La duración de las cookies es uno de los aspectos peor configurados en la práctica. Muchos responsables de sitios web confunden tres relojes distintos: la vida útil de la cookie en el navegador, la validez del consentimiento y la conservación de los datos recogidos en los servidores del proveedor. Cada uno tiene sus propias reglas. Esta guía explica el marco aplicable, la duración adecuada para cada categoría de cookie, cómo configurar Google Analytics 4 y su CMP, y los errores que debe evitar.
¿Qué dice la normativa sobre la duración de las cookies?
No existe una duración máxima universal, pero sí un principio claro: la conservación debe ser proporcionada a la finalidad de la cookie. Una cookie que ya no sirve para nada no debería seguir existiendo.
Varios textos se aplican a la vez:
- la Directiva ePrivacy (2002/58/CE), incorporada en España en el artículo 22.2 de la LSSI, que exige el consentimiento antes de almacenar o leer información no esencial en el dispositivo;
- el RGPD, en especial el principio de limitación del plazo de conservación (artículo 5.1.e) y la obligación de transparencia, que le obliga a informar de la duración de cada cookie;
- las guías de las autoridades de control, que convierten esos principios en cifras concretas.
La AEPD, en su Guía sobre el uso de las cookies, considera buena práctica que el consentimiento no dure más de 24 meses, pero no fija una vida útil máxima para cada cookie. Las directrices de la CNIL de 2020 son las más precisas y las más estrictas publicadas, por eso se han convertido en el estándar de mercado para cualquier sitio con público europeo.
La regla de los 13 meses explicada
La CNIL recomienda limitar a 13 meses la vida útil de los rastreadores instalados en el dispositivo del usuario. Más allá de ese plazo, una cookie no esencial se considera desproporcionada respecto a su finalidad, salvo que pueda justificarlo.
Para las cookies de medición de audiencia que pueden funcionar sin consentimiento (la exención de la CNIL), las condiciones son aún más precisas: vida útil de 13 meses como máximo, una duración que no se prorroga automáticamente en cada nueva visita y datos recogidos conservados 25 meses como máximo.
¿Recomendación u obligación?
Los 13 meses son una recomendación, no un artículo de ley exigible por sí mismo. Pero la CNIL los utiliza como criterio de evaluación en sus inspecciones, y cualquier autoridad le pedirá que justifique una duración más larga. Un sitio que fija sus cookies analíticas en 2 años sin justificación se expone a advertencias o sanciones. En la práctica, trate los 13 meses como un techo y documente cualquier excepción.
La trampa de los valores por defecto: GA4 y píxeles publicitarios
Muchas herramientas superan los 13 meses desde la instalación. Google Analytics 4 instala _ga y _ga_<ID> con una duración por defecto de 2 años, que se renueva en cada visita. Las plataformas publicitarias (Meta Pixel, Google Ads, LinkedIn Insight Tag) suelen usar entre 1 y 2 años. Su CMP decide si esas cookies se instalan, pero no controla la duración que fija el tercero: redúzcala en la herramienta cuando sea posible y, si no, declárela tal como la define el tercero. Para el detalle de cada cookie de Google, consulte las cookies _ga, _gid y _gat explicadas.
Duración recomendada por categoría de cookie
Cookies estrictamente necesarias
Sin límite fijo, pero con una duración proporcionada. Una cookie de autenticación suele caducar al cerrar la sesión, o tras un plazo razonable como 30 días para una opción de «mantener la sesión iniciada». Una cookie de preferencia de idioma puede durar legítimamente 1 año. Estas cookies no requieren consentimiento, pero deben figurar con su duración en la política de cookies.
Cookies funcionales
La duración depende de la finalidad. Una cookie de carrito puede durar 30 días; una de personalización de la interfaz, hasta 1 año. Una cookie funcional de un año sin justificación técnica es discutible. La regla: la duración más corta que permita que el servicio funcione.
