Hay una verdad incómoda sobre la web europea: una gran parte de los banners de cookies que ve cada día no son conformes. Usan colores, textos y jerarquías de botones diseñados para conseguir un sí rápido. La AEPD llama a estas interfaces engañosas patrones oscuros, o dark patterns, y su Guía sobre el uso de las cookies explica qué es aceptable y qué no. Las sanciones son reales: a finales de 2021, la CNIL francesa multó a Google con 150 millones de euros y a Facebook con 60 millones porque rechazar las cookies costaba más esfuerzo que aceptarlas. En nuestro repaso de sanciones reales de la CNIL encontrará más casos.
¿Qué hace que un banner de cookies sea conforme al RGPD?
El banner de cookies es la interfaz que aparece cuando llega un visitante para informarle de los rastreadores que usa el sitio y permitirle aceptarlos o rechazarlos. Es la primera capa de información: un resumen breve de las finalidades, completado con un enlace a su política de cookies, que recoge el detalle (segunda capa).
El consentimiento obtenido debe ser libre, específico, informado e inequívoco, como exigen los artículos 4.11 y 7 del RGPD; en España, el artículo 22.2 de la LSSI exige además ese consentimiento para instalar cookies no necesarias. En la práctica, el usuario debe poder rechazar sin esfuerzo adicional, entender a qué dice que sí y cambiar de opinión con facilidad. El banner no es, por tanto, un simple elemento gráfico: es el mecanismo jurídico que demuestra que usted obtuvo un consentimiento válido antes de instalar cualquier rastreador no esencial.
Los cuatro principios que debe respetar
Primero, información clara. El usuario debe saber qué categorías de cookies se usan y para qué, en lenguaje sencillo y sin jerga innecesaria. Segundo, una elección real. El botón de rechazo debe estar tan visible y accesible como el de aceptación, en la primera pantalla. Tercero, nada premarcado. El consentimiento debe nacer de una acción positiva, nunca de la inacción ni de una casilla ya activada. Cuarto, retirada sencilla. Retirar el consentimiento debe ser tan fácil como darlo, por ejemplo con un enlace permanente en el pie de página o un botón flotante presente en todas las páginas.
Si quiere profundizar, nuestra guía sobre las condiciones de validez del consentimiento en el RGPD explica cada criterio y su peso jurídico.
Un detalle que a menudo se olvida: estos principios deben cumplirse a la vez. Un banner puede informar a la perfección y ofrecer categorías granulares, pero si marca por defecto una sola casilla o esconde el botón de rechazo, deja de ser conforme. La conformidad no se mide por su mejor botón, sino por el más débil. Por eso una auditoría honesta revisa cada criterio por separado, en lugar de fiarse de la impresión general.
Los elementos obligatorios en pantalla
Traducido a componentes de interfaz, un banner conforme incluye:
- un texto informativo que nombra las principales categorías de finalidades (analítica, publicidad, personalización) en lenguaje claro;
- un botón Aceptar todo;
- un botón Rechazar todo, tan visible y accesible como el de aceptar;
- un botón Configurar (o Gestionar preferencias) que abre una elección granular por categoría;
- un enlace a la política de cookies con la información detallada.
La ausencia del botón Rechazar en la primera capa, o su traslado a un submenú menos visible, es el incumplimiento más sancionado.
Qué deben decir los botones (sin dark patterns)
El texto de los botones importa tanto como su diseño. Use términos neutros y simétricos como Aceptar todo y Rechazar todo. Evite fórmulas que culpabilizan, del tipo No, gracias, prefiero una experiencia peor. Evite también esconder el rechazo detrás de varios clics. El principio rector es la equivalencia: rechazar debe requerir el mismo número de clics y el mismo esfuerzo que aceptar. Un banner que sitúa el rechazo dos o tres niveles más abajo rompe este principio, aunque la palabra rechazar aparezca en algún sitio.
