¿Es obligatorio poner un aviso de cookies en tu web?
La respuesta corta
Sí, si tu web usa cookies que no son estrictamente necesarias, como las de analítica, publicidad o píxeles de redes sociales: el artículo 22.2 de la LSSI obliga a informar y a pedir consentimiento antes de instalarlas. Si solo usa cookies técnicas exentas, no necesitas banner ni consentimiento, aunque la AEPD recomienda mencionarlas en la política de cookies.
Antonio Sivera · CEO de Grupo CamaltecActualizado el · 6 min de lectura
La obligación no depende del tamaño de la web ni de si vendes online. Depende de lo que tu web guarda o lee en el dispositivo de quien la visita: cookies o cualquier técnica parecida. Si solo usa lo estrictamente necesario para funcionar, no necesitas banner. Si añades Google Analytics, un píxel publicitario o un reproductor de terceros que guarda datos para sus propios fines, tienes que informar y pedir permiso antes de cargarlo.
¿Cuándo es obligatorio pedir consentimiento para usar cookies?
Es obligatorio siempre que tu web use cookies no exentas. El artículo 22.2 de la LSSI solo permite usarlas si el usuario ha dado su consentimiento «después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos».
En la práctica, eso se traduce en tres reglas:
- Antes, no después. Las cookies no exentas no pueden cargarse al abrir la página. La AEPD ha sancionado webs que las instalaban nada más entrar, sin que el usuario hubiera pulsado nada.
- Con una acción clara. La guía de la AEPD recoge que seguir navegando no es una forma válida de consentir. La mera inactividad del usuario tampoco.
- Con la opción de decir que no. El botón para rechazar debe estar en la misma capa y al mismo nivel que el de aceptar, con un mecanismo similar. Si hay un botón «Aceptar», tiene que haber un botón «Rechazar».
Qué debe decir cada capa del aviso lo tienes paso a paso en la guía para montar un banner de cookies.
¿Cuándo no es obligatorio el aviso de cookies?
No hace falta aviso ni consentimiento si todas las cookies de tu web están exentas. La propia LSSI excluye el almacenamiento técnico que sirve solo para transmitir una comunicación por la red y el que sea estrictamente necesario para prestar un servicio que el usuario ha pedido expresamente.
La guía de la AEPD, siguiendo el Dictamen 4/2012 del GT29, pone estos ejemplos de cookies exentas:
- Cookies de «entrada del usuario», como las que recuerdan un formulario de varias páginas o el carrito.
- Cookies de autenticación o identificación de usuario (únicamente de sesión).
- Cookies de seguridad del usuario, como las que detectan intentos repetidos de acceso fallidos.
- Cookies de sesión de reproductor multimedia.
- Cookies de sesión para equilibrar la carga.
- Cookies de personalización de la interfaz de usuario, como el idioma que elige el propio usuario.
- Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales, solo para usuarios que han decidido mantener la sesión abierta.
Ojo con las cookies que sirven para varias cosas. Si una cookie técnica también se usa para publicidad comportamental, deja de estar exenta para esa finalidad.
¿Hay que informar de las cookies exentas?
No es obligatorio, pero la AEPD lo recomienda. Su guía dice que, con cookies exentas, «no sería necesario informar ni obtener el consentimiento sobre su uso». Aun así, añade que «por razones de transparencia se recomienda informar, al menos con carácter genérico», en la política de cookies o en la de privacidad. Propone una frase como esta: «Este sitio web utiliza cookies que permiten el funcionamiento y la prestación de los servicios ofrecidos en el mismo». Si quieres ver qué cookies caen en cada categoría, tienes la clasificación completa en tipos de cookies.
Casos típicos: ¿necesita banner tu web?
Esta tabla resume los casos más habituales. Es orientativa: lo que decide es la finalidad real de cada cookie, no el nombre de la herramienta.
| Tu web usa… | ¿Necesita consentimiento? | Por qué |
|---|---|---|
| Solo cookies técnicas (sesión, inicio de sesión, carrito) | No | Están exentas. La AEPD recomienda mencionarlas de forma genérica en la política de cookies. |
| Selector de idioma que elige el usuario | No | La guía lo considera un servicio pedido por el usuario, siempre que la cookie no se use para otros fines. |
| Google Analytics | Sí | La guía dice que las cookies de análisis no están exentas del deber de obtener un consentimiento informado. |
| Vídeos de YouTube incrustados | Depende | La guía exime las cookies de sesión del reproductor multimedia. Si el reproductor guarda datos para otros fines, hace falta consentimiento. |
| Píxel de Meta | Sí | Según Meta, el píxel guarda un identificador único en la cookie _fbp del dominio de tu web. Su uso es publicitario. |
| Botones de compartir en redes sociales | Depende | La excepción de la guía para estos complementos solo cubre a usuarios que ya tienen la sesión abierta en la red social. |
| Tienda online sin herramientas de marketing | No, para lo técnico | Recordar el pedido, hacer la compra, gestionar el pago y controlar el fraude son finalidades técnicas según la guía. |
| Tienda online con remarketing o analítica | Sí | Las etiquetas de medición y marketing no son necesarias para vender. |
Sobre YouTube: según Google, su modo de privacidad mejorada (youtube-nocookie.com) evita que las visualizaciones del vídeo insertado influyan en la experiencia de navegación del usuario, como las recomendaciones o los anuncios, pero no dice que no se guarde nada en el navegador. Revisa qué instala el reproductor. Si la web es un WordPress, tienes los pasos concretos en cómo poner el aviso de cookies en WordPress.
