¿Qué se considera una cookie estrictamente necesaria?

Una cookie estrictamente necesaria es aquella sin la cual tu sitio web no puede prestar un servicio que el usuario ha solicitado expresamente, como mantener su sesión iniciada, conservar los artículos de un carrito de la compra o recordar sus preferencias de cookies. Según las normas de la UE, estas cookies están exentas de consentimiento. Las cookies que sirven principalmente a tu negocio, como las de analítica, publicidad o pruebas A/B, por lo general no lo están.

¿Qué dice exactamente la ley?

La excepción procede del artículo 5, apartado 3, de la Directiva ePrivacy. Almacenar información en el dispositivo de un usuario o acceder a ella requiere consentimiento, salvo cuando se utiliza únicamente para transmitir una comunicación a través de una red o cuando es estrictamente necesario para prestar un servicio que el usuario ha solicitado expresamente.

Dos expresiones hacen casi todo el trabajo:

• “Estrictamente necesario” fija un listón alto. No basta con que sea útil, eficiente o importante desde el punto de vista comercial. El servicio debe fallar, o ser imposible de prestar, sin la cookie.
• “Solicitado expresamente” significa que el servicio se juzga desde la perspectiva del visitante. Un visitante solicita una página, un inicio de sesión o un proceso de compra. No solicita la medición de audiencia ni la segmentación publicitaria.

PECR, en el Reino Unido, contiene una excepción equivalente, cuyo cumplimiento supervisa la ICO. Los Estados miembros de la UE aplican la directiva mediante leyes nacionales, así que la redacción y las orientaciones de las autoridades varían ligeramente de un país a otro. Para conocer las categorías que rodean a esta, consulta tipos de cookies.

¿Cómo compruebo si una cookie es estrictamente necesaria?

Pregúntate si el servicio que ha solicitado el usuario dejaría de funcionar sin la cookie y si la cookie hace algo más. Responde a estas preguntas para cada una:

1. ¿Qué servicio solicitó el usuario? Nómbralo de forma concreta: ver la página, iniciar sesión, completar la compra.
2. ¿Fallaría ese servicio sin esta cookie? Si la respuesta sincera es “funcionaría, pero perderíamos información”, la cookie no es estrictamente necesaria.
3. ¿Se utiliza la cookie solo para esa finalidad? Si el mismo identificador alimenta también la analítica o la publicidad, la excepción no cubre esos usos.
4. ¿Es proporcionada su duración? Una cookie de sesión o de corta duración es más fácil de justificar que una que dura años.
5. ¿Reutiliza alguien más los datos? Si un proveedor utiliza la información para sus propias finalidades, como crear perfiles, es poco probable que la excepción se sostenga.

Una cookie que supera las cinco preguntas es una firme candidata a la categoría de necesarias. Si falla en cualquiera de ellas, trátala como una cookie que requiere consentimiento.

¿Qué cookies suelen cumplir los requisitos?

La mayoría de las cookies estrictamente necesarias tienen que ver con las sesiones, la seguridad y el recuerdo de elecciones que ha hecho el usuario. La tabla muestra casos habituales, pero aplica siempre el criterio a tu propia configuración.

Caso de uso	¿Suele ser estrictamente necesaria?	Notas
Inicio de sesión y gestión de sesiones	Sí	Para las áreas en las que el usuario decidió iniciar sesión
Carrito de la compra	Sí	Conserva los artículos que añadió el usuario
Balanceo de carga	Sí	Dirige las solicitudes durante la sesión
Seguridad, como tokens CSRF o controles antifraude en el inicio de sesión	Por lo general, sí	Cuando está vinculada al servicio solicitado
Almacenamiento de la elección de consentimiento del usuario	Sí	Necesaria para respetar esa elección
Ajustes de idioma o accesibilidad que eligió el usuario	A menudo	Cuando se fijan mediante una acción explícita del usuario y se conservan durante un tiempo razonable
Analítica y medición de audiencia	Por lo general, no	Consulta la sección sobre analítica más abajo
Pruebas A/B y personalización	Por lo general, no	Sirve a tu optimización, no a la solicitud del usuario
Publicidad, retargeting y seguimiento de conversiones	No	Necesita consentimiento en la UE
Contenido incrustado de redes sociales que rastrea a los visitantes	No	Cárgalo solo después del consentimiento

¿Qué errores convierten lo “necesario” en una infracción?

El problema más habitual es incluir cookies no esenciales en la categoría de necesarias para que se carguen antes del consentimiento. Es exactamente lo que buscan las autoridades cuando revisan banners y listas de cookies.

Presta atención a estos patrones:

• El argumento de la necesidad empresarial. “Necesitamos la analítica para gestionar el negocio” puede ser cierto, pero la excepción se refiere al servicio que solicitó el usuario, no a tus necesidades operativas.
• Fiarse de las etiquetas del proveedor. Que un proveedor describa su cookie como “esencial” es una descripción comercial, no una evaluación jurídica. Comprueba qué hace realmente la cookie.
• Cookies con varias finalidades. Un único identificador que se usa tanto para gestionar la sesión como para la atribución publicitaria necesita consentimiento para el uso publicitario. Separa las funciones en cookies distintas siempre que puedas.
• Etiquetas que se cuelan con los scripts necesarios. El contenedor de un gestor de etiquetas puede cargarse antes del consentimiento, pero las etiquetas que contiene deben seguir esperando a la elección del visitante.
• Confundir la excepción con el interés legítimo. La base jurídica del interés legítimo del RGPD no sustituye al requisito de consentimiento de ePrivacy para almacenar información en un dispositivo. Lo explicamos en ¿Puedes basarte en el interés legítimo para usar cookies?

¿Hay que informar igualmente de las cookies estrictamente necesarias?

Sí, en la práctica. La excepción elimina la necesidad de consentimiento, pero si la cookie trata datos personales, las obligaciones de transparencia del RGPD siguen aplicándose, y las autoridades esperan ver las cookies necesarias enumeradas junto con las demás.

Eso implica tres cosas. Enumera cada cookie necesaria en tu política de cookies con su finalidad y su duración, tal como se explica en cómo redactar una política de cookies. Muestra la categoría de necesarias en la configuración de tu banner como “siempre activa” en lugar de con un interruptor. Y revisa la lista cada vez que añadas un proveedor, porque una cookie que hoy está exenta puede perder esa condición si cambia su uso.

¿Hay alguna excepción para la analítica?

Por lo general, no. Según la Directiva ePrivacy, las cookies de analítica necesitan consentimiento en la mayoría de los países de la UE. Algunas autoridades nacionales han descrito condiciones limitadas en las que la medición de audiencia básica y propia puede quedar exenta, que normalmente exigen una finalidad estrictamente limitada, ausencia de seguimiento entre sitios y resultados agregados.

Estas posturas son nacionales, no de toda la UE, y sus condiciones son estrictas. El Reino Unido también ha decidido flexibilizar las normas de consentimiento para algunos usos de bajo riesgo, incluida cierta analítica, pero su aplicación depende de la legislación y de las orientaciones de la ICO, así que comprueba la situación actual antes de basarte en ello. Si quieres una medición que dependa menos del consentimiento, merece la pena valorar la analítica sin cookies, aunque tampoco queda automáticamente fuera de las normas.

En resumen

“Estrictamente necesaria” es una categoría reducida: cookies sin las que no puede funcionar el servicio que ha solicitado el usuario, que no se usan para nada más y que tienen una duración proporcionada. Evalúa cada cookie con ese criterio, mantén todo lo demás supeditado al consentimiento e informa igualmente de las necesarias. Herramientas como Cookiesh pueden automatizar el escaneo de cookies, lo que facilita detectar las cookies nuevas antes de que acaben en la categoría equivocada.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.