Cookies analíticas
13 meses como máximo, sin prórroga automática si se acoge a una exención de consentimiento. Matomo, Adobe Analytics o GA4 usan cookies con duraciones variables: revíselas una a una en lugar de fiarse de los valores por defecto.
Cookies publicitarias y de retargeting
También 13 meses como máximo. Son las que más a menudo superan la recomendación, porque su duración la fija la plataforma publicitaria. Reduzca lo que pueda y declare el resto con precisión.
Cookies de sesión
Las cookies sin fecha de caducidad se eliminan al cerrar el navegador. Compruebe que realmente lo son: algunas cookies presentadas como de sesión son en realidad persistentes.
Validez del consentimiento: por qué unos 6 meses
La vida útil de la cookie y la validez del consentimiento son dos cosas distintas, y confundirlas es el error más habitual.
- La vida útil de la cookie es el tiempo que el archivo permanece en el dispositivo.
- La validez del consentimiento es el periodo durante el que puede considerar vigente la elección del usuario sin volver a preguntarle.
La CNIL considera que esta duración debe valorarse caso por caso, según el sitio y su audiencia, y que conservar la elección durante 6 meses es una práctica adecuada. En concreto, si un usuario aceptó las cookies el 1 de enero, el banner debería volver a aparecer hacia el 1 de julio, salvo que haya cambiado sus preferencias entretanto.
El mismo razonamiento vale para el rechazo. Quien ha pulsado «Rechazar» no debe recibir la pregunta en cada página: conserve su rechazo durante un periodo comparable y, después, podrá volver a preguntar. Insistir demasiado presiona al usuario, pone en duda que el consentimiento sea libre y alimenta la fatiga del consentimiento en lugar de elecciones informadas. Las demás condiciones de un consentimiento válido están en nuestra guía sobre las condiciones de validez del consentimiento RGPD.
¿6 o 24 meses? La AEPD admite hasta 24 meses, la CNIL recomienda 6. Si su público es europeo, alinearse con 6 meses cubre la lectura más estricta. Además, debe volver a preguntar antes si cambia algo importante: una nueva finalidad, un nuevo proveedor o un banner modificado de forma sustancial.
El tercer reloj: la conservación de los datos en el proveedor
Los 13 meses se refieren al archivo instalado en el dispositivo. Los datos recogidos mediante esa cookie, por ejemplo los eventos de GA4, tienen su propio plazo de conservación en los servidores de Google o del proveedor de analítica. Ese plazo se rige por el RGPD y por las condiciones del servicio.
En GA4, la conservación de datos de una propiedad estándar puede fijarse en 2 meses o 14 meses (Administrar > Recogida y modificación de datos > Conservación de datos). Elija el valor más corto que cubra sus necesidades de análisis y documéntelo. Si se acoge a la exención de la CNIL, los datos recogidos no deben conservarse más de 25 meses. Para la cuestión general, lea ¿Google Analytics cumple el RGPD?.
Cómo configurar las duraciones en la práctica
Google Analytics 4
GA4 permite sustituir la configuración de cookies de un flujo web: en Administrar > Flujos de datos > su flujo > Configurar los ajustes de la etiqueta, abra la opción para anular la configuración de las cookies y fije una caducidad más corta. Con gtag.js, el parámetro cookie_expires (en segundos) define la vida útil: 13 meses equivalen a unos 34128000 segundos (395 días). Con cookie_update en false, la caducidad no se renueva en cada visita, lo que corresponde a la condición de la CNIL para la medición exenta.
Su CMP
Su CMP guarda la elección del usuario en una cookie o en el localStorage. Ese registro de consentimiento necesita su propia duración coherente, y la CMP debe:
- volver a mostrar el banner cuando caduca el consentimiento (6 meses recomendados);
- conservar los rechazos igual que las aceptaciones, para no preguntar en cada visita;
- invalidar las elecciones guardadas cuando cambia su configuración (nuevo proveedor, nueva finalidad);
- registrar la fecha, la versión del banner y la duración de cada elección, para poder demostrarla.
