Guía de cookies de la AEPD: qué exige a tu banner

¿Qué exige la guía de cookies de la AEPD?

La guía de cookies de la AEPD exige que tu web informe con claridad, que no use cookies no necesarias antes del consentimiento y que rechazar sea tan fácil como aceptar, con ambas opciones en la misma capa y al mismo nivel. La «Guía sobre el uso de las cookies» de la Agencia Española de Protección de Datos explica cómo cumplir el artículo 22.2 de la Ley 34/2002 de servicios de la sociedad de la información (LSSI), junto con el RGPD y la Ley Orgánica 3/2018 (LOPDGDD). La AEPD la actualizó en julio de 2023 para adaptarla a las directrices del Comité Europeo de Protección de Datos (CEPD) sobre patrones engañosos, con un plazo de adaptación que terminó el 11 de enero de 2024, y la revisa de forma periódica.

Para quien gestiona una web de empresa o una tienda online, la guía es la referencia práctica más importante en España: dice qué tiene que aparecer en el banner, qué cuenta como consentimiento y qué no. A continuación tienes los puntos que más afectan a la medición con Google Analytics 4 (GA4), Google Ads y Meta, y una forma sencilla de comprobar tu web. Este artículo no es asesoramiento jurídico.

¿Qué debe mostrar la primera capa del banner?

La primera capa es el banner que aparece al entrar en la web. La guía permite informar por capas: lo esencial en la primera y el detalle en una segunda capa, normalmente la política de cookies. Según la AEPD, la primera capa debe incluir como mínimo la siguiente información:

• Quién es el editor responsable de la web, salvo que se deduzca claramente del dominio o de la marca.
• Para qué finalidades se usan las cookies, por ejemplo análisis o publicidad comportamental.
• Si las cookies son propias o también de terceros, sin necesidad de nombrarlos aquí.
• Qué tipo de datos se recogen si se elaboran perfiles.
• Cómo aceptar, configurar y rechazar las cookies, y un enlace claro a la segunda capa.

El panel de configuración puede estar en la segunda capa, pero el acceso tiene que ser directo: el usuario no debe buscarlo dentro de un texto largo. Un botón «Configurar» en la primera capa que abre el panel cumple esta idea. Un enlace que lleva a una página de diez pantallas, donde el panel aparece al final, no la cumple.

→ Banner de cookies con Consent Mode v2: conforme y sin cuota mensual

¿Por qué rechazar debe estar al mismo nivel que aceptar?

La guía de la AEPD indica que la opción de rechazar las cookies debe ofrecerse en la misma capa y al mismo nivel que la de aceptarlas, y que el mecanismo debe ser similar. Si aceptar es un botón, rechazar también debe serlo. Este es el punto que más webs incumplen: un botón de aceptar grande y de color, y al lado un enlace gris de «Más opciones». El CEPD también analizó estas prácticas en el informe de su grupo de trabajo sobre banners de cookies, publicado en enero de 2023.

La guía también aclara qué no es consentimiento. Seguir navegando no es una forma válida de aceptar. Tampoco cuenta consultar la segunda capa ni moverse por el panel de configuración. Las casillas premarcadas para cookies no necesarias tampoco sirven, porque el consentimiento exige una acción clara del usuario. Además, la información sobre cookies debe estar separada de otros asuntos y la aceptación de las condiciones de uso no puede mezclarse con la aceptación de cookies.

¿Cuánto dura el consentimiento y cómo se retira?

La AEPD considera buena práctica que el consentimiento para una cookie no dure más de 24 meses y que durante ese tiempo se respete la elección del usuario, sin volver a preguntarle en cada visita. Si cambian las finalidades o los terceros que usan cookies, debes actualizar la política de cookies y pedir una nueva decisión.

Retirar el consentimiento tiene que ser tan fácil como darlo. La guía pone como ejemplo un acceso sencillo y permanente al panel de configuración, por ejemplo un enlace fijo en el pie de página o un pequeño icono flotante. Quien aceptó con un clic debe poder retirar su consentimiento también con pocos clics, sin escribir un correo ni borrar cookies a mano.

