Guía de cookies AEPD: obligaciones y cumplimiento
La Guía de cookies de la AEPD establece cuatro obligaciones que no admiten interpretación: consentimiento inequívoco antes de instalar cookies no necesarias, botón «Rechazar» visible en la primera capa, prohibición de dark patterns y registro demostrable del consentimiento. «Seguir navegando» no es una acción afirmativa válida según las directrices del EDPB, y el RGPD exige que el responsable pueda probar en todo momento que obtuvo el consentimiento.
Requisitos imprescindibles de un vistazo:
- Botón «Rechazar» en la primera capa con igual peso visual que «Aceptar».
- Acceso directo al panel de preferencias (capa 2) desde la primera capa.
- Cero cookies no necesarias antes de que el usuario haya decidido.
- Consentimiento granular por finalidad (analítica, publicidad, personalización).
- Registro del consentimiento: identificador, marca temporal, versión de política y selecciones.
- Prohibición absoluta de dark patterns: colores, tamaños o posiciones que induzcan al clic en «Aceptar».
La obligación central de la normativa de cookies en España es garantizar consentimiento inequívoco, granular y demostrable antes de instalar cualquier cookie no necesaria, con un botón «Rechazar» visible en la primera capa y registro centralizado de cada decisión del usuario.
| Punto | Detalles |
|---|---|
| Botón «Rechazar» obligatorio | Debe estar en la primera capa con el mismo peso visual que «Aceptar», sin excepción. |
| Cero cookies antes del consentimiento | Ningún script de terceros debe ejecutarse en la carga inicial hasta recibir la señal de aceptación. |
| Consentimiento granular en capa 2 | El usuario debe poder aceptar o rechazar cada finalidad de forma independiente. |
| Registro centralizado demostrable | Timestamp, versión de política y selecciones granulares deben sobrevivir al borrado de cookies del navegador. |
| LG DataOne | Automatiza la validación de Consent Mode, la auditoría de GTM y el registro exportable de consentimientos para requerimientos AEPD. |
👉 Si necesitas descargarte infografías sobre Guía de cookies AEPD, descuentos en cursos y herramientas y mucho más puedes hacerlo aquí: descargar infografías y recursos
Tabla de contenidos
- ¿Qué exige la guía de cookies de la AEPD a tu sitio web?
- Qué cambió en la guía y desde cuándo debes aplicarlo
- La primera capa del banner: qué debe incluir y qué está prohibido
- Cómo diseñar el panel de preferencias (capa 2) con consentimiento granular
- Qué cookies puedes activar sin consentimiento y cuáles no
- Cuándo son admisibles los muros de cookies y qué alternativa debes ofrecer
- Qué debes registrar para probar el consentimiento ante la AEPD
- Checklist técnico para GTM, Consent Mode y pruebas de rechazo
- Caso práctico: cómo automatizar la trazabilidad del consentimiento
- Sanciones, errores frecuentes y qué vigila la AEPD
- Por qué el cumplimiento de cookies afecta directamente a tus datos de analítica
- LG DataOne automatiza la trazabilidad y la auditoría del consentimiento
- Fuentes
- Preguntas frecuentes relacionadas con la guía de cookies AEPD
| Requisito | ¿Obligatorio? | Capa |
|---|---|---|
| Botón «Rechazar» visible | Sí | 1.ª capa |
| Botón «Aceptar» visible | Sí | 1.ª capa |
| Acceso al panel de preferencias | Sí | 1.ª capa |
| Consentimiento granular por finalidad | Sí | 2.ª capa |
| Registro con marca temporal | Sí | Backend |
| Bloqueo de cookies no necesarias antes del consentimiento | Sí | Técnico |
| Prohibición de dark patterns | Sí | Diseño |
La Guía de la AEPD no deja margen: el consentimiento debe ser una acción afirmativa clara. Ningún mecanismo pasivo, como cerrar el banner o continuar la navegación, cumple ese estándar. El checklist anterior cubre los puntos que cualquier responsable de cumplimiento debe verificar antes de una auditoría. Para el equipo técnico, la prioridad es garantizar que ningún script de terceros se ejecute antes de recibir la señal de aceptación. Para el equipo legal, la prioridad es que el registro de consentimientos sea exportable y vinculado a una versión de política.
