Tres documentos y tres nombres que se usan como sinónimos: aviso de cookies, banner de cookies y política de cookies. Si se añade la política de privacidad, muchos responsables de sitios web ya no saben qué exige realmente la ley. Este artículo pone orden: qué es cada elemento, qué debe contener, cómo se enlazan entre sí y qué errores señalan una y otra vez las autoridades. Para todo lo relativo al banner en sí (diseño, botones, conservación del consentimiento), consulte nuestra guía del banner de cookies conforme al RGPD.
¿Qué es un aviso de cookies?
Un aviso de cookies es cualquier mensaje que informa a los visitantes de que un sitio web almacena o lee cookies y tecnologías similares en su dispositivo. En la práctica, el término designa dos cosas distintas.
Sentido 1: el banner de la primera visita
Para la mayoría, el aviso de cookies es la barra o ventana emergente que aparece al entrar en un sitio. En este sentido, aviso de cookies y banner de cookies son lo mismo.
Sentido 2: el documento de cookies
Algunas organizaciones titulan «Aviso de cookies» su página completa, la que enumera cada cookie con su finalidad y su duración. En este sentido, el aviso de cookies es una política de cookies con otro nombre.
Ambos usos son válidos. Lo que importa no es la etiqueta, sino la función: jurídicamente hay dos funciones, informar (por capas) y recabar la decisión.
Aviso de cookies o banner de cookies
Cuando «aviso de cookies» se refiere al mensaje de la primera visita, la distinción útil es entre un aviso que solo informa y un banner que recaba el consentimiento.
- Aviso solo informativo: «Este sitio utiliza cookies para mejorar su experiencia. Aceptar.» Informa, pero no ofrece una elección real. Hacer clic en un único botón no es consentir, porque no había alternativa.
- Banner de consentimiento: explica las finalidades, ofrece «Aceptar todo» y «Rechazar todo» con el mismo peso, da acceso a la configuración por categorías y bloquea las cookies no necesarias hasta que el visitante decide.
En España, el artículo 22.2 de la LSSI, que transpone el artículo 5.3 de la Directiva ePrivacy, exige el consentimiento previo antes de almacenar o leer información no necesaria en el dispositivo. Ese consentimiento debe cumplir las condiciones del RGPD: libre, específico, informado e inequívoco. Un aviso solo informativo no cumple ninguna de estas condiciones en cuanto se instalan cookies analíticas o publicitarias. La Guía sobre el uso de las cookies de la AEPD y el Comité Europeo de Protección de Datos coinciden en que seguir navegando no equivale a consentir.
Un aviso solo informativo únicamente es aceptable si el sitio instala solo cookies estrictamente necesarias (sesión, carrito, equilibrio de carga, seguridad). Aun así, mantener un aviso breve con un enlace a la política de cookies es una buena práctica, no una obligación.
Aviso de cookies frente a política de cookies
La política de cookies es la segunda capa de información. El banner indica en dos o tres frases qué tipos de cookies usa el sitio y para qué. La política de cookies aporta los detalles que no caben en un banner.
La diferencia se resume en tres puntos:
- Extensión y ubicación. El banner es breve y aparece en cada primera visita. La política de cookies es una página completa, accesible desde un enlace en el banner, en el pie de página y en la configuración de privacidad.
- Función. El banner recaba una decisión. La política de cookies documenta sobre qué se decide y es el lugar al que el visitante vuelve para entender o cambiar su elección.
- Nivel de detalle. El banner nombra categorías (analíticas, publicitarias, de preferencias). La política de cookies enumera cada cookie con su nombre, proveedor, finalidad, duración y si es propia o de terceros.
Ese nivel de detalle no es opcional. En la sentencia Planet49 (C-673/17, 2019), el Tribunal de Justicia de la UE declaró que la información debe incluir la duración de las cookies y si terceros pueden acceder a ellas. Eso no cabe en un banner, así que corresponde a la política de cookies. Nuestra guía de la política de cookies detalla qué incluir, con una estructura modelo.
FlowConsent es un ejemplo concreto de cómo se conectan las dos capas: el panel de configuración del banner muestra la lista de cookies generada a partir de los servicios activados, de modo que el visitante ve los mismos nombres y duraciones que en la política de cookies sin salir de la página.
Dónde encaja la política de privacidad
La política de privacidad es más amplia que ambas. Los artículos 13 y 14 del RGPD obligan a informar sobre cada tratamiento de datos personales: responsable, finalidades, bases jurídicas, plazos de conservación, destinatarios, transferencias fuera de la UE y derechos. Las cookies son solo una fuente de datos entre otras (formulario de contacto, pedidos, boletín, cuenta de cliente).
