Consentimiento de cookies conforme al RGPD, resuelto antes de que se active la primera etiqueta

¿Qué leyes regulan las cookies en la UE?

Dos normas funcionan de forma conjunta. El artículo 5, apartado 3, de la Directiva ePrivacy determina cuándo necesitas consentimiento: para almacenar o leer cualquier información en el dispositivo de un visitante, salvo que sea estrictamente necesario para un servicio que el visitante haya pedido. El RGPD determina cómo debe ser un consentimiento válido: libre, específico, informado e inequívoco, y otorgado mediante una acción afirmativa clara.

Cada país de la UE incorpora la Directiva ePrivacy a su propia legislación, y su autoridad de protección de datos vela por su cumplimiento. Por eso las orientaciones difieren en los detalles, como si se exime cierta medición de audiencia, mientras que la regla básica es la misma en todas partes: nada de cookies no esenciales antes del opt-in.

¿Qué han añadido los tribunales y los reguladores?

En el asunto Planet49 (2019), el Tribunal de Justicia de la UE dictaminó que una casilla premarcada no es un consentimiento válido y que la norma abarca toda la información almacenada en un dispositivo, sean datos personales o no. Las directrices sobre el consentimiento del Comité Europeo de Protección de Datos añaden que desplazarse por la página o seguir navegando no es consentimiento, y que retirarlo debe ser tan fácil como darlo.

Desde entonces, los reguladores se han centrado en el diseño de los banners. Varios han multado a empresas por esconder la opción de rechazo tras un segundo clic, y por eso los banners opt-in de Cookiesh siempre muestran Rechazar todas en la primera capa.

¿Y el Reino Unido y Suiza?

El Reino Unido aplica el mismo modelo a través del RGPD del Reino Unido y de las Privacy and Electronic Communications Regulations (PECR). La Data (Use and Access) Act 2025 flexibiliza el consentimiento para algunas finalidades de bajo riesgo, como determinada analítica, siempre que se informe a los visitantes y puedan oponerse. La ley suiza de protección de datos revisada no exige opt-in para todas las cookies, pero muchos sitios suizos siguen la práctica de la UE porque también atienden a visitantes de la UE. Las reglas por defecto de Cookiesh tratan ambos países como la UE, y puedes cambiarlo región por región.