Tipos de cookies: propias, de terceros, de sesión y persistentes

Las cookies suelen clasificarse de tres maneras: según quién las instala (propias o de terceros), según cuánto duran (de sesión o persistentes) y según para qué sirven (estrictamente necesarias, de preferencias, de analítica o de marketing). Las dos primeras describen el comportamiento técnico. La tercera es la que más importa a la legislación de privacidad, porque la finalidad de una cookie decide si necesitas consentimiento antes de instalarla.

¿Qué es una cookie, desde el punto de vista técnico?

Una cookie es un pequeño fragmento de texto que un sitio web pide al navegador que almacene y devuelva en las solicitudes posteriores a ese mismo sitio. Los servidores instalan cookies con la cabecera HTTP Set-Cookie, y los scripts de la página pueden instalarlas mediante document.cookie.

Cada cookie tiene un nombre, un valor y unos atributos que controlan dónde y durante cuánto tiempo existe:

Set-Cookie: session_id=8f2c1e; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=en; Max-Age=31536000; Path=/; Secure; SameSite=Lax

Domain y Path controlan qué solicitudes llevan la cookie. Expires o Max-Age fijan su duración. Secure la limita a HTTPS, HttpOnly la oculta a JavaScript y SameSite controla si se envía en las solicitudes entre sitios.

¿Cuál es la diferencia entre cookies propias y de terceros?

Una cookie propia se instala para el dominio que aparece en la barra de direcciones del navegador. Una cookie de terceros se instala para un dominio diferente, normalmente a través de contenido incrustado en la página, como un anuncio, un reproductor de vídeo o un widget de redes sociales.

Si un visitante está en shop.example y un anuncio incrustado de ads.example-network.com instala una cookie, esa cookie es de terceros. Como la misma red publicitaria está incrustada en muchos sitios, su cookie puede reconocer el mismo navegador en todos ellos. Ese reconocimiento entre sitios es lo que convirtió a las cookies de terceros en la columna vertebral de la publicidad comportamental.

En la práctica, hay dos matices importantes:

• Que sea propia no significa que los datos se queden contigo. Muchos scripts de analítica y publicidad se ejecutan en tu página y escriben cookies en tu propio dominio. Técnicamente, esas cookies son propias, pero los identificadores que contienen se siguen enviando al proveedor.
• La compatibilidad de los navegadores está cambiando. Safari y Firefox restringen las cookies de terceros por defecto, y los planes de Chrome han cambiado varias veces. Comprueba la situación actual antes de construir cualquier cosa que dependa de ellas.

¿Cuál es la diferencia entre cookies de sesión y persistentes?

Una cookie de sesión no tiene atributo Expires ni Max-Age, así que el navegador la elimina cuando termina la sesión. Una cookie persistente tiene una caducidad explícita y sobrevive a los reinicios del navegador hasta esa fecha o hasta que el usuario la borra.

Es el navegador, y no tu sitio, quien decide cuándo termina una sesión. Algunos navegadores restauran las cookies de sesión al volver a abrir las pestañas anteriores, así que una cookie de sesión puede vivir más de lo que esperas. Algunos navegadores también acortan la duración de determinadas cookies instaladas mediante JavaScript, independientemente de la caducidad que solicites.

La duración también importa para el cumplimiento normativo. Las autoridades esperan que la duración de las cookies sea proporcionada a su finalidad, y tu política de cookies debe indicar cuánto dura cada una.

¿Cuáles son las categorías de cookies según su finalidad?

La mayoría de los banners de consentimiento agrupan las cookies en cuatro categorías basadas en la finalidad. Los nombres varían, pero la lógica es la misma:

• Estrictamente necesarias: imprescindibles para prestar un servicio que el usuario ha solicitado expresamente, como mantener la sesión iniciada, conservar un carrito o recordar una elección de consentimiento. Consulta qué se considera una cookie estrictamente necesaria para conocer el criterio.
• De preferencias (o funcionales): recuerdan elecciones que mejoran la experiencia, como el idioma, la región o los ajustes de visualización.
• De analítica (o estadísticas): miden cómo usan el sitio los visitantes, por ejemplo las páginas vistas, las fuentes de tráfico y los recorridos de conversión.
• De marketing (o publicidad): crean perfiles, miden el rendimiento de los anuncios, hacen retargeting de los visitantes o comparten datos con plataformas publicitarias.

¿Cómo se comparan los distintos tipos de cookies?

