Tipos de cookies: cómo las clasifica la AEPD y cuáles necesitan permiso

La LSSI no trae una lista de tipos: solo distingue entre lo que necesita consentimiento y lo que no. La clasificación que se usa en España es la de la «Guía sobre el uso de las cookies» de la AEPD, actualizada en julio de 2023 y de nuevo en mayo de 2024. Cruza tres criterios, y una misma cookie puede estar en varias categorías. La guía aclara que son tipologías orientativas: cada editor puede agrupar sus cookies como mejor refleje sus finalidades, siempre que sea transparente.

¿Cómo clasifica la AEPD los tipos de cookies?

Las clasifica por tres criterios: quién las gestiona, para qué sirven y cuánto tiempo permanecen activas.

Según quién las gestiona: propias y de terceros

• Cookies propias: son responsabilidad del propio editor y, en general, se envían desde un equipo o dominio suyo, desde el que presta el servicio.
• Cookies de tercero: son responsabilidad de otra entidad, que trata los datos obtenidos. Suelen llegar desde un dominio que no gestiona el editor.

El matiz importante: si una cookie se sirve desde tu dominio pero la información la gestiona un tercero para sus propios fines, la AEPD dice que no puede considerarse propia.

Según su finalidad: técnicas, preferencias, análisis y publicidad

• Técnicas: permiten navegar y usar los servicios de la web. Las vemos en detalle más abajo.
• De preferencias o personalización: recuerdan información para que accedas con ciertas características, como el idioma, el número de resultados de una búsqueda o la región desde la que entras.
• De análisis o medición: permiten seguir y analizar el comportamiento de los usuarios, incluida la medición del impacto de los anuncios, para mejorar el servicio.
• De publicidad comportamental: guardan información sobre tus hábitos de navegación, obtenida al observarlos de forma continuada, para crear un perfil y mostrarte publicidad según ese perfil.

Según su duración: de sesión y persistentes

• De sesión: recogen y guardan datos mientras navegas y desaparecen al terminar la sesión. Por ejemplo, la lista de productos de una compra.
• Persistentes: los datos siguen en el dispositivo durante un plazo que fija el responsable de la cookie, de unos minutos a varios años.

La AEPD recomienda valorar si de verdad hace falta una cookie persistente y, si se usa, reducir su duración al mínimo necesario para su finalidad.

¿Qué son las cookies técnicas?

Son las que permiten navegar por una web, plataforma o aplicación y usar sus opciones o servicios. La guía cita, entre otras, las que sirven para identificar la sesión, acceder a zonas restringidas, recordar un pedido, hacer la compra, gestionar el pago, controlar el fraude, difundir vídeo o sonido y compartir contenidos en redes sociales.

También incluye las que gestionan espacios publicitarios como un elemento más del diseño de la página, siempre que no recojan información de los usuarios para otros fines, como personalizar los anuncios.

Las cookies técnicas están exentas mientras sirvan solo para prestar el servicio que pide el usuario. Si además se usan para publicidad comportamental, necesitan consentimiento para esa finalidad.

Ejemplos reales: nombres de cookie, finalidad y duración

Estos nombres aparecen a menudo al auditar webs. La finalidad y la duración son las que publica cada proveedor en su documentación oficial; la última columna aplica los criterios de la guía de la AEPD.

Tres notas sobre la tabla:

• _fbp. Meta explica que, cuando su píxel usa cookies de primera parte, guarda automáticamente un identificador único en una cookie _fbp del dominio de la web. Es publicidad, así que necesita consentimiento. Meta no indica su duración en esa documentación, por eso no está en la tabla.
• _gid y _gat. La tabla oficial de cookies de GA4 solo recoge _ga y _ga_<container-id>. Si ves _gid o _gat en una web, trátalas también como analítica. La AEPD las encontró instaladas sin consentimiento en las webs de Jimbo Networks y de Techpump, y ambas acabaron sancionadas.
• «Recuérdame» en WordPress. La guía cita como exentas las cookies de autenticación «únicamente de sesión». Con «Recuérdame» la cookie pasa a ser persistente, aunque es el propio usuario quien lo pide. Valóralo en tu caso.

¿Qué tipos de cookies necesitan consentimiento?

Todas, salvo las exentas. Lo que decide es la finalidad, no quién pone la cookie ni cuánto dura.

