Ley de cookies en España: qué norma se aplica y qué dice la guía de la AEPD

Cuando alguien habla de la «ley de cookies» se refiere a un solo artículo: el 22.2 de la LSSI. Es breve y deja muchas preguntas abiertas, así que en la práctica manda la Guía sobre el uso de las cookies de la AEPD. La guía se actualizó en julio de 2023 para adaptarse a las directrices europeas sobre patrones de diseño engañosos, sus nuevos criterios se aplican desde el 11 de enero de 2024 y el documento publicado hoy lleva fecha de mayo de 2024. Aquí tienes qué dice la norma, qué añade la guía y qué significa para una web concreta. No es asesoramiento jurídico: si un caso tiene matices, consúltalo con un asesor.

¿Qué normativa regula las cookies en España?

Las regula el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Alrededor de ese artículo hay tres piezas más:

Qué dice el artículo 22.2 de la LSSI

Este es el texto consolidado del BOE, con última actualización del 23 de enero de 2025:

«Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal».

El artículo añade dos excepciones: el almacenamiento técnico necesario para transmitir la comunicación y el estrictamente necesario para prestar un servicio que el usuario ha pedido expresamente. También admite que el consentimiento se dé con los parámetros del navegador cuando sea técnicamente posible y eficaz.

Según la guía de la AEPD, la norma no se limita a las cookies: alcanza a tecnologías similares, como los web beacons, y a las técnicas de fingerprinting, la toma de la huella digital del dispositivo.

Dónde entra la protección de datos

La Ley Orgánica 15/1999 ya no está en vigor. La AEPD aclara que esa remisión debe entenderse hecha al RGPD, aplicable desde el 25 de mayo de 2018, y a la LOPDGDD, aplicable desde el 7 de diciembre de 2018. Del RGPD salen dos reglas clave:

• Qué es consentir (art. 4.11): una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa.
• Retirarlo (art. 7.3): será tan fácil retirar el consentimiento como darlo.

Cuando una cookie trata datos personales, se aplican además todas las obligaciones del RGPD. La guía entiende que los hay cuando el usuario está identificado, por ejemplo porque está registrado, o cuando se usan identificadores únicos que permiten distinguirlo y seguirlo, como un ID de publicidad.

¿Qué cambió en la guía de cookies de la AEPD desde 2023?

La AEPD anunció el 11 de julio de 2023 que actualizaba la guía para adaptarla a las Directrices 03/2022 del Comité Europeo de Protección de Datos (CEPD) sobre patrones de diseño engañosos, cuya versión final es de 24 de febrero de 2023. Dio seis meses para adaptarse: los criterios nuevos se aplican desde el 11 de enero de 2024. Según la nota de prensa, los cambios fueron tres:

1. Aceptar y rechazar, al mismo nivel. Las dos acciones deben presentarse en un lugar y formato destacados, y ambas al mismo nivel.
2. Cookies de personalización. Si es el usuario quien elige una característica, como el idioma o la moneda, la cookie es técnica y no necesita consentimiento. Si es el editor quien decide personalizar a partir de los datos del usuario, hay que pedirlo.
3. Muros de cookies. Rechazar las cookies puede impedir el acceso al servicio si se ofrece una alternativa, que no tiene por qué ser gratuita.

El texto actual, fechado en mayo de 2024, recoge además el dictamen 8/2024 del CEPD sobre los modelos de «consentimiento o pago» de las grandes plataformas en línea.

¿Qué cookies están exentas y cuáles necesitan consentimiento?

Están exentas las cookies que solo permiten la comunicación entre el equipo del usuario y la red, y las estrictamente necesarias para prestar un servicio que el usuario ha pedido. Todas las demás, propias o de terceros, de sesión o persistentes, necesitan información y consentimiento.

La guía recoge la lista del Dictamen 4/2012 del Grupo de Trabajo del Artículo 29 (GT29). Serían exentas las cookies de:

• Entrada del usuario, como las de un formulario de varias páginas o una cesta de la compra.
• Autenticación o identificación del usuario, solo de sesión.
• Seguridad del usuario, por ejemplo para detectar intentos de acceso erróneos y repetidos.
• Sesión de reproductor multimedia.
• Sesión para equilibrar la carga.
• Personalización de la interfaz de usuario.
• Algunos complementos para compartir contenidos en redes sociales, solo para usuarios que han decidido mantener la sesión abierta.

Tres matices:

• Cookies polivalentes. Si una cookie sirve para una finalidad exenta y otra que no lo es, necesita consentimiento para la segunda. Si el usuario solo acepta una finalidad, la cookie no debería usarse, salvo que la herramienta pueda tratar cada finalidad por separado.
• Duración. La caducidad de una cookie exenta debe estar relacionada con su finalidad, así que es mucho más probable que se consideren exentas las de sesión que las persistentes.
• Transparencia. Aunque no haga falta consentimiento, la AEPD recomienda informar de las exentas al menos de forma genérica.

La clasificación completa está en tipos de cookies, y los casos dudosos de las técnicas, en cookies técnicas.

