TL;DR
El RGPD y la Directiva ePrivacy clasifican las cookies en cuatro categorías según su finalidad: estrictamente necesarias, funcionales, analíticas (de rendimiento) y de marketing (publicitarias). Solo las estrictamente necesarias están exentas de consentimiento. Para el resto necesita un consentimiento previo, libre e informado antes de instalar nada en el dispositivo del usuario. En España, esta obligación se recoge en el artículo 22.2 de la LSSI. Entender esta clasificación es imprescindible para configurar bien su banner de cookies y su CMP.
Las cuatro categorías de cookies según el RGPD
La normativa europea no fija una lista cerrada de categorías de cookies. Sin embargo, la práctica del mercado y las orientaciones de las autoridades de control (en España, la guía sobre el uso de las cookies de la AEPD; en Francia, la CNIL; en el Reino Unido, el ICO) y de las principales CMP han acabado convergiendo en cuatro grandes familias. Estas categorías estructuran el banner de cookies y determinan qué cookies necesitan consentimiento.
La distinción clave es esta: o una cookie es estrictamente necesaria para que el sitio funcione (y entonces está exenta de consentimiento), o no lo es (y entonces el consentimiento previo es obligatorio). Las cookies funcionales, analíticas y de marketing entran todas en el segundo grupo.
Cookies estrictamente necesarias (técnicas)
Una cookie estrictamente necesaria es aquella sin la cual el sitio no puede funcionar correctamente. Se instala como respuesta a una acción del usuario (iniciar sesión, añadir un producto al carrito, elegir idioma) y solo sirve para esa finalidad concreta.
Estas cookies no requieren el consentimiento del usuario según la Directiva ePrivacy. En España, el artículo 22.2 de la LSSI las exime cuando son estrictamente necesarias para prestar un servicio expresamente solicitado por el usuario.
Ejemplos habituales: cookies de sesión para la autenticación, cookies del carrito de compra, cookies de seguridad (tokens CSRF), cookies de balanceo de carga (load balancing) y la cookie que guarda la decisión de consentimiento del usuario (la propia cookie de la CMP).
Un matiz importante: que una cookie sea "útil" o "importante" para su web no la convierte en estrictamente necesaria. La AEPD y el resto de autoridades europeas insisten en esta diferencia. Una cookie de analítica puede ser clave para sus objetivos de negocio, pero no es estrictamente necesaria para el servicio que ha pedido el usuario.
Cookies funcionales (de preferencias o personalización)
Una cookie funcional guarda información que el usuario ya ha facilitado para personalizar su experiencia: tema de visualización (modo oscuro o claro), región seleccionada, credenciales recordadas entre sesiones, ajustes del reproductor de vídeo, historial del chat en directo.
Estas cookies no son estrictamente necesarias para que el sitio funcione. La web funciona sin ellas, aunque la experiencia sea peor. Con el RGPD, la Directiva ePrivacy y la LSSI, las cookies funcionales necesitan el consentimiento del usuario antes de instalarse.
La frontera entre "estrictamente necesaria" y "funcional" a veces es difusa. Una regla sencilla: si la web puede prestar el servicio solicitado sin esa cookie (aunque sea de forma menos cómoda), la cookie es funcional, no estrictamente necesaria.
Cookies analíticas (de rendimiento o estadísticas)
Una cookie analítica (o de rendimiento) recoge datos sobre cómo usan los visitantes el sitio: páginas vistas, duración de la visita, tasa de rebote, fuentes de tráfico, mensajes de error. Estos datos se agregan y sirven para mejorar el rendimiento y el contenido de la web.
El ejemplo más conocido es Google Analytics (cookies _ga y _gid). Otras herramientas como Matomo, Plausible, Piano Analytics o Adobe Analytics también usan cookies analíticas.
Por defecto, las cookies analíticas requieren consentimiento. El artículo 22.2 de la LSSI solo exime lo estrictamente necesario para prestar el servicio solicitado, y la AEPD no incluye la medición de audiencia en esa excepción con carácter general. En Francia, la CNIL sí admite una exención para herramientas de medición configuradas de forma muy estricta (finalidad limitada a la medición de audiencia del propio editor, solo datos estadísticos anónimos, sin cruces con otros tratamientos, sin cesión a terceros). Google Analytics no cumple estos requisitos en su configuración estándar.
Cookies de marketing (publicitarias o de segmentación)
Una cookie de marketing (también llamada publicitaria o de segmentación) sigue la actividad de navegación del usuario para mostrarle publicidad personalizada. Estas cookies construyen un perfil basado en intereses, compras y búsquedas, y comparten esa información con redes publicitarias.
Ejemplos habituales: Facebook Pixel, Google Ads (cookies de remarketing), DoubleClick, cookies de retargeting, cookies de los botones para compartir en redes sociales y cookies de plataformas de afiliación.
Las cookies de marketing siempre requieren consentimiento previo, sin excepciones. Suelen ser cookies de terceros (instaladas por un dominio distinto del sitio visitado), lo que las hace especialmente delicadas desde el punto de vista del cumplimiento.
