> ¿Cuánto pueden durar las cookies y el consentimiento? Regla de los 13 meses, 6 meses de validez, duración por categoría, ajustes de GA4 y checklist. > > Canonical: https://www.flowconsent.com/es/blog/duracion-cookies-rgpd-regla-13-meses [Normativa](https://www.flowconsent.com/es/blog?category=regulation) # Duración de las cookies y RGPD: la regla de los 13 meses Publicado el 7 de julio de 2026 · Actualizado el 2 de octubre de 2026 · 9 min de lectura En resumen ningún texto europeo fija una duración máxima única para todas las cookies. La referencia que usa el mercado viene de la autoridad francesa, la CNIL: una vida útil de **13 meses** como máximo para las cookies analíticas y publicitarias, y una elección del usuario guardada unos **6 meses** antes de volver a preguntar. Detrás de esas cifras hay un principio del RGPD: cada cookie, y cada dato que recoge, solo debe conservarse el tiempo que exija su finalidad, y esa duración debe figurar en su política de cookies. La duración de las cookies es uno de los aspectos peor configurados en la práctica. Muchos responsables de sitios web confunden tres relojes distintos: la vida útil de la cookie en el navegador, la validez del consentimiento y la conservación de los datos recogidos en los servidores del proveedor. Cada uno tiene sus propias reglas. Esta guía explica el marco aplicable, la duración adecuada para cada categoría de cookie, cómo configurar Google Analytics 4 y su CMP, y los errores que debe evitar. ## ¿Qué dice la normativa sobre la duración de las cookies? No existe una duración máxima universal, pero sí un principio claro: la conservación debe ser proporcionada a la finalidad de la cookie. Una cookie que ya no sirve para nada no debería seguir existiendo. Varios textos se aplican a la vez: - la **Directiva ePrivacy** (2002/58/CE), incorporada en España en el artículo 22.2 de la LSSI, que exige el consentimiento antes de almacenar o leer información no esencial en el dispositivo; - el **RGPD**, en especial el principio de limitación del plazo de conservación (artículo 5.1.e) y la obligación de transparencia, que le obliga a informar de la duración de cada cookie; - las **guías de las autoridades de control**, que convierten esos principios en cifras concretas. La AEPD, en su Guía sobre el uso de las cookies, considera buena práctica que el consentimiento no dure más de 24 meses, pero no fija una vida útil máxima para cada cookie. Las directrices de la CNIL de 2020 son las más precisas y las más estrictas publicadas, por eso se han convertido en el estándar de mercado para cualquier sitio con público europeo. ## La regla de los 13 meses explicada La CNIL recomienda limitar a **13 meses** la vida útil de los rastreadores instalados en el dispositivo del usuario. Más allá de ese plazo, una cookie no esencial se considera desproporcionada respecto a su finalidad, salvo que pueda justificarlo. Para las cookies de medición de audiencia que pueden funcionar sin consentimiento (la exención de la CNIL), las condiciones son aún más precisas: vida útil de 13 meses como máximo, una duración que **no se prorroga automáticamente** en cada nueva visita y datos recogidos conservados **25 meses** como máximo. ### ¿Recomendación u obligación? Los 13 meses son una recomendación, no un artículo de ley exigible por sí mismo. Pero la CNIL los utiliza como criterio de evaluación en sus inspecciones, y cualquier autoridad le pedirá que justifique una duración más larga. Un sitio que fija sus cookies analíticas en 2 años sin justificación se expone a advertencias o sanciones. En la práctica, trate los 13 meses como un techo y documente cualquier excepción. ### La trampa de los valores por defecto: GA4 y píxeles publicitarios Muchas herramientas superan los 13 meses desde la instalación. Google Analytics 4 instala `_ga` y `_ga_` con una duración por defecto de **2 años**, que se renueva en cada visita. Las plataformas publicitarias (Meta Pixel, Google Ads, LinkedIn Insight Tag) suelen usar entre 1 y 2 años. Su CMP decide _si_ esas cookies se instalan, pero no controla la duración que fija el tercero: redúzcala en la herramienta cuando sea posible y, si no, declárela tal como la define el tercero. Para el detalle de cada cookie de Google, consulte [las cookies \_ga, \_gid y \_gat explicadas](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd). ## Duración recomendada por categoría de cookie ### Cookies estrictamente necesarias Sin límite fijo, pero con una duración proporcionada. Una cookie de autenticación suele caducar al cerrar la sesión, o tras un plazo razonable como 30 días para una opción de «mantener la sesión iniciada». Una cookie de preferencia de idioma puede durar legítimamente 1 año. Estas cookies no requieren consentimiento, pero deben figurar con su duración