Casi todas las webs corporativas cargan algo más que su propio código: analítica para medir visitas, un mapa incrustado, un vídeo, botones de redes sociales, píxeles de campañas. Cada uno de esos elementos suele dejar un rastro en el navegador del visitante, y ahí es donde entra en juego la política de cookies y el consentimiento. No es un trámite decorativo: es la capa de transparencia que la normativa española y europea exige antes de que una empresa pueda seguir el comportamiento de quien visita su web.
Esta guía explica, para una empresa con web propia, qué es la política de cookies, cuál es su base legal, qué tipos de cookies existen y cuáles requieren consentimiento, cómo debe ser el banner conforme a la Guía sobre el uso de cookies de la AEPD y qué errores se repiten con más frecuencia. El enfoque es operativo y sin alarmismo: entender la lógica de la norma para aplicarla bien desde el diseño, no para reaccionar con miedo.
¿Qué es la política de cookies?
La política de cookies es el documento informativo que describe todos los dispositivos de almacenamiento y recuperación de datos que utiliza una web en el equipo del usuario. Es una de las tres piezas legales que suele acompañar a cualquier sitio, junto al aviso legal y la política de privacidad, y cumple una función propia: dar al visitante información clara sobre qué se instala en su navegador, con qué finalidad, durante cuánto tiempo y cómo puede gestionarlo o retirarlo.
Conviene separar dos conceptos que se confunden a menudo:
- La política de cookies es un documento estático, accesible de forma permanente desde un enlace en el pie de la web. Informa. Habitualmente incluye una tabla con cada cookie identificada.
- El banner o aviso de cookies es el mecanismo interactivo que aparece al entrar en la web y recoge la decisión del usuario (aceptar, rechazar o configurar) antes de instalar las cookies no exentas.
Ambos elementos trabajan juntos, pero responden a obligaciones distintas: la política satisface el deber de información, y el banner materializa el consentimiento. Una web puede tener una política de cookies impecable y, aun así, incumplir si su banner carga la analítica antes de que el usuario haya elegido.
Este artículo aborda la política de cookies de cualquier web corporativa. Si el caso concreto es una tienda online, con sus píxeles de campañas y su integración con Google Tag Manager, conviene revisar además la guía específica sobre cookies y consentimiento en tienda online.
Base legal: el art. 22.2 de la LSSICE y el consentimiento del RGPD
Un error frecuente es pensar que las cookies se rigen solo por el RGPD. En realidad, dos marcos normativos confluyen sobre la misma operación:
- Art. 22.2 de la Ley 34/2002 (LSSICE): es la norma que regula específicamente los dispositivos de almacenamiento y recuperación de datos en el equipo del usuario. Exige que el prestador del servicio haya obtenido el consentimiento previo, informado y específico del usuario antes de instalar cualquier dispositivo que no sea estrictamente necesario para prestar el servicio expresamente solicitado. Aquí encajan las cookies, pero también los píxeles, el fingerprinting, los identificadores en local storage o session storage y los SDKs de terceros.
- RGPD (Reglamento UE 2016/679): se aplica sobre los datos personales que se obtienen a través de esas cookies cuando permiten identificar, directa o indirectamente, a una persona física. El consentimiento se apoya en el art. 6.1.a RGPD como base de licitud del tratamiento, y debe reunir las condiciones del art. 7 RGPD y la definición del art. 4.11 RGPD: una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa.
La consecuencia práctica es que el consentimiento de cookies tiene que cumplir a la vez las exigencias de las dos normas. Y como referencia interpretativa, la Guía sobre el uso de cookies de la Agencia Española de Protección de Datos (AEPD) traduce esos principios a criterios concretos sobre cómo debe ser el banner, cómo se rechaza, qué se puede cargar antes del consentimiento y cuándo hay que volver a pedirlo. Es la referencia que utiliza la propia autoridad para valorar si una implementación es válida.
Tipos de cookies: cuáles están exentas y cuáles requieren consentimiento
No todas las cookies necesitan consentimiento. La línea divisoria la marca el propio art. 22.2 LSSICE: quedan exentas únicamente las estrictamente necesarias para prestar el servicio que el usuario ha solicitado. Todo lo demás requiere su consentimiento previo. Esta es la clasificación operativa habitual:
| Categoría | Ejemplos típicos | ¿Consentimiento? |
|---|---|---|
| Técnicas estrictamente necesarias | Sesión, autenticación tras login, seguridad, equilibrio de carga, reproductor multimedia solicitado, selector de idioma, gestión del consentimiento. | No (exentas) |
| Preferencias / personalización | Modo claro/oscuro, región o idioma elegido voluntariamente, recordar datos de un formulario sin perfilado. | Sí (salvo casos limitados) |
| Analítica / medición | Google Analytics, Matomo en modo estándar, Hotjar, Microsoft Clarity, mapas de calor. | Sí |
| Marketing / publicidad comportamental | Píxel de Meta, píxel de TikTok, Google Ads, retargeting, fingerprinting publicitario, botones sociales que rastrean. | Sí (siempre) |
El punto que más confusión genera es la analítica. Aunque el responsable la perciba como inofensiva o incluso imprescindible para su negocio, no es estrictamente necesaria para prestar el servicio que el usuario ha pedido (leer una página, rellenar un formulario). Por eso, salvo supuestos muy concretos de medición propia y agregada bajo condiciones estrictas, la analítica requiere consentimiento previo. La exención del art. 22.2 se interpreta de forma estricta: se refiere a lo imprescindible para el servicio solicitado, no a lo conveniente para la empresa.