Qué cambió en la guía y desde cuándo debes aplicarlo
La AEPD actualizó su Guía para alinearla con las directrices del CEPD/EDPB e introdujo plazos transitorios para que los sitios adaptasen sus banners. Los cambios más relevantes respecto a versiones anteriores son:
- Botón «Rechazar» obligatorio en la primera capa. Antes era suficiente con un enlace a la segunda capa; ahora el rechazo debe ser tan inmediato como la aceptación.
- Prohibición expresa de dark patterns. La guía incorpora los criterios del EDPB sobre patrones engañosos, incluyendo contraste de color, tamaño de botones y posicionamiento que favorezca el clic en «Aceptar».
- «Seguir navegando» queda descartado. La actualización recoge explícitamente que ninguna acción pasiva equivale a consentimiento, en línea con las directrices 05/2020 del EDPB.
- Granularidad obligatoria. El usuario debe poder aceptar o rechazar cada finalidad de forma independiente, no solo aceptar o rechazar todo el conjunto.
- Trazabilidad del consentimiento. El responsable debe poder demostrar, ante cualquier requerimiento, qué versión de política estaba vigente cuando el usuario consintió y qué finalidades seleccionó.
Los plazos transitorios ya han vencido para la mayoría de los sitios. Si tu banner no cumple estos cinco puntos, estás en situación de incumplimiento activo.
| Elemento | Válido | Inválido |
|---|---|---|
| Botón «Aceptar» | Color destacado, tamaño estándar | Único botón visible; «Rechazar» oculto |
| Botón «Rechazar» | Mismo tamaño y contraste que «Aceptar» | Texto gris claro, tamaño menor, solo enlace |
| Acceso a preferencias | Enlace o botón «Configurar» visible | Enterrado en política de privacidad |
| Texto informativo | Finalidades resumidas, enlace a política | Texto extenso que disuade de leer |
| Posición del banner | Centro o barra inferior con fondo opaco | Superpuesto que bloquea el contenido sin opción de rechazo |
La Guía de la AEPD prohíbe cualquier diseño que empuje al usuario hacia el consentimiento mediante diferencias visuales entre los botones de aceptar y rechazar. El EDPB ha documentado los patrones engañosos más habituales, entre ellos el uso de colores llamativos solo en «Aceptar», el texto ambiguo («Entendido», «De acuerdo») que no informa sobre el consentimiento, y la ausencia de opción de rechazo en la primera capa.
El texto mínimo de la primera capa debe incluir: qué tipos de cookies se usan, para qué finalidades y un enlace a la política completa. No es necesario listar cada proveedor en esta capa, pero sí en la segunda.
Consejo profesional: Antes de publicar el banner, captura una pantalla en modo incógnito y comprueba que los botones «Aceptar» y «Rechazar» tienen el mismo tamaño de fuente, el mismo peso visual y están a la misma distancia del borde del banner. Si hay cualquier diferencia apreciable, corrígela antes de desplegar.
Cómo diseñar el panel de preferencias (capa 2) con consentimiento granular
La segunda capa es donde el usuario ejerce su control real. La Guía exige granularidad: cada finalidad debe poder aceptarse o rechazarse de forma independiente, sin que rechazar una implique rechazar todas.
Estructura mínima del panel de preferencias:
- Finalidades separadas: analítica, publicidad comportamental, personalización de contenido y redes sociales deben aparecer como categorías independientes con su propio interruptor.
- Información por finalidad: descripción breve, lista de proveedores, duración de las cookies y base legal aplicable.
- Botón «Guardar preferencias» siempre visible, sin necesidad de desplazarse.
- Acceso permanente: un enlace en el pie de página o un icono flotante que permita al usuario modificar sus preferencias en cualquier momento.
La revocación del consentimiento debe ser tan sencilla como su prestación. Un usuario que aceptó en su primera visita debe poder revocar con los mismos pasos que usó para aceptar, sin barreras adicionales. Esto no es solo una buena práctica: la Guía lo exige expresamente.
Las cookies técnicas o estrictamente necesarias son las únicas que pueden activarse sin consentimiento previo. Esto incluye cookies de sesión para mantener el carrito de compra, cookies de autenticación, cookies de equilibrio de carga y aquellas que recuerdan la elección de idioma cuando esa elección la realiza el propio usuario. Cualquier cookie que genere un perfil de comportamiento, aunque sea agregado, requiere consentimiento.
La AEPD distingue entre cookies exentas y cookies sujetas a consentimiento. Las exentas son aquellas cuya única finalidad es facilitar la comunicación o prestar el servicio solicitado por el usuario. Una cookie que recuerda el idioma seleccionado por el usuario en esa misma sesión es exenta; una cookie que almacena ese dato para personalizar anuncios en futuras visitas no lo es.
El caso más frecuente de error es clasificar como «técnica» una cookie de analítica porque el proveedor la denomina así en su documentación. Google Analytics, por ejemplo, no es una cookie técnica: su finalidad es medir el comportamiento del usuario, lo que requiere consentimiento explícito. Para auditar y clasificar correctamente las cookies de tu sitio, herramientas como Cookiebot permiten escanear el dominio y generar un inventario con categorías, duración y proveedor de cada cookie detectada.
La posición de la AEPD y del CEPD es clara: un muro de cookies que condicione el acceso al servicio a la aceptación de cookies no necesarias solo es admisible si existe una alternativa genuinamente equivalente.
Requisitos que debe cumplir esa alternativa:
- Ofrecer el mismo servicio o contenido sin degradación funcional apreciable.
- Ser ofrecida por el mismo editor, no redirigir a un tercero.
- Tener un precio razonable si se trata de un modelo «aceptar o pagar», sin que el coste sea disuasorio.
- Estar documentada: el editor debe poder demostrar que la alternativa es real y accesible.
El modelo «aceptar o pagar» es admisible, pero solo si la versión sin cookies no está degradada. Un sitio de noticias que ofrece acceso completo sin cookies a cambio de una suscripción de precio razonable cumple el criterio. Un sitio que ofrece una versión sin cookies con la mitad del contenido bloqueado no lo cumple. Auditar que la alternativa no degrada funcionalidades es el paso que más equipos omiten al implementar este modelo.
Qué debes registrar para probar el consentimiento ante la AEPD
| Campo | Descripción | Retención recomendada |
|---|---|---|
| Identificador de sesión/usuario | Hash anónimo que vincula el consentimiento al dispositivo | Hasta revocación + 1 año |
| Marca temporal (timestamp) | Fecha y hora exacta del consentimiento en UTC | Hasta revocación + 1 año |
| Versión de la política | Número de versión del banner y política vigente en ese momento | Hasta revocación + 1 año |
| Finalidades aceptadas/rechazadas | Lista granular de categorías y estado (aceptado/rechazado) | Hasta revocación + 1 año |
| Proveedores habilitados | Identificadores de los terceros para los que se dio consentimiento | Hasta revocación + 1 año |
El RGPD establece que el responsable debe poder demostrar que obtuvo el consentimiento. Eso significa que el registro no puede depender de una cookie en el navegador del usuario: si el usuario borra sus cookies, el registro en el lado del servidor debe seguir siendo accesible. Los sistemas centralizados con exportación en CSV o JSON son la arquitectura más segura para responder a requerimientos de la AEPD en plazos cortos.
