Casi todos los banners de cookies tienen un interruptor «Estrictamente necesarias» activado y en gris. En esa categoría se esconden muchos problemas de cumplimiento: una cookie se coloca ahí, el banner nunca pregunta y nadie comprueba si de verdad cumple los requisitos. Esta guía explica qué cubre la exención, qué cookies la cumplen, cuáles no y cómo revisar su propia lista. Para los conceptos básicos sobre el funcionamiento y los tipos de cookies, empiece por nuestra guía qué son las cookies, tipos y funcionamiento.
¿Qué son las cookies estrictamente necesarias?
La definición legal procede del artículo 5.3 de la Directiva ePrivacy. Almacenar información en el dispositivo de un visitante, o acceder a ella, requiere consentimiento. Existen dos excepciones:
- Exención de transmisión: el almacenamiento o el acceso tiene como única finalidad efectuar la transmisión de una comunicación por una red.
- Exención de estricta necesidad: el almacenamiento o el acceso es estrictamente necesario para que el proveedor de un servicio expresamente solicitado por el usuario pueda prestarlo.
En España, el artículo 22.2 de la LSSI recoge la misma regla, y la Guía sobre el uso de las cookies de la AEPD habla de «cookies técnicas». Casi todas las cookies esenciales de un sitio entran en la segunda excepción. Dos expresiones lo deciden todo: el servicio debe estar expresamente solicitado por el visitante (una página, un pago, un área de cliente) y la cookie debe ser estrictamente necesaria para prestarlo, no solo práctica.
La regla no se limita a las cookies. Las directrices del CEPD sobre el ámbito técnico del artículo 5.3 confirman que también abarca el localStorage, el sessionStorage, los píxeles y cualquier técnica que almacene o lea información en un dispositivo.
Cómo saber si una cookie es estrictamente necesaria
El Grupo de Trabajo del Artículo 29 (predecesor del CEPD) explicó el razonamiento en su Dictamen 04/2012 sobre la exención del requisito de consentimiento. Hágase tres preguntas sobre cada cookie:
- ¿El visitante solicita expresamente el servicio que la cookie hace posible? Ver páginas, iniciar sesión, añadir un producto al carrito o enviar un formulario son solicitudes. Ser medido, perfilado o recibir publicidad no lo es.
- ¿Dejaría de funcionar el servicio sin la cookie? Si el sitio sigue ofreciendo lo que el visitante pidió, aunque sea con menos comodidad, la cookie no es estrictamente necesaria.
- ¿Se limita la cookie a esa finalidad y a esa duración? Una cookie que sirve a una finalidad necesaria y a otra que no lo es pierde la exención en su conjunto.
Una cookie debe superar las tres. Las autoridades insisten en lo mismo: una cookie puede ser importante para su negocio sin ser estrictamente necesaria para el visitante. Por eso existen las cuatro categorías de cookies del RGPD y solo la primera está exenta.
Ejemplos de cookies estrictamente necesarias
Ejemplos que aceptan las autoridades
- Cookies de autenticación que mantienen la sesión iniciada, incluidas las que protegen el inicio de sesión (limitando intentos repetidos o automatizados).
- Cookies de entrada del usuario que recuerdan lo que el visitante ha escrito o elegido durante la visita: carrito, formulario en varios pasos, proceso de pago.
- Cookies de seguridad que protegen un servicio que el visitante utiliza, como los tokens CSRF de los formularios.
- Cookies de equilibrio de carga que mantienen al visitante en el mismo servidor durante la sesión.
- La cookie de consentimiento, que guarda la elección del visitante en el banner. Sin ella, el banner no podría respetar un rechazo.
- Cookies de personalización de la interfaz (idioma, presentación) cuando esa personalización es parte intrínseca y esperada del servicio, por ejemplo un idioma elegido en un selector.
- Cookies de sesión de un reproductor multimedia necesarias para reproducir un vídeo que el visitante ha iniciado, sin seguimiento.
Nombres de cookies que verá a menudo
PHPSESSID,JSESSIONID,ASP.NET_SessionId: identificadores de sesión del servidor en PHP, Java y .NET.csrftoken,XSRF-TOKEN: protección de formularios en aplicaciones Django, Laravel y Angular.wordpress_logged_in_*: inicio de sesión de usuarios registrados en WordPress.woocommerce_cart_hash,cart(Shopify): contenido del carrito en tiendas online.AWSALB: equilibrio de carga en Amazon Web Services.__cf_bm: protección contra bots de corta duración de Cloudflare.
Un nombre no prueba nada por sí solo. Un identificador de sesión utilizado para reconocer al visitante entre sitios no estaría exento. Lo que cuenta es lo que la cookie hace realmente en su sitio.
¿Qué cookies no son estrictamente necesarias?