Cómo debe ser el banner de consentimiento según la Guía de la AEPD
El banner es la pieza donde se materializa —o se pierde— el consentimiento válido. La Guía sobre el uso de cookies de la AEPD desarrolla una serie de criterios cuyo incumplimiento se ha reprochado de forma reiterada. Estos son los que cualquier empresa debería verificar en su web:
Aceptar y rechazar, en igualdad de condiciones
La acción de rechazar debe ser tan sencilla como la de aceptar. El primer nivel del banner tiene que permitir aceptar todas, rechazar todas y configurar por categorías, sin obligar al usuario a entrar en el configurador para poder decir que no. Pintar el botón de aceptar en un color destacado y dejar el rechazo como un enlace gris de tamaño inferior se considera un patrón engañoso (dark pattern) que vicia el consentimiento libre del art. 4.11 RGPD.
Granularidad por categorías
El usuario debe poder aceptar unas finalidades y rechazar otras: por ejemplo, admitir la analítica y rechazar el marketing, o al revés. Un banner de todo o nada, sin configuración por categorías, no respeta la especificidad del consentimiento.
Sin muros de cookies abusivos
Los muros de cookies (cookie walls) que bloquean el acceso al contenido salvo que el usuario acepte todas las cookies vician la libertad del consentimiento. La Guía admite alternativas equivalentes de acceso solo en supuestos muy acotados y con condiciones estrictas; no como fórmula general para forzar la aceptación. Un consentimiento obtenido bajo la amenaza de no dejar navegar no es válido.
Consentimiento por acción afirmativa
Seguir navegando no es consentir. La práctica de entender que continuar en la web equivale a aceptar quedó descartada: el consentimiento exige una acción afirmativa clara. Del mismo modo, cerrar el banner sin elegir tampoco puede interpretarse como aceptación; ante la ausencia de decisión, las cookies no exentas deben permanecer bloqueadas.
Retirar el consentimiento con la misma facilidad
El usuario debe poder cambiar o retirar su decisión en cualquier momento con la misma facilidad con que la otorgó (art. 7.3 RGPD). Esto se resuelve con un enlace permanente en el pie de la web —del tipo "Configurar cookies" o "Preferencias de cookies"— siempre accesible, sin esconderlo en menús secundarios.
Qué debe incluir la política de cookies
La política de cookies, como documento, tiene que ofrecer al usuario la información necesaria para entender y controlar lo que ocurre en su navegador. Un contenido mínimo razonable incluye:
- Qué es una cookie y demás dispositivos de almacenamiento, en lenguaje accesible.
- Quién es el titular de la web y responsable del uso de las cookies, y quiénes son los terceros que instalan cookies a través del sitio (analítica, publicidad, redes sociales).
- Tabla detallada de cookies: cada cookie identificada por su nombre técnico, su titular (propia o de tercero), su finalidad, su duración y su tipo (de sesión o persistente).
- Categorías y finalidades: agrupación por técnicas necesarias, preferencias, analítica y marketing, explicando para qué sirve cada grupo.
- Base jurídica: consentimiento para las no exentas; necesidad técnica para las estrictamente necesarias.
- Transferencias internacionales, cuando algún tercero (por ejemplo, un proveedor con servidores fuera de la UE) trate datos fuera del Espacio Económico Europeo, indicando la garantía aplicable.
- Cómo gestionar, aceptar, rechazar o eliminar las cookies: desde el propio panel de configuración de la web y desde los ajustes del navegador.
- Fecha de última actualización del documento y del listado de cookies.
Un detalle que a menudo se descuida: la tabla debe incluir también los píxeles, SDKs y técnicas de fingerprinting, no solo las cookies en sentido estricto. El art. 22.2 LSSICE habla de cualquier dispositivo de almacenamiento y recuperación de datos, no solo de los que se llaman formalmente "cookies".
Errores comunes que convierten un banner correcto en un incumplimiento
La mayoría de los problemas no están en el texto de la política, sino en el comportamiento técnico de la web. Estos son los fallos que más se repiten:
- Cargar cookies antes del consentimiento. Es el error más habitual y el más grave: la analítica, el píxel de Meta o el mapa incrustado se disparan en la primera carga de la página, antes de que el usuario haya tocado el banner. El principio es el inverso: bloqueo por defecto de todo lo no exento hasta que el usuario elija.
- Rechazo escondido. Botón de aceptar visible y llamativo; rechazo relegado a un enlace pequeño o disponible solo tras entrar en "configurar".
- Banner meramente informativo. Avisos del tipo "usamos cookies, si sigues navegando las aceptas" que no ofrecen ninguna opción real de rechazo. No recogen consentimiento válido.