Esto da una jerarquía sencilla:
- Política de privacidad: todos los datos personales, todos los tratamientos, todos los derechos.
- Política de cookies: solo cookies y tecnologías similares, cookie por cookie.
- Banner de cookies: la primera capa, un resumen más la elección.
Puede publicar la política de cookies como una sección de la política de privacidad o como página independiente. Ambas opciones se admiten. Una página independiente suele ser más fácil de mantener al día y de enlazar desde el banner, por eso la mayoría de las CMP generan una.
Qué debe contener cada documento
El banner de cookies (primera capa)
- Las finalidades de las cookies en palabras sencillas (medir la audiencia, mostrar publicidad, recordar preferencias).
- Los principales terceros o un enlace a la lista.
- Los botones «Aceptar todo» y «Rechazar todo» con el mismo peso visual y acceso a la configuración.
- Un enlace a la política de cookies.
- Una forma de cambiar la elección más adelante (icono flotante o enlace en el pie de página).
Encontrará formulaciones adaptables en nuestros ejemplos de texto para el banner de cookies.
La política de cookies (segunda capa)
- Una breve explicación de qué son las cookies y tecnologías similares.
- La lista de cookies por categoría con nombre, proveedor, finalidad, duración y tipo (propia o de terceros).
- Qué categorías requieren consentimiento y cuáles están exentas.
- Cómo retirar o modificar el consentimiento y cómo gestionar las cookies en el navegador.
- La fecha de la última actualización.
La política de privacidad
- El responsable del tratamiento y sus datos de contacto (y el delegado de protección de datos, si lo hay).
- Cada finalidad con su base jurídica, plazo de conservación, destinatarios y transferencias.
- Los derechos de los interesados y el derecho a reclamar ante la AEPD.
- Un enlace a la política de cookies.
Antes de redactar nada, necesita saber qué cookies instala realmente su sitio, no las que cree que instala. Compruebe en 30 segundos qué cookies instala su sitio con el escáner gratuito y compare el resultado con su política de cookies actual.
¿Basta con un aviso de cookies informativo?
Depende de dónde estén sus visitantes.
- UE y EEE: no, en cuanto se instalan cookies no necesarias. El consentimiento previo es obligatorio y rechazar debe ser tan fácil como aceptar.
- Reino Unido: no. La regulación 6 de PECR exige información clara y completa y consentimiento para las cookies no necesarias.
- Estados Unidos (California): la CCPA funciona de otro modo. No exige consentimiento antes de instalar cookies, pero sí un aviso en el momento de la recogida y, si vende o comparte datos personales, un enlace «Do Not Sell or Share My Personal Information» y el respeto de las señales Global Privacy Control. Consulte nuestra página sobre la CCPA y la CPRA.
Otra tentación es el muro de cookies, que obliga a aceptar para acceder al sitio. Las autoridades suelen considerar que impide un consentimiento libre; nuestro artículo sobre el muro de cookies y sus alternativas legales explica los matices.
Errores frecuentes
- Presentar un botón «Aceptar» único como consentimiento. Un solo botón que toma nota es información, no consentimiento.
- Una política de cookies que no refleja el sitio. La política enumera cinco cookies y el sitio instala veinte. Es uno de los hallazgos más habituales en las auditorías. Vuelva a escanear después de cada nueva etiqueta o complemento.
- Ningún enlace entre las capas. El banner debe enlazar con la política de cookies, y la política de cookies debe permitir reabrir el banner.
- Copiar una plantilla genérica. Una plantilla da la estructura, no el contenido: los nombres, duraciones y proveedores deben ser los suyos.
- Olvidar la fecha de actualización. Sin ella, no se puede saber si la política refleja el sitio actual.
- Una política de privacidad sin estructura. Si integra en ella las cookies, deles una sección propia con un título claro.
Cómo gestiona FlowConsent el aviso y la política de cookies
FlowConsent une la primera y la segunda capa. El banner muestra las finalidades por categoría, los botones «Aceptar todo» y «Rechazar todo» y un panel de configuración, y bloquea los scripts antes del consentimiento. La lista de cookies que hay detrás se genera a partir de los servicios que usted activa, con el nombre, la finalidad, el proveedor, la duración y el tipo de cada cookie, y usted añade a mano sus propias cookies. Un escaneo automático compara las cookies observadas realmente en su sitio con esa lista y señala cualquier cookie no declarada, para que la información que reciben sus visitantes siga siendo exacta. Los consentimientos se pueden exportar como prueba. FlowConsent es gratuito hasta 25.000 sesiones al mes y está alojado en Europa. Vea cómo funciona la declaración de cookies.