Buenos ejemplos de banners de cookies (con análisis)
Estos cinco modelos respetan el espíritu y la letra del RGPD. Ninguno necesita una imagen para entenderse: lo que cuenta es la estructura y el texto.
Ejemplo 1: el banner por capas. Una primera capa muestra un resumen corto (para qué se usan cookies y las categorías principales) con un enlace Más información que abre el detalle. El usuario no se ahoga en información, pero la tiene a un clic. Qué hace bien: combina brevedad y transparencia sin sacrificar ninguna de las dos.
Ejemplo 2: botones con el mismo peso. Aceptar todo y Rechazar todo tienen el mismo tamaño, color y posición. Ninguno destaca visualmente. Qué hace bien: elimina el sesgo visual y respeta la equivalencia que esperan las autoridades.
Ejemplo 3: categorías granulares. Un botón Configurar abre un panel con un interruptor por categoría (funcionales, analítica, marketing), todos desactivados por defecto salvo las cookies estrictamente necesarias. El visitante puede aceptar la analítica y rechazar la publicidad. Qué hace bien: permite un consentimiento específico, categoría por categoría, en lugar de un sí global forzado.
Ejemplo 4: acceso permanente a las preferencias. Un enlace Gestionar cookies o un pequeño botón flotante sigue disponible tras cerrar el banner. Qué hace bien: retirar el consentimiento es tan fácil como darlo, en cualquier momento de la visita.
Ejemplo 5: un texto honesto. El texto nunca equipara navegar con consentir. No dice Si continúa navegando, acepta. Espera una acción explícita del usuario. Qué hace bien: preserva el carácter inequívoco del consentimiento que exige el reglamento.
Estos cinco modelos no se excluyen entre sí. El mejor banner los combina: una primera capa breve y honesta, dos botones simétricos, acceso a las categorías en un clic y una forma permanente de cambiar la decisión. No necesita un diseño sofisticado, solo una estructura leal.
Qué formato elegir: barra, panel o ventana emergente
Las autoridades no imponen una posición concreta. Banner superior, barra inferior o ventana emergente centrada son válidos, siempre que el banner se vea con claridad y el visitante quede informado antes de que se active cualquier rastreador opcional. Tres formatos cubren casi todas las necesidades.
El banner minimalista de dos botones
Un texto corto, un botón Aceptar y otro Rechazar del mismo tamaño y estilo, y un enlace Más información a la política de cookies. Es el formato más sencillo y el que menos fricción genera. Encaja con webs corporativas y blogs que solo usan una o dos categorías opcionales.
El banner con panel de configuración
La misma primera capa más un tercer botón (Configurar o Gestionar preferencias) que abre un panel con las categorías y un interruptor para cada una. Es la opción adecuada para sitios que combinan analítica, publicidad y otras herramientas, y favorece el consentimiento parcial, porque nadie queda atrapado en un todo o nada.
La barra inferior
Una barra horizontal en la parte baja de la pantalla, con Aceptar y Rechazar alineados en la misma fila. Es menos intrusiva que una ventana centrada y sigue siendo visible. En móvil, compruebe que el botón de rechazo se ve entero sin desplazarse: ahí es donde la equivalencia suele romperse.
En FlowConsent, el Builder ofrece estos formatos como plantillas (mínimo, barra inferior, flotante, ancho completo, ventana emergente moderna) y mantiene los valores por defecto del RGPD (botones Aceptar y Rechazar equivalentes, bloqueo previo, categorías granulares) sea cual sea el estilo que aplique. Consulte cómo personalizar su banner.
Malos ejemplos de banners de cookies (dark patterns que evitar)
Las autoridades critican con frecuencia las siguientes prácticas. Crean la ilusión de una elección mientras orientan con fuerza la decisión. Nuestro artículo sobre dark patterns en los banners de cookies los analiza uno a uno.