→ Configurar Google Consent Mode v2 correctamente: sin advertencias en Tag Assistant

Muros de cookies y cookies exceptuadas

Los muros de cookies que bloquean el acceso sin ofrecer una alternativa no están permitidos. La guía admite que, en algunos casos, no aceptar cookies impida el acceso, siempre que se informe bien al usuario y se ofrezca una alternativa real de acceso, que no tiene por qué ser gratuita. Para una web de empresa o una tienda online esto casi nunca es relevante: lo normal es que la web funcione igual si el visitante rechaza.

No todas las cookies necesitan consentimiento. Quedan exceptuadas las que solo permiten la comunicación en la red y las estrictamente necesarias para un servicio que el usuario ha pedido expresamente, como la cesta de la compra, el inicio de sesión o la seguridad. Las cookies de análisis y las de publicidad no están exentas. La tabla resume los requisitos y cómo comprobarlos.

Cómo comprobar tu web con la guía de cookies de la AEPD

Puedes hacer una primera comprobación en diez minutos con el navegador. Abre tu web en una ventana privada, abre las herramientas de desarrollo y sigue estos pasos:

• Sin tocar el banner, revisa en la pestaña Aplicación qué cookies hay. Cookies como _ga, _gcl_au o _fbp no deberían aparecer.
• En la pestaña Red, busca peticiones a google-analytics.com, googleadservices.com o facebook.com antes de decidir.
• Pulsa rechazar y navega por dos o tres páginas. No deberían aparecer cookies de análisis ni de publicidad.
• Borra los datos, vuelve a entrar, acepta y comprueba que ahora sí se cargan las etiquetas.
• Busca el enlace permanente para cambiar la elección y prueba que funciona.

Si usas Google Tag Manager, el modo de vista previa muestra qué etiquetas se activan antes y después del consentimiento. Es la forma más rápida de ver si una etiqueta de Meta o de Google Ads se ha quedado fuera de las reglas de consentimiento.

¿Cómo encaja Google Consent Mode v2 con la guía?

Google Consent Mode v2 es el mecanismo con el que el banner comunica a las etiquetas de Google la decisión del usuario mediante señales como ad_storage, analytics_storage, ad_user_data y ad_personalization. No sustituye al banner ni al consentimiento: solo hace que las etiquetas de Google respeten la elección. En el modo básico, las etiquetas de Google no se cargan hasta que el usuario acepta. En el modo avanzado se cargan antes y, sin consentimiento, envían pings sin cookies. Para cumplir la guía, lo importante es que ninguna cookie no exceptuada se use antes de aceptar y que el rechazo se respete en todas las etiquetas, también las de Meta, LinkedIn o TikTok, que no entienden Consent Mode por sí solas.

Ejemplo práctico: una tienda online de Valencia

Una tienda de cerámica de Valencia vende con WooCommerce y anuncia en Google Ads y Meta. Su banner tenía un botón «Aceptar» y un enlace «Configurar». Al revisarlo vieron dos problemas: el rechazo no estaba al mismo nivel y el píxel de Meta se cargaba antes de cualquier decisión porque estaba pegado en el tema. La solución fue añadir un botón «Rechazar» igual que el de aceptar, mover el píxel a Google Tag Manager con la condición de consentimiento y probar los tres casos: sin respuesta, rechazar y aceptar.

Si quieres saber dónde está tu web, el check gratuito de Trackum (trackum.app/check) abre tu página en un navegador real tres veces, sin responder al banner, rechazando y aceptando, y muestra qué etiquetas y cookies se cargan en cada caso. Es gratis, sin registro y tarda unos dos minutos. Si aparecen fallos, la reparación cuesta 79 € (IVA no incluido) en tu Google Tag Manager, probada y con un breve informe. El banner de Trackum ofrece rechazar en la primera capa con el mismo peso que aceptar, es compatible con Consent Mode v2 y guarda los registros de consentimiento en la UE sin dirección IP.