Respuesta corta: en España la llamada ley de cookies es el artículo 22.2 de la LSSI, que se aplica junto al RGPD, y la AEPD explica cómo aplicarlos en su Guía sobre el uso de las cookies. Lo esencial: las cookies que no son técnicas (analítica, publicidad) no se pueden instalar hasta que el visitante acepte; rechazar debe ser tan fácil como aceptar; y hay que informar con claridad y permitir cambiar de opinión. Compruébalo abriendo tu web en una ventana privada sin tocar el banner: si ya hay cookies de Google Analytics o del píxel de Meta, tienes un problema.
Antes de seguir: esta guía explica la parte técnica (cómo funcionan las cookies, cómo ver qué carga tu web y cómo arreglarlo). No es asesoramiento legal. Para decidir cómo se aplica la normativa a tu caso, consulta con tu asesor o tu delegado de protección de datos.
Qué dice la ley de cookies y quién vigila
Tres piezas que conviene tener claras:
- La LSSI (Ley 34/2002, de servicios de la sociedad de la información), artículo 22.2. Es lo que se conoce como ley de cookies: exige el consentimiento informado para guardar o leer información en el dispositivo del usuario, que es lo que hacen las cookies y tecnologías parecidas (almacenamiento local, píxeles, huellas del navegador).
- El RGPD, que define cómo tiene que ser ese consentimiento: libre, específico, informado e inequívoco, mediante una acción clara. Y que se aplica a los datos personales que se recogen con esas cookies.
- La AEPD (Agencia Española de Protección de Datos), que es la autoridad que supervisa el cumplimiento en materia de cookies y que publica la Guía sobre el uso de las cookies. La guía se actualizó en 2023 para alinearse con los criterios del Comité Europeo de Protección de Datos. Puedes encontrarla en la web de la AEPD, aepd.es.
La guía no es una ley, pero es la referencia que usa la AEPD para interpretar la norma. Si tu web la sigue, vas por buen camino.
Qué cookies necesitan consentimiento
La pregunta clave no es dónde se guarda la cookie ni quién la crea, sino para qué sirve.
| Tipo | Ejemplos | ¿Necesita consentimiento? |
|---|---|---|
| Técnicas o estrictamente necesarias | Sesión de usuario, carrito de WooCommerce, seguridad, equilibrio de carga, la cookie que guarda la elección del banner | No, están exentas |
| De preferencias pedidas por el usuario | Idioma o moneda que el visitante ha elegido | Normalmente exentas, si las pide el usuario |
| De analítica o medición | Google Analytics (_ga, _ga_*), Hotjar, Clarity | Con carácter general, sí |
| De publicidad o comportamentales | Píxel de Meta (_fbp), Google Ads (_gcl_au), TikTok, LinkedIn | Sí |
| De contenido de terceros | Vídeos de YouTube incrustados, mapas de Google Maps, widgets sociales | Sí, cuando el tercero las usa para sus fines |
Sobre la analítica hay matices: la guía de la AEPD contempla situaciones concretas de medición propia y muy limitada que podrían tratarse de otra forma. Si te interesa esa vía, revísala con tu asesor. Para Google Analytics, Hotjar o Clarity tal y como se instalan habitualmente, cuenta con que hace falta consentimiento.
Lo que se revisa en un banner de cookies
Estos son los puntos que, según la guía de la AEPD, tiene que cumplir el aviso. Son también los que más fallan en las webs que revisamos.
1. Consentimiento previo
Las cookies que lo necesitan no se instalan, ni se leen, ni se envían datos con ellas, hasta que el visitante acepta. Es el fallo más común y el más fácil de comprobar desde fuera: está en nuestra guía de Google Analytics antes de aceptar y en la del píxel de Meta sin consentimiento.
2. Aceptar y rechazar al mismo nivel
Desde la actualización de 2023, la guía pide que en la primera capa del aviso haya una opción para rechazar con la misma facilidad que para aceptar. Un botón «Aceptar» grande y un enlace «Configurar» escondido que obliga a desmarcar casillas una a una no cumple ese criterio. Lo práctico es tener «Aceptar», «Rechazar» y «Configurar» visibles y con el mismo peso.
3. Seguir navegando no es aceptar
Hacer scroll, cerrar el aviso o seguir navegando no vale como consentimiento. Tiene que haber una acción clara, como pulsar «Aceptar».
4. Nada marcado de antemano
En el panel de configuración, las categorías que necesitan consentimiento deben estar desactivadas por defecto.
5. Información clara en la primera capa
El aviso debe explicar de forma resumida para qué se usan las cookies, si hay terceros y enlazar a la política de cookies, donde se detalla cada cookie, quién la pone, para qué y cuánto dura.
