RGPD6 min de lectura
Condiciones del RGPD para un consentimiento de cookies válido
Lista práctica de las condiciones del RGPD para un consentimiento de cookies válido: libre, específico, informado, inequívoco, demostrable y revocable.
Según el RGPD, el consentimiento de cookies solo es válido si es libre, específico, informado e inequívoco, y se manifiesta mediante una clara acción afirmativa, como hacer clic en “Aceptar”. Además, debes obtenerlo antes de que se ejecute cualquier cookie no esencial, hacer que rechazar sea tan fácil como aceptar, permitir que las personas lo retiren en cualquier momento y poder demostrar qué eligió cada una. Las casillas premarcadas y los avisos del tipo “si sigues navegando, aceptas” no cumplen.
¿De dónde salen las condiciones del consentimiento válido?
Salen de dos artículos del RGPD, que se aplican a las cookies a través de la Directiva ePrivacy. El artículo 4, punto 11, define el consentimiento y el artículo 7 establece las condiciones que debes cumplir.
La Directiva ePrivacy exige consentimiento para las cookies no esenciales, pero toma su definición de consentimiento de la legislación de protección de datos de la UE, que hoy es el RGPD. Nuestro artículo sobre la Directiva ePrivacy frente al RGPD explica cómo funciona ese relevo.
Otras dos fuentes determinan cómo se interpretan estas condiciones en la práctica. El Comité Europeo de Protección de Datos (CEPD), que reúne a las autoridades de protección de datos de la UE, ha publicado las Directrices 05/2020 sobre el consentimiento. Y el Tribunal de Justicia de la Unión Europea (TJUE) aplicó el estándar directamente a las cookies en Planet49 (C-673/17, 2019).
¿Cuál es la lista de verificación del consentimiento de cookies válido?
Somete tu banner real y tu panel de configuración a estas diez comprobaciones. Fallar en cualquiera de ellas puede invalidar el consentimiento que obtienes.
- Previo. No se ejecuta ninguna cookie, píxel ni script no esencial antes de que el visitante elija.
- Afirmativo. El consentimiento procede de una acción deliberada. Las casillas premarcadas, desplazarse por la página, seguir navegando y cerrar el banner no cuentan.
- Rechazo equivalente. “Rechazar” está en la misma capa que “Aceptar”, con una prominencia y un esfuerzo comparables.
- Granular. Cada finalidad, como preferencias, analítica o marketing, puede aceptarse o rechazarse por separado.
- Separado. El consentimiento de cookies no está escondido dentro de tus condiciones del servicio ni de la suscripción a una newsletter.
- Informado. Los visitantes ven quién lo pide, para qué finalidades, qué terceros intervienen y cuánto duran las cookies.
- Claro. La solicitud usa un lenguaje claro y sencillo y se distingue claramente de otros asuntos, como exige el artículo 7, apartado 2.
- No condicionado. El acceso a tu contenido no depende de aceptar cookies no esenciales.
- Revocable. Los visitantes pueden cambiar de opinión en cualquier momento, con la misma facilidad con la que consintieron, según el artículo 7, apartado 3.
- Demostrable. Puedes acreditar quién consintió qué, cuándo y a través de qué versión del banner, como exige el artículo 7, apartado 1.
Las siguientes secciones desgranan las cuatro condiciones del artículo 4, punto 11, que son las que más disputas generan, y después el aspecto del mantenimiento de registros.
¿Qué excluye el requisito de consentimiento “libre”?
El consentimiento no es libre si el visitante no tiene una elección real o si se le presiona o penaliza por decir que no. En los banners de cookies, eso excluye tres patrones habituales.
El primero es el muro de cookies. Las directrices del CEPD sobre el consentimiento consideran que condicionar el acceso a un sitio web a la aceptación de cookies no esenciales no da lugar a un consentimiento libre.
El segundo es la agrupación: un único interruptor que cubre a la vez la analítica, la publicidad y la personalización, o un consentimiento de cookies ligado a la aceptación de tus condiciones.
El tercero es la presión a través del diseño. Un llamativo botón “Aceptar todo” junto a un discreto enlace “Gestionar configuración”, o un camino para rechazar que exige varios clics más, empujan a las personas hacia el sí. Estos diseños se conocen como patrones oscuros (dark patterns), y nuestra guía sobre los patrones oscuros en los banners de cookies enumera los que más persiguen las autoridades.
¿Hasta qué punto debe ser específico e informado el consentimiento?
Lo bastante específico como para que los visitantes sepan exactamente a qué finalidades están dando su conformidad, y lo bastante informado como para que entiendan quién interviene y durante cuánto tiempo. Expresiones vagas como “para mejorar tu experiencia” no alcanzan el nivel exigido.
Como mínimo, indica quién eres, cada finalidad para la que pides consentimiento, las categorías de cookies implicadas, qué terceros reciben datos y que se puede retirar el consentimiento. En Planet49, el TJUE añadió que hay que informar a los usuarios de cuánto tiempo estarán activas las cookies y de si terceros pueden acceder a ellas.
