Resumen
El Reglamento ePrivacy es un texto europeo en negociación desde 2017 que debe sustituir a la Directiva ePrivacy de 2002 (la que impuso los banners de cookies). Una vez adoptado, armonizará las reglas de consentimiento de cookies en toda la UE, eliminará las transposiciones nacionales divergentes y alineará el marco jurídico con el RGPD. Para los editores de sitios web, esto supone reglas más claras, pero también potencialmente más estrictas, sobre la instalación de cookies y el tracking online.
¿Qué es el Reglamento ePrivacy?
El Reglamento ePrivacy es un proyecto de reglamento europeo que debe sustituir a la Directiva 2002/58/CE (Directiva ePrivacy), modificada en 2009. Esta directiva es el texto que dio origen a la obligación de consentimiento para las cookies. El reglamento pretende modernizar este marco para adaptarlo a la realidad de la web actual.
A diferencia de una directiva, que cada Estado miembro debe transponer (lo que genera diferencias entre países), un reglamento se aplica de forma directa y uniforme en toda la UE. Es la misma lógica que la del RGPD: un único texto, una aplicación homogénea.
No es el único texto europeo que afecta a las cookies: las normas de consentimiento de la Digital Markets Act se aplican a las plataformas gatekeeper desde marzo de 2024.
El texto está en negociación en el Consejo de la UE desde 2017. Han circulado varias versiones, pero los Estados miembros y el Parlamento Europeo todavía no han alcanzado un acuerdo definitivo. A pesar de este retraso, las grandes líneas del texto son conocidas y permiten anticipar los cambios que vienen.
¿Por qué es problