# ¿Puedes basarte en el interés legítimo para usar cookies?

> El interés legítimo no sustituye al consentimiento para las cookies no esenciales en la UE. Por qué, dónde sigue aplicándose y qué cambió TCF 2.2 para los editores.

Source: https://www.cookiesh.eu/es/blog/legitimate-interest-and-cookies  
Published: 2026-02-17

## Key takeaways

- Para las cookies no esenciales en la UE, el interés legítimo no puede sustituir al consentimiento, porque la Directiva ePrivacy solo admite el consentimiento o unas excepciones limitadas.
- El interés legítimo del artículo 6 del RGPD cubre el tratamiento de datos personales, no el acto de almacenar o leer información en un dispositivo.
- Aun así, puede amparar parte del tratamiento vinculado a cookies estrictamente necesarias, como la seguridad, la prevención del fraude y el balanceo de carga.
- IAB TCF v2.2 eliminó el interés legítimo como base para los propósitos 3, 4, 5 y 6, relativos a la publicidad y la personalización de contenidos.
- Si un visitante rechaza o retira su consentimiento, no puedes continuar con el mismo tratamiento cambiando al interés legítimo.

Por lo general, no. En la UE, la Directiva ePrivacy exige el consentimiento antes de almacenar o leer cookies no esenciales, y no ofrece la alternativa del interés legítimo. El interés legítimo es una base jurídica del RGPD para tratar datos personales, por lo que puede ser relevante para los datos gestionados a través de una cookie estrictamente necesaria, pero no puede justificar por sí solo las cookies de analítica o de publicidad.

## ¿Por qué el interés legítimo no puede sustituir al consentimiento de cookies?

Porque la norma que regula las cookies no está en el RGPD. Es el artículo 5, apartado 3, de la Directiva ePrivacy, que solo permite almacenar o leer información en un dispositivo con consentimiento o en virtud de dos excepciones limitadas, y el interés legítimo no es una de ellas.

La confusión es comprensible. El artículo 6 del RGPD enumera seis bases jurídicas para tratar datos personales: consentimiento, contrato, obligación legal, intereses vitales, misión de interés público e intereses legítimos. Como las cookies suelen implicar datos personales, resulta tentador pensar que cualquiera de las seis sirve.

El fallo de ese razonamiento es que la norma de ePrivacy es la ley más específica para el acto de acceder a un dispositivo, y se aplica incluso cuando no hay datos personales de por medio. Así que la pregunta “¿puedo instalar esta cookie?” la responde únicamente ePrivacy. Las bases jurídicas del RGPD solo entran en juego para lo que hagas después con los datos personales. Nuestro artículo sobre la [Directiva ePrivacy frente al RGPD](/es/blog/eprivacy-directive-vs-gdpr) explica paso a paso esta lógica en dos fases.

## ¿Qué es el interés legítimo según el RGPD?

El interés legítimo, recogido en el artículo 6, apartado 1, letra f), permite el tratamiento necesario para tus intereses legítimos o los de un tercero, siempre que sobre esos intereses no prevalezcan los intereses o los derechos fundamentales de la persona. Es flexible, pero conlleva obligaciones reales.

Basarte en él implica superar una prueba en tres partes, que normalmente se documenta como evaluación del interés legítimo:

- **Finalidad.** ¿El interés es legítimo, está claramente definido y es lícito?
- **Necesidad.** ¿El tratamiento es realmente necesario para esa finalidad o existe una forma menos intrusiva de lograrla?
- **Ponderación.** ¿Prevalecen los derechos y las expectativas razonables de la persona sobre tu interés?

Por lo general, las personas tienen derecho a oponerse al tratamiento basado en el interés legítimo, y debes informarles de ello. El seguimiento encubierto entre sitios con fines publicitarios difícilmente supera la ponderación, porque la mayoría de la gente no lo espera.

## ¿Dónde puede seguir aplicándose el interés legítimo a las cookies?

Puede aplicarse a los datos personales tratados a través de cookies exentas de consentimiento y al tratamiento que no implica ningún acceso al dispositivo. No puede cubrir el acceso al dispositivo en sí con fines no esenciales.

| Escenario | Almacenar o leer en el dispositivo (ePrivacy) | Tratar los datos después (RGPD) |
| --- | --- | --- |
| Cookie de sesión de usuario | Exenta por ser estrictamente necesaria | Normalmente, contrato; posible interés legítimo |
| Cookie de balanceo de carga | Exenta por ser estrictamente necesaria | El interés legítimo es habitual |
| Controles de seguridad y fraude en un servicio solicitado | A menudo exenta si es estrictamente necesaria; consulta las orientaciones locales | El interés legítimo es habitual |
| Cookies de analítica | Consentimiento, salvo que se aplique una exención nacional limitada | El consentimiento es la opción segura por defecto |
| Publicidad y retargeting | Consentimiento | Consentimiento, en la práctica |
| Análisis en el servidor sin acceso al dispositivo | Por lo general no se activa; comprueba cómo se recogen los datos | Puede ser posible el interés legítimo |

Las primeras filas dependen de que la cookie sea realmente estrictamente necesaria, y nuestra guía sobre [cookies estrictamente necesarias](/es/blog/strictly-necessary-cookies) explica dónde está ese límite. La última fila es la idea en la que se basan muchas configuraciones de [analítica sin cookies](/es/blog/cookieless-analytics), aunque “sin cookies” no significa automáticamente “sin consentimiento”.

