Multas por cookies de la AEPD: cuánto se paga y por qué

Las multas por cookies no son teóricas. Las resoluciones de la AEPD son públicas y repiten los mismos fallos: cookies que se cargan antes de que el usuario decida, avisos sin botón para rechazar y botones de rechazo que no rechazan nada. La LSSI tiene su propia escala de multas, más baja que la del RGPD, pero la AEPD la aplica por cada infracción y, en algún caso, por cada web. Si gestionas varias webs de clientes, eso importa.

¿Qué artículos de la LSSI tipifican la multa por cookies?

La infracción está en el artículo 38 de la LSSI y la multa, en el 39. Esto dice el texto consolidado del BOE, con última actualización del 23 de enero de 2025:

El artículo 38.4.g) considera leve «utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2». Quien sanciona es la AEPD, según el artículo 43.1.

Además, si las cookies tratan datos personales, puede haber sanciones por el RGPD en el mismo expediente. Le pasó a Jimbo Networks, como verás abajo.

Casos reales de multas de la AEPD por cookies

Estos cinco casos están sacados de las resoluciones publicadas por la AEPD. La columna «Inicio» es la fecha del acuerdo de inicio del procedimiento sancionador.

Vueling (PS/00300/2019)

La web no tenía un sistema de gestión ni un panel de configuración para rechazar cookies. Para oponerse, remitía al usuario a las opciones de su navegador. La AEPD propuso 30.000 euros. Vueling reconoció la responsabilidad y pagó el 24 de septiembre de 2019 con las dos reducciones del 20 %: 18.000 euros.

IKEA Ibérica (PS/00127/2019)

El aviso decía que «La web de IKEA utiliza cookies que hacen la navegación mucho más fácil», sin opción de aceptar ni de rechazar. La política de cookies entendía que, si continuabas navegando, aceptabas su uso. La AEPD impuso 10.000 euros por infracción del artículo 22.2, tipificada como leve.

Iberia (PS/00032/2020)

Una usuaria denunció en octubre de 2019 que no podía rechazar las cookies y que tenía que aceptarlas para seguir navegando. En enero de 2020 Iberia dijo haber corregido su web. La AEPD comprobó en febrero que no era así y abrió el procedimiento el 1 de junio de 2020. Iberia alegó que bastaba con un apercibimiento. La AEPD respondió que habría sido lo correcto si la empresa hubiera hecho los cambios que anunció, pero la web solo cambió tras la apertura del expediente. Multa: 30.000 euros. En julio de 2024, Hosteltur informó de que la Audiencia Nacional había confirmado la sanción.

Jimbo Networks (PS/00482/2021)

Al entrar por primera vez se instalaban _ga, _gid y _gat de Google Analytics y cookies de otros dominios, sin ninguna acción del usuario. No había banner ni forma de rechazar, y la política decía que la caducidad de la cookie de Google Analytics era «indefinido». La AEPD sumó a los 5.000 euros por la LSSI otros 10.000 euros por los artículos 6.1 y 13 del RGPD. La empresa pagó 9.000 euros el 24 de febrero de 2022.

Techpump (PS/00524/2023)

La inspección de diciembre de 2023 se hizo con el navegador limpio de historial y cookies. Si el usuario elegía «rechazar todas» y empezaba a navegar, las webs usaban dos cookies de terceros, __uvt y __upt. La AEPD aplicó dos agravantes, intencionalidad y reincidencia por una resolución anterior de septiembre de 2022 (PS/00555/2021), y puso la máxima multa leve a cada una de las tres webs afectadas.

¿Cómo gradúa la AEPD la multa por cookies?

Aplica los criterios del artículo 40 de la LSSI:

• a) La existencia de intencionalidad.
• b) El tiempo durante el que se ha cometido la infracción.
• c) La reincidencia en infracciones de la misma naturaleza, declarada por resolución firme.
• d) La naturaleza y cuantía de los perjuicios causados.
• e) Los beneficios obtenidos por la infracción.
• f) El volumen de facturación afectado.
• g) La adhesión a un código de conducta o a un sistema de autorregulación publicitaria que cumpla los requisitos de la ley.
• h) Las medidas adoptadas para mitigar o reparar el daño.

En las resoluciones revisadas se ve cómo pesan. A Vueling le aplicaron intencionalidad, tiempo, perjuicios, beneficios (estos dos, en relación con el volumen de usuarios afectados) y facturación: 30.000 euros. A Jimbo Networks, solo intencionalidad: 5.000 euros. A Techpump, intencionalidad y reincidencia: la máxima en cada web.

