Resumen
Una política de cookies es un documento independiente, distinto de su política de privacidad. Detalla los rastreadores utilizados en su web, su finalidad, su duración y las opciones de las que disponen los visitantes para rechazarlos o eliminarlos. Autoridades de protección de datos como la CNIL en Francia consideran esta política la «segunda capa» de información, que complementa al banner de consentimiento, que actúa como primera capa. Sin una política de cookies accesible y completa, el banner de consentimiento por sí solo no basta para demostrar el cumplimiento.
¿Qué es una política de cookies?
Una política de cookies es una página específica de su web que informa a los visitantes sobre todas las cookies y rastreadores que su sitio instala o lee en el dispositivo del visitante. Complementa al banner de consentimiento aportando la información detallada que el banner, por su carácter breve, no puede contener.
Los marcos de protección de datos distinguen dos niveles de información obligatoria. El nivel 1 es el banner de consentimiento que se muestra cuando llega el visitante y presenta brevemente las principales categorías de finalidades. El nivel 2 es la propia política de cookies: un documento completo, accesible en todo momento, que detalla cada rastreador, cada finalidad, cada responsable del tratamiento y los derechos del usuario.
Este documento no es opcional. Cualquier web que instale cookies, incluidas las cookies exentas de consentimiento, debe informar a los visitantes de su existencia y de su funcionamiento.
¿En qué se diferencia una política de cookies de una política de privacidad?
Ambos documentos tratan sobre la protección de datos personales, pero no tienen el mismo alcance.
La política de privacidad (o política de protección de datos) abarca todos los tratamientos de datos personales que realiza su organización: formularios de contacto, cuentas de usuario, newsletters, datos de RR. HH., encargados del tratamiento, transferencias fuera de la UE, etc. Se basa principalmente en los artículos 13 y 14 del RGPD.
La política de cookies se centra exclusivamente en los rastreadores que se instalan o leen en el dispositivo del usuario durante la navegación. Se basa tanto en el RGPD como en la Directiva ePrivacy (transpuesta en Francia en el artículo 82 de la Ley de Protección de Datos).
Algunas webs fusionan ambos documentos. Aunque no está prohibido de forma explícita, se recomienda mantenerlos separados para facilitar el acceso y la comprensión. Un visitante que quiere saber qué cookies se instalan en su dispositivo no debería tener que recorrer diez párrafos sobre el tratamiento de los datos de RR. HH. de su organización para encontrar la información.
¿Es obligatoria la política de cookies?
Sí. En cuanto una web utiliza cookies o rastreadores, debe informar a los visitantes de su existencia, su finalidad y la forma de rechazarlos. Esta obligación se aplica incluso a las cookies exentas de consentimiento (cookies estrictamente necesarias, medición de audiencia bajo ciertas condiciones).
La obligación procede de dos textos legales complementarios. La Directiva ePrivacy exige información y consentimiento previo para cualquier acceso o almacenamiento de información en el dispositivo del usuario. El RGPD (artículos 12, 13 y 14) exige una información transparente, clara y accesible sobre cualquier tratamiento de datos personales, lo que incluye los datos recogidos mediante cookies.
En la práctica, una web sin una política de cookies accesible no puede demostrar que cumple con su obligación de información, aunque su banner de consentimiento esté correctamente configurado.
¿Qué debe contener una política de cookies conforme?
Una política de cookies conforme debe cubrir siete elementos esenciales.
La identidad del responsable del tratamiento
Los visitantes deben saber quién es responsable de las cookies instaladas en el sitio. Incluya la razón social, la dirección y los datos de contacto del DPD (delegado de protección de datos) si ha designado uno. Si terceros instalan cookies en su web (redes publicitarias, redes sociales, herramientas de analítica de terceros), también deben identificarse.
La lista de cookies utilizadas y sus finalidades
Cada cookie o categoría de cookies debe describirse con su finalidad concreta. Incluya como mínimo el nombre de la cookie, el proveedor (propia o de terceros), la finalidad (analítica, publicidad, personalización, funcional) y el plazo de conservación. La CNIL recomienda que la duración de las cookies no supere los 13 meses.
Para conocer el origen de esta duración y cómo aplicarla, consulte nuestro artículo sobre la duración de las cookies según el RGPD y la regla de los 13 meses.
