En 2023, la AEPD publicó su Guía sobre el uso de las cookies actualizada, y desde entonces ha enviado requerimientos masivos a medios de comunicación, tiendas online y servicios digitales. El patrón es siempre el mismo: un banner que no permite rechazar las cookies con la misma facilidad que aceptarlas, o que instala rastreadores antes de que el usuario haya respondido. Dos años después, la situación no ha mejorado tanto como debería.

La razón es simple. Implementar bien las cookies es técnicamente más complejo que redactar una política de privacidad, y muchas empresas confían en que su plataforma o su agencia lo haya resuelto por defecto. Esa confianza suele ser injustificada.

En 2026 el escenario incluye además nuevas presiones: el Digital Markets Act obliga a las grandes plataformas a ofrecer alternativas al consentimiento de cookies para publicidad personalizada, lo que está cambiando las expectativas de los usuarios respecto a cualquier sitio web.

Qué son las cookies y por qué requieren consentimiento

Una cookie es un fichero que el servidor de una web deposita en el dispositivo del usuario para guardar información sobre su visita. Las cookies técnicas o estrictamente necesarias son las que permiten que la web funcione: mantener la sesión iniciada, recordar el contenido del carrito de compra o aplicar las preferencias de idioma. Estas no requieren consentimiento.

El problema está en las cookies no estrictamente necesarias: las de análisis de audiencia que miden el comportamiento del usuario, las de publicidad que construyen perfiles para anuncios, y las de redes sociales que rastrean al usuario a través de diferentes sitios. Para estas sí es obligatorio obtener el consentimiento previo e informado del usuario antes de instalarlas.

La base legal es la LSSI, que transpone la Directiva ePrivacy, y el RGPD cuando el tratamiento de datos asociado a esas cookies implica datos personales. La AEPD aplica ambas normas de forma conjunta, por lo que un banner incompleto puede ser sancionado desde distintos ángulos.

Qué exige la AEPD en 2026: los criterios actualizados

La Guía sobre el uso de las cookies de la AEPD es el documento de referencia. Sus criterios principales son:

Primera capa del banner. Tiene que contener al menos: información clara sobre el uso de cookies y su finalidad, la posibilidad de aceptar, rechazar o gestionar las preferencias con la misma facilidad, y un enlace a la política de cookies completa. No puede haber ninguna cookie no técnica instalada antes de que el usuario haya dado respuesta.

Igualdad en las opciones. El botón de aceptar y el de rechazar tienen que ser igualmente accesibles, del mismo tamaño y con el mismo nivel de prominencia visual. Un botón de aceptar grande y llamativo junto a un enlace de texto pequeño “rechazar todo” no cumple este requisito. La AEPD ha sancionado específicamente este patrón de diseño engañoso.

No usar el scroll o la navegación como consentimiento. El consentimiento no puede inferirse del hecho de que el usuario siga navegando. Tiene que ser una acción afirmativa y específica.

No usar casillas premarcadas. En la segunda capa del banner, donde el usuario puede gestionar sus preferencias por categoría, ninguna categoría no técnica puede estar preseleccionada.

Renovación del consentimiento. Si no hay interacción con el banner durante 24 meses, hay que volver a solicitar el consentimiento. Algunos gestores de cookies implementan esto automáticamente; otros no.

Documentación del consentimiento. Hay que poder demostrar que el usuario dio su consentimiento: cuándo, a través de qué versión del banner y para qué cookies. Esto es parte del principio de responsabilidad proactiva del RGPD.

Los errores más comunes que detecta la AEPD en sus inspecciones

La Agencia publica informes sobre los resultados de sus campañas de inspección. Los problemas más repetidos son:

Banners con un único botón visible (“Aceptar todo”) sin alternativa clara de rechazo en la primera capa. El usuario tiene que hacer clic en “Gestionar preferencias” para encontrar la opción de rechazar, lo que crea una asimetría deliberada que la AEPD considera inaceptable.

Cookies de analítica o publicidad que se cargan antes de que el usuario interactúe con el banner. Esto ocurre especialmente con Google Analytics, Meta Pixel y otros scripts que muchas webs cargan desde el inicio de la página. El gestor de cookies tiene que bloquearlos hasta que se obtenga el consentimiento.

Política de cookies que lista cookies diferentes a las que realmente se instalan, o que no ha sido actualizada cuando se añadieron nuevas herramientas.

Falta de información sobre las transferencias internacionales. Si Google, Meta o cualquier otro tercero tiene servidores fuera del EEE, eso tiene que aparecer en la política de cookies.

Ausencia de un mecanismo fácilmente accesible para retirar el consentimiento en cualquier momento. No vale solo el banner inicial; tiene que haber un enlace o botón permanente en el sitio.

Cómo funciona una inspección de la AEPD sobre cookies

Las inspecciones en materia de cookies pueden iniciarse de tres formas: por reclamación de un usuario, por denuncia de un competidor o por iniciativa propia de la Agencia dentro de una campaña de vigilancia sectorial. No son visitas presenciales: la AEPD accede a la web como cualquier usuario y documenta el comportamiento del banner.