- Política de cookies desactualizada. La tabla no coincide con las cookies que la web carga realmente, porque se añadieron integraciones nuevas sin revisar el documento ni el gestor de consentimiento.
- No poder retirar el consentimiento. Falta el enlace permanente de configuración en el pie, de modo que quien aceptó no tiene forma sencilla de cambiar de opinión.
- No conservar prueba. El art. 7.1 RGPD obliga al responsable a poder demostrar que el usuario consintió. Sin un registro del consentimiento (identificador de sesión, fecha, versión del banner y categorías marcadas), no hay forma de acreditarlo ante una reclamación.
Muchos de estos fallos nacen en la fase de diseño y desarrollo de la web: dónde se cargan los scripts de terceros, si el gestor de consentimiento bloquea de verdad antes del clic, si las integraciones nuevas pasan por él. Corregirlo con la web ya publicada cuesta más que preverlo desde el principio; por eso conviene integrar la capa de cookies en la propia arquitectura del sitio, como se detalla en la checklist de requisitos legales para una web.
"La mayoría de los banners de cookies que vemos no incumplen por lo que dicen, sino por lo que hacen antes de que el usuario diga nada. El texto es correcto y, mientras tanto, la analítica ya se ha cargado. El consentimiento no es una pantalla que se enseña: es una decisión que se respeta."
Mario P. Talamillo · Socio director, Certix®
Checklist de una política de cookies y un banner conformes
- Mapa actualizado de todas las cookies, píxeles y SDKs que la web carga, agrupados por categoría.
- Bloqueo real por defecto de todo lo que no sea estrictamente necesario, verificado con herramientas de inspección de red.
- Banner con tres opciones en el primer nivel: aceptar todas, rechazar todas y configurar por categorías.
- Equiparación visual entre aceptar y rechazar, sin patrones engañosos.
- Configurador con granularidad real por categorías (aceptar unas, rechazar otras).
- Sin muros de cookies que condicionen el acceso a aceptar todo.
- Ni "seguir navegando" ni cerrar el aviso se interpretan como aceptación.
- Enlace permanente de configuración en el pie de cada página para modificar o retirar el consentimiento.
- Política de cookies con tabla detallada (nombre, titular, finalidad, duración) y fecha de actualización.
- Registro del consentimiento como prueba: identificador, fecha, versión del banner y categorías marcadas.
- Renovación del consentimiento tras un plazo razonable sin nueva manifestación del usuario.
Preguntas frecuentes
¿Qué es la política de cookies y en qué se diferencia del banner de consentimiento?
La política de cookies es un documento informativo permanente, accesible desde el pie de la web, que describe qué cookies usa el sitio, de quién son, para qué sirven, cuánto duran y cómo gestionarlas. El banner es el mecanismo interactivo que recoge la decisión del usuario (aceptar, rechazar o configurar) antes de instalar las cookies no exentas. La política informa; el banner recoge el consentimiento. Una web conforme necesita las dos piezas: el art. 22.2 LSSICE exige informar y recabar consentimiento, y la Guía de la AEPD detalla cómo hacerlo.
¿Qué cookies puede usar mi web sin pedir consentimiento?
Solo las estrictamente necesarias para prestar el servicio que el usuario ha solicitado: cookies de sesión, de autenticación tras iniciar sesión, de seguridad, de equilibrio de carga o del gestor de consentimiento. El art. 22.2 LSSICE exime únicamente a estas. La analítica, la publicidad, el retargeting y la personalización comercial no caben en la exención —que se interpreta de forma estricta— y requieren consentimiento previo del usuario antes de instalarse.
¿El banner puede tener solo un botón de Aceptar?
No. La Guía sobre el uso de cookies de la AEPD exige que rechazar sea tan fácil como aceptar. El primer nivel del banner debe ofrecer aceptar todas, rechazar todas y configurar por categorías, con equiparación visual entre aceptar y rechazar. Un banner con solo Aceptar, o con el rechazo escondido bajo un enlace pequeño, no cumple el requisito del consentimiento libre del art. 4.11 RGPD. Además, hasta que el usuario elija, las cookies no exentas no pueden cargarse.
¿Puedo condicionar el acceso a la web a que el usuario acepte las cookies?
Como regla general, no. Los muros de cookies que impiden acceder al contenido salvo que se acepten todas las cookies vician la libertad del consentimiento, que debe ser libre conforme a los arts. 4.11 y 7 RGPD. La Guía de la AEPD admite alternativas equivalentes de acceso solo en supuestos muy acotados y bajo condiciones estrictas, no como fórmula general para forzar la aceptación.
Referencias y recursos para profundizar
- Guía completa de la LSSICE (Ley 34/2002)
- Requisitos legales para una web en España: RGPD, LSSICE y checklist
- Cookies y consentimiento en tienda online conforme al RGPD y la LSSICE
- Consultoría de protección de datos de Certix
¿La política de cookies de tu web refleja lo que tu web hace de verdad?
En Certix revisamos el consentimiento de tu web con un experto en protección de datos. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un expertoEste contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.