Sin botón Rechazar en la primera capa. Si el visitante tiene que pulsar Configurar y desmarcar cada categoría para rechazar, rechazar no es tan fácil como aceptar.
Un botón de rechazo menos visible. Destacar Aceptar todo y relegar el rechazo a un pequeño enlace Ajustes, o mostrarlo como texto gris, rompe la equivalencia.
Jerarquía de colores. Un botón de aceptar verde intenso junto a uno de rechazar gris, pequeño o con poco contraste orienta la elección. Es un dark pattern clásico, aunque ambos botones estén presentes.
Casillas premarcadas. Una casilla ya marcada no es consentimiento. El Tribunal de Justicia de la Unión Europea lo confirmó en el asunto Planet49: el silencio o la inacción no valen como acuerdo. Todas las categorías opcionales deben estar desactivadas por defecto.
Lenguaje confuso. Frases como Acepto para seguir navegando mezclan el consentimiento con el acceso al sitio. El usuario ya no sabe si está consintiendo o simplemente confirmando que entra.
Seguir navegando equivale a consentir. Desplazarse por la página o pulsar un enlace no es una acción afirmativa clara. Solo cuenta un clic explícito en Aceptar (o en una categoría).
El muro de cookies. Condicionar el acceso al contenido a la aceptación de las cookies compromete la libertad del consentimiento. Solo se admite en casos limitados, por ejemplo cuando se ofrece una alternativa equitativa. Consulte cuándo puede ser legal un muro de cookies.
Cookies instaladas antes de elegir. Los scripts de analítica y publicidad deben seguir bloqueados hasta que el visitante acepte. Un banner impecable que deja que Google Analytics se active al cargar la página no es conforme. Solo una auditoría de cookies lo pone de manifiesto.
Retirar es más difícil que consentir. Si aceptar cuesta un clic y cambiar de opinión cuesta cinco, el banner no es conforme. La simetría se aplica a la retirada igual que al consentimiento.
Una prueba útil para detectar un dark pattern: pregúntese si el diseño ayuda al usuario a decidir o le ayuda a usted a obtener una respuesta concreta. Si todas las señales visuales y de texto apuntan al sí, el banner dirige en lugar de informar. Una segunda prueba es el cronómetro: mida cuánto se tarda en rechazar y cuánto en aceptar. Si rechazar lleva claramente más tiempo, tiene un problema de conformidad, digan lo que digan los botones.
¿Por qué persisten estas prácticas? A menudo por costumbre o por miedo a perder datos. Pero un banner engañoso crea un doble riesgo: una sanción de la AEPD y la pérdida de confianza de unos visitantes que detectan cada vez mejor estas manipulaciones. Vale más un consentimiento menos frecuente pero sólido que uno masivo pero jurídicamente frágil.
Mantener una buena tasa de consentimiento sin dark patterns
Cumplir la normativa y tener una tasa de consentimiento razonable no son incompatibles. Varias palancas funcionan sin manipular a nadie.
- Escriba un texto corto y comprensible. Una frase sobre para qué sirven las cookies (Usamos cookies para medir la audiencia y mejorar el sitio) funciona mejor que un párrafo legal intimidante.
- Ofrezca una elección granular. Quien lo rechaza todo suele hacerlo por desconfianza. Cuando puede aceptar la analítica y rechazar la publicidad, el consentimiento parcial aumenta.
- Cuide el diseño. Un banner con los colores y la tipografía de su web inspira más confianza que uno genérico. Eso nunca significa hacer menos visible el botón Rechazar.
- Pruebe formatos. La posición, el texto y la disposición influyen en el resultado. Mida cada cambio en lugar de suponer.
Nuestra guía para medir y mejorar la tasa de consentimiento detalla el método y las referencias.
Texto del banner de cookies: qué escribir (plantillas)
Adapte las plantillas siguientes a su sitio, a sus finalidades reales y a su idioma. No copie un texto que no corresponda a los rastreadores que instala de verdad. Un buen texto es corto, concreto y libre de fórmulas legales vacías.