en la política de cookies. ### Cookies funcionales La duración depende de la finalidad. Una cookie de carrito puede durar 30 días; una de personalización de la interfaz, hasta 1 año. Una cookie funcional de un año sin justificación técnica es discutible. La regla: la duración más corta que permita que el servicio funcione. ### Cookies analíticas 13 meses como máximo, sin prórroga automática si se acoge a una exención de consentimiento. Matomo, Adobe Analytics o GA4 usan cookies con duraciones variables: revíselas una a una en lugar de fiarse de los valores por defecto. ### Cookies publicitarias y de retargeting También 13 meses como máximo. Son las que más a menudo superan la recomendación, porque su duración la fija la plataforma publicitaria. Reduzca lo que pueda y declare el resto con precisión. ### Cookies de sesión Las cookies sin fecha de caducidad se eliminan al cerrar el navegador. Compruebe que realmente lo son: algunas cookies presentadas como de sesión son en realidad persistentes. ## Validez del consentimiento: por qué unos 6 meses La vida útil de la cookie y la validez del consentimiento son dos cosas distintas, y confundirlas es el error más habitual. - La **vida útil de la cookie** es el tiempo que el archivo permanece en el dispositivo. - La **validez del consentimiento** es el periodo durante el que puede considerar vigente la elección del usuario sin volver a preguntarle. La CNIL considera que esta duración debe valorarse caso por caso, según el sitio y su audiencia, y que conservar la elección durante **6 meses** es una práctica adecuada. En concreto, si un usuario aceptó las cookies el 1 de enero, el banner debería volver a aparecer hacia el 1 de julio, salvo que haya cambiado sus preferencias entretanto. El mismo razonamiento vale para el **rechazo**. Quien ha pulsado «Rechazar» no debe recibir la pregunta en cada página: conserve su rechazo durante un periodo comparable y, después, podrá volver a preguntar. Insistir demasiado presiona al usuario, pone en duda que el consentimiento sea libre y alimenta la [fatiga del consentimiento](https://www.flowconsent.com/es/blog/fatiga-consentimiento-banner-cookies) en lugar de elecciones informadas. Las demás condiciones de un consentimiento válido están en nuestra guía sobre las [condiciones de validez del consentimiento RGPD](https://www.flowconsent.com/es/blog/consentimiento-rgpd-condiciones-validez). ¿6 o 24 meses? La AEPD admite hasta 24 meses, la CNIL recomienda 6. Si su público es europeo, alinearse con 6 meses cubre la lectura más estricta. Además, debe volver a preguntar antes si cambia algo importante: una nueva finalidad, un nuevo proveedor o un banner modificado de forma sustancial. ## El tercer reloj: la conservación de los datos en el proveedor Los 13 meses se refieren al archivo instalado en el dispositivo. Los datos recogidos mediante esa cookie, por ejemplo los eventos de GA4, tienen su propio plazo de conservación en los servidores de Google o del proveedor de analítica. Ese plazo se rige por el RGPD y por las condiciones del servicio. En GA4, la conservación de datos de una propiedad estándar puede fijarse en **2 meses o 14 meses** (Administrar > Recogida y modificación de datos > Conservación de datos). Elija el valor más corto que cubra sus necesidades de análisis y documéntelo. Si se acoge a la exención de la CNIL, los datos recogidos no deben conservarse más de 25 meses. Para la cuestión general, lea [¿Google Analytics cumple el RGPD?](https://www.flowconsent.com/es/blog/google-analytics-conforme-rgpd). ## Cómo configurar las duraciones en la práctica ### Google Analytics 4 GA4 permite sustituir la configuración de cookies de un flujo web: en Administrar > Flujos de datos > su flujo > Configurar los ajustes de la etiqueta, abra la opción para **anular la configuración de las cookies** y fije una caducidad más corta. Con gtag.js, el parámetro `cookie_expires` (en segundos) define la vida útil: 13 meses equivalen a unos `34128000` segundos (395 días). Con `cookie_update` en `false`, la caducidad no se renueva en cada visita, lo que corresponde a la condición de la CNIL para la medición exenta. ### Su CMP Su CMP guarda la elección del usuario en una cookie o en el localStorage. Ese registro de consentimiento necesita su propia duración coherente, y la CMP debe: - volver a mostrar el banner cuando caduca el consentimiento (6 meses recomendados); - conservar los rechazos igual que las aceptaciones, para no preguntar en cada visita; - invalidar las elecciones guardadas cuando cambia su configuración (nuevo proveedor, nueva finalidad); - registrar la fecha, la versión del banner y la duración de cada elección, para poder demostrarla. Una CMP como FlowConsent le permite configurar la validez del consentimiento y gestiona automáticamente