Un enfoque por capas funciona bien. La primera capa resume las finalidades en un lenguaje sencillo junto a los botones de aceptar y rechazar, mientras que una segunda capa enumera cada cookie, su proveedor y su duración. Mantén esa segunda capa al día, porque una lista de proveedores desactualizada deja a los visitantes menos informados de lo que creen.
¿Qué cuenta como acción afirmativa inequívoca?
Un acto deliberado que solo puede significar sí, como hacer clic en un botón de aceptar o activar una finalidad y guardar. Todo lo que dependa del silencio, la inactividad o una configuración predeterminada no cumple.
| Acción del visitante | ¿Consentimiento válido? | Por qué |
|---|---|---|
| Hace clic en “Aceptar todo” en un banner claro | Sí | Acción deliberada e informada |
| Activa “Analítica” y guarda | Sí, solo para la analítica | Específico de la finalidad elegida |
| Deja marcada una casilla premarcada | No | Planet49: las casillas premarcadas no son consentimiento |
| Se desplaza por la página o sigue navegando | No | No es una acción afirmativa según las orientaciones del CEPD |
| Cierra el banner con el icono “X” | No | Descartar un aviso no equivale a aceptar |
| Acepta unas condiciones del servicio que mencionan las cookies | No | No es específico ni se distingue claramente |
Trata cualquier cosa que no sea un sí explícito como “aún sin elección” y mantén desactivadas las categorías no esenciales hasta que el visitante elija.
¿Cómo se demuestra el consentimiento y se gestiona su retirada?
El artículo 7, apartado 1, te atribuye la carga de la prueba, y el artículo 7, apartado 3, exige que retirar el consentimiento sea tan fácil como darlo. Ambas cosas deben diseñarse desde el principio, no añadirse después de una reclamación.
Un registro de consentimiento útil recoge un ID de consentimiento seudonimizado, la marca de tiempo, la elección para cada finalidad, la versión del banner y de la política que se mostró y el conjunto de reglas regionales aplicado. Evita almacenar más datos personales de los que exige esa prueba. Nuestra guía sobre los registros de prueba del consentimiento muestra cómo es un registro preparado para una auditoría.
Para la retirada, mantén un enlace permanente en el pie de página o un botón flotante que vuelva a abrir la configuración. Cuando alguien retire su consentimiento, detén de inmediato los scripts afectados, elimina las cookies no esenciales que hayas instalado cuando sea técnicamente posible y transmite la elección actualizada a cualquier proveedor que reciba señales de consentimiento.
En resumen
El consentimiento válido es un conjunto de condiciones que deben cumplirse todas a la vez: previo, libre, específico, informado, inequívoco, demostrable y reversible. Comprueba la lista en tu sitio real y no en tus maquetas de diseño, porque las carencias suelen aparecer en cómo se comportan realmente las etiquetas. Herramientas como Cookiesh pueden bloquear los scripts etiquetados hasta que haya consentimiento y conservar registros de consentimiento inmutables y encadenados mediante hash, lo que cubre la parte mecánica de esta lista.
Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.
Preguntas frecuentes
¿Puedo usar un muro de cookies que bloquee el contenido hasta que los visitantes acepten?
Por lo general, no, si aceptar es la única forma de entrar. El CEPD considera que el consentimiento no es libre cuando el acceso a un servicio depende de aceptar cookies no esenciales. Algunas autoridades nacionales han planteado alternativas limitadas, así que consulta antes las orientaciones locales.
¿Cada cuánto debo volver a pedir el consentimiento a los visitantes?
El RGPD no fija un intervalo único. Vuelve a preguntar cuando tus finalidades o tus proveedores cambien de forma significativa, y sigue las orientaciones de tu autoridad de control sobre cuánto tiempo recordar tanto la aceptación como el rechazo. Volver a preguntar en cada visita a quien ya rechazó puede parecer una forma de presión.
¿El consentimiento obtenido en un dominio cubre mis otros sitios web?
Solo si se informó claramente a los visitantes de qué sitios y finalidades cubre ese consentimiento. Como el consentimiento debe ser específico e informado, reutilizarlo sin avisar en dominios o marcas sin relación entre sí es arriesgado. Muchas organizaciones lo piden por separado en cada sitio.
¿Sigue siendo válido el consentimiento si mi lista de cookies cambia más adelante?
No automáticamente. Si añades proveedores o finalidades de los que nunca se informó al visitante, el consentimiento original no los cubre. Actualiza tu banner y vuelve a preguntar por las nuevas finalidades.
Fuentes
Equipo editorial de Cookiesh
Ingenieros de privacidad y especialistas en cumplimiento normativo que escriben guías prácticas sobre consentimiento, cookies y protección de datos para equipos de producto.