Estas son las cookies que más a menudo se clasifican mal como necesarias:
- Cookies de analítica (
_ga,_gid, Hotjar, Clarity). Las estadísticas le ayudan a gestionar el sitio, pero no prestan nada que el visitante haya pedido. En Francia, la CNIL admite una exención limitada para la medición de audiencia bajo condiciones estrictas, que Matomo puede cumplir en modo exento. Google Analytics en su configuración estándar no las cumple. - Cookies de publicidad y retargeting (Meta Pixel, Google Ads, LinkedIn Insight). Nunca son estrictamente necesarias.
- Cookies de pruebas A/B y personalización. El visitante no ha pedido entrar en un grupo de prueba.
- Plugins de redes sociales que rastrean a visitantes que nunca los han utilizado.
- Widgets de chat cargados en todas las páginas antes de que el visitante abra la conversación.
- Preferencias de simple comodidad, como recordar que se cerró una ventana emergente de newsletter.
Una forma rápida de saber qué instala realmente su sitio: compruebe en 30 segundos qué cookies instala su sitio con el escáner gratuito y compare el resultado con la lista que su banner muestra como necesaria.
¿Necesitan consentimiento las cookies técnicas?
No. Las cookies estrictamente necesarias pueden instalarse en cuanto se carga la página, antes de cualquier interacción con el banner, y el visitante no puede rechazarlas. Por eso la mayoría de los banners muestran esta categoría como siempre activa.
No necesitar consentimiento no significa no tener obligaciones:
- La información sigue siendo recomendable. Incluya cada cookie necesaria en su política de cookies con su finalidad, proveedor y duración. Las normas de transparencia del RGPD lo exigen en cuanto hay datos personales.
- El RGPD sigue aplicándose cuando la cookie afecta a datos personales, como un identificador de sesión vinculado a una cuenta. Necesita una base jurídica (normalmente el contrato o el interés legítimo), una política de privacidad y medidas de seguridad.
- Sin finalidades ocultas. Si una cookie necesaria también se usa para analítica o publicidad, necesita consentimiento en su conjunto.
Si su sitio se dirige a España, revise también la LOPDGDD, que completa el RGPD en el derecho español.
¿Es seguro aceptar las cookies esenciales?
Desde el punto de vista del visitante, sí. Las cookies esenciales hacen funcionar el inicio de sesión, el carrito o el formulario, y un sitio que respeta las normas no las usa para nada más. En realidad no las «acepta»: se instalan sea cual sea su elección.
Si elige «Solo cookies necesarias» o «Rechazar todas», el sitio puede mantener sus cookies esenciales, pero no debe instalar cookies de analítica, publicidad ni otras opcionales. Si después de esa elección encuentra _ga o una cookie de Meta en su navegador, es el sitio quien incumple las normas.
¿Cuánto puede durar una cookie estrictamente necesaria?
No existe una duración máxima legal única para las cookies esenciales, pero debe ser proporcional a su finalidad. Las cookies de inicio de sesión y de carrito suelen ser cookies de sesión, que desaparecen al cerrar el navegador. Una cookie de «recordarme» o la cookie de consentimiento pueden durar más, porque su finalidad lo requiere.
Una cookie clasificada como necesaria que guarda un identificador único durante dos años debería plantear una pregunta: ¿qué servicio presta que no podría prestar una cookie más corta?
Cómo comprobar qué cookies de su sitio son estrictamente necesarias
- Analice su sitio con un navegador limpio y anote cada cookie y entrada de almacenamiento instalada antes de cualquier clic en el banner.
- Identifique cada una: nombre, dominio, proveedor, duración y función. La documentación del proveedor suele bastar.
- Aplique la prueba de las tres preguntas cookie por cookie.
- Mueva las que no la superen a la categoría correcta (analítica, marketing o preferencias), para que queden bloqueadas hasta el consentimiento.
- Vuelva a analizar tras un rechazo para demostrar que solo quedan cookies necesarias.
Las plataformas de gestión del consentimiento automatizan parte de este trabajo. FlowConsent, por ejemplo, asigna cada servicio detectado a una categoría con una base jurídica documentada, de modo que un servicio como Google Analytics no acabe por error entre las cookies necesarias.
Cómo gestiona FlowConsent las cookies estrictamente necesarias
FlowConsent mantiene activas las cookies esenciales desde la primera carga de página y bloquea todas las demás categorías hasta que el visitante da su consentimiento. El análisis automático de cookies detecta los servicios que carga su sitio y los vincula a un catálogo actualizado, donde cada servicio lleva su categoría y su base jurídica plausible: consentimiento, contrato, interés legítimo o una posible exención de la CNIL. Las cookies esenciales aparecen después en la declaración de cookies generada, con su finalidad y duración. Tras un rechazo, el análisis de cumplimiento muestra qué cookies permanecen, para que pueda demostrar que solo quedan las necesarias. La instalación lleva unos diez minutos y FlowConsent es gratuito hasta 25 000 sesiones al mes. Consulte cómo funcionan los servicios, las categorías y las bases jurídicas.