En las campañas de vigilancia, la AEPD usa herramientas automatizadas que visitan miles de webs y capturan qué cookies se instalan antes y después de que el usuario interactúe con el banner. El resultado es un requerimiento de subsanación que exige corregir las deficiencias en un plazo de tiempo determinado.

Si la empresa no subsana en el plazo indicado, o si los incumplimientos son graves, se abre un procedimiento sancionador. Las multas por incumplimiento de la LSSI en materia de cookies van de 30.000 a 150.000 euros para infracciones graves. Si hay además una infracción del RGPD por tratamiento sin consentimiento, las sanciones son independientes y acumulables.

Herramientas para gestionar el consentimiento de cookies

Un gestor de consentimiento o CMP (Consent Management Platform) es la solución técnica para implementar correctamente el banner de cookies. Las opciones más usadas en el mercado español son Complianz, Cookiebot, OneTrust, Axeptio y el gestor nativo de algunas plataformas como Shopify o Wix.

Ninguna es perfecta por defecto. Todas requieren configuración adecuada para cumplir con los criterios de la AEPD. Los puntos más sensibles son: asegurarse de que el script de la CMP se carga antes que cualquier otro script de terceros, configurar las categorías de cookies correctamente, y personalizar el diseño del banner para que las opciones de aceptar y rechazar sean igualmente visibles.

Un error habitual es contratar una CMP y dejar la configuración por defecto. Muchas plataformas tienen configuraciones que no cumplen con la normativa española por defecto porque están orientadas a mercados con requisitos menos estrictos.

Auditoría de cookies: cómo saber qué está instalando tu web

Antes de revisar el banner, hay que saber qué cookies instala realmente tu sitio. Las herramientas más útiles para esto son la pestaña “Application” de las DevTools de Chrome (muestra las cookies almacenadas), CookieMetrix, Lighthouse, o el análisis de red de las DevTools (muestra qué scripts se cargan y cuándo).

El proceso de auditoría consiste en visitar el sitio sin interactuar con el banner y registrar qué cookies se han instalado. Luego rechazar todas las cookies opcionales y volver a revisar. Si después de rechazar siguen apareciendo cookies no técnicas, hay un problema de configuración.

También hay que revisar que la política de cookies listada en la web coincide con las cookies que realmente se instalan. Una política desactualizada es un incumplimiento en sí mismo.

Cookies y servicios de terceros: las situaciones más frecuentes

Google Analytics es la cookie de analítica más extendida y también una de las más cuestionadas. Varias autoridades europeas de protección de datos, entre ellas la austriaca y la francesa, han declarado que el uso de Google Analytics en la configuración estándar transfiere datos a Estados Unidos sin garantías adecuadas. La situación mejoró con el nuevo Marco de Privacidad UE-EE.UU., pero las condiciones de tratamiento siguen siendo relevantes para el consentimiento.

Google Tag Manager (GTM) es otro caso problemático. Muchas webs lo instalan como si fuera una herramienta técnica, pero GTM puede cargar otros scripts de terceros, algunos de los cuales instalan cookies. El control de qué se carga a través de GTM tiene que estar bien configurado para que no se escape nada antes del consentimiento.

Los píxeles de redes sociales (Meta Pixel, TikTok Pixel, LinkedIn Insight Tag) son cookies de publicidad y requieren consentimiento explícito. No pueden estar activos durante la navegación de usuarios que no han aceptado cookies de marketing.

Qué pasa si usas WordPress u otras plataformas

WordPress con ciertos plugins puede instalar cookies de manera automática sin que el propietario del sitio lo sepa. Plugins de formularios, de chat en vivo, de cacheo, de estadísticas o de integración con redes sociales suelen generar cookies. Cada vez que instalas un nuevo plugin, hay que revisar si añade cookies y si esas cookies se gestionan correctamente por la CMP.

Las plataformas de e-commerce como WooCommerce o PrestaShop tienen cookies técnicas propias para el carrito y la sesión, pero si integras pasarelas de pago externas, herramientas de abandono de carrito o analytics específicos del comercio, añades nuevas cookies que hay que declarar.

Cuánto tiempo hay para ponerse al día

No hay un período de gracia. Los criterios de la AEPD llevan vigentes desde la actualización de la Guía de Cookies. Si tu web instala cookies sin consentimiento previo, está incumpliendo ya. La posibilidad de recibir un requerimiento existe desde hoy, no desde que decidas ponerte al día.

La AEPD ha demostrado que actúa de oficio en sectores específicos (medios de comunicación, e-commerce, banca, salud) y que los requerimientos de subsanación tienen plazos cortos. El coste de poner en orden las cookies es incomparablemente inferior al de responder a un expediente sancionador.

Si tienes dudas sobre si tu banner cumple, la propia AEPD publica en su web una lista de verificación y ofrece la posibilidad de consultar la Guía de Cookies con ejemplos concretos de lo que está bien y lo que no.

La entrada Cookies en 2026: qué exige la AEPD y cómo prepararte para una inspección se publicó primero en Adaptación RGPD.