No sirve de mucho tener un banner de cookies en tu sitio web si, al final, no está adecuado a la normativa. Porque, es cierto, ya hay pocas webs sin este aviso, pero ¿cuántos de estos obtienen el consentimiento de forma válida para la ley? La verdad es que pueden ser muchos menos de los que se esperaría.
Para evitar que tu empresa sea multada por incumplir normativas como el RGPD, la Ley Orgánica de Protección de Datos y la Ley de Servicios de la Sociedad de la Información, en este artículo te explicamos cómo adecuar tu banner de cookies a la protección de datos personales.
Cómo cumplir con la normativa de cookies en 2025
Tanto si tu empresa implementa el banner de cookies o si utilizas una plataforma de gestión del consentimiento (CMP) para hacerlo, siempre es recomendable verificar que cumpla efectivamente con la normativa. Así, si en enero de 2024 la AEPD publicó una nueva versión de su Guía para el uso de cookies, sus recomendaciones ya deberían haberse puesto en práctica. Veámoslo:
¿Qué son las cookies?
Empecemos diciendo que la AEPD considera a las cookies como dispositivos que se instalan en los equipos de los usuarios para almacenar y recuperar sus datos personales. Y dentro de este concepto incluye también a otros dispositivos similares, como el píxel de Meta.
Tipos de cookies
Pero para que se entienda mejor lo que son las cookies, quizá es necesario hablar de los tipos que existen. Y según la normativa se dividen conforme a tres criterios:
A quién le pertenecen
En la práctica las cookies pueden pertenecer no solo a tu empresa, sino que si tienes otros servicios integrados en tu sitio web, pueden pertenecer a otras empresas. Por este motivo, si tenemos en cuenta la entidad que requiere instalar las cookies, pueden ser de dos tipos:
- Cookies propias: Son las que recopilan datos que son gestionados directamente por tu empresa. Como, por ejemplo, las que permiten configurar el idioma de tu sitio web.
- Cookies de terceros: Son las que recopilan datos para una empresa asociada contigo (o inclusive una socia de tu socia). El píxel Meta, es un ejemplo de esto.
La finalidad para que se instalan
Dado que la instalación de este tipo de dispositivos siempre tiene un fin, también se clasifican conforme a esto y pueden ser:
- Cookies técnicas: Son las que permiten que el sitio web funcione adecuadamente. Por ejemplo, las que permiten operar a las pasarelas de pago.
- Cookies de personalización: Son aquellas que permiten adecuar el diseño o contenido de tu sitio a las preferencias de los usuarios. Como las que adaptan el contenido al dispositivo del usuario.
- Cookies de análisis: Como su nombre lo dice, este tipo de cookies analizan el comportamiento del usuario dentro del sitio web. Por ejemplo, las que identifican las rutas que hace el usuario hasta llegar a la página de pago, con el fin de adaptar el diseño del sitio para que sea más eficiente en el proceso de compra.
- Cookies publicitarias: Están diseñadas para recolectar información del usuario dentro y fuera de tu sitio web, analizar y predecir su comportamiento para, de esta manera, presentarles publicidad dirigida a sus gustos y costumbres.
Cuánto tiempo son útiles
Las cookies tienen un tiempo de utilidad y conforme a esto pueden clasificarse como:
- Cookies de sesión: Son las que solo permanecen activas mientras el usuario se encuentre en tu sitio web. Al abandonarlo, las cookies desaparecen.
- Cookies persistentes: Son las que, aunque el usuario cierre tu sitio web, permanecen activas en el equipo recolectando información de tu navegación.
El consentimiento para instalar cookies
Dado que, evidentemente, las cookies tratan datos personales del usuario también son dispositivos que se encuentran en el espectro de vigilancia de la normativa de privacidad. Por lo tanto, deben tener una base legal para poder utilizarse y, en este caso, generalmente esa base es el consentimiento.
Pero no cualquier consentimiento, sino que debe ser explícito. Es decir que debe expresar una voluntad libre, informada, inequívoca y específica. Por este motivo, es que no puede considerarse que se haya consentido si el usuario no hizo una acción concreta para aceptar las cookies. Y no se acepta el consentimiento por omisión o implícito.
Para graficarlo: si un usuario ingresó a tu sitio web, vio el banner de cookies y decidió ignorarlo, continuando con su visita, no puedes considerar a eso como consentimiento. Solo si hizo clic en el botón “Aceptar” del banner es cuando se puede decir que lo hubo.
Además, debes considerar que si tu usuario es menor de 14 años (por ejemplo, si tienes una web con contenido infantil), quien deberá otorgar el consentimiento será el padre o tutor legal. Para asegurarlo, la AEPD recomienda implementar sistemas de verificación de edad.
Excepciones
Pese a esto, y como te explicamos en este artículo, hay ocasiones en las que, según la normativa, no requerirás el consentimiento de los usuarios de tu sitio web para tratar sus datos. También en el caso de las cookies, específicamente cuando tienen estas características:
- Permiten únicamente la comunicación entre el equipo del usuario y la red.
- Sirven para prestar el servicio solicitado por el usuario.
- Permiten el log-in de usuario.
- Son cookies de sesión.
- Ofrecen seguridad al usuario
- Equilibran la carga.
