Qué exige el RGPD para el consentimiento de cookies

Según la legislación de la UE, necesitas el consentimiento previo y expreso (opt-in) del visitante antes de instalar o leer cualquier cookie que no sea estrictamente necesaria para prestar el servicio que ha solicitado. Ese consentimiento debe cumplir el estándar del RGPD: libre, específico, informado e inequívoco. Los visitantes deben poder rechazar con la misma facilidad con la que aceptan y cambiar de opinión en cualquier momento, y tú debes poder demostrar qué eligieron.

¿Qué leyes regulan las cookies en la UE?

Dos normas actúan de forma conjunta. La Directiva ePrivacy determina cuándo necesitas consentimiento para una cookie, y el Reglamento General de Protección de Datos (RGPD) define qué es un consentimiento válido.

El artículo 5, apartado 3, de la Directiva ePrivacy regula el almacenamiento de información en el dispositivo del usuario y el acceso a la información almacenada en él. Eso incluye las cookies, pero también el almacenamiento local, los píxeles de seguimiento, los identificadores de dispositivo y técnicas similares. La norma se aplica tanto si la información se considera dato personal como si no.

El RGPD aporta el estándar de consentimiento. El artículo 4, punto 11, define el consentimiento y el artículo 7 establece sus condiciones. Cuando las cookies recogen datos personales, como hacen la mayoría de las cookies de analítica y publicidad, el RGPD también regula todo lo que hagas después con esos datos. Para ver con más detalle cómo se reparten el trabajo ambas normas, consulta Directiva ePrivacy frente al RGPD.

Como la Directiva ePrivacy es una directiva y no un reglamento, cada país de la UE la incorpora a su propia legislación nacional. La norma básica es la misma en todas partes, pero las autoridades de control difieren en sus orientaciones y en sus prioridades de aplicación.

¿Qué cookies necesitan consentimiento?

Cualquier cookie o tecnología similar necesita consentimiento, salvo que sea estrictamente necesaria para prestar un servicio que el usuario haya solicitado expresamente o se utilice únicamente para transmitir una comunicación. Lo que importa es la finalidad, no si la cookie es propia o de terceros.

Finalidad de la cookie	Ejemplo	¿Necesita consentimiento?
Autenticación	Mantiene la sesión del usuario iniciada	No, es estrictamente necesaria
Carrito de la compra	Recuerda los artículos añadidos a la cesta	No, es estrictamente necesaria
Balanceo de carga	Dirige las solicitudes al mismo servidor	No, es estrictamente necesaria
Almacenamiento del consentimiento	Recuerda las preferencias de cookies del visitante	No, es estrictamente necesaria
Preferencias	Idioma o ajustes de visualización	Depende de si el usuario eligió expresamente ese ajuste
Analítica	Cuenta visitas y sigue recorridos	Sí, en la mayoría de los casos
Publicidad	Retargeting, seguimiento de conversiones, elaboración de perfiles	Sí
Contenido incrustado de redes sociales	Botones para compartir, publicaciones incrustadas, píxeles	Sí, cuando instalan o leen identificadores

Hay dos puntos que suelen generar confusión. Primero, una cookie de analítica propia sigue necesitando consentimiento en la mayoría de los países de la UE. Algunas autoridades admiten exenciones limitadas para la medición de audiencia configurada de forma muy restrictiva, pero trátalo como una excepción propia de cada país.

Segundo, “estrictamente necesaria” significa necesaria para el servicio que pidió el usuario, no necesaria para tu modelo de negocio. Nuestra guía sobre cookies estrictamente necesarias aborda las zonas grises.

¿Qué hace que el consentimiento de cookies sea válido?

El consentimiento solo es válido cuando es libre, específico, informado e inequívoco, y se expresa mediante una clara acción afirmativa. En un banner de cookies, eso se traduce en unas cuantas reglas concretas.

• Opt-in, no opt-out. Las categorías no esenciales empiezan desactivadas. En su sentencia Planet49 (C-673/17, 2019), el Tribunal de Justicia de la Unión Europea (TJUE) declaró que una casilla premarcada no constituye un consentimiento válido.
• Nada de consentimiento implícito. Según el Comité Europeo de Protección de Datos (CEPD), el organismo que emite orientaciones conjuntas para las autoridades de control de la UE, desplazarse por la página o seguir navegando no es consentimiento.
• Opciones granulares. Las personas deben poder aceptar la analítica y rechazar el marketing, en lugar de enfrentarse a un único interruptor de todo o nada.
• Información real. Explica quién instala las cookies, para qué sirven, cuánto duran y qué terceros reciben datos.
• Libre. Rechazar debe ser tan fácil como aceptar, y el acceso a tu sitio no debe depender de que se acepten cookies no esenciales.