Cada cookie tiene a la vez un origen, una duración y una finalidad; por ejemplo, una cookie de analítica propia y persistente. Esta tabla muestra cómo se relaciona cada tipo con el consentimiento según las normas de la UE.

Tipo	Se clasifica por	Ejemplo típico	¿Necesita consentimiento según las normas de la UE?
Propia	Dominio que la instala	Sesión de usuario en tu propio dominio	Depende de la finalidad
De terceros	Dominio que la instala	Cookie de una red publicitaria procedente de un anuncio incrustado	Depende de la finalidad; en la práctica, normalmente sí
De sesión	Duración	Carrito de la compra que se vacía al cerrar el navegador	Depende de la finalidad
Persistente	Duración	Preferencia de idioma que se conserva durante un año	Depende de la finalidad
Estrictamente necesaria	Finalidad	Autenticación, balanceo de carga, registro del consentimiento	No, está exenta
De preferencias	Finalidad	Idioma o tema recordados	Normalmente sí; hay excepciones limitadas para ajustes que el usuario eligió activamente
De analítica	Finalidad	Medición de visitantes y páginas vistas	Por lo general, sí; algunas autoridades nacionales admiten excepciones limitadas
De marketing	Finalidad	Cookies de retargeting y de conversión publicitaria	Sí

Los tipos técnicos nunca responden por sí solos a la pregunta del consentimiento. Solo la finalidad lo hace.

¿A la legislación de privacidad le importa el tipo de cookie o su finalidad?

La finalidad. El artículo 5, apartado 3, de la Directiva ePrivacy se aplica al almacenamiento de cualquier información en el dispositivo del usuario o al acceso a ella, y sus excepciones se definen en función de la finalidad. Salvo que el almacenamiento sea estrictamente necesario para un servicio que el usuario ha solicitado, o se utilice únicamente para transmitir una comunicación, necesitas un consentimiento previo.

De ello se derivan tres consecuencias:

1. Las normas son tecnológicamente neutrales. localStorage, sessionStorage, IndexedDB, los píxeles de seguimiento y la huella digital del dispositivo (fingerprinting) están cubiertos igual que las cookies. Para saber cómo interactúan las dos normas de la UE, consulta Directiva ePrivacy frente al RGPD.
2. El RGPD se aplica además cuando los datos son personales. El RGPD menciona los identificadores de cookies entre los identificadores en línea que pueden hacer identificable a una persona, por lo que la mayoría de las cookies de seguimiento implican datos personales.
3. Las leyes de EE. UU. siguen un modelo diferente. Según la CCPA y la CPRA, las cookies publicitarias pueden equivaler a “vender” o “compartir” información personal. En lugar de obtener un consentimiento previo, debes ofrecer una forma de exclusión voluntaria (opt-out) y respetar las señales de Global Privacy Control.

¿Cómo averiguo qué cookies usa mi sitio?

Empieza por las herramientas para desarrolladores de tu navegador, que enumeran las cookies y demás almacenamiento de cada dominio con el que interactúa una página. Así obtienes una instantánea rápida, pero se te escapan las cookies que solo aparecen en determinadas páginas, después de iniciar sesión o después de que el visitante dé su consentimiento.

Un proceso más fiable:

1. Abre el sitio en una ventana privada limpia y anota todo lo que se instala antes de dar ningún consentimiento.
2. Acepta todas las cookies, recorre las páginas y los flujos clave y anota lo que aparece.
3. Para cada cookie, anota su nombre, el dominio que la instala, su duración y su finalidad.
4. Asigna a cada una una categoría de finalidad y confirma que no apareció nada no esencial antes del consentimiento.
5. Repite el proceso periódicamente, porque aparecen etiquetas nuevas cada vez que los equipos de marketing o de producto añaden herramientas.

Nuestra guía sobre cómo hacer una auditoría de cookies explica este proceso en profundidad, y su resultado alimenta directamente tu política de cookies.

En resumen

Propias frente a de terceros y de sesión frente a persistentes describen cómo se comporta una cookie. La finalidad describe por qué existe, y es la finalidad la que decide si necesitas consentimiento. Haz inventario de tus cookies, clasifica cada una por finalidad y bloquea todo lo no esencial hasta que los visitantes den su conformidad. Herramientas como Cookiesh pueden automatizar el escaneo de cookies y retener los scripts etiquetados hasta que los visitantes den su consentimiento.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.