Privacidad global6 min de lectura
RGPD del Reino Unido y PECR: normas sobre cookies en el Reino Unido
Cómo funciona la ley de cookies británica: reglas de consentimiento de PECR, el estándar del RGPD del Reino Unido, qué exige la ICO y las reformas de 2025 a vigilar.
En el Reino Unido, las cookies se rigen por dos leyes que funcionan de forma conjunta. Las Privacy and Electronic Communications Regulations (PECR) exigen consentimiento antes de almacenar información en un dispositivo o acceder a ella, salvo que se aplique una excepción, y el RGPD del Reino Unido (UK GDPR) define qué es un consentimiento válido. La Information Commissioner’s Office (ICO) supervisa el cumplimiento de ambas, y las reformas recientes añaden nuevas excepciones que conviene seguir de cerca.
¿Cómo encajan el RGPD del Reino Unido y PECR?
PECR fija la norma sobre cookies y el RGPD del Reino Unido fija el estándar de consentimiento. Cuando una cookie o tecnología similar implica además datos personales, también se aplican los principios generales del RGPD del Reino Unido, como la transparencia y la minimización de datos.
PECR es la transposición británica de la Directiva ePrivacy de la UE. Su norma sobre cookies, el artículo 6 (regulation 6), establece que debes ofrecer información clara y completa y obtener el consentimiento antes de almacenar información en el dispositivo del usuario o acceder a ella, salvo que se aplique una excepción. Al igual que el artículo 5, apartado 3, en la UE, abarca las cookies y tecnologías similares como el almacenamiento local, los píxeles de seguimiento y el fingerprinting de dispositivos.
El RGPD del Reino Unido es la versión del RGPD de la UE que se mantuvo en el derecho británico tras el Brexit, y convive con la Data Protection Act 2018. Define el consentimiento como libre, específico, informado e inequívoco, manifestado mediante una clara acción afirmativa. Para ver esta relación en su versión de la UE, consulta Directiva ePrivacy frente al RGPD.
¿Qué cookies necesitan consentimiento en el Reino Unido?
Según las normas tradicionales, todo lo que no sea estrictamente necesario requiere un consentimiento previo y expreso (opt-in). Eso incluye las cookies de analítica, publicidad, redes sociales y la mayoría de las de personalización.
Las excepciones tradicionales son limitadas:
- Excepción de comunicación: almacenamiento o acceso utilizado únicamente para efectuar la transmisión de una comunicación a través de una red.
- Excepción de estricta necesidad: almacenamiento o acceso estrictamente necesario para prestar un servicio que el usuario ha solicitado expresamente, como una cesta de la compra, una sesión iniciada o una cookie de seguridad.
La ICO considera desde hace tiempo que la analítica no es estrictamente necesaria, por muy valiosa que le resulte a una empresa. Para los casos límite, consulta qué se considera una cookie estrictamente necesaria.
¿Qué cambió con la Data (Use and Access) Act 2025?
La Data (Use and Access) Act 2025 modifica tanto PECR como el RGPD del Reino Unido, y sus cambios en materia de cookies son los más importantes en años. Sin embargo, sus disposiciones van entrando en vigor por fases, así que consulta la guía vigente de la ICO antes de modificar tu banner de cookies.
Tal como se aprobó, la ley crea nuevas excepciones al requisito de consentimiento para determinadas finalidades de menor riesgo, como cierta analítica usada para mejorar un sitio web o servicio y las funciones que recuerdan cómo quiere el usuario que se vea o funcione un sitio. Cuando se aplican estas excepciones, por lo general sigues teniendo que explicar con claridad lo que haces y ofrecer una forma sencilla y gratuita de oponerse. La ley también pretende equiparar las sanciones de PECR a los niveles del RGPD del Reino Unido.
Mientras se concretan los detalles, conviene tener en cuenta tres precauciones prácticas:
- La publicidad sigue necesitando consentimiento. Las nuevas excepciones se dirigen a finalidades de menor riesgo, no a la publicidad segmentada ni al seguimiento entre sitios.
- Las herramientas de terceros requieren un examen detenido. Una excepción vinculada a la mejora de tu propio servicio puede no cubrir a un proveedor que también usa los datos para sus propios fines.
- Los visitantes de la UE no se ven afectados. Si también atiendes a personas en la UE, las normas europeas siguen exigiendo por lo general consentimiento para la analítica, por lo que puede que necesites un comportamiento distinto según la región.
Antes de acogerte a cualquier nueva excepción, haz una auditoría de cookies para saber exactamente qué cookies entrarían en ella.
