¿Qué es un banner de cookies?
Un banner de cookies (también llamado aviso de cookies, banner de consentimiento o pop-up de cookies) es el mensaje que un sitio web muestra en la primera visita para informar sobre las cookies y otros rastreadores y recoger la decisión del usuario. Suele aparecer en la parte inferior de la pantalla o en una ventana centrada, con botones para aceptar, rechazar o configurar.
El banner es solo la parte visible. Detrás, un mecanismo de consentimiento debe cumplir tres funciones: retener los scripts que instalan cookies no esenciales, activarlos solo para las categorías aceptadas y registrar la decisión. Ese mecanismo suele ser una plataforma de gestión del consentimiento (CMP); nuestro artículo qué es una plataforma de gestión del consentimiento explica los fundamentos. Nuestra guía para elegir una CMP explica qué distingue una herramienta seria de una ventana decorativa.
Un banner de cookies tampoco es una política de cookies. El banner recoge el consentimiento; la política es la página que detalla cada cookie, su finalidad, su proveedor y su duración. Necesita ambos, y el banner debe enlazar a la política. Nuestra guía sobre la política de cookies según el RGPD indica qué debe contener esa página.
Si busca un banner de cookies que ya aplique las reglas descritas a continuación, eso es exactamente lo que construye FlowConsent, aunque los principios valen para cualquier herramienta.
Banner de cookies, aviso de cookies, pop-up: ¿lo mismo?
En la práctica, los términos se usan indistintamente. «Aviso de cookies» designa a veces una simple barra informativa («Este sitio usa cookies, OK»), que no basta en la UE cuando hay cookies no esenciales, porque informa sin preguntar. Un banner de cookies conforme al RGPD debe preguntar y aceptar un «no» como respuesta. Para ver cómo encajan el banner, la política de cookies y la política de privacidad, consulte nuestro artículo sobre aviso de cookies y política de cookies.
¿Necesita un banner de cookies?
Necesita un banner de cookies en cuanto su sitio web, o un servicio de terceros integrado en él, almacena o lee información en el dispositivo del visitante con una finalidad que no es estrictamente necesaria para el servicio solicitado. Eso afecta a la mayoría de los sitios: Google Analytics, Google Ads, el píxel de Meta, LinkedIn Insight Tag, Hotjar, los vídeos de YouTube integrados, Google Maps y muchos widgets de chat instalan o leen cookies.
No necesitan consentimiento las cookies estrictamente necesarias: cookies de sesión y de autenticación, el carrito de compra, el equilibrio de carga, los tokens de seguridad o la cookie que guarda la propia decisión de consentimiento. Algunas herramientas de medición de audiencia también pueden quedar exentas si se configuran de forma muy restringida (solo estadísticas, datos anónimos, sin cruce ni cesión a terceros). Nuestro artículo sobre Matomo y la exención de consentimiento muestra cómo funciona en un caso real.
Si tiene dudas, nuestro artículo responde a la pregunta ¿necesito un banner de cookies en mi web? con escenarios concretos. Y si quiere medir el tráfico sin pedir consentimiento, lea nuestra guía de analítica sin cookies antes de retirar su banner: la mayoría de los sitios siguen cargando al menos una herramienta de terceros que lo exige.
El marco legal del banner de cookies según el RGPD
El marco europeo
Dos textos actúan juntos. La Directiva ePrivacy (artículo 5.3) exige un consentimiento previo antes de almacenar o acceder a información en el dispositivo del usuario, salvo que sea estrictamente necesario. El RGPD define qué es un consentimiento válido: libre, específico, informado e inequívoco, expresado mediante una clara acción afirmativa (artículo 4.11), demostrable por el responsable (artículo 7.1) y tan fácil de retirar como de dar (artículo 7.3). Nuestro artículo sobre las condiciones de validez del consentimiento RGPD analiza cada requisito.
El Tribunal de Justicia de la UE confirmó en la sentencia Planet49 (2019) que una casilla premarcada no es un consentimiento válido. El Comité Europeo de Protección de Datos (CEPD) indica en sus directrices sobre el consentimiento que desplazarse por la página o seguir navegando tampoco lo es, y el informe de su grupo de trabajo sobre banners de cookies (2023) enumera las prácticas que las autoridades nacionales consideran no conformes, como la ausencia de botón de rechazo o los colores engañosos.