El caso de la analítica

Por regla general, las cookies de análisis necesitan consentimiento. La guía de la AEPD sobre medición de audiencia, de enero de 2024, admite una excepción si se cumplen todas estas condiciones:

• La finalidad se limita a medir la audiencia del sitio, en nombre exclusivo del editor, para producir estadísticas anónimas.
• Los datos no se cruzan con otros tratamientos ni se transmiten a terceros.
• No se sigue la navegación de la persona por otros sitios o aplicaciones.
• La vida útil de la cookie es limitada, por ejemplo trece meses, y no se prorroga sola en nuevas visitas.
• Los datos se conservan como máximo veinticinco meses.
• Si hay un proveedor, existe un contrato del artículo 28 del RGPD que le prohíbe reutilizar los datos.

La propia AEPD advierte que varias ofertas de medición del mercado no entran en la excepción porque reutilizan los datos para otras finalidades. Como referencia, Google indica que la cookie _ga de Google Analytics dura 2 años por defecto. Si dudas de tu herramienta, compruébalo caso por caso; lo tienes explicado en Google Analytics 4 y cookies.

¿Qué exige la AEPD para que el consentimiento sea válido?

Exige una acción afirmativa clara, con información previa, y que rechazar sea tan fácil como aceptar. Según el apartado 3.2 de la guía:

• No vale seguir navegando, ni consultar la segunda capa, ni la mera inactividad.
• Rechazar debe ofrecerse al mismo tiempo, al mismo nivel y con la misma visibilidad que aceptar, sin mandar al usuario a otra capa.
• El consentimiento es previo. Las cookies no exentas no se usan antes de que el usuario decida.
• El navegador no basta. Su configuración puede servir para obtener el consentimiento, pero no como único mecanismo para rechazar o revocarlo.
• Menores de 14 años. En webs dirigidas a ellos, hay que hacer esfuerzos razonables para comprobar que consiente el titular de la patria potestad o tutela.

Los detalles de diseño, botón a botón, están en la guía del banner de cookies.

¿Cómo debe organizarse la información por capas?

En una primera capa, el banner, con lo esencial y los botones para decidir; en una segunda, la política de cookies, con el detalle que enumera el apartado 3.1.1 de la guía. La segunda capa debe estar disponible de forma permanente. La guía también se fija en cómo se escribe:

• Frases como «para mejorar su navegación» no son válidas para describir cookies publicitarias comportamentales.
• Deben evitarse términos como «puede», «podría», «algún», «a menudo» y «posible».
• La información debe seguir a mano después de aceptar: a no más de dos clics, según la recomendación del GT29 que recoge la guía.

Tienes un modelo completo en la plantilla de política de cookies e ideas para la primera capa en textos para el banner de cookies.

¿Cuánto dura el consentimiento de las cookies?

La AEPD considera buena práctica que el consentimiento para una cookie no dure más de 24 meses. Durante ese tiempo, la web debe recordar la elección sin volver a preguntar en cada visita. Tres situaciones cambian las cosas:

• Cambian las finalidades o los terceros. Hay que actualizar la política de cookies y dejar que el usuario vuelva a decidir.
• El usuario quiere retirar el consentimiento. Debe poder hacerlo en cualquier momento, con un sistema tan fácil como el que usó para darlo. La AEPD entiende que se cumple con un acceso sencillo y permanente al panel de configuración.
• El editor tiene varias webs. Puede pedir el consentimiento en una sola para sus otros dominios si ofrecen contenidos o características similares y dice cuáles son.

¿Se pueden usar muros de cookies?

Solo con una alternativa. Siguiendo las Directrices 05/2020 del CEPD sobre el consentimiento, la AEPD no admite los muros de cookies que no ofrecen alternativa. Sí admite que rechazar impida acceder a la web, o a parte del servicio, si:

• Se informa adecuadamente al usuario.
• Se ofrece una alternativa de acceso sin cookies, no necesariamente gratuita.
• Las dos alternativas son genuinamente equivalentes.
• La alternativa la ofrece el propio editor, no una entidad ajena.

El criterio pesa más cuando la web es el único medio para ejercer un derecho reconocido por ley, como darse de baja de un servicio.

¿Quién responde de las cookies: el editor, los terceros o la agencia?

Responde cada parte obligada, y esa responsabilidad no se puede trasladar por contrato. La LSSI no dice quién debe informar y pedir el consentimiento, así que la guía lo resuelve en su apartado 4:

• Si todas las cookies son exentas, no hace falta informar ni pedir consentimiento. Pero si hay terceros, el editor debe asegurarse por contrato de que no usan los datos para otra finalidad.
• Si hay cookies de terceros no exentas, el editor y los terceros responden de informar y de obtener el consentimiento. El editor debe garantizarlo con cláusulas en sus contratos o con una plataforma de gestión del consentimiento (CMP).
• Si la información de un tercero se da con un enlace, el editor debe comprobar que no está roto, y el tercero, mantenerla actualizada y en castellano o en la lengua cooficial de la web.
• Anunciantes, editores, agencias y redes publicitarias son responsables del tratamiento cuando deciden los fines y los medios. Quien solo sigue instrucciones es encargado (artículo 28 del RGPD), y quienes deciden juntos son corresponsables (artículo 26).
• El editor no responde de lo que no controla, como los tratamientos posteriores de un tercero para crear audiencias o perfiles.