¿Qué consentimiento necesita cada categoría?
Las cookies estrictamente necesarias no requieren consentimiento, pero sigue estando obligado a informar al usuario. Las funcionales requieren consentimiento previo. Las analíticas también, salvo excepciones muy limitadas para herramientas configuradas de forma estricta. Las de marketing requieren siempre consentimiento previo. Para transmitir estas señales de consentimiento a los servicios de Google, tiene que implementar Google Consent Mode v2.
El consentimiento debe ser libre (nada de muros de cookies, salvo en condiciones estrictas), específico (por categoría, no un consentimiento global), informado (el usuario sabe qué está aceptando) e inequívoco (una acción afirmativa, sin casillas premarcadas). Rechazar tiene que ser tan fácil como aceptar, y el usuario debe poder retirar su consentimiento en cualquier momento.
Cómo configurar su CMP por categorías
Una plataforma de gestión del consentimiento (CMP) como FlowConsent presenta las categorías de cookies en el banner de cookies y permite al usuario aceptar o rechazar cada categoría por separado.
La configuración habitual tiene cuatro niveles:
- Cookies estrictamente necesarias: siempre activas, no se pueden desactivar.
- Cookies funcionales: desactivadas por defecto, requieren consentimiento.
- Cookies analíticas: desactivadas por defecto, requieren consentimiento.
- Cookies de marketing: desactivadas por defecto, requieren consentimiento.
Cada categoría debe ir acompañada de una descripción clara de su finalidad e, idealmente, de la lista de cookies asociadas con su duración y su proveedor. El escáner de cookies de FlowConsent detecta automáticamente las cookies de su web y las clasifica por categoría.
Errores de clasificación más frecuentes
Clasificar Google Analytics como "estrictamente necesaria". Google Analytics instala cookies de seguimiento que no son imprescindibles para que la web funcione. Pertenecen a la categoría analítica y requieren consentimiento.
Olvidar las cookies de los widgets de terceros. Los botones para compartir en redes sociales, los reproductores de vídeo integrados (YouTube, Vimeo), Google Maps y las herramientas de chat instalan cookies. Hay que clasificarlas en la categoría adecuada y bloquearlas hasta obtener el consentimiento.
Tratar las cookies funcionales como "estrictamente necesarias". Una cookie que recuerda el tema de visualización o las preferencias de navegación es funcional. La web funciona sin ella.
No listar las cookies por categoría en la política de cookies. La política de cookies debe detallar cada categoría con sus cookies, su finalidad, su duración y su proveedor.
Premarcar las categorías no esenciales. El consentimiento tiene que ser fruto de una acción afirmativa. Las categorías funcional, analítica y de marketing deben estar desactivadas por defecto en el banner.
Cómo auditar las cookies de su web por categorías
Una auditoría de cookies empieza con un escaneo completo del sitio para detectar todas las cookies y rastreadores. Después, cada cookie se clasifica en una de las cuatro categorías.
Para cada cookie detectada, documente su nombre, su dominio (propia o de terceros), su duración, su finalidad y la categoría a la que pertenece. Si no consigue identificar la finalidad de una cookie, trátela por defecto como cookie de marketing (la categoría más restrictiva).
Revise las cookies de todas las páginas del sitio, no solo de la portada. Algunas páginas incluyen widgets o iframes que instalan cookies adicionales (vídeos de YouTube integrados, formularios de terceros, píxeles de conversión).
Checklist: clasificar y gestionar las cookies por categoría
- Escanee la web para detectar todas las cookies y rastreadores activos.
- Clasifique cada cookie en una de las cuatro categorías (estrictamente necesaria, funcional, analítica, marketing).
- Configure la CMP para que el banner muestre las categorías por separado.
- Mantenga siempre activas las cookies estrictamente necesarias (no desactivables).
- Desactive por defecto las cookies funcionales, analíticas y de marketing.
- Bloquee de verdad los scripts de las categorías no aceptadas (no basta con ocultar el banner).
- Detalle cada categoría con sus cookies en la política de cookies.
- Compruebe si sus cookies analíticas podrían quedar exentas de consentimiento (criterios muy estrictos).
- Audite la web con regularidad para detectar nuevas cookies introducidas por actualizaciones o nuevos widgets.
- Pruebe a rechazar cada categoría y verifique que no se instalan las cookies correspondientes.
Conclusión
Clasificar las cookies en cuatro categorías (estrictamente necesarias, funcionales, analíticas y de marketing) es la base de cualquier cumplimiento del RGPD en materia de cookies. Solo las estrictamente necesarias están exentas de consentimiento. Todas las demás deben bloquearse por defecto y activarse únicamente tras un consentimiento explícito. Si busca ideas para presentar estas categorías a sus usuarios, eche un vistazo a nuestros ejemplos de banners de cookies.
Para detectar y clasificar las cookies de su web, lance un escaneo gratuito con FlowConsent.