# Patrones oscuros en banners de cookies que persiguen las autoridades > Casillas premarcadas, botones de rechazo ocultos y muros de cookies pueden invalidar el consentimiento. Qué patrones persiguen las autoridades y cómo corregirlos. Source: https://www.cookiesh.eu/es/blog/cookie-banner-dark-patterns Published: 2026-04-07 ## Key takeaways - El consentimiento obtenido mediante un banner manipulador no es válido, así que las cookies instaladas sobre esa base carecen de fundamento lícito. - Las autoridades esperan que rechazar las cookies sea tan fácil como aceptarlas, lo que en la práctica significa una opción de rechazo en la primera capa. - Las casillas premarcadas, el consentimiento implícito por desplazarse por la página y los muros de cookies están entre los patrones que las autoridades de la UE rechazan de forma más sistemática. - La CPRA de California también establece que la conformidad obtenida mediante patrones oscuros no cuenta como consentimiento. Los patrones oscuros (dark patterns) en los banners de cookies son decisiones de diseño que empujan a los visitantes a aceptar las cookies: ocultar la opción de rechazo, premarcar casillas, combinar un llamativo botón “Aceptar” con un discreto enlace “Configuración” o tratar el desplazamiento por la página como conformidad. Las autoridades de la UE consideran inválido el consentimiento obtenido de este modo, porque el RGPD exige que sea libre, específico, informado e inequívoco, y tan fácil de retirar como de dar. ## ¿Por qué les importa a las autoridades el diseño del banner? Porque la validez del consentimiento depende de cómo lo hayas obtenido. El artículo 4, punto 11, del RGPD define el consentimiento como una manifestación de voluntad libre, específica, informada e inequívoca, expresada mediante una clara acción afirmativa. El artículo 7 añade que debes poder demostrar el consentimiento y que retirarlo debe ser tan fácil como darlo. Un banner que empuja a las personas a hacer clic en “Aceptar” no cumple esas condiciones. Cuando eso ocurre, todas las cookies no esenciales instaladas después se instalaron sin un consentimiento válido, lo que infringe las normas de ePrivacy, y el tratamiento basado en esos datos carece de base lícita. Las infracciones graves del RGPD pueden sancionarse con multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, si esta cifra es superior. El ejemplo más conocido son las decisiones de la CNIL de diciembre de 2021 contra Google (150 millones de euros) y Facebook (60 millones de euros). La autoridad francesa concluyó que rechazar las cookies en sus sitios era más difícil que aceptarlas. Para ver más casos y lo que enseñan, consulta [qué enseñan las sanciones por cookies a los propietarios de sitios web](/es/blog/cookie-enforcement-lessons). ## ¿Qué patrones oscuros persiguen más las autoridades? Los patrones que más atención atraen son los que hacen que rechazar sea más difícil, menos visible o menos claro que aceptar. Esta tabla resume los principales y cómo corregirlos. | Patrón oscuro | Cómo se manifiesta | Por qué no cumple | Solución | |---|---|---|---| | Sin opción de rechazo en la primera capa | Solo “Aceptar todo” y “Gestionar configuración” | Rechazar exige más esfuerzo que aceptar | Coloca “Rechazar todo” junto a “Aceptar todo” | | Casillas premarcadas | Interruptores de analítica y marketing ya activados | No es una clara acción afirmativa | Desactiva por defecto todos los interruptores no esenciales | | Asimetría visual | Botón de aceptar en negrita y a color, enlace de texto gris para rechazar | Condiciona la elección mediante el diseño | Da a ambas opciones el mismo tamaño, peso y contraste | | Consentimiento implícito | “Si sigues navegando, aceptas” | Navegar o desplazarse no es una clara acción afirmativa | No instales nada no esencial hasta que haya una elección real | | Muros de cookies | Contenido bloqueado si el visitante no acepta | Por lo general, el consentimiento no es libre | Permite el acceso sin aceptar cookies no esenciales | | Textos vagos o engañosos | “Valoramos tu privacidad” con un único botón “OK” | El consentimiento no es informado | Nombra las finalidades en un lenguaje sencillo | | Retirada oculta | No hay forma de volver a abrir la configuración después de elegir | Retirar el consentimiento debe ser tan fácil como darlo | Añade un enlace permanente de “Configuración de cookies” | | Insistencia | El banner reaparece después de cada rechazo | Presiona a las personas para que acepten | Recuerda los rechazos durante un periodo razonable | La norma sobre las casillas premarcadas procede de la sentencia Planet49 del TJUE (C-673/17, 2019), que declaró que una casilla marcada de antemano que el usuario debe desmarcar para negarse no da lugar a un consentimiento válido. Las directrices del CEPD sobre el consentimiento añaden que desplazarse o deslizar por una página no es consentimiento, y que condicionar el acceso al contenido a la aceptación de cookies implica, por lo general, que el consentimiento no es libre. ## ¿Es obligatorio por ley un botón “Rechazar todo”? El RGPD no menciona botones, pero las autoridades exigen que rechazar sea tan fácil como aceptar, y la forma más sencilla de cumplir ese estándar es una opción de rechazo en la primera capa. Un banner con aceptación en un clic y rechazo en varios pasos es el patrón con más probabilidades de acabar en una sanción. El