Cuando cambia la finalidad del tratamiento o se actualiza la política de cookies, el consentimiento anterior pierde validez para las nuevas finalidades. El sistema de registro debe detectar esa discrepancia de versión y volver a solicitar consentimiento al usuario en su próxima visita.
Checklist técnico para GTM, Consent Mode y pruebas de rechazo
Implementar el banner es solo la mitad del trabajo. La otra mitad es garantizar que los tags de Google Tag Manager no se disparan antes de recibir la señal de consentimiento.
- Bloquear tags por defecto. Configura GTM en modo de consentimiento denegado por defecto para todas las categorías no necesarias. Ningún tag de analítica, publicidad o remarketing debe ejecutarse hasta que el usuario acepte.
- Mapear finalidades a tags. Cada tag en GTM debe estar vinculado a la finalidad correspondiente en la plataforma de gestión del consentimiento (CMP). Analítica va a
analytics_storage; publicidad va aad_storageyad_user_data. - Configurar Consent Mode v2. La integración de Consent Mode v2 con tu CMP permite conservar métricas agregadas respetando la elección del usuario mediante modelado de conversiones.
- Prueba de rechazo completo. Rechaza todas las cookies en el banner y verifica en la pestaña «Red» del navegador que ninguna petición a dominios de terceros (Google Analytics, Meta Pixel, etc.) se realiza antes de la interacción.
- Prueba en móvil. Los banners con scroll o botones fuera de la pantalla inicial en dispositivos móviles son un patrón engañoso involuntario. Verifica en al menos tres resoluciones distintas.
- Prueba de regresión tras actualizaciones. Cada despliegue de GTM debe incluir una prueba de que el bloqueo de consentimiento sigue activo. Un contenedor publicado sin verificación puede romper la configuración de Consent Mode.
Consejo profesional: Usa el modo de vista previa de GTM con la extensión Tag Assistant para confirmar que los tags de analítica aparecen en estado «Consent Blocked» cuando el usuario rechaza. Si aparecen como «Fired», hay una ruptura en la configuración.
Caso práctico: cómo automatizar la trazabilidad del consentimiento
El reto más frecuente en implementaciones reales no es el banner en sí, sino la brecha entre lo que el banner registra y lo que el equipo legal puede exportar cuando llega un requerimiento de la AEPD.
En un proyecto típico de mediana empresa con tráfico mixto (web y app), los pasos que resuelven esa brecha son:
- Evento de consentimiento centralizado. Cada vez que el usuario interactúa con el banner (acepta, rechaza o modifica preferencias), se dispara un evento que escribe los campos de la tabla anterior en un almacén de datos centralizado, no en el localStorage del navegador.
- Versionado automático de la política. El sistema asigna un identificador de versión al banner en cada despliegue. Cuando se detecta una discrepancia entre la versión almacenada y la versión actual, se solicita nuevo consentimiento.
- Exportación bajo demanda. El equipo legal puede generar un informe filtrado por rango de fechas o por versión de política en menos de cinco minutos, sin depender del equipo técnico.
La mayor vulnerabilidad práctica no es el diseño del banner, sino la ausencia de un registro centralizado que sobreviva al borrado de cookies del usuario. Un sistema que solo almacena el consentimiento en el navegador no puede probar nada ante la AEPD.
Consejo profesional: Valida que Consent Mode no pierde métricas en rechazo revisando el informe de «Conversiones modeladas» en GA4. Si el porcentaje de conversiones modeladas es cero con un volumen de tráfico significativo, la integración CMP-Consent Mode tiene un fallo de configuración.
Sanciones, errores frecuentes y qué vigila la AEPD
La AEPD ha tramitado procedimientos sancionadores por incumplimientos de la normativa de cookies que siguen un patrón repetido. Los errores más frecuentes son:
- Ausencia del botón «Rechazar» en la primera capa. Es el incumplimiento más documentado y el primero que verifica cualquier inspección.
- Instalación de cookies no necesarias antes del consentimiento. Detectado mediante análisis de red en la carga inicial de la página.