la nueva visualización del banner, registrando la fecha y hora, la versión y la duración de cada consentimiento. En el servidor, el [SDK de servidor de FlowConsent](https://www.flowconsent.com/es/doc/server-sdk) devuelve un motivo como `expired` o `version_mismatch` cuando una elección guardada ya no puede usarse, y puede invalidar las elecciones anteriores a un cambio de configuración. Para conservar pruebas sólidas, consulte [qué guardar como prueba del consentimiento de cookies](https://www.flowconsent.com/es/blog/prueba-consentimiento-cookies-que-guardar). ### Su política de cookies Cada cookie de su [política de cookies](https://www.flowconsent.com/es/blog/politica-de-cookies-rgpd-guia) debe indicar su duración, exacta o como intervalo por categoría. Omitirla incumple la obligación de transparencia. En FlowConsent, la [declaración de cookies](https://www.flowconsent.com/es/doc/cookie-declaration) se genera a partir de sus servicios activos, con la duración de cada cookie tal como debe mostrarse a los visitantes, y usted añade sus propias cookies de origen con los mismos campos. ## Errores frecuentes **Dejar las duraciones por defecto de terceros.** GA4, Meta Pixel y LinkedIn usan entre 1 y 2 años. Configure cada herramienta cuando lo permita. **Confundir vida útil de la cookie y validez del consentimiento.** 13 meses para la cookie, unos 6 meses para la elección: dos parámetros separados que se configuran por separado. **Confundir vida útil de la cookie y conservación de los datos.** Uno afecta al archivo en el dispositivo; el otro, a los datos en los servidores del responsable o del encargado. **No renovar nunca el consentimiento.** Un consentimiento recogido una sola vez pierde valor con el tiempo. El banner debe reaparecer al caducar para quienes aceptaron. **Volver a preguntar tras un rechazo en cada visita.** Un rechazo debe recordarse tanto tiempo como una aceptación. **Aplicar la misma duración a todas las cookies.** Las funcionales deben tener la duración más corta suficiente; las analíticas y publicitarias no deben superar los 13 meses. **Olvidar las cookies de los scripts incrustados.** Reproductores de vídeo, widgets y botones para compartir suelen instalar sus propias cookies de larga duración. Solo un escaneo del sitio en producción las revela. **No documentar las duraciones.** Ninguna duración en la política de cookies, o una lista que ya no coincide con lo que el sitio instala realmente. ## Checklist de cumplimiento sobre la duración de las cookies 1. Audite todas las cookies activas del sitio y anote su caducidad real (DevTools del navegador o un escáner). Nuestra [guía completa de auditoría de cookies](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa) detalla el método. 2. Compruebe que las cookies analíticas y publicitarias no superan los 13 meses y reduzca los valores por defecto de GA4 y otras herramientas. 3. Si se acoge a una exención de consentimiento, desactive la prórroga automática de la cookie de medición y conserve los datos 25 meses como máximo. 4. Fije la validez del consentimiento en unos 6 meses en la CMP, tanto para aceptaciones como para rechazos. 5. Verifique que el banner reaparece automáticamente cuando caduca el consentimiento y cuando cambian sus finalidades o proveedores. 6. Ajuste la conservación de datos de GA4 al valor más corto que cubra sus necesidades. 7. Compruebe que las cookies de sesión caducan realmente al cerrar el navegador. 8. Indique la duración de cada cookie, o un intervalo por categoría, en la política de cookies. 9. Asegúrese de que las pruebas de consentimiento incluyen la fecha y la caducidad de cada elección. 10. Documente la justificación de las duraciones elegidas en su registro de actividades de tratamiento. 11. Vuelva a revisar las duraciones tras cada actualización de la CMP, de la herramienta de analítica o de los scripts del sitio. ## Compruebe lo que su sitio instala realmente Las reglas sobre la duración de las cookies no son complicadas, pero solo se cumplen si la configuración coincide con la realidad. Una [verificación de cumplimiento de FlowConsent](https://www.flowconsent.com/es/doc/compliance-verification) carga sus páginas en un navegador real, rechaza el consentimiento y lista las cookies no esenciales que aún se instalan; el informe de prueba fechado muestra el dominio y la caducidad de cada una. Además, cualquier cookie detectada por el escaneo pero ausente de su declaración genera una alerta que usted corrige con un clic. Empiece por [escanear su sitio](https://www.flowconsent.com/es/scan) para conocer la vida útil real de cada cookie y localizar las que superan los 13 meses. [Volver al blog](https://www.flowconsent.com/es/blog) Compartir el artículo · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fduracion-cookies-rgpd-regla-13-meses) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fduracion-cookies-rgpd-regla-13-meses) Preguntas ## Preguntas frecuentes sobre este tema. ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué es la regla de los 13 meses para las cookies? La autoridad de protección de datos francesa CNIL exige que el consentimiento de cookies se renueve al menos cada 13 meses. Si un usuario aceptó cookies hace 13 meses y no ha vuelto a ver el banner de consentimiento desde entonces, su consentimiento se considera expirado y debe volver a recogerse. Esta regla pretende garantizar que el consentimiento sea actual y refleje las preferencias reales del usuario. ### ¿La regla de los 13 meses se aplica a todas las cookies? La regla de los 13 meses se refiere específicamente a la renovación del consentimiento. Se aplica a todas las cookies que requieren consentimiento, es decir, las cookies analíticas y publicitarias. Las cookies estrictamente necesarias (esenciales para el funcionamiento del sitio) no requieren consentimiento y, por tanto, no están sujetas a este límite. La duración técnica de almacenamiento de las cookies es un asunto separado del período de renovación del consentimiento. ### ¿Cómo implementar técnicamente la renovación de 13 meses? Su CMP (plataforma de gestión del consentimiento) debe almacenar la fecha de consentimiento de cada usuario junto con su elección. Cuando un usuario recurrente visita su sitio, la CMP comprueba si han pasado 13 meses desde su último consentimiento. Si es así, vuelve a mostrar el banner para recoger un nuevo consentimiento. La mayoría de las CMP conformes gestionan esto automáticamente, pero vale la pena verificar que este mecanismo esté correctamente configurado. ### ¿La regla de los 13 meses se aplica en toda Europa o solo en Francia? La regla de los 13 meses es específica de las directrices de la CNIL francesa. Otras autoridades europeas de protección de datos pueden tener orientaciones diferentes: algunas especifican períodos de renovación de 6 o 12 meses, o abordan otros aspectos de la duración del consentimiento. Según el RGPD, el principio general es que el consentimiento debe permanecer libre, específico, informado y actual. Consulte las directrices de la autoridad de su país de establecimiento. ### ¿Cuáles son los riesgos de no renovar el consentimiento después de 13 meses? No renovar el consentimiento después de 13 meses constituye una infracción de las directrices de la CNIL y podría resultar en un requerimiento formal o una sanción económica en caso de control o denuncia. Más ampliamente, el uso de cookies basado en un consentimiento expirado viola el principio de consentimiento válido del RGPD. Es, por tanto, un riesgo tanto legal como reputacional, especialmente en el contexto de una creciente aplicación regulatoria. Siga leyendo ## Para saber más. [Todos los artículos](https://www.flowconsent.com/es/blog) [Herramientas de marketing · 1 de julio de 2026](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) ### [Cookies \_ga, \_gid y \_gat explicadas: finalidad, duración y consentimiento RGPD](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) [Qué hacen las cookies de Google Analytics \_ga, \_ga\_\, \_gid y \_gat, cuánto duran, por qué la AEPD exige consentimiento y qué cambia con Consent Mode v2.](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) [Leer el artículo ](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd)· [Herramientas de marketing · 29 de junio de 2026](https://www.flowconsent.com/es/blog/cookies-fbp-fbc-meta-explicadas) ### [Cookies \_fbp y \_fbc: qué son, duración y consentimiento](https://www.flowconsent.com/es/blog/cookies-fbp-fbc-meta-explicadas) [Qué contienen las cookies \_fbp y \_fbc del Píxel de Meta, cuánto duran, cómo se relacionan con fbclid y la API de Conversiones y cómo bloquearlas hasta que el usuario acepte.](https://www.flowconsent.com/es/blog/cookies-fbp-fbc-meta-explicadas) [Leer el artículo ](https://www.flowconsent.com/es/blog/cookies-fbp-fbc-meta-explicadas)· [Normativa · 23 de junio de 2026](https://www.flowconsent.com/es/blog/consentimiento-rgpd-condiciones-validez) ### [Consentimiento RGPD: las 7 condiciones de validez](https://www.flowconsent.com/es/blog/consentimiento-rgpd-condiciones-validez) [El consentimiento RGPD solo es válido si es libre, específico, informado, inequívoco, previo, demostrable y revocable. Esta guía explica cada condición, cuándo es obligatorio el consentimiento y las normas relacionadas: dark patterns, señales publicitarias y leyes fuera de la UE.](https://www.flowconsent.com/es/blog/consentimiento-rgpd-condiciones-validez) [Leer el artículo](https://www.flowconsent.com/es/blog/consentimiento-rgpd-condiciones-validez) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)