Las autoridades nacionales
Cada país aplica la directiva mediante su propia ley y su propia autoridad:
- España: artículo 22.2 de la LSSI, con la guía sobre el uso de cookies de la AEPD, actualizada en 2023 para alinearse con el CEPD.
- Francia: artículo 82 de la Loi Informatique et Libertés, aplicado por la CNIL, cuyas directrices de 2020 están entre las más detalladas de Europa.
- Alemania: § 25 de la TDDDG (antes TTDSG), con las orientaciones de la Datenschutzkonferenz (DSK).
- Reino Unido: las PECR, aplicadas por la ICO, con reglas muy parecidas al modelo europeo.
El control es real. La CNIL sancionó a Google y Facebook en 2021 porque rechazar las cookies era más difícil que aceptarlas, y nuestro resumen de sanciones de la CNIL por cookies recoge otros casos. Para conocer las novedades recientes, consulte RGPD y cookies en 2026.
Fuera de Europa
Estados Unidos sigue sobre todo un modelo de exclusión (opt-out). Con la CCPA modificada por la CPRA, los residentes de California deben poder oponerse a la «venta o cesión» de sus datos, y las empresas deben respetar la señal Global Privacy Control. Nuestra comparativa CCPA vs RGPD para las cookies explica las diferencias prácticas, y nuestra guía sobre cookies fuera de Europa cubre Brasil, Sudáfrica, Singapur e India.
Qué debe contener un banner de cookies conforme al RGPD
En la primera capa, antes de cualquier clic, el banner debe mostrar:
- Una breve descripción de las finalidades, por ejemplo «medición de audiencia», «publicidad» o «contenido personalizado», en lenguaje claro.
- La identidad de quienes instalan cookies, o un enlace directo a esa lista.
- Un botón «Aceptar todo» y un botón «Rechazar todo» con la misma relevancia visual.
- Una forma de configurar la elección por finalidad («Configurar» o «Preferencias»).
- Un enlace a la política de cookies con todos los detalles.
En la segunda capa, el panel de configuración permite activar o desactivar cada categoría. Las categorías no esenciales deben estar desactivadas por defecto. Una estructura clara es clave, y nuestra guía de las categorías de cookies RGPD muestra cómo agrupar los rastreadores en necesarias, preferencias, estadísticas y marketing.
Tras la elección, el visitante debe poder volver a abrir el banner en cualquier momento para modificar o retirar su consentimiento, normalmente mediante un enlace en el pie de página o un pequeño icono flotante. La decisión debe conservarse durante un tiempo limitado: la CNIL recomienda conservar tanto la aceptación como el rechazo unos seis meses antes de volver a preguntar, y limita la vida de los rastreadores a 13 meses. Nuestro artículo sobre la duración de las cookies y la regla de los 13 meses detalla ambos plazos.
Reglas de diseño: opciones equilibradas, sin patrones oscuros
Las autoridades examinan ya con detalle el diseño del banner, no solo su texto. El principio es sencillo: rechazar debe ser tan fácil como aceptar.
- Mismo nivel: «Rechazar todo» aparece en la primera capa, junto a «Aceptar todo», y no escondido tras «Configurar».
- Mismo peso: mismo tamaño, mismo contraste, mismo estilo. Un botón llamativo junto a un enlace gris no está equilibrado.
- Sin presión: nada de textos culpabilizadores, nada de una cruz de cierre que equivalga a aceptar, nada de ventanas repetidas tras un rechazo.
- Ninguna casilla premarcada en el panel de configuración.
Estas técnicas se llaman patrones oscuros (dark patterns). Nuestro artículo sobre los dark patterns de cookies que prohíbe la CNIL los enumera con ejemplos reales. Para ver diseños equilibrados en la práctica, consulte nuestros ejemplos de banner de cookies RGPD y buenas prácticas.
Una cuestión relacionada es el muro de cookies (cookie wall), que bloquea el acceso al contenido hasta que el visitante acepta. El CEPD considera que el consentimiento así obtenido no es, en general, libre, mientras que algunas autoridades nacionales, como la AEPD, lo valoran caso por caso cuando existe una alternativa equivalente. Nuestra guía sobre el muro de cookies y sus alternativas legales explica dónde está el límite.
Redactar el texto del banner de cookies
El texto forma parte del cumplimiento. El visitante debe entender en pocos segundos qué acepta, así que la primera capa debe ser breve y concreta. Una buena estructura cabe en tres frases: quién pregunta y por qué («Nosotros y nuestros socios usamos cookies»), para qué («para medir la audiencia y mostrar publicidad relevante») y qué puede hacer el visitante («Puede aceptar, rechazar o elegir por finalidad, y cambiar de opinión en cualquier momento»).