Versión corta (adáptela).
Usamos cookies para que este sitio funcione y, con su consentimiento, para medir la audiencia y personalizar el contenido. Puede aceptar, rechazar o elegir por categoría. Puede cambiar su elección en cualquier momento desde el enlace Gestionar cookies del pie de página.
Versión completa (adáptela).
Este sitio usa cookies. Las cookies estrictamente necesarias mantienen las funciones básicas y no requieren su consentimiento. Las demás, de analítica y marketing, solo se instalan si las acepta. Las cookies de analítica nos ayudan a entender cómo se usa el sitio. Las de marketing nos permiten mostrarle contenido relevante. Puede aceptar todo, rechazar todo o configurar su elección por categorías. Ninguna casilla está marcada por defecto. Guardamos su decisión y puede retirarla o cambiarla en cualquier momento desde el enlace Gestionar cookies, sin que eso limite su acceso al contenido.
Algunas reglas útiles de redacción. Nombre las finalidades reales en lugar de categorías vagas. Indique el plazo de conservación cuando sea relevante. Evite las negaciones múltiples que enturbian el sentido. Y mencione las transferencias de datos fuera de la Unión Europea cuando sus herramientas de marketing las impliquen, porque esa información forma parte de un consentimiento informado.
Por último, mantenga la coherencia entre el banner y la política de cookies completa. Si el banner habla de tres categorías pero la política enumera diez rastreadores con nombres poco claros, ese desajuste debilita el carácter informado del consentimiento. Piense en el banner como el resumen breve y honesto de un documento más largo que cualquiera puede abrir con un clic.
Compruebe qué pasa de verdad después del clic
Un banner puede parecer impecable y aun así dejar escapar datos. La única prueba que vale es lo que se ejecuta cuando un visitante rechaza. Tras publicar, abra sus páginas en una ventana privada, rechace y revise en las pestañas Red y Almacenamiento del navegador que no sale ninguna petición de analítica ni de publicidad. FlowConsent automatiza esta comprobación con un escaneo en rechazo: carga sus páginas en un navegador real, rechaza el consentimiento, enumera todo lo que sigue activándose y archiva el resultado como un informe de prueba fechado. Guarde estas evidencias junto a sus pruebas de consentimiento.
Lista de verificación de conformidad del banner de cookies
- La información es clara, en lenguaje sencillo, e indica categorías y finalidades.
- El botón Rechazar todo es tan visible y accesible como Aceptar todo, en la primera pantalla.
- Un botón Configurar da acceso a categorías separadas y seleccionables (funcionales, analítica, marketing).
- Ninguna casilla está premarcada, salvo las cookies estrictamente necesarias.
- Rechazar requiere el mismo número de clics que aceptar.
- El diseño no favorece visualmente ningún botón, ni en escritorio ni en móvil.
- Ningún texto equipara navegar con consentir.
- El acceso al contenido no depende de aceptar las cookies.
- Hay un enlace a la política de cookies.
- No se instala ninguna cookie no esencial antes de obtener el consentimiento.
- Un enlace o botón permanente permite cambiar o retirar el consentimiento en cualquier momento.
- La prueba del consentimiento se guarda con fecha y hora.
- El comportamiento se verifica con un escaneo de cookies tras publicar y después de cada nueva etiqueta.
Conclusión
Un buen banner de cookies no es cuestión de estética, sino de respetar la decisión del usuario. Información clara, botones simétricos, un panel de configuración, nada premarcado, ningún rastreador antes del consentimiento y una retirada sencilla cubren lo esencial. Un diseño sencillo y leal es además el que mejor aguanta con el tiempo, tanto ante la AEPD como ante sus visitantes.
Siguiente paso: revise su propio sitio. Lance un escaneo de cookies gratuito y descubra en pocos minutos qué cookies se activan antes del consentimiento y en qué falla su banner.