6. Retirar el consentimiento cuando quiera
El visitante tiene que poder cambiar de opinión de forma sencilla y en cualquier momento, por ejemplo con un enlace permanente en el pie o un icono flotante que reabra el panel. Y al retirarlo, las cookies tienen que dejar de usarse.
7. No eternizar el consentimiento
La guía recomienda volver a pedir el consentimiento pasado un tiempo razonable; menciona como referencia un máximo de 24 meses.
8. Muros de cookies
Impedir el acceso a la web si no se aceptan las cookies tiene condiciones muy concretas. Si te lo planteas, consúltalo antes con tu asesor.
Cómo saber si tu web cumple (la parte técnica)
No hace falta ninguna herramienta de pago para hacer una primera revisión. Necesitas Chrome o Firefox y diez minutos.
Prueba 1: sin tocar el banner
- Abre una ventana privada y las herramientas de desarrollo (F12).
- Entra en la portada y no toques el aviso de cookies.
- Mueve el ratón y haz scroll: algunos scripts esperan a que haya actividad.
- En Aplicación > Cookies (Chrome) o Almacenamiento > Cookies (Firefox), revisa las cookies de tu dominio y las de terceros.
- En la pestaña Red, filtra por
collect,facebook,hotjar,clarityodoubleclick.
Lo esperado: solo cookies técnicas y ninguna petición de medición o publicidad (o, si usas Consent Mode avanzado, solo peticiones de Google marcadas como denegadas).
Prueba 2: rechazando
En otra ventana privada, pulsa «Rechazar» y navega por tres o cuatro páginas. No deben aparecer cookies de analítica ni de publicidad en ninguna.
Prueba 3: aceptando y retirando
Acepta, comprueba que ahora sí cargan, y después reabre el panel desde el enlace del pie y retira el consentimiento. Recarga: no deben volver a enviarse datos.
Las cookies que más vemos y de quién son
| Cookie | Proveedor | Para qué |
|---|---|---|
_ga, _ga_*, _gid | Google Analytics | Analítica |
_gcl_au, IDE, test_cookie | Google Ads / DoubleClick | Publicidad |
_fbp, _fbc, fr | Meta (Facebook, Instagram) | Publicidad |
_hjSession*, _hjSessionUser* | Hotjar | Analítica de comportamiento |
_clck, _clsk | Microsoft Clarity | Analítica de comportamiento |
_uetsid, _uetvid | Microsoft Ads (Bing) | Publicidad |
_ttp | TikTok | Publicidad |
li_*, bcookie, lidc | Publicidad | |
YSC, VISITOR_INFO1_LIVE | YouTube (vídeos incrustados) | Contenido de terceros y publicidad |
Las fugas más habituales
- Google Analytics instalado por un plugin o pegado en el tema, sin pasar por el banner. Guía: Google Analytics carga antes de aceptar las cookies.
- El píxel de Meta y otros píxeles de campañas añadidos deprisa. Guía: el píxel de Meta y las cookies de publicidad.
- Consent Mode mal puesto: el «denegado» por defecto llega tarde o falta. Guía: Consent Mode v2: cómo comprobar que funciona.
- Vídeos de YouTube y mapas de Google Maps incrustados. Cargan cookies del proveedor en cuanto aparece el reproductor. La versión
youtube-nocookie.comreduce, pero no elimina, lo que se guarda; lo más limpio es mostrar una imagen y cargar el vídeo o el mapa al hacer clic, algo que muchos gestores de cookies hacen por ti. - Chats y widgets (chat de soporte, reseñas, redes sociales) que traen sus propias cookies de seguimiento.
- Duplicados: dos instalaciones de la misma herramienta, una controlada por el banner y otra no.
Cómo ponerlo en orden paso a paso
- Haz inventario. Con las pruebas anteriores, apunta cada cookie y cada servicio externo que carga tu web, y de dónde viene (plugin, tema, Google Tag Manager, código pegado).
- Quita lo que no uses. Píxeles de campañas antiguas, herramientas de mapas de calor que nadie mira, códigos duplicados.
- Elige un gestor de consentimiento (CMP) que encaje con tu web: Complianz, CookieYes, Cookiebot, Real Cookie Banner u otro. Si te anuncias en Google, que sea compatible con Consent Mode v2.
- Configura las categorías (necesarias, preferencias, analítica, marketing) y asigna cada servicio a la suya.
- Bloquea de verdad. Usa las integraciones del gestor con tus plugins, su bloqueo automático o el bloqueo manual de scripts; en Google Tag Manager, condiciona las etiquetas al consentimiento.
- Ajusta el aviso: aceptar, rechazar y configurar en la primera capa, con el mismo peso, y un enlace permanente para cambiar de opinión.