Una CMP como FlowConsent le permite configurar la validez del consentimiento y gestiona automáticamente la nueva visualización del banner, registrando la fecha y hora, la versión y la duración de cada consentimiento. En el servidor, el SDK de servidor de FlowConsent devuelve un motivo como expired o version_mismatch cuando una elección guardada ya no puede usarse, y puede invalidar las elecciones anteriores a un cambio de configuración. Para conservar pruebas sólidas, consulte qué guardar como prueba del consentimiento de cookies.
Su política de cookies
Cada cookie de su política de cookies debe indicar su duración, exacta o como intervalo por categoría. Omitirla incumple la obligación de transparencia. En FlowConsent, la declaración de cookies se genera a partir de sus servicios activos, con la duración de cada cookie tal como debe mostrarse a los visitantes, y usted añade sus propias cookies de origen con los mismos campos.
Errores frecuentes
Dejar las duraciones por defecto de terceros. GA4, Meta Pixel y LinkedIn usan entre 1 y 2 años. Configure cada herramienta cuando lo permita.
Confundir vida útil de la cookie y validez del consentimiento. 13 meses para la cookie, unos 6 meses para la elección: dos parámetros separados que se configuran por separado.
Confundir vida útil de la cookie y conservación de los datos. Uno afecta al archivo en el dispositivo; el otro, a los datos en los servidores del responsable o del encargado.
No renovar nunca el consentimiento. Un consentimiento recogido una sola vez pierde valor con el tiempo. El banner debe reaparecer al caducar para quienes aceptaron.
Volver a preguntar tras un rechazo en cada visita. Un rechazo debe recordarse tanto tiempo como una aceptación.
Aplicar la misma duración a todas las cookies. Las funcionales deben tener la duración más corta suficiente; las analíticas y publicitarias no deben superar los 13 meses.
Olvidar las cookies de los scripts incrustados. Reproductores de vídeo, widgets y botones para compartir suelen instalar sus propias cookies de larga duración. Solo un escaneo del sitio en producción las revela.
No documentar las duraciones. Ninguna duración en la política de cookies, o una lista que ya no coincide con lo que el sitio instala realmente.
Checklist de cumplimiento sobre la duración de las cookies
- Audite todas las cookies activas del sitio y anote su caducidad real (DevTools del navegador o un escáner). Nuestra guía completa de auditoría de cookies detalla el método.
- Compruebe que las cookies analíticas y publicitarias no superan los 13 meses y reduzca los valores por defecto de GA4 y otras herramientas.
- Si se acoge a una exención de consentimiento, desactive la prórroga automática de la cookie de medición y conserve los datos 25 meses como máximo.
- Fije la validez del consentimiento en unos 6 meses en la CMP, tanto para aceptaciones como para rechazos.
- Verifique que el banner reaparece automáticamente cuando caduca el consentimiento y cuando cambian sus finalidades o proveedores.
- Ajuste la conservación de datos de GA4 al valor más corto que cubra sus necesidades.
- Compruebe que las cookies de sesión caducan realmente al cerrar el navegador.
- Indique la duración de cada cookie, o un intervalo por categoría, en la política de cookies.
- Asegúrese de que las pruebas de consentimiento incluyen la fecha y la caducidad de cada elección.
- Documente la justificación de las duraciones elegidas en su registro de actividades de tratamiento.
- Vuelva a revisar las duraciones tras cada actualización de la CMP, de la herramienta de analítica o de los scripts del sitio.
Compruebe lo que su sitio instala realmente
Las reglas sobre la duración de las cookies no son complicadas, pero solo se cumplen si la configuración coincide con la realidad. Una verificación de cumplimiento de FlowConsent carga sus páginas en un navegador real, rechaza el consentimiento y lista las cookies no esenciales que aún se instalan; el informe de prueba fechado muestra el dominio y la caducidad de cada una. Además, cualquier cookie detectada por el escaneo pero ausente de su declaración genera una alerta que usted corrige con un clic.
Empiece por escanear su sitio para conocer la vida útil real de cada cookie y localizar las que superan los 13 meses.