¿Qué espera la ICO de los banners de cookies?
La ICO espera una elección real: rechazar debe ser tan fácil como aceptar, las cookies no esenciales no deben cargarse antes del consentimiento y la información debe ser clara. Ha presionado públicamente a grandes sitios web para que corrijan banners que no cumplían ese estándar.
Un banner de cookies preparado para el Reino Unido debe:
- Ofrecer “Rechazar todo” con la misma visibilidad y el mismo número de clics que “Aceptar todo”.
- Evitar casillas premarcadas, interruptores activados por defecto y consentimientos incluidos en las condiciones del servicio.
- No tratar nunca el desplazamiento por la página ni la navegación continuada como consentimiento.
- Bloquear las cookies no esenciales hasta que el usuario dé su consentimiento.
- Facilitar la modificación o retirada del consentimiento más adelante.
- Explicar las finalidades y los terceros en un lenguaje sencillo, con el detalle en una política de cookies.
Los trucos de diseño que empujan a aceptar son un foco recurrente de las actuaciones de supervisión. Nuestra guía sobre patrones oscuros en los banners de cookies recoge los patrones que debes evitar.
¿Cómo se comparan las normas británicas con las de la UE?
Las normas sobre cookies del Reino Unido y de la UE siguen muy alineadas, pero empiezan a divergir. Usa esta tabla como orientación rápida, no como un mapa jurídico.
| UE | Reino Unido | |
|---|---|---|
| Norma sobre cookies | Art. 5, apdo. 3, de la Directiva ePrivacy, a través de las leyes nacionales | Artículo 6 de PECR |
| Estándar de consentimiento | RGPD | RGPD del Reino Unido |
| Autoridad de control | Autoridades nacionales de protección de datos | ICO |
| Cookies de analítica | Por lo general se requiere consentimiento, con excepciones nacionales limitadas | Nuevas excepciones para cierta analítica, sujetas a su entrada en vigor y a la guía de la ICO |
| Cookies publicitarias | Se requiere consentimiento | Se requiere consentimiento |
| Multa máxima del RGPD | 20 millones de euros o el 4 % de la facturación anual mundial | 17,5 millones de libras o el 4 % de la facturación anual mundial |
En resumen
Para los visitantes del Reino Unido, diseña un consentimiento previo y expreso para todo lo no esencial, haz que rechazar sea tan fácil como aceptar y sigue la Data (Use and Access) Act 2025 a medida que entren en vigor sus cambios sobre cookies. Consulta la guía más reciente de la ICO antes de relajar cualquier requisito de consentimiento, y recuerda que los visitantes de la UE siguen necesitando un consentimiento al nivel europeo. Herramientas como Cookiesh pueden automatizar el escaneo de cookies y mantener registros de consentimiento a prueba de manipulaciones, para que puedas demostrar a la ICO qué hace tu sitio y qué eligieron los visitantes.
Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.
Preguntas frecuentes
¿Se aplican las normas británicas sobre cookies a sitios web establecidos fuera del Reino Unido?
Pueden aplicarse. El RGPD del Reino Unido se aplica a organizaciones de fuera del país que ofrecen bienes o servicios a personas en el Reino Unido o que monitorizan su comportamiento, y el consentimiento de cookies suele evaluarse junto con él. Si tienes una audiencia relevante en el Reino Unido, prepárate para cumplir.
¿La ley de cookies del Reino Unido es igual que la de la UE?
Comparten el mismo origen, porque PECR transpone la Directiva ePrivacy y el RGPD del Reino Unido deriva del RGPD de la UE. Desde el Brexit, ambos regímenes pueden divergir, y las reformas británicas aprobadas en 2025 han iniciado ese proceso.
¿Sigo necesitando consentimiento para las cookies de analítica en el Reino Unido?
Mientras ninguna nueva excepción cubra claramente tu configuración, da por hecho que sí. Las reformas de 2025 flexibilizan la norma para cierta analítica usada para mejorar un servicio, pero su aplicación depende de las condiciones de la ley y de la guía vigente de la ICO.
¿Qué sanciones puede imponer la ICO por infracciones relacionadas con cookies?
La ICO puede emitir apercibimientos, requerimientos de cumplimiento y multas. Las reformas de 2025 pretenden equiparar las multas máximas de PECR a los niveles del RGPD del Reino Unido, así que consulta en la web de la ICO los límites que se aplican actualmente.
Fuentes
Equipo editorial de Cookiesh
Ingenieros de privacidad y especialistas en cumplimiento normativo que escriben guías prácticas sobre consentimiento, cookies y protección de datos para equipos de producto.
