Las cookies y los demás dispositivos de almacenamiento en el navegador siguen siendo el principal punto donde un ecommerce se gana —o se pierde— la confianza del visitante. También son el frente donde la doctrina administrativa ha emitido más criterio concreto en los últimos años, hasta el punto de que hoy ya no basta con poner un banner: importa qué dice, cómo se ve, qué bloquea y cómo se renueva.
Esta guía explica cómo configurar el consentimiento de cookies de una tienda online conforme al art. 22.2 LSSICE (Ley 34/2002 de Servicios de la Sociedad de la Información), al RGPD (Reglamento UE 2016/679) y a la guía oficial vigente sobre uso de cookies (mayo de 2024), con énfasis en los aspectos que más cambian la práctica diaria: equiparación visual de aceptar y rechazar, gestión de píxeles de redes sociales, plazo de caducidad del consentimiento y mantenimiento del enlace de reconfiguración.
Marco normativo: dos leyes que se aplican a la vez
Un error frecuente del sector es pensar que las cookies se rigen solo por el RGPD. En realidad, dos marcos normativos confluyen sobre la misma operación, con bases jurídicas y finalidades distintas:
- Art. 22.2 LSSICE: regula el uso de dispositivos de almacenamiento y recuperación de datos en el equipo del usuario. Exige consentimiento previo, informado y específico antes de instalar cualquier dispositivo que no sea estrictamente necesario para prestar el servicio que el usuario ha solicitado.
- RGPD: regula el tratamiento de los datos personales que se obtienen mediante esas cookies (perfiles de comportamiento, identificadores únicos, métricas de conversión). Cuando el dispositivo permite identificar a una persona física —directamente o por agregación—, el RGPD se aplica sobre los datos resultantes con todas sus consecuencias: base jurídica, deber de información, derechos del interesado, transferencias internacionales si las hay.
El consentimiento de cookies sirve a la vez como base de la LSSICE y, cuando hay tratamiento de datos personales, como base jurídica del RGPD vía art. 6.1.a. Por eso debe cumplir los requisitos más estrictos de las dos normas: libre, específico, informado, inequívoco y otorgado mediante una declaración o acción afirmativa clara.
Tipos de cookies y régimen de cada una
No todas las cookies necesitan consentimiento. La clasificación operativa habitual distingue cuatro categorías con tratamiento diferente:
| Categoría | Ejemplos típicos | ¿Consentimiento? |
|---|---|---|
| Estrictamente necesarias | Sesión, carrito de la compra, token de autenticación, selector de idioma, equilibrio de carga. | No |
| Preferencias / personalización | Modo claro/oscuro, divisa elegida, productos vistos recientemente sin perfilado, recordar formulario. | Sí (salvo casos limitados) |
| Analítica | Google Analytics, Matomo en su modo estándar, Hotjar, Microsoft Clarity. | Sí |
| Marketing / publicidad | Píxel de Meta, píxel de TikTok, Google Ads, retargeting, fingerprinting publicitario. | Sí (siempre) |
El criterio de exención para cookies estrictamente necesarias es estricto: solo se aplica a aquellas sin las cuales el servicio que el usuario ha solicitado no podría prestarse. El carrito de la compra cabe; la analítica para mejorar el negocio no cabe, aunque sea anónima en apariencia.
Cómo debe ser el banner de cookies
El banner es la pieza visible que activa el consentimiento. La guía oficial vigente desarrolla una serie de requisitos cuyo incumplimiento ha originado sanciones repetidas. Estos son los puntos que cualquier ecommerce debería revisar:
- Tres opciones reales en el primer nivel: aceptar todas, rechazar todas y configurar por categorías. No vale ofrecer solo aceptar y configurar y obligar a entrar al configurador para rechazar.
- Equiparación visual entre aceptar y rechazar. Los dos botones deben tener el mismo tamaño, el mismo contraste y la misma jerarquía visual. Pintar el botón de aceptar en color llamativo y el de rechazar como un enlace gris pequeño se considera un patrón engañoso (dark pattern) que vicia el consentimiento.
- Carga bloqueada por defecto de todas las cookies no esenciales hasta que el usuario marque su elección. Cargar antes y bloquear después es exactamente al revés de lo que exige la LSSICE.
- Información clara y resumida en el propio banner: quién es el responsable de la web, qué finalidades requieren cookies y enlace visible a la política de cookies completa.
- Granularidad por categoría en el configurador: el usuario debe poder aceptar analítica y rechazar marketing, o viceversa, no solo elegir todo o nada.
- Continuar navegando ≠ consentir. Hace años se consideraba aceptable; hoy es una práctica expresamente rechazada por la doctrina administrativa. El consentimiento debe ser una acción afirmativa.
- Cerrar el banner sin elegir tampoco es consentimiento. Si el usuario cierra con la X, debe entenderse como rechazo a cookies no esenciales.
Píxeles de Meta, TikTok, Google Ads: el campo de batalla actual
El art. 22.2 LSSICE no se limita a las cookies en sentido estricto. Cubre cualquier dispositivo de almacenamiento y recuperación de datos en el equipo del usuario, lo que incluye píxeles de seguimiento, fingerprinting basado en propiedades del navegador, identificadores en local storage y session storage, y SDKs que cargan estos elementos a través de etiquetas en el sitio.
Esto significa que un ecommerce que dispara el píxel de Meta, el píxel de TikTok o el de Google Ads desde la primera carga de la página, sin consentimiento previo, está incumpliendo la LSSICE, aunque su gestor de consentimiento "diga" estar bien configurado para cookies. El punto crítico es comprobar técnicamente que:
- Antes de aceptar marketing, los píxeles no envían ningún evento ni cargan scripts secundarios.
