Cookies y consentimiento en España: guía AEPD para pymes

Una tienda online pequeña de Bilbao contrata una campaña y la agencia le pide que instale el píxel. Lo instalan. Semanas después, alguien abre la web en incógnito, rechaza las cookies y mira las peticiones del navegador: el píxel había disparado antes de que la persona tocara nada. El banner estaba puesto, el plugin instalado, la política publicada. Y aun así el consentimiento no servía, porque lo que había que consentir ya había ocurrido.

Es el patrón que más se repite en webs de pyme. No es mala fe: el banner se instala como un adorno y nadie comprueba lo único que importa, qué se carga y en qué momento.

Esto es orientación general para revisar tu caso con criterio. Si tu web maneja publicidad comportamental, datos de menores o varios dominios, valídalo con una asesoría legal antes de tocar nada.

Resumen

La regla que resuelve casi todos los casos cabe en una frase: antes de que la persona diga que sí, en su navegador no puede haber pasado nada que no fuera estrictamente necesario para darle el servicio. Lo demás son consecuencias. Aceptar y rechazar están al mismo nivel porque si no, el sí no es libre. La granularidad por finalidad existe porque consentir la analítica no es consentir la publicidad. Y la política tiene que decir la verdad sobre las herramientas que hay hoy, no las que había cuando se copió la plantilla.

Lo que pide la AEPD, en cuatro reglas

La Agencia Española de Protección de Datos mantiene una Guía sobre el uso de las cookies que es el documento de referencia en España. Su última actualización relevante llegó en julio de 2023 para incorporar las Directrices 03/2022 del Comité Europeo de Protección de Datos sobre patrones engañosos, y la propia Agencia fijó que los nuevos criterios debían implementarse a más tardar el 11 de enero de 2024 (nota oficial). En 2026 ya no es un plazo por venir.

1. Aceptar y rechazar, al mismo nivel. La AEPD recoge el criterio del Comité europeo: ambas acciones deben presentarse en lugar y formato destacados, al mismo nivel, sin que resulte más complicado rechazar que aceptar, y la guía entra en detalle sobre color, tamaño y posición. Un botón azul grande de “Aceptar” junto a un texto gris pequeño de “Más opciones” no cumple esa descripción.

2. Nada se carga antes del consentimiento. El artículo 22.2 de la Ley 34/2002 permite usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario a condición de que haya consentido tras recibir información clara y completa sobre su uso, y salva el acceso de índole técnica estrictamente necesario para prestar el servicio. Ahí está la línea, y es técnica, no de diseño.

3. Granularidad por finalidad. Analítica, publicidad y personalización no necesaria son finalidades distintas y el usuario debe poder decidir sobre cada una. Agruparlo todo bajo “mejorar tu experiencia” no informa de nada. Y las casillas de categorías no necesarias no vienen premarcadas.

4. Muros de cookies, con matices. La guía ya precisaba que el acceso al servicio no puede condicionarse en general a que el usuario consienta, y que si la no aceptación impide el acceso debe informarse y ofrecerse una alternativa. La actualización de 2023 aclaró que esa alternativa no tiene por qué ser gratuita. Terreno delicado: si piensas montar un muro, esa conversación es con un abogado, no con tu desarrollador.

Un apunte que sorprende: la AEPD también aclaró que las cookies de personalización elegidas por el propio usuario, como el idioma o la moneda, son técnicas y no requieren consentimiento, siempre que no se usen para otras finalidades. Si es el editor quien decide a partir de información que obtiene del usuario, debe informar y ofrecer de forma destacada la opción de aceptarlas o rechazarlas.

Los errores que se ven en cualquier web de pyme

Lo que se ve	Por qué falla
”Aceptar” en botón de color y “Configurar” en texto gris	rechazar cuesta más que aceptar, el patrón que la guía pide evitar
Analítica cargada al abrir la página	el consentimiento llega después de lo que tenía que consentir
Una sola casilla para todo	no permite decidir por finalidad
Casillas de analítica y publicidad ya marcadas	no hay acción afirmativa del usuario
Cerrar el banner con la X y seguir navegando con todo activado	cerrar no es aceptar
Política copiada de otra web	menciona herramientas que no usas y omite las que sí
Sin forma de cambiar de opinión	el consentimiento debe poder retirarse tan fácil como se dio
Chat, mapa o vídeo embebido cargando de entrada	los terceros embebidos son el punto ciego más común

El último es el que más aparece en revisiones reales. Alguien incrusta un vídeo en la página de servicios o un mapa en la de contacto, y ese embebido carga cosas antes de que nadie haya consentido. El banner de la home no lo sabe.

Comprueba tu banner en cinco minutos

No hacen falta herramientas de pago ni conocimientos técnicos: basta una ventana de incógnito y las herramientas de desarrollador del navegador, que se abren con F12.