botón no tiene que decir “Rechazar todo” al pie de la letra. “Declinar”, “Rechazar las no esenciales” o “Continuar sin aceptar” pueden servir si la opción es claramente visible, está al mismo nivel que el botón de aceptar y hace que realmente no se instale ninguna cookie no esencial. Es poco probable que un diminuto enlace “continuar sin aceptar” con poco contraste en una esquina supere el examen. ## ¿Y el botón de cerrar y la capa de configuración? Un botón de cerrar, a menudo una “X”, nunca debe tratarse como aceptación. Si lo ofreces, trata el cierre del banner como un rechazo, o al menos como ausencia de decisión, y no instales nada no esencial. La segunda capa merece el mismo escrutinio. Presta atención a estos patrones más sutiles: - Interruptores etiquetados como “interés legítimo” que están activados por defecto y requieren una oposición aparte. - Un botón “Aceptar todo” destacado en el panel de configuración, mientras que “Guardar selección” queda debajo de una larga lista de proveedores. - Descripciones de categorías que restan importancia al seguimiento, como llamar cookies “de rendimiento” a las cookies publicitarias. - Cuadros de confirmación que preguntan “¿Seguro?” solo cuando alguien rechaza. ## ¿Cómo audito mi propio banner en busca de patrones oscuros? Prueba el banner como lo haría un visitante escéptico, tanto en ordenador como en móvil, y después repasa esta lista de comprobación: 1. Aceptar y rechazar están en la primera capa y requieren el mismo número de clics. 2. Ambas opciones tienen un tamaño, un peso cromático y un contraste equivalentes. 3. Ningún interruptor no esencial está activado por defecto. 4. No se activa ninguna cookie ni etiqueta no esencial antes de la elección, lo que se confirma en una sesión limpia del navegador. 5. Cerrar o ignorar el banner no cuenta como aceptación. 6. Las finalidades se describen en un lenguaje específico y sencillo. 7. Un enlace permanente permite a los visitantes cambiar o retirar su consentimiento en cualquier momento. 8. Los rechazos se recuerdan y no se vuelve a preguntar de inmediato. Para conocer todas las condiciones legales en las que se basan estas comprobaciones, consulta [las condiciones del RGPD para un consentimiento de cookies válido](/es/blog/valid-consent-checklist). Si buscas orientaciones de diseño en positivo en lugar de una lista de cosas que evitar, lee [cómo diseñar un banner de cookies que cumpla la normativa y sea fácil de usar](/es/blog/cookie-banner-design-best-practices). ## ¿Se aplican las normas sobre patrones oscuros fuera de la UE? Sí, de distintas formas. En el Reino Unido, la ICO hace cumplir el RGPD del Reino Unido y PECR con unos estándares de consentimiento muy próximos a los de la UE, y ha instado públicamente a los sitios web a que rechazar las cookies sea tan fácil como aceptarlas. La LGPD de Brasil también exige que el consentimiento sea libre, informado e inequívoco. California sigue un enfoque de exclusión voluntaria (opt-out), pero la CPRA establece que la conformidad obtenida mediante patrones oscuros no constituye consentimiento, y el reglamento de la California Privacy Protection Agency exige simetría en las opciones. Un flujo de exclusión más difícil de completar que su alternativa plantea los mismos problemas que un banner de la UE sin botón de rechazo. Consulta [CCPA y CPRA: cómo afecta la ley de privacidad de EE. UU. a las cookies](/es/blog/ccpa-cpra-cookies) para más detalles. ## En resumen Las autoridades juzgan un banner por su efecto: ¿puede un visitante rechazar con la misma facilidad con la que acepta, y rechazar detiene realmente el seguimiento? Elimina cualquier diseño que incline la balanza, verifica que el comportamiento técnico coincide con los botones y documenta qué has cambiado y por qué. Herramientas como Cookiesh pueden automatizar el escaneo de cookies y conservar registros de consentimiento inmutables, lo que te ayuda a demostrar qué eligieron realmente los visitantes. *Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.* ## FAQ ### ¿Es un patrón oscuro usar el color de nuestra marca para el botón “Aceptar”? Puede serlo, si la opción de rechazo acaba siendo visiblemente menos prominente. Los colores de marca no son un problema siempre que aceptar y rechazar tengan un tamaño, un contraste y una ubicación comparables, de modo que ninguna de las dos opciones quede favorecida visualmente. ### ¿Puedo volver a mostrar el banner después de que alguien rechace las cookies? No en cada página ni en cada visita. Preguntar una y otra vez después de un rechazo claro presiona a las personas para que acepten. Vuelve a preguntar solo después de un periodo razonable o cuando tus finalidades o tus proveedores cambien de forma significativa. ### ¿Se aplican las normas sobre patrones oscuros a los sitios web pequeños? Sí. Los requisitos de consentimiento se aplican con independencia del tamaño de la empresa. Las multas más sonadas se han dirigido sobre todo a grandes plataformas, pero a cualquier sitio se le puede ordenar que corrija su banner y que deje de tratar los datos recogidos sin un consentimiento válido. ## Sources - [TJUE, asunto C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17) - [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en) - [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj) - [California Privacy Protection Agency](https://cppa.ca.gov/)