Para organizar esta información, una tabla estructurada por categorías es la opción más legible.
La distinción entre cookies exentas y cookies que requieren consentimiento
Explique con claridad qué cookies se instalan sin consentimiento (cookies estrictamente necesarias) y cuáles requieren una aceptación previa (analítica, publicidad, redes sociales). Esta distinción es fundamental porque determina el comportamiento de su banner de consentimiento.
Según las directrices de los reguladores, las cookies exentas de consentimiento incluyen: los rastreadores que guardan la elección de consentimiento, los de autenticación, los del carrito de compra, los de personalización de la interfaz (idioma, diseño) y los de medición de audiencia en condiciones estrictas.
Para saber si una herramienta como Matomo puede acogerse a la exención de medición de audiencia, lea nuestro artículo sobre Matomo, las cookies y la exención de consentimiento.
Mecanismos de consentimiento y rechazo
Describa cómo pueden los visitantes aceptar o rechazar las cookies y cómo pueden cambiar su elección en cualquier momento. Indique que rechazar es tan fácil como aceptar (un requisito normativo). Mencione el mecanismo de gestión de cookies accesible de forma permanente en su web (enlace en el pie de página, botón de configuración).
Derechos de los usuarios
Recuerde a los visitantes los derechos que les reconoce el RGPD: derecho de acceso, de rectificación, de supresión, de oposición y de portabilidad. Indique cómo ejercerlos (dirección de correo del DPD, formulario de contacto) y mencione el derecho a presentar una reclamación ante la autoridad de control competente.
La base jurídica del tratamiento
Para las cookies exentas: interés legítimo o necesidad técnica. Para las cookies que requieren consentimiento: el propio consentimiento, tal como se define en los artículos 4, apartado 11, y 7 del RGPD.
Cómo eliminar las cookies desde la configuración del navegador
Explique brevemente que los usuarios también pueden gestionar las cookies directamente desde la configuración de su navegador y añada enlaces a las páginas de ayuda de los principales navegadores (Chrome, Firefox, Safari, Edge).
¿Cómo estructurar su política de cookies?
La estructura más eficaz combina párrafos explicativos breves con una tabla resumen de las cookies.
Empiece con una introducción de 2 o 3 frases que explique qué son las cookies y por qué las utiliza su web. Continúe con una sección que distinga las categorías de cookies (estrictamente necesarias, analítica, publicidad, redes sociales). Después, incluya una tabla detallada.
La tabla debe tener como mínimo cuatro columnas: nombre de la cookie, proveedor, finalidad y duración. Este formato permite a los visitantes revisar la información de un vistazo y los motores de búsqueda y rastreadores de IA lo interpretan bien.
Esta tabla debe mantenerse actualizada. Cada vez que añada o elimine un servicio de terceros en su web, tendrá que actualizar la política de cookies. Un escaneo periódico de su web detecta las cookies que realmente se instalan y comprueba que su política refleja la realidad.
¿Dónde colocar la política de cookies en su web?
La política de cookies debe ser accesible desde al menos dos lugares: el banner de consentimiento (un enlace «Más información» o «Política de cookies») y el pie de página de su web (un enlace permanente visible en todas las páginas).
Los reguladores insisten en que los usuarios deben poder encontrar esta información en cualquier momento, no solo cuando se muestra el banner por primera vez. El enlace en el pie de página es el estándar del mercado, pero también puede integrarlo en un centro de preferencias accesible mediante un botón flotante o un enlace de gestión de cookies.
No confunda la página de la política de cookies con el centro de preferencias de cookies. El centro de preferencias es la interfaz interactiva que permite a los visitantes cambiar sus elecciones (activar o desactivar categorías). La política de cookies es un documento informativo. Ambos se complementan.
Errores habituales en las políticas de cookies
Fusionar la política de cookies y la política de privacidad sin una distinción clara. Los visitantes no encuentran la información sobre los rastreadores. Separe los dos documentos o, como mínimo, cree una sección específica claramente identificable.