¿Qué ley regula las cookies en España?
Las regula el artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Su redacción se ha modificado varias veces; la última, con la Ley 9/2014.
Cuando las cookies tratan datos personales, por ejemplo con identificadores únicos como un ID de publicidad, se aplican también el RGPD y la Ley Orgánica 3/2018 (LOPDGDD). El artículo 22.2 aún remite a la antigua Ley Orgánica 15/1999; la AEPD aclara que esa remisión se entiende hecha hoy al RGPD y a la LOPDGDD.
Quien sanciona es la AEPD (artículo 43.1 de la LSSI). Su «Guía sobre el uso de las cookies» se actualizó el 11 de julio de 2023 para adaptarla a las directrices del Comité Europeo de Protección de Datos sobre patrones engañosos, con plazo para adaptar las webs hasta el 11 de enero de 2024. La versión publicada hoy en su web es la de mayo de 2024, que cambia el apartado sobre denegar el acceso a quien rechaza las cookies.
¿Qué pasa si no aceptas las cookies?
Si las rechazas, la web debe seguir funcionando sin las cookies no exentas. La guía de la AEPD exige que rechazar sea tan fácil como aceptar y que puedas retirar el consentimiento en cualquier momento con la misma sencillez con que lo diste.
¿Puede una web bloquearte si no aceptas? La AEPD no admite los «muros de cookies» sin alternativa. Solo acepta limitar el acceso si se informa al usuario y se le ofrece otra forma de entrar sin aceptar cookies: no necesariamente gratuita, pero genuinamente equivalente y ofrecida por el propio editor.
Si eres tú quien mantiene la web, comprueba que el botón «Rechazar» hace lo que dice. En 2024 la AEPD multó a Techpump con 30.000 euros por cada una de tres webs porque, entre otras cosas, tras pulsar «rechazar todas» las páginas empezaban a usar cookies de terceros.
¿Qué pasa si tu web no cumple?
Usar cookies sin informar o sin consentimiento es una infracción leve del artículo 38.4.g) de la LSSI, con multa de hasta 30.000 euros. Si ya te sancionaron por lo mismo con resolución firme en los tres años anteriores, la reincidencia pasa a ser grave: de 30.001 a 150.000 euros. Tienes importes, casos reales y criterios en multas por cookies de la AEPD.
Con webs de clientes, empieza por un inventario de lo que se carga antes de pulsar nada: te lo da la auditoría gratuita de cookies. El banner de Cookies Marca Blanca muestra «Aceptar» y «Rechazar» en la misma primera capa y bloquea las etiquetas que gestiona hasta que hay consentimiento. Si una cookie concreta te genera dudas, depende de su finalidad real: confírmala con quien la instala o con tu asesor.
Preguntas frecuentes
¿Qué pasa si no acepto cookies?
La web debe dejarte rechazarlas con la misma facilidad con que se aceptan y, si las rechazas, no puede usar las cookies no exentas. Según la guía de la AEPD, solo puede limitarte el acceso si te lo avisa y te ofrece una alternativa equivalente, no necesariamente gratuita, para entrar sin aceptar cookies.
¿Qué ley regula las cookies en España?
El artículo 22.2 de la Ley 34/2002 (LSSI). Cuando las cookies tratan datos personales se aplican también el RGPD y la LOPDGDD. La AEPD sanciona los incumplimientos y publica la «Guía sobre el uso de las cookies», actualizada en julio de 2023 y de nuevo en mayo de 2024.
¿Vale con avisar de que, si sigues navegando, aceptas las cookies?
No. La guía de la AEPD recoge que, según el Comité Europeo de Protección de Datos, seguir navegando no es una forma válida de consentir. Hace falta una acción clara, como pulsar «Aceptar», y un botón para rechazar en la misma capa.
¿Basta con explicar cómo bloquear las cookies desde el navegador?
En la práctica, no. La LSSI admite el consentimiento mediante los parámetros del navegador cuando sea técnicamente posible y eficaz, pero la AEPD multó a Vueling en 2019 porque no ofrecía ningún sistema para rechazar las cookies y solo remitía a la configuración del navegador.
¿Cada cuánto hay que volver a pedir el consentimiento?
La ley no fija un plazo. La AEPD considera buena práctica que el consentimiento para una cookie no dure más de 24 meses y que, mientras tanto, se respete la elección del usuario sin preguntarle en cada visita.
Fuentes
- Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (texto consolidado, BOE)
- AEPD: Guía sobre el uso de las cookies (versión de mayo de 2024)
- AEPD: La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del CEPD (11 de julio de 2023)
- AEPD: Resolución PS/00300/2019 (Vueling Airlines)
- AEPD: Resolución PS/00524/2023 (Techpump Solutions)
- Meta for Developers: parámetros fbp y fbc (cookie _fbp del píxel de Meta)
- Ayuda de YouTube: insertar vídeos y listas de reproducción (modo de privacidad mejorada)