Nuestra lista de verificación del consentimiento válido repasa cada uno de estos puntos.

¿Qué significa en la práctica el consentimiento “previo”?

Significa que no se ejecuta nada no esencial hasta que el visitante dice que sí. Un banner que registra la elección cuando las etiquetas de analítica y publicidad ya se han activado al cargar la página no cumple la normativa, por muy pulido que parezca.

Se trata, sobre todo, de un problema de ingeniería. Los scripts de terceros, los contenedores del gestor de etiquetas y los widgets incrustados deben quedar retenidos hasta que se conceda la categoría correspondiente, y el estado del consentimiento debe comprobarse en cada página vista para que un rechazo siga siendo un rechazo.

Si utilizas etiquetas de publicidad o de medición de Google para visitantes del Espacio Económico Europeo (EEE), Google también exige desde marzo de 2024 las señales del modo de consentimiento. Esas señales transmiten la elección del visitante a las etiquetas de Google. Son un requisito de la propia política de Google y no sustituyen la obligación legal de obtener antes el consentimiento.

¿Qué más implica el cumplimiento, aparte del banner?

El banner es solo la parte visible. Una configuración conforme suele seguir ocho pasos:

1. Audita tu sitio. Enumera cada cookie, clave de almacenamiento local, píxel y script de terceros, incluidos los que añaden los plugins y los gestores de etiquetas.
2. Clasifica por finalidad. Asigna cada elemento a necesarias, preferencias, analítica o marketing, y elimina lo que ya no uses.
3. Bloquea antes del consentimiento. Retén cada script no esencial hasta que se conceda su categoría.
4. Pregunta con claridad. Muestra las opciones de aceptar y rechazar con la misma prominencia en la primera capa, además de una forma de elegir por categoría.
5. Documéntalo. Publica una política de cookies que refleje lo que tu sitio instala realmente.
6. Facilita la retirada. Según el artículo 7, apartado 3, retirar el consentimiento debe ser tan fácil como darlo, así que mantén un enlace o botón permanente que vuelva a abrir la configuración.
7. Guarda registros. El artículo 7, apartado 1, exige que puedas demostrar el consentimiento, así que registra la elección, el momento y la versión del banner que se mostró.
8. Repite con regularidad. Vuelve a escanear cada vez que añadas etiquetas, cambies de proveedor o rediseñes el sitio.

¿Qué ocurre si te equivocas?

Las sanciones pueden ser considerables. Según el artículo 83, apartado 5, del RGPD, las infracciones más graves, incluido el incumplimiento de las condiciones del consentimiento, pueden sancionarse con multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, si esta cifra es superior. Las infracciones en materia de cookies sancionadas con arreglo a las leyes nacionales de ePrivacy siguen el régimen sancionador de cada país.

Las autoridades han demostrado que están dispuestas a usar esas facultades. En diciembre de 2021, la autoridad francesa de protección de datos, la CNIL, multó a Google con 150 millones de euros y a Facebook con 60 millones de euros porque rechazar las cookies en sus sitios costaba más esfuerzo que aceptarlas. Las autoridades también pueden ordenar cambios en tu banner. Nuestro análisis de lo que las sanciones por cookies enseñan a los propietarios de sitios web desglosa los patrones que se siguen sancionando una y otra vez.

En resumen

El consentimiento de cookies según el RGPD se reduce a una secuencia sencilla: saber qué instala tu sitio, bloquear todo lo no esencial, preguntar con claridad ofreciendo una opción de rechazo equivalente, respetar la respuesta en cada página y conservar las pruebas. La mayoría de los fallos se producen en los huecos entre esos pasos, como una etiqueta añadida al margen de la auditoría o un banner que registra las elecciones sin aplicarlas. Herramientas como Cookiesh pueden automatizar el escaneo de cookies, el bloqueo de scripts y el registro del consentimiento, pero decidir qué cookies necesitas realmente sigue siendo decisión tuya.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.