Ley de cookies: qué exige y cómo saber si tu web cumple
Tu web usa cookies. La ley dice cómo debes pedirlas, y la mayoría de las webs en España lo hace a medias sin saberlo. Esta guía te cuenta qué exige exactamente la normativa y cómo comprobar en cinco minutos si tu web cumple.
Señales de que tu web NO cumple
Si te suena alguna de estas, sigue leyendo:
- El banner de cookies aparece, pero la web ya está cargando cookies antes de que el visitante decida.
- Solo hay botón de «Aceptar»: rechazar cuesta más clics que aceptar, o directamente no se puede.
- No se puede elegir por categorías (analítica, publicidad, funcionales).
- La política de cookies es una plantilla genérica, está desactualizada o no existe.
- Instalaste un plugin de cookies hace años y nadie lo ha revisado desde entonces.
- Usas Google Analytics 4 o Google Ads y nadie te ha hablado de Consent Mode v2.
Lo que exige la ley:
las 5 obligaciones (de más a menos incumplida)
1. Consentimiento previo.
Es la número uno. Ninguna cookie que no sea técnica puede cargarse antes de que el visitante diga que sí. Lo exigen el Reglamento General de Protección de Datos (RGPD) y la LSSI. La infracción más común de España: el banner que «informa» mientras las cookies ya están dentro.
2. Rechazar tan fácil como aceptar.
La Guía de cookies de la Agencia Española de Protección de Datos (AEPD) lo dice sin rodeos: si hay un botón «Aceptar» en la primera capa, tiene que haber un «Rechazar» al mismo nivel. Esconder el rechazo tras «Configurar» dejó de valer.
3. Información clara y por capas.
El visitante tiene derecho a saber qué cookies usas, de quién son, para qué sirven y cuánto duran. Eso vive en una política de cookies real — la tuya, no la de una plantilla.
4. Elección por categorías y marcha atrás.
El consentimiento se da por finalidades (analítica sí, publicidad no, granularidad) y se puede retirar en cualquier momento, con un enlace o icono siempre accesible.
5. Poder demostrarlo.
El consentimiento hay que registrarlo y renovarlo periódicamente (la AEPD recomienda no superar los 24 meses). Y si usas herramientas de Google, desde marzo de 2024 necesitan recibir la señal de consentimiento mediante Consent Mode v2 — sin ella, Google Ads pierde audiencias y conversiones. Y si los datos de Google Analytics 4 dejaron de cuadrar cuando pusiste el banner, la guía Google Analytics no funciona te dice cómo comprobarlo.
Qué puedes comprobar tú mismo en 5 minutos: checklist
- Abre tu web en una ventana de incógnito: ¿aparece el banner antes de que pase nada más?
- ¿El botón «Rechazar» está a la vista, al lado del de «Aceptar»?
- Sin aceptar nada, mira las cookies del navegador (candado → Cookies): ¿ya hay cookies de analítica o publicidad?
- ¿El enlace a la política de cookies existe y habla de tus cookies, con nombres y plazos?
- ¿Puedes cambiar tu decisión después, sin borrar el historial?
Otras guías que te pueden servir
Y si algo falla
Si tu web suspende alguna de las comprobaciones, no es cuestión de sustos
las sanciones existen (la LSSI contempla multas de hasta 150.000 € en infracciones graves), pero el coste habitual es más mundano — un requerimiento, prisas y un arreglo a lo rápido que rompe la medición. Lo serio es arreglarlo con método: banner que cumpla, consentimiento que se registre y Consent Mode v2 bien conectado con Google Tag Manager.
Si prefieres que esto lo deje fino alguien que vive de ello, echa un ojo a los servicios de GTM por tipo de negocio o, si lo tuyo es ir al grano con el presupuesto, a los servicios por niveles.
Antes de enviar tu consulta, échale un vistazo a la información básica sobre protección de datos aquí.
- Responsable: Jacobo J. Nasser
- Finalidad: responder a tu consulta
- Derechos: Podrás ejercer tus derechos de acceso, rectificación, limitación y suprimir los datos en este formulario así como el derecho a presentar una reclamación ante una autoridad de control.
- Información adicional: En la Política de Privacidad de DUMMYSEO encontrarás información adicional sobre la recopilación y el uso de su información personal por parte de DUMMYSEO, incluida información sobre acceso, conservación, rectificación, eliminación, seguridad y otros temas.
Preguntas frecuentes
¿Necesito banner de cookies si solo tengo Google Analytics?
Sí. La analítica de terceros no entra en las excepciones de la LSSI: sirve a Google, no al funcionamiento de tu web, así que necesita consentimiento previo.
Solo se libran las cookies técnicas —sesión, carrito, balanceo de carga, recordar el idioma— y ésas no piden permiso.
¿Vale con un botón de «Aceptar» y un enlace pequeño para configurar?
No. La AEPD exige que rechazar sea tan fácil como aceptar: mismo nivel, mismo formato, misma pantalla.
Un «Aceptar» grande con un «Configurar» en gris a un lado es el motivo más frecuente de banner incorrecto en webs españolas.
Si el usuario rechaza, ¿me quedo a ciegas?
No del todo. Con Consent Mode v2, Google recibe señales sin cookies cuando alguien rechaza, y reconstruye la parte que falta por modelado estadístico.
No son datos de esa persona ni pretenden serlo: es un agregado. Pierdes detalle, pero no te quedas sin medición.
¿Cada cuánto tengo que volver a pedir el consentimiento?
La AEPD marca un máximo de 24 meses. Pasado ese plazo, hay que volver a preguntar.
También hay que volver a preguntar antes si cambias las finalidades o metes proveedores nuevos: el permiso se dio para lo que había entonces.
¿Qué me puede pasar si no cumplo?
Las cookies se sancionan por la LSSI, no por el RGPD, que entra después, cuando esos datos se tratan. Instalarlas sin consentimiento o sin informar es infracción leve, con multa de hasta 30.000 €; si el incumplimiento es reiterado, la propia LSSI lo eleva a grave y el tope sube a 150.000 €.
En la práctica casi siempre llega antes un requerimiento que una sanción, casi siempre a partir de la denuncia de un particular.
¿Cómo compruebo yo mismo si mi banner cumple?
Abre tu web en una ventana de incógnito y mira tres cosas: que el banner salga antes que nada, que «Rechazar» esté a la vista junto a «Aceptar», y que sin tocar nada no haya ya cookies de analítica o publicidad en el navegador.
Si las tres salen bien, vas encaminado. Si falla alguna, el problema no es el banner: es lo que se dispara por detrás.