Ley de cookies en España: LSSI, RGPD y qué exige a tu web

¿Qué dice la ley de cookies en España?

La ley de cookies en España es el artículo 22.2 de la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico (LSSI): solo puedes guardar o leer información en el dispositivo del visitante si este ha dado su consentimiento después de recibir información clara y completa sobre el uso y sus fines. La excepción son las cookies técnicas necesarias para la comunicación o para un servicio que el usuario ha pedido expresamente. La regla procede de la Directiva europea 2002/58/CE, conocida como directiva ePrivacy, y por eso se parece mucho a las normas de Francia, Italia o Alemania.

Para quien mide una web con Google Analytics 4 (GA4), anuncia en Google Ads o usa el píxel de Meta, la consecuencia práctica es sencilla: esas herramientas solo deben usar cookies después de que el visitante acepte. En este artículo verás qué normas se aplican, qué cookies son obligatorias y cuáles opcionales, y cómo se traduce esto en Google Tag Manager. Este artículo no es asesoramiento jurídico.

LSSI, RGPD y LOPDGDD: qué norma regula qué

La LSSI es la norma especial para las cookies: decide cuándo hace falta consentimiento para acceder al dispositivo. El Reglamento General de Protección de Datos (RGPD), aplicable desde el 25 de mayo de 2018, define cómo debe ser ese consentimiento: libre, específico, informado e inequívoco. La Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD), aplicable desde el 7 de diciembre de 2018, completa el RGPD en España. El texto del artículo 22.2 todavía remite a la antigua Ley Orgánica 15/1999, pero la AEPD aclara en su guía que esa remisión se entiende hecha hoy al RGPD y a la LOPDGDD.

La ley no se limita a las cookies clásicas. La guía de la AEPD incluye cualquier dispositivo de almacenamiento y recuperación de datos: local storage, web beacons o píxeles invisibles y también las técnicas de fingerprinting, que identifican un dispositivo por sus características. Un píxel de seguimiento sin cookie no escapa, por tanto, de la obligación.

→ Banner de cookies con Consent Mode v2: conforme y sin cuota mensual

Cookies obligatorias y opcionales: ¿cuáles necesitan consentimiento?

La ley distingue entre cookies exceptuadas, que puedes usar sin consentimiento, y todas las demás. Están exceptuadas las que solo permiten la comunicación en la red y las estrictamente necesarias para un servicio que el usuario ha pedido. Siguiendo el Dictamen 4/2012 del antiguo Grupo de Trabajo del Artículo 29, la AEPD cita como ejemplos:

• Cookies de entrada del usuario, como la cesta de la compra o un formulario de varias páginas.
• Cookies de autenticación de sesión, mientras el usuario tiene la sesión iniciada.
• Cookies de seguridad, por ejemplo para detectar intentos repetidos de acceso.
• Cookies de sesión de un reproductor multimedia y de equilibrio de carga.
• Cookies de personalización de la interfaz, como el idioma elegido.

Todo lo demás necesita consentimiento: cookies de análisis, de publicidad comportamental, de remarketing y de redes sociales, sean propias o de terceros, de sesión o persistentes. Si una cookie se usa para varias finalidades y alguna de ellas no está exceptuada, necesita consentimiento. Por eso conviene usar una cookie distinta para cada finalidad: así el banner puede respetar elecciones parciales.

¿Quién vigila la ley de cookies y qué puede pasar?

La Agencia Española de Protección de Datos (AEPD) es la autoridad competente. El artículo 43 de la LSSI le atribuye la potestad sancionadora para varias infracciones de la propia LSSI, entre ellas las que tienen que ver con el uso de cookies sin información o sin consentimiento. La AEPD actúa normalmente a partir de reclamaciones de usuarios, pero también puede investigar por su cuenta.

Además de las sanciones, una mala configuración tiene un coste técnico. Si los datos de GA4 o las conversiones de Google Ads se recogen sin consentimiento válido, tienes que corregir la configuración y, a veces, explicar por qué las cifras cambian de golpe. Por eso conviene revisar el banner y las etiquetas a la vez, no por separado.

→ Configurar Google Consent Mode v2 correctamente: sin advertencias en Tag Assistant

¿Qué significa la ley de cookies para Google Analytics, Google Ads y Meta?

En la práctica, la ley de cookies se traduce en tres reglas para tu Google Tag Manager. Primera: ninguna etiqueta que ponga o lea cookies de análisis o publicidad se activa antes de la decisión del visitante. Segunda: si el visitante rechaza, esas etiquetas siguen sin activarse en las páginas siguientes. Tercera: si acepta, se cargan de inmediato, sin esperar a un nuevo clic, para no perder la primera página vista ni la conversión.

Google Consent Mode v2 ayuda con las etiquetas de Google, porque les comunica la decisión mediante señales como analytics_storage y ad_storage. Las etiquetas de Meta, LinkedIn, TikTok o Microsoft necesitan sus propias reglas de consentimiento en Google Tag Manager. Un error típico es configurar bien GA4 y olvidar el píxel de Meta, que se queda pegado en el tema o en un plugin y se carga siempre.

Ejemplo: una asesoría de Madrid con formulario de contacto

Una asesoría fiscal de Madrid mide su web con GA4 y anuncia en Google Ads para conseguir solicitudes de contacto. Su banner funcionaba, pero la etiqueta de conversión de Google Ads estaba instalada dos veces: una en Google Tag Manager con consentimiento y otra mediante un plugin de WordPress sin ninguna condición. Resultado: cookies de publicidad antes de aceptar y conversiones duplicadas. La solución fue quitar el plugin, dejar una sola etiqueta en Google Tag Manager y comprobar con el modo de vista previa que nada se activa antes de aceptar.

Para ver qué carga tu web en cada caso, el check gratuito de Trackum (trackum.app/check) abre la página tres veces en un navegador real, sin responder al banner, rechazando y aceptando, y lista las etiquetas y cookies de cada visita. Si aparecen fallos, Trackum los corrige en tu Google Tag Manager por 79 € (IVA no incluido), con pruebas y un breve informe.