Si montas webs para clientes, la herramienta ayuda, pero lo que carga cada web es responsabilidad de quien la publica. Cookies Marca Blanca muestra «Aceptar» y «Rechazar» en la primera capa y bloquea lo que se gestiona desde el banner; lo demás hay que revisarlo web a web.

¿Qué hace la AEPD si una web no cumple la ley de cookies?

La sanciona. Usar cookies sin informar o sin consentimiento es una infracción leve del artículo 38.4.g) de la LSSI, con multa de hasta 30.000 euros (artículo 39.1.c), y la competencia es de la AEPD según el artículo 43.1. Los importes, la reincidencia y casos como Vueling, IKEA o Iberia están en multas de la AEPD por cookies.

Qué dice la guía de la AEPD y qué significa en tu web

Esta tabla traduce los criterios principales de la guía a comprobaciones concretas:

Lista de comprobación de la ley de cookies

Revisa estos puntos en este orden:

1. Inventario. Tienes la lista de cookies y tecnologías similares, con titular, finalidad y duración, y la revisas periódicamente, como recomienda la guía.
2. Clasificación. Sabes cuáles son exentas y cuáles necesitan consentimiento, incluidas las polivalentes.
3. Carga previa. En una ventana privada, sin tocar el banner, solo aparecen cookies exentas.
4. Primera capa. Informa de lo esencial y ofrece aceptar, rechazar y configurar al mismo nivel.
5. Rechazo real. Tras pulsar «Rechazar», las cookies no exentas no se cargan en ninguna página.
6. Panel. Permite elegir por finalidades, sin casillas premarcadas.
7. Política de cookies. Está siempre accesible y contiene la información del apartado 3.1.1, con datos reales.
8. Retirada y duración. Hay un acceso permanente para cambiar de opinión, y la elección se renueva como máximo a los 24 meses.
9. Terceros. Los contratos o la CMP cubren la información y el consentimiento, y los enlaces a sus políticas funcionan.
10. Todas las webs. Si gestionas varias, las revisas una a una.

Para el inventario y la carga previa puedes pedir la auditoría gratuita de cookies, que muestra qué se instala en cada web antes del consentimiento.

Preguntas frecuentes

¿Qué es la ley de cookies en España?

Es el nombre con el que se conoce al artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información (LSSI). Permite usar cookies y tecnologías similares solo si el usuario ha dado su consentimiento después de recibir información clara y completa, salvo las necesarias para transmitir la comunicación o para prestar un servicio que el usuario ha pedido expresamente.

¿Qué normativa regula las cookies?

En España, el artículo 22.2 de la LSSI, que coincide casi palabra por palabra con el artículo 5.3 de la Directiva 2002/58/CE (ePrivacy). El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) se aplican para definir qué es un consentimiento válido y cuando las cookies tratan datos personales. La AEPD explica cómo cumplir en su Guía sobre el uso de las cookies.

¿Cuándo es obligatoria la ley de protección de datos?

El RGPD se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, y al no automatizado de datos que forman parte de un fichero. No se aplica al que hace una persona física en actividades exclusivamente personales o domésticas. En una web, si las cookies usan identificadores únicos que permiten distinguir y seguir a los usuarios, además de la LSSI se aplica el RGPD. Si tu caso tiene matices, consúltalo con un asesor.

¿Es obligatoria la guía de cookies de la AEPD?

La guía no es una ley: son orientaciones para cumplir el artículo 22.2 de la LSSI, y la propia guía dice que no pretende ofrecer una solución general y uniforme. Pero la publica la AEPD, que es la autoridad que sanciona el uso de cookies sin información o sin consentimiento según el artículo 43.1 de la LSSI.

¿Las cookies técnicas necesitan aviso?

No necesitan consentimiento, porque están exceptuadas del artículo 22.2 de la LSSI. Aun así, la AEPD recomienda informar de ellas, al menos de forma genérica, en la política de cookies o en la de privacidad.

Fuentes

1. Guía sobre el uso de las cookies (AEPD, versión de mayo de 2024)
2. La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del CEPD (nota de prensa, 11 de julio de 2023)
3. Uso de cookies para herramientas de medición de audiencia (AEPD, versión de enero de 2024)
4. Ley 34/2002 (LSSI), artículos 22.2, 38.4.g), 39.1.c) y 43.1 (texto consolidado, BOE)
5. Directiva 2002/58/CE sobre la privacidad y las comunicaciones electrónicas, artículo 5.3 (EUR-Lex, versión consolidada)
6. Reglamento (UE) 2016/679 (RGPD): artículos 2, 3, 4.11 y 7.3 y considerando 30 (BOE)
7. Guidelines 03/2022 on deceptive design patterns in social media platform interfaces, versión 2.0 (CEPD)
8. Guidelines 05/2020 on consent under Regulation 2016/679 (CEPD)
9. [GA4] Uso de cookies de Google Analytics en sitios web (Ayuda de Analytics)