Evite fórmulas vagas como «para mejorar su experiencia», que no dicen nada de las finalidades reales. Mencione solo las categorías que existen en su sitio y no hable de publicidad si no muestra anuncios. Los botones deben llevar verbos explícitos: «Aceptar todo», «Rechazar todo», «Configurar». Un enlace diminuto «Continuar sin aceptar» como única opción de rechazo, o un «Más información» en lugar del rechazo, no es suficiente. Encontrará redacciones listas para adaptar según el tipo de sitio, con textos de botones y descripciones de categorías, en nuestras plantillas de texto para el banner de cookies.
El banner también debe estar disponible en el idioma de la página. Si su sitio existe en inglés, francés y alemán, el banner y el panel de configuración necesitan los mismos idiomas. En el móvil, compruebe que los dos botones principales se ven sin desplazarse y que el banner no tapa el contenido hasta el punto de empujar a aceptar.
Cómo añadir un banner de cookies a su web, paso a paso
Paso 1: auditar las cookies de su sitio
No es posible configurar bien un banner sin saber qué scripts instalan cookies. Haga una lista de cada rastreador, su proveedor, si es propio o de terceros, su duración y su finalidad. Nuestra guía completa de auditoría de cookies detalla el método.
¿No sabe qué deja hoy su sitio en el navegador? Compruebe en 30 segundos qué cookies coloca su sitio con el escáner gratuito, antes y después de pulsar «Rechazar».
Paso 2: clasificar cada rastreador
Asigne cada cookie a una categoría: necesaria, preferencias, estadísticas o marketing. Cada categoría se convierte en un interruptor del panel de configuración. Sea estricto: una cookie solo es «necesaria» si el servicio que pidió el visitante no funciona sin ella.
Paso 3: elegir una herramienta e implantarla
Puede programar un banner usted mismo, pero una plataforma de gestión del consentimiento se encarga del bloqueo, del registro de pruebas y de las actualizaciones. Nuestra guía para elegir una CMP recoge los criterios decisivos. La implantación depende de su plataforma: consulte nuestras guías sobre consentimiento de cookies en Webflow, consentimiento de cookies en WordPress, Shopify y cookies RGPD y Next.js y cookies RGPD.
Paso 4: bloquear los scripts hasta el consentimiento
Es el paso que más a menudo se hace mal. Cada script no esencial debe permanecer inactivo hasta que el visitante acepte su categoría. Mostrar un banner mientras Google Analytics ya funciona en segundo plano es la infracción más frecuente en las inspecciones. El bloqueo puede hacerlo la CMP (reescribiendo o encapsulando las etiquetas script) o un gestor de etiquetas que espera la señal de consentimiento. El contenido integrado necesita el mismo tratamiento: nuestra guía sobre YouTube nocookie explica cómo limitar las cookies de los reproductores de vídeo.
FlowConsent, por ejemplo, retiene todos los scripts no esenciales hasta que el visitante elige, activa después solo las categorías aceptadas y registra la decisión en un registro de consentimiento exportable.
Paso 5: conservar la prueba del consentimiento
El RGPD le atribuye la carga de la prueba. Para cada decisión, conserve un identificador seudónimo, la fecha y la hora, las categorías aceptadas o rechazadas y la versión del banner mostrada. Nuestro artículo sobre la prueba del consentimiento de cookies explica qué guardar y durante cuánto tiempo.
Paso 6: probar los tres escenarios
Abra una ventana privada y pruebe el rechazo total, la aceptación parcial (solo estadísticas, por ejemplo) y la aceptación total. En cada caso, compruebe en las herramientas de desarrollo del navegador qué cookies se instalan y qué peticiones de red salen de la página. Recargue la página para confirmar que la decisión se recuerda, y luego vuelva a abrir el banner y retire el consentimiento para confirmar que los scripts se detienen.
Banner de cookies y Google Consent Mode v2
Si utiliza Google Ads, GA4 o Floodlight, su banner también debe enviar señales de consentimiento a Google. Desde marzo de 2024, Google exige Consent Mode v2 (con los parámetros ad_user_data y ad_personalization) para seguir usando sus funciones de medición y personalización con usuarios del Espacio Económico Europeo. La CMP fija el estado por defecto en «denied» antes de la elección y lo actualiza después. Nuestra guía de implementación de Google Consent Mode v2 cubre la configuración, y nuestra comparativa Consent Mode básico vs avanzado le ayuda a decidir si las etiquetas de Google pueden cargarse antes del consentimiento.