- Redacta o revisa la política de cookies con la lista real de cookies. Muchos gestores la generan a partir de su escaneo; revísala igualmente.
- Vacía la caché y repite las tres pruebas.
- Repite la revisión cada vez que instales un plugin, cambies el tema o lances una campaña nueva.
Errores habituales
- Tener banner y dar el tema por cerrado. El banner no bloquea nada por sí solo: hay que configurarlo y comprobarlo.
- Probar con tu navegador habitual. Si ya aceptaste, no verás nada raro. Siempre ventana privada.
- Botón de rechazar que no hace nada: se guarda la elección, pero los scripts siguen cargando.
- Confiar ciegamente en el escaneo del gestor de cookies. Detecta muchas cosas, pero no todo lo que se carga por caminos que no conoce.
- Política de cookies copiada de otra web, con cookies que no usas y sin las que sí usas.
- Revisar solo la portada. La tienda, el blog o la página de contacto pueden cargar cosas distintas.
Para agencias: revisar las cookies de todas las webs cada día
Cuando mantienes muchas webs, las cookies se rompen sin que nadie toque el banner: un plugin nuevo, una campaña con su píxel, un cambio en Google Tag Manager hecho por el cliente. La revisión manual de diez minutos no escala.
Jeffrey tiene un escáner de cookies que abre cada web una vez al día con un navegador Chromium real, en español y en tamaño de escritorio. Espera a que la página cargue, mueve el ratón y hace scroll como haría un visitante, y nunca pulsa el banner: ve exactamente lo que ve alguien que todavía no ha decidido.
Qué cuenta como problema:
- Cookies de analítica y publicidad reconocidas por su nombre: Google Analytics, Google Ads, Meta, Hotjar, Clarity, Matomo, HubSpot, Microsoft Ads, TikTok, LinkedIn, Pinterest, Snapchat, YouTube y otras.
- Peticiones a servidores de rastreo, como
google-analytics.com,doubleclick.net,facebook.com,hotjar.com,clarity.msobat.bing.com. Las de analítica se cortan antes de llegar, para no ensuciar las estadísticas del cliente, pero quedan registradas.
Qué no cuenta: las cookies técnicas (sesión, WordPress, WooCommerce, el propio gestor de consentimiento, Cloudflare, Stripe), los cargadores como Google Tag Manager o connect.facebook.net por sí solos, y las peticiones de Google que salen con Consent Mode denegando analítica y publicidad.
Además, Jeffrey reconoce los gestores de consentimiento más usados (Cookiebot, CookieYes, Complianz, OneTrust, Borlabs, iubenda, Usercentrics, Didomi, Real Cookie Banner y otros) y te dice si la web carga cookies «antes de que el visitante acepte» o si directamente «no tiene banner de consentimiento». Te llega como un aviso para revisar, con la lista de proveedores, no como una alarma urgente.
Y si quieres revisar una web que todavía no gestionas, por ejemplo la de un cliente potencial, el Radar de Jeffrey hace el mismo escáner en su informe rápido y marca la sección de cookies en rojo si encuentra cualquier cookie o petición de rastreo antes del consentimiento.
Jeffrey te dice qué carga tu web y cuándo; no te dice si tu política o tu banner cumplen la ley. Para eso, tu asesor.
Preguntas frecuentes
Si solo uso cookies técnicas, ¿necesito banner?
Si de verdad solo hay cookies exentas, no necesitas pedir consentimiento, aunque sí informar de ellas. Pero compruébalo con las pruebas de esta guía: es raro que una web con plugins no cargue nada más. Confírmalo con tu asesor.
¿Un plugin de cookies gratuito es suficiente?
Puede serlo. Lo que importa no es el precio, sino que bloquee de verdad, que tenga aceptar y rechazar al mismo nivel y que lo hayas configurado con todos tus servicios. Compruébalo siempre con la ventana privada.
¿Cada cuánto debo revisar las cookies de mi web?
Cada vez que cambie algo: un plugin nuevo, un cambio de tema, una campaña con un píxel nuevo, cambios en Google Tag Manager. Y, como mínimo, de forma periódica, porque los plugins se actualizan y cambian lo que cargan.
¿Las herramientas de analítica sin cookies me libran del banner?
Reducen mucho el problema, pero la norma habla de guardar o leer información en el dispositivo, no solo de cookies, y algunas herramientas «sin cookies» usan otras técnicas. Revisa cómo funciona la que elijas y valóralo con tu asesor.
¿Qué pasa si incumplo?
La AEPD puede abrir un procedimiento y sancionar. Además del riesgo legal, un banner que no funciona da mala imagen a cualquier cliente que lo revise. No te podemos decir cómo valoraría la AEPD tu caso: para eso, tu asesor.