La ley prevé también dos salidas más suaves. El artículo 39 bis permite aplicar la escala inferior en ciertos casos, como haber regularizado la situación de forma diligente o reconocer espontáneamente la culpa. El artículo 39 ter permite apercibir, en lugar de abrir un procedimiento, para que el responsable corrija el problema en un plazo. Cómo se aplican depende de cada expediente. Esto no es asesoramiento jurídico: si ya tienes un requerimiento, consulta con tu asesor.

¿Qué revisar en tu web para no acabar en esta lista?

Revisa lo mismo que miran los inspectores de la AEPD en estas resoluciones:

1. Qué se carga antes de pulsar nada. Abre la web en una ventana privada, sin cookies previas, y mira las herramientas de desarrollo del navegador. Solo debería haber cookies exentas.
2. Un botón «Rechazar» en la primera capa, en la misma capa y al mismo nivel que «Aceptar», con un mecanismo similar.
3. Que rechazar funcione de verdad. Pulsa «Rechazar», navega por varias páginas y vuelve a mirar las cookies. Es el fallo de Techpump.
4. Un panel por finalidades, para aceptar o rechazar al menos por categorías.
5. Un enlace permanente para cambiar o retirar el consentimiento en cualquier momento.
6. Una política de cookies completa y real: qué cookies hay, si son propias o de terceros, para qué sirven y cuánto duran. Nada de «indefinido».
7. Todas las webs, no solo la principal. A Techpump le sancionaron por separado cada web con deficiencias.
8. Respuesta rápida y real a la AEPD. Si recibes un requerimiento, corrige antes de contestar. A Iberia le pesó anunciar cambios que no había hecho.

Tienes cómo resolver los puntos 2 a 5 en la guía del banner de cookies. Para el punto 1, la auditoría gratuita de cookies te da el inventario de lo que se carga en cada web antes del consentimiento. Y si todavía dudas de si una web necesita aviso, empieza por ¿es obligatorio el aviso de cookies?.

Preguntas frecuentes

¿Cuál es la multa máxima por no tener banner de cookies?

Como infracción leve, hasta 30.000 euros (artículo 39.1.c de la LSSI). La reincidencia en esa infracción, declarada por resolución firme en los tres años anteriores a la apertura del procedimiento, es grave y se multa con 30.001 a 150.000 euros.

¿Quién pone las multas por cookies en España?

La Agencia Española de Protección de Datos. El artículo 43.1 de la LSSI le atribuye la potestad de sancionar la infracción del artículo 38.4.g), que es usar cookies sin informar o sin consentimiento.

¿Se puede reducir la multa?

En los casos revisados, la AEPD ofreció dos reducciones del 20 % cada una: por reconocer la responsabilidad y por pagar de forma voluntaria. Así, Vueling pagó 18.000 euros de los 30.000 propuestos en 2019.

¿La AEPD puede avisar antes de multar?

Sí. El artículo 39 ter de la LSSI permite apercibir en lugar de abrir un procedimiento sancionador en infracciones leves o graves, para que el responsable acredite en un plazo que ha corregido el problema. Si no lo hace, se abre el procedimiento.

¿Si tengo varias webs me pueden multar por cada una?

En el caso Techpump (PS/00524/2023), la AEPD impuso 30.000 euros por cada una de las tres webs en las que detectó deficiencias: 90.000 euros en total.

Fuentes

1. Ley 34/2002 (LSSI), artículos 22.2, 38, 39, 39 bis, 39 ter, 40 y 43 (texto consolidado, BOE)
2. AEPD: Resolución PS/00300/2019 (Vueling Airlines, S.L.)
3. AEPD: Resolución PS/00127/2019 (IKEA Ibérica, S.A.U.)
4. AEPD: Resolución PS/00032/2020 (Iberia Líneas Aéreas de España)
5. Hosteltur: La Audiencia Nacional confirma la sanción de 30.000 euros a Iberia por su política de cookies (julio de 2024)
6. AEPD: Resolución PS/00482/2021 (Jimbo Networks, S.L.)
7. AEPD: Resolución PS/00524/2023 (Techpump Solutions, S.L.)
8. AEPD: Guía sobre el uso de las cookies (versión de mayo de 2024)