Hay una regla firme que procede del Comité Europeo de Protección de Datos (CEPD), que coordina a las autoridades de la UE: no puedes cambiar de base jurídica a posteriori. Si pediste el consentimiento y el visitante lo rechazó o lo retiró más tarde, no puedes continuar con el mismo tratamiento amparándote en el interés legítimo.

## ¿Cómo cambió IAB TCF 2.2 el interés legítimo?

La versión 2.2 del IAB Europe Transparency & Consent Framework (TCF), publicada en 2023, eliminó el interés legítimo como base permitida para los propósitos de publicidad y de personalización de contenidos. Con ello se cerró la vía más habitual por la que el interés legítimo aparecía en los banners de cookies.

El TCF es un estándar del sector que muchos editores y proveedores de tecnología publicitaria utilizan para recoger las elecciones de consentimiento y transmitirlas a lo largo de la cadena de suministro publicitaria. Antes de la versión 2.2, muchos banners incluían una pestaña de “interés legítimo” independiente con proveedores y propósitos activados por defecto, junto con una opción para oponerse que pocos visitantes llegaban a encontrar.

Con TCF v2.2, los propósitos 3 a 6 (crear perfiles para publicidad personalizada, usar perfiles para seleccionar publicidad personalizada, crear perfiles para personalizar contenidos y usar perfiles para seleccionar contenidos personalizados) requieren consentimiento. El propósito 1, almacenar información en un dispositivo o acceder a ella, ya requería consentimiento. Algunos propósitos de medición y de desarrollo de productos todavía pueden usar el interés legítimo dentro del marco, pero eso no cambia lo que exige la Directiva ePrivacy para las propias cookies.

La versión 2.2 también exige que el número de proveedores se muestre en la primera capa del banner. Nuestra guía sobre [IAB TCF 2.2](/es/blog/iab-tcf-2-2-explained) repasa el resto de cambios.

## ¿Cómo debes gestionar el interés legítimo en tu configuración de consentimiento?

Mantén claramente separadas las cookies basadas en el consentimiento y el tratamiento basado en el interés legítimo, y nunca uses el interés legítimo como alternativa cuando falte el consentimiento. Un proceso sencillo ayuda:

1. **Asocia cada cookie y rastreador a una finalidad.** Incluye las etiquetas cargadas mediante gestores de etiquetas y plugins.
2. **Responde primero a la pregunta de ePrivacy.** Para cada elemento, decide si es estrictamente necesario o si requiere consentimiento. No hay una tercera opción.
3. **Elige una base del RGPD para el tratamiento posterior.** Documéntala y redacta una evaluación del interés legítimo siempre que te bases en él.
4. **Explica con claridad el tratamiento basado en el interés legítimo.** Descríbelo en tu aviso de privacidad y ofrece una forma sencilla de oponerse, en lugar de interruptores activados de antemano y escondidos en una segunda capa.
5. **Respeta los rechazos con independencia de la base jurídica.** Si un visitante rechaza la analítica, detén el tratamiento analítico, no solo la cookie.
6. **Revisa cuando cambien los proveedores.** Las herramientas nuevas suelen llegar con sus propias suposiciones sobre las bases jurídicas, que pueden no coincidir con las tuyas.

## En resumen

El interés legítimo es una base jurídica real del RGPD, pero en el caso de las cookies solo opera después de la pregunta de ePrivacy, nunca en su lugar. Si una cookie no es estrictamente necesaria, pide el consentimiento. Si lo es, puedes plantearte el interés legítimo para el tratamiento posterior, respaldado por una evaluación documentada. Herramientas como Cookiesh pueden retener los scripts de analítica y marketing hasta que haya consentimiento y dejar que se ejecuten los necesarios, lo que mantiene ese límite claro en la práctica.

*Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.*

## FAQ

### ¿Pueden basarse en el interés legítimo las cookies de analítica?

En la mayoría de los países de la UE, no. Instalar o leer cookies de analítica requiere consentimiento, salvo que se aplique una exención nacional. Algunas autoridades permiten la medición de audiencia propia configurada de forma muy restrictiva sin consentimiento, pero las condiciones son estrictas y varían de un país a otro.

### ¿Qué es una evaluación del interés legítimo?

Es un registro escrito que demuestra que tu finalidad es legítima, que el tratamiento es necesario para ella y que los derechos y expectativas de la persona no prevalecen sobre tu interés. Las autoridades esperan verla cuando te basas en esta base jurídica.

### ¿Por qué algunos banners de consentimiento tienen una pestaña de “interés legítimo”?

Los banners basados en el IAB Transparency & Consent Framework enumeran propósitos y proveedores, y algunos propósitos todavía pueden ampararse en el interés legítimo con una opción para oponerse. Desde TCF v2.2, los propósitos de publicidad y de personalización de contenidos ya no pueden utilizarlo.

### ¿Cuál es la base jurídica de las cookies estrictamente necesarias?

La cookie en sí no necesita consentimiento gracias a la excepción de ePrivacy para el almacenamiento estrictamente necesario. Cualquier dato personal tratado a través de ella sigue necesitando una base jurídica del RGPD, a menudo la ejecución de un contrato o el interés legítimo, según la finalidad.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [IAB Europe Transparency & Consent Framework](https://iabeurope.eu/transparency-consent-framework/)