Tasa de consentimiento, fatiga y rendimiento
Un banner conforme obtiene menos aceptaciones que uno manipulador, y es lo esperable. Aun así, puede mejorar la tasa de forma legal con una redacción clara, una buena posición y una primera capa breve. Nuestra guía para medir y mejorar la tasa de consentimiento de cookies muestra qué palancas están permitidas.
Los usuarios ven además decenas de banners por semana y hacen clic sin leer. Nuestro artículo sobre la fatiga del consentimiento explica cómo un banner más corto y honesto obtiene decisiones más conscientes.
Por último, el banner es código que se carga en cada página. Un script pesado puede retrasar la visualización o provocar desplazamientos del diseño. Nuestro análisis del impacto de una CMP en las Core Web Vitals le ayuda a mantener un banner rápido.
Errores habituales en el banner de cookies
Cookies instaladas antes de cualquier interacción. Es el error más común y el más grave. Si las etiquetas de analítica o publicidad se disparan al cargar la página, el banner es decorativo. El bloqueo debe ser técnico, no solo visual.
«Rechazar» menos visible que «Aceptar». Un enlace pálido junto a un botón de color, o un rechazo disponible solo en la segunda capa, no cumple la exigencia de que rechazar sea tan fácil como aceptar.
Considerar el cierre o el desplazamiento como consentimiento. Cerrar el banner sin elegir debe tratarse como un rechazo, nunca como una aceptación.
No permitir retirar el consentimiento. Sin un enlace permanente «Configuración de cookies» o un icono, el banner no cumple el artículo 7.3 del RGPD.
No conservar pruebas. Si no puede demostrar cuándo y cómo consintió un visitante, no puede acreditar su cumplimiento en una inspección.
Olvidar el contenido integrado y las nuevas etiquetas. Vídeos, mapas, widgets sociales y etiquetas añadidas después por el equipo de marketing escapan a menudo al banner. Vuelva a escanear su sitio con regularidad.
Preguntar en cada visita. Volver a mostrar el banner tras cada rechazo es una forma de presión. Guarde el rechazo y respételo.
Lista de verificación del banner de cookies conforme al RGPD
- Auditoría completa realizada, cada rastreador identificado con su proveedor y finalidad.
- Rastreadores clasificados en categorías claras, las no esenciales desactivadas por defecto.
- Finalidades descritas en lenguaje claro desde la primera capa.
- «Aceptar todo» y «Rechazar todo» en la primera capa, mismo tamaño y estilo.
- Panel de configuración disponible, sin casillas premarcadas.
- Ninguna cookie no esencial antes del consentimiento, comprobado en las herramientas del navegador.
- Contenido integrado (YouTube, Maps, widgets sociales) bloqueado hasta el consentimiento.
- Retirada del consentimiento posible en cualquier momento desde cualquier página.
- Prueba con fecha y hora conservada para cada decisión.
- Señales de Google Consent Mode v2 enviadas si utiliza Google Ads o GA4.
- Enlace a una política de cookies completa.
- Decisión renovada a intervalos razonables (unos seis meses según la CNIL).
- Escaneos periódicos para detectar nuevos rastreadores.
Cómo gestiona FlowConsent el banner de cookies
FlowConsent muestra un banner con «Aceptar todo» y «Rechazar todo» en la primera capa y bloquea cada script no esencial antes del consentimiento, incluidas las etiquetas de Google, los píxeles y el contenido integrado. Google Consent Mode v2 está integrado, de modo que Google recibe las señales correctas sin configuración adicional. Un escaneo automático detecta los rastreadores de su sitio y le ayuda a clasificarlos, y cada decisión se guarda como prueba de consentimiento exportable, alojada en Europa.
La implantación lleva unos diez minutos en Webflow, WordPress, Shopify, Wix, Framer o mediante Google Tag Manager. El plan gratuito cubre hasta 25 000 sesiones al mes, y Pro cuesta 14,99 € al mes hasta 100 000 sesiones. Para adaptar el diseño, los colores y los textos a su marca manteniendo botones equilibrados, siga la documentación de personalización del banner.