- Permiten personalizar la interfaz de usuario del sitio.
- Son plug-ins que permiten intercambiar contenidos en redes sociales, siempre que la sesión esté abierta.
En estos casos, otras bases legales como el interés legítimo serán las que validen el uso de las cookies.
Cuándo volver a pedir el consentimiento
No es necesario que cada vez que un usuario ingrese a tu sitio web se encuentre con un banner de cookies. Pero sí hay ocasiones en las que, pese a haber obtenido el consentimiento inicial de un usuario para instalar cookies, deberás volver a presentárselo y son las siguientes:
- Si hay nuevas cookies en tu web.
- Si has modificado el fin para el que las usas.
- Si hay nuevas empresas con las que compartes los datos del usuario.
Pero, además, como una buena práctica recomendada por la AEPD, debes pedir que se renueve el consentimiento cada 24 meses como máximo.
Si tienes varios sitios web
Si tu empresa maneja varios sitios web, es posible pedir el consentimiento para todos ellos en una sola ocasión. Solo bastará con presentar en uno de tus sitios el banner de cookies informando sobre todos tus sitios afiliados, el tipo de cookies usadas y su finalidad.
¿Qué información debe tener un banner de cookies?
Un requisito que todo banner de cookies debe cumplir es proveer información sobre el tratamiento a los usuarios, para que puedan decidir si consentir o no su uso. Pero al hacerlo, debe evitarse patrones oscuros, que impidan una comprensión plena del usuario de lo que está aceptando. Así, la AEPD recomienda que la información se presente:
- En un lenguaje sencillo y claro.
- Adecuada al conocimiento técnico del usuario.
- En un formato corto.
- Debe ser accesible (puedes usar links descriptivos ubicados en zonas donde atraigan atención.
Pero ¿qué información debe proveerse en el banner de cookies? De forma genérica, la siguiente:
- Quién es el responsable del sitio web.
- Las finalidades de uso de las cookies.
- A quiénes le pertenecen las cookies (si se trata de terceros no hace falta enumerarlos).
- Qué tipo de datos se recolectan.
- Forma de aceptar, rechazar o configurar las cookies.
- Un enlace a la política de cookies.
La AEPD recomienda poner tanto un botón para aceptar como uno para rechazar las cookies. Estos deben tener las mismas características y estar colocados en la misma ubicación.
El de configuración debe ser visible también, aunque no necesariamente tiene que ser igual a los otros dos. Y en la configuración se sugiere agrupar las cookies por finalidad o por su encargado. Además, es recomendable poner también dos botones que den al usuario la opción de aceptarlas todas o rechazarlas todas. No se considera válido premarcar opciones.
No solo necesitas un banner de cookies
El banner de cookies es solo una primera capa informativa que deberás mostrar a los usuarios cuando ingresen a tu sitio web. Sin embargo, como hemos dicho en el apartado anterior, deberás enlazarlo con una página en la que se muestre la Política de Cookies que presente la información completa. Esta también debe tener las mismas características que la que se presenta en el banner de cookies (sencillez, claridad, accesibilidad, etc.). Y debe explicar:
- Qué son las cookies.
- Qué tipo de cookies se utilizan y cuál es su finalidad.
- Quién las utiliza.
- Cómo aceptar, denegar o revocar el consentimiento para su uso.
- Si se realiza transferencia de datos a otros países.
- Si se toman decisiones automatizadas, cómo se hace y cómo podría afectar al usuario.
- Cuánto tiempo se conservarán los datos recolectados por las cookies.
Es posible, asimismo, incluir un enlace a la Política de Privacidad de la empresa.
Muros de cookies
Últimamente es posible ver que se está multiplicando una forma alternativa de solicitar el consentimiento: los muros de cookies con paywalls. Estos condicionan el acceso a un sitio web a dos alternativas: o aceptar las cookies o pagar por una suscripción. Es lo que se llama también el pay or okay. ¿Son legales?
Pues hasta el momento, las autoridades de protección de datos no tienen una opinión definitiva. Por un lado, consideran que la libertad es un requisito necesario para que el consentimiento sea válido. Y que presentar una alternativa equivalente (aunque no necesariamente gratuita) para acceder al contenido sin aceptar las cookies, puede considerarse que preserva dicha libertad.
Pero no en la mayoría de los casos. Por lo que recomienda alternativas gratuitas a la aceptación de las cookies para acceder al contenido. Por ejemplo, la presentación de publicidad que no sea personalizada, sino general o contextual.
Multas por tener un banner de cookies inadecuado
Tener un banner de cookies inadecuado puede traerte diversas sanciones. Así, aunque para la LSSI la infracción puede ser considerada leve y tener una multa de hasta 30.000 euros, para la LOPD se consideraría muy grave, y llegar a más de 300.000 euros.
Pero, como te explicamos en este artículo, la cuantía final puede ser diversa, dependiendo de varias condiciones que incrementen o disminuyan las multas.
Recomendación final
Tal como recomienda la AEPD, antes de implementar un banner de cookies, lo recomendable es primero hacer una evaluación de las cookies que se utilizan en tu empresa. Para ello, necesitarás de la orientación de abogados expertos en privacidad, como los que tenemos en Talos. Pide una cita con nosotros ahora.
Foto de Mollie Sivaram en Unsplash