- Dark patterns: botón «Rechazar» en gris claro, tamaño menor o posición secundaria respecto a «Aceptar».
- Falta de trazabilidad. El responsable no puede demostrar cuándo ni bajo qué versión de política consintió el usuario.
- Consentimiento no granular. Un único interruptor «Aceptar todo» sin opción de selección por finalidad.
Las infracciones de la LSSI tienen su propio régimen sancionador con tramos menores, pero la AEPD puede aplicar ambos marcos de forma simultánea cuando la conducta afecta a ambas normas.
Antes de cualquier auditoría, verifica estos tres puntos: el botón «Rechazar» está en la primera capa con igual visibilidad, ninguna cookie no necesaria se instala en la carga inicial y el sistema de registro puede exportar consentimientos con marca temporal y versión de política.
El argumento legal para cumplir la normativa de cookies es evidente. Pero hay un argumento de negocio que se subestima con frecuencia: un banner mal configurado destruye la fiabilidad de tus datos de analítica.
Cuando las cookies de analítica se instalan antes del consentimiento, los datos recogidos son ilegales y, por tanto, no pueden usarse para tomar decisiones. El resultado es una analítica con sesgo sistemático: solo ves a los usuarios que aceptan, que no son representativos del conjunto.
Integrar privacidad y medición no es una concesión al departamento legal. Es la única forma de tener datos en los que confiar. Un responsable de producto que trabaja con datos sesgados toma decisiones equivocadas con total convicción, que es peor que no tener datos. El coste real del incumplimiento no es solo la sanción: es la pérdida de visibilidad operativa durante meses o años antes de que alguien detecte el problema.
LG DataOne automatiza la trazabilidad y la auditoría del consentimiento
Cumplir la normativa de cookies requiere tres cosas que rara vez están alineadas: un banner correcto, una integración técnica sin fisuras con GTM y Consent Mode, y un registro de consentimientos exportable para auditorías. LG DataOne resuelve los tres desde una sola plataforma.
La plataforma valida automáticamente la configuración de GA4, Google Tag Manager y Consent Mode, detecta rupturas en el bloqueo de tags y genera alertas cuando una actualización del contenedor rompe la configuración de consentimiento. El módulo de trazabilidad registra cada consentimiento con marca temporal, versión de política y selecciones granulares, y permite exportar el informe en formato listo para requerimientos de la AEPD. Para equipos que gestionan múltiples dominios, las auditorías automáticas periódicas eliminan el trabajo manual de verificación.
Prueba LG DataOne sin coste durante 14 días en Lgdataone y comprueba en minutos si tu implementación actual tiene lagunas de trazabilidad o rupturas en Consent Mode.
Este artículo es información general y no sustituye el consejo de un abogado cualificado. Consulte a un profesional del derecho cualificado sobre su caso particular antes de actuar según este contenido.
No. La Guía de la AEPD y las directrices 05/2020 del EDPB establecen que el consentimiento debe ser una acción afirmativa clara. Continuar navegando es una acción pasiva y no cumple ese requisito.
Solo las cookies técnicas o estrictamente necesarias: cookies de sesión, autenticación, carrito de compra y equilibrio de carga. Las cookies de analítica, publicidad y personalización requieren siempre consentimiento previo.
¿Cuánto tiempo debo conservar el registro del consentimiento?
La práctica recomendada es conservar el registro hasta la revocación del consentimiento más un año adicional, para poder responder a requerimientos de la AEPD dentro del plazo de prescripción aplicable.
Solo si se ofrece una alternativa genuinamente equivalente sin degradación funcional. El modelo «aceptar o pagar» es admisible cuando el precio es razonable y la versión sin cookies ofrece el mismo servicio esencial.
Debes solicitar nuevo consentimiento a los usuarios que consintieron bajo la versión anterior, ya que el consentimiento previo no cubre las nuevas finalidades o condiciones introducidas en la actualización.