1. Abre tu web en incógnito y, antes de tocar el banner, ve a la pestaña Red de las herramientas de desarrollador y recarga. Mira si aparecen peticiones a dominios de analítica o publicidad. Si las hay, ya tienes el hallazgo principal.
2. Mira el banner sin leerlo. Entrecierra los ojos y quédate con las formas y los colores. ¿Los dos botones tienen el mismo peso visual? Si tu ojo va directo a uno, la respuesta es no.
3. Pulsa rechazar y vuelve a mirar la pestaña Red y la de cookies dentro de Aplicación. Debería quedar poca cosa y toda explicable.
4. Busca cómo cambiar de opinión. Si no encuentras el enlace para revisar tus preferencias en menos de treinta segundos, tus usuarios tampoco.
5. Abre tu política de cookies y compárala con la realidad. Cada herramienta que has visto en la pestaña Red tiene que estar nombrada ahí, con su finalidad. Y cada herramienta nombrada ahí tiene que seguir existiendo.

Anota lo que encuentres con fecha, quién revisó, qué herramientas había y qué se cambió. Esa nota evita empezar de cero la próxima vez que alguien instale un script “solo para probar”.

Si en esa prueba aparecen cargas antes del consentimiento y no sabes de dónde salen, podemos revisar contigo qué carga tu web y en qué orden y dejarte por escrito qué corregir primero y qué llevar a tu abogado.

Analítica y píxeles: qué pasa cuando la gente rechaza

Conviene decirlo porque nadie lo dice: si tu banner está bien hecho, vas a medir menos. Una parte de tus visitantes rechazará y esas visitas no aparecerán en la analítica. Los números de antes y después no son comparables, y no es que la web haya perdido tráfico. Qué hacer con eso, sin cruzar líneas:

• Asumir la brecha y no maquillarla. Compara periodos con el mismo régimen de consentimiento, no con el anterior.
• Vigilar la tasa de aceptación como un dato más. Si es sospechosamente alta, casi siempre significa que el banner empuja, no que gustes mucho.
• Apoyarte en datos que no dependen de cookies. Formularios enviados, llamadas, presupuestos pedidos, ventas cerradas. Son los que de verdad usas para decidir.
• Revisar el consentimiento cada vez que entra una herramienta nueva. Es una comprobación de dos minutos que se salta siempre.

Y no mezcles asuntos: el consentimiento de cookies no te sirve para mandar correos comerciales. Eso tiene sus propias reglas y lo tratamos en RGPD y email marketing. Si quieres ver el conjunto, cookies incluidas, junto con formularios, proveedores y política de privacidad, la checklist de auditoría RGPD de una web recorre todos los frentes.

Cuándo esto deja de ser un trabajo de tarde

Pide apoyo legal o técnico si usas publicidad comportamental, si combinas varias herramientas de terceros, si hay datos de menores de por medio, si el banner lo lleva un proveedor externo que no te explica qué bloquea, si tienes varios dominios, o si en la prueba de cinco minutos no logras saber de dónde sale una petición.

Y revisa siempre después de cambiar de gestor de contenidos, implantar una analítica nueva o lanzar campañas: son los tres momentos en que el consentimiento se rompe sin que nadie se entere.

Preguntas frecuentes

¿Basta con instalar un plugin de cookies?

No, porque un plugin solo gestiona la capa visible. Si los scripts de analítica o publicidad están en la plantilla o en un gestor de etiquetas que dispara al cargar, el banner aparece encima de algo que ya ocurrió. Hay que comprobar si el plugin bloquea de verdad esos scripts hasta el consentimiento, y eso se ve en la pestaña Red del navegador, no en su configuración.

¿Puedo dar por consentido a quien sigue navegando?

Seguir navegando no es una acción afirmativa clara: hoy el consentimiento se manifiesta con una acción inequívoca del usuario, y textos del tipo “si continúas navegando aceptas nuestras cookies” pertenecen a una etapa anterior. Lo mismo pasa con cerrar el banner desde la X, que no equivale a aceptar. Si tu web todavía usa esas fórmulas, es de las primeras cosas que conviene cambiar.

¿Qué pasa con los vídeos y mapas incrustados?

Son los que más se olvidan. Un vídeo o un mapa embebido pueden instalar cookies de terceros en cuanto carga la página, aunque tu banner no sepa nada de ellos. La solución habitual es cargarlos solo tras el consentimiento, mostrando mientras tanto una imagen de sustitución con un aviso de que al reproducir se aceptan cookies del proveedor.

Siguiente paso

Un sistema de cookies bien hecho no es solo cumplir. Es la primera prueba de honestidad que tu web le da a alguien que acaba de llegar: si el primer diálogo que le ofreces está diseñado para empujarle, le has contado algo sobre cómo trabajas antes de que lea nada.

Si quieres revisar banner, política y carga técnica antes de invertir en campañas, cuéntanos cómo está montada tu web hoy: te damos una primera lectura sin compromiso de qué corregir y en qué orden.