacidad con ejemplos reales.