No enumerar las cookies de terceros. Muchas webs solo mencionan sus propias cookies y olvidan los rastreadores instalados por Google Analytics, el píxel de Facebook, los widgets de chat o los reproductores de vídeo integrados. Usted comparte la responsabilidad de informar a los visitantes sobre estos rastreadores.
Meta es un ejemplo habitual: nuestra guía sobre el Meta Pixel, sus cookies y el cumplimiento del RGPD indica qué debe declarar y cuándo se necesita consentimiento.
Copiar y pegar una plantilla genérica sin personalizarla. Una plantilla puede servir como punto de partida, pero debe reflejar las cookies realmente presentes en su web. Un documento que enumera cookies que no utiliza, u omite otras, no demuestra el cumplimiento.
No actualizar la política tras añadir un nuevo servicio. Añadir una herramienta de chat, un píxel de conversión o un vídeo de YouTube integrado modifica las cookies instaladas. La política debe actualizarse en consecuencia.
Omitir los plazos de conservación de las cookies. La CNIL recomienda una duración máxima de 13 meses para las cookies. Esta información debe figurar en su política, cookie por cookie o por categoría.
No mencionar el derecho a retirar el consentimiento. El RGPD exige que retirar el consentimiento sea tan fácil como darlo. Su política debe explicar cómo pueden los visitantes cambiar de opinión.
El papel de una CMP en la gestión de su política de cookies
Una CMP (plataforma de gestión del consentimiento, o consent management platform) facilita de varias formas que su política de cookies se mantenga conforme.
El escaneo automático de cookies identifica los rastreadores realmente presentes en su web, incluidos los instalados por scripts de terceros que quizá no haya detectado manualmente. Este escaneo genera un inventario que puede utilizar directamente en su política.
Para realizar ese inventario con método, siga nuestra guía completa de auditoría de cookies de un sitio web.
La CMP gestiona el consentimiento de forma dinámica: bloquea los scripts sin consentimiento, registra las elecciones de los visitantes y conserva la prueba del consentimiento. Complementa su política de cookies garantizando que las reglas descritas en el documento se aplican de verdad.
Algunas CMP, como FlowConsent, pueden generar y mantener automáticamente la tabla de cookies que debe incluir en su política. Así se evitan discrepancias entre las cookies realmente presentes y las documentadas.
La documentación de la declaración de cookies de FlowConsent explica cómo se genera esta lista a partir de los servicios activos y cómo añadir cookies personalizadas.
Si su web utiliza Google Consent Mode v2, su CMP también debe encargarse de transmitir las señales de consentimiento a las etiquetas de Google, un aspecto que puede mencionar en su política para los visitantes con un perfil más técnico.
Checklist: redactar su política de cookies
- Cree una página específica, separada de la política de privacidad.
- Identifique al responsable del tratamiento y los datos de contacto del DPD.
- Realice un escaneo de su web para inventariar todas las cookies que realmente se instalan.
- Clasifique las cookies por categoría: estrictamente necesarias, analítica, publicidad, redes sociales.
- Para cada cookie, documente el nombre, el proveedor, la finalidad y la duración.
- Distinga con claridad las cookies exentas de consentimiento y las que lo requieren.
- Explique los mecanismos de consentimiento, rechazo y retirada.
- Enumere los derechos de los usuarios (acceso, rectificación, supresión, oposición, portabilidad).
- Indique la base jurídica de cada categoría de cookies.
- Añada enlaces a las páginas de gestión de cookies de los principales navegadores.
- Haga que la política sea accesible desde el banner de consentimiento y desde el pie de página.
- Programe una revisión de la política cada vez que se modifiquen los servicios de terceros de la web.
Conclusión
La política de cookies es un documento obligatorio, distinto de la política de privacidad, que detalla los rastreadores presentes en su web y los derechos de sus visitantes. Redactarla es sencillo si cuenta con un inventario completo de sus cookies, una estructura clara y un proceso de actualización periódico.
El punto de partida más eficaz es escanear su web para identificar todos los rastreadores que realmente se instalan y, después, estructurar la información en una tabla por categorías. Una CMP como FlowConsent automatiza parte de este trabajo al mantener el inventario actualizado y garantizar que las reglas descritas en su política se aplican de verdad.
Realice un escaneo gratuito de su web para obtener un inventario completo de sus cookies y empezar a redactar su política.