• No lo necesitan: las técnicas estrictamente necesarias y las de preferencias que elige el propio usuario (idioma, moneda, tamaño de letra o contraste), siempre que se limiten a eso y no se usen para publicidad ni para elaborar un perfil. Tienes la lista completa de exentas en ¿es obligatorio el aviso de cookies?.
• Sí lo necesitan: las de análisis o medición, las de publicidad comportamental y cualquier cookie que un tercero use para sus propios fines. Sobre la analítica, la guía recuerda que el GT29 la veía poco arriesgada si es de primera parte, trata datos agregados con fines estadísticos, se informa y se puede rechazar. Aun así, no la exime del consentimiento.
• Cookies polivalentes: si una cookie sirve para dos finalidades y el usuario solo acepta una, la guía dice que no debería usarse, salvo que tu sistema de gestión pueda tratar cada finalidad por separado.

La duración también cuenta. Siguiendo al GT29, la guía indica que la caducidad de una cookie exenta debe estar relacionada con su finalidad. Por eso es mucho más probable que se considere exenta una cookie de sesión que una persistente.

¿Qué es mejor, aceptar o rechazar cookies?

No hay una respuesta única: depende de lo que quieras compartir. Si rechazas, la web debe seguir funcionando, porque las cookies técnicas no dependen de tu elección. La AEPD no admite los «muros de cookies» sin alternativa. Si aceptas, la web y sus proveedores pueden medir tu visita o usar tu navegación para mostrarte publicidad. Y puedes retirar el consentimiento cuando quieras, con la misma facilidad con que lo diste.

Si mantienes la web, lo que te toca es respetar cualquiera de las dos respuestas. El botón «Rechazar» tiene que estar en la misma capa y al mismo nivel que «Aceptar», y tras rechazar no se puede cargar ninguna cookie no exenta. Si usas etiquetas de Google, en Consent Mode básico frente a avanzado tienes qué pasa con la medición cuando alguien rechaza.

En Cookies Marca Blanca el banner permite configurar las cookies por categorías y la política de cookies de cada web se edita desde el panel. Para saber qué cookies tiene hoy una web, empieza por la auditoría gratuita de cookies y monta el aviso con la guía del banner de cookies.

Preguntas frecuentes

¿Qué son las cookies técnicas?

Son las que permiten navegar por la web y usar sus servicios: identificar la sesión, acceder a zonas restringidas, recordar un pedido, gestionar el pago o controlar el fraude. Si solo sirven para eso, están exentas de consentimiento según la guía de la AEPD.

¿Qué es mejor, aceptar o rechazar cookies?

Depende de lo que quieras compartir. Rechazar no debería impedirte usar la web, porque las cookies técnicas siguen funcionando. Aceptar permite a la web y a terceros medir tu visita o mostrarte publicidad basada en tu comportamiento, y puedes cambiar de opinión después.

¿Las cookies de Google Analytics necesitan consentimiento?

Sí. La guía de la AEPD indica que las cookies de análisis no están exentas del deber de obtener un consentimiento informado, aunque las considere de poco riesgo cuando son de primera parte y tratan datos agregados con fines estadísticos.

¿Una cookie de sesión siempre está exenta?

No. Lo que decide es la finalidad, no la duración. Eso sí, la guía señala que es mucho más probable que se consideren exentas las cookies de sesión que las persistentes.

¿Qué diferencia hay entre cookies propias y de terceros?

Las propias son responsabilidad del editor de la web; las de terceros, de otra entidad que trata los datos obtenidos. Una cookie servida desde tu dominio no cuenta como propia si un tercero la usa para sus propios fines.

Fuentes

1. AEPD: Guía sobre el uso de las cookies (versión de mayo de 2024)
2. AEPD: La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del CEPD (11 de julio de 2023)
3. Ley 34/2002 (LSSI), artículo 22.2 (texto consolidado, BOE)
4. Google: Cómo utiliza Google las cookies
5. Ayuda de Google Analytics: uso de cookies de Google Analytics en sitios web
6. Meta for Developers: parámetros fbp y fbc (cookie _fbp)
7. WordPress Developer Resources: Cookies
8. WordPress Developer Resources: wp_set_auth_cookie()
9. Manual de PHP: configuración de sesiones (session.name, session.cookie_lifetime)
10. AEPD: Resolución PS/00482/2021 (Jimbo Networks)
11. AEPD: Resolución PS/00524/2023 (Techpump Solutions)