- Al rechazar, los píxeles permanecen totalmente inactivos durante toda la sesión.
- Al cambiar de opinión por el enlace de configuración, la activación/desactivación se aplica también de inmediato sin requerir recargar la web entera.
La forma habitual de cumplir es integrar el gestor de consentimiento con Google Tag Manager u otro sistema de etiquetas que ejecute los píxeles solo cuando el usuario haya marcado expresamente la categoría correspondiente. Para servicios que no usan tags estándar, hay que envolver manualmente el código en condiciones que comprueben el estado del consentimiento.
Caducidad del consentimiento y enlace permanente
El consentimiento no es perpetuo. La guía oficial vigente (mayo de 2024) recomienda un plazo razonable que no exceda los veinticuatro meses, transcurridos los cuales hay que volver a solicitar el consentimiento. En la práctica:
- Si el usuario aceptó hace más de veinticuatro meses y no ha vuelto a tocar la configuración, hay que mostrarle el banner de nuevo.
- Si rechazó, la información de su rechazo también debe gestionarse y, pasado el plazo, puede volver a preguntarse, pero respetando siempre la libertad del usuario (no insistiendo en cada visita).
- Si cambia su decisión desde el enlace de configuración del pie, el cambio se aplica de inmediato y se registra.
El enlace permanente de configuración en el pie de la web es obligatorio. El usuario debe poder modificar su decisión en cualquier momento desde un punto siempre accesible, sin tener que buscar en menús secundarios. El típico enlace etiquetado "Configurar cookies", "Preferencias de cookies" o "Gestionar cookies" cumple esta función.
"El banner de cookies es la primera promesa pública que hace una tienda online sobre cómo respeta a sus visitantes. Si está mal configurado, todo lo demás —política de privacidad, cláusulas, seguridad— pierde credibilidad. Es la pieza que más se mira y la que más se descuida."
Mario P. Talamillo · Socio director, Certix®
Registro del consentimiento: la prueba que muchos ecommerce no tienen
El art. 7.1 RGPD obliga al responsable del tratamiento a ser capaz de demostrar que el interesado consintió. En la práctica, esto se traduce en mantener un registro técnico que guarde, al menos:
- Identificador anónimo de la sesión (no es necesario asociar el consentimiento al nombre del usuario).
- Fecha y hora del consentimiento.
- Versión del banner y de la política de cookies que se mostraron.
- Categorías aceptadas y rechazadas.
- Fuente del consentimiento: primer nivel del banner, configurador, enlace del pie.
Sin ese registro, ante una reclamación o una inspección, no hay forma de demostrar que el visitante aceptó. La mayoría de los gestores de consentimiento comerciales del mercado ofrecen este registro de serie; los desarrollos a medida deben implementarlo expresamente.
Checklist antes de subir el banner a producción
- Mapa actualizado de todas las cookies, píxeles y SDKs que la web carga, agrupados por categoría.
- Bloqueo técnico real por defecto de todo lo que no sea estrictamente necesario, comprobado con herramientas de inspección de red.
- Banner con tres opciones equiparadas (aceptar, rechazar, configurar) y sin patrones engañosos.
- Política de cookies enlazada desde el banner y desde el pie, con tabla detallada y fecha de última actualización.
- Enlace permanente de configuración accesible desde el pie de cada página.
- Registro del consentimiento con identificador, fecha, versión y categorías marcadas.
- Renovación automática del consentimiento pasados veinticuatro meses sin nueva manifestación.
- Comprobación periódica de que ninguna nueva integración añade scripts sin pasar por el gestor de consentimiento.
Preguntas frecuentes
¿Mi tienda online necesita banner de cookies si solo uso analítica básica de Google?
Sí. Google Analytics —UA o GA4— instala cookies no estrictamente necesarias y requiere consentimiento previo según el art. 22.2 LSSICE y la guía oficial vigente sobre uso de cookies (mayo de 2024). El banner debe ofrecer aceptar todas, rechazar todas y configurar, con la opción de rechazo al mismo nivel visual que la de aceptación. Hasta que el usuario elija, las cookies no esenciales no pueden cargarse.
¿El consentimiento de cookies tiene plazo de caducidad?
La guía oficial vigente (mayo de 2024) recomienda un plazo razonable que no exceda los veinticuatro meses. Transcurrido ese tiempo sin nueva manifestación del usuario, hay que mostrar el banner de nuevo. Además, el usuario debe poder modificar su decisión en cualquier momento desde un enlace accesible en el pie de la web (Configurar cookies o equivalente).
¿Cuál es la diferencia entre la política de privacidad y la política de cookies?
La política de privacidad responde al deber de información del art. 13 RGPD sobre el tratamiento de datos personales. La política de cookies responde al art. 22.2 LSSICE sobre dispositivos de almacenamiento en el equipo del usuario: qué cookies hay, de quién son, para qué se usan, cuánto duran y cómo desinstalarlas. Son dos documentos separados, vinculados desde el pie de la web.
¿Pueden los píxeles de Meta o TikTok considerarse cookies para los efectos del consentimiento?
Sí. El art. 22.2 LSSICE cubre cualquier dispositivo de almacenamiento y recuperación de datos en el equipo del usuario: cookies, píxeles, fingerprinting, local storage, session storage y SDKs. Un ecommerce que carga el píxel de Meta o TikTok sin consentimiento previo incumple la LSSICE. El gestor debe bloquearlos por defecto y activarlos solo si el usuario marca la categoría de marketing.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿El banner de cookies de tu tienda online aguanta una inspección de la autoridad de control?
En Certix te asignamos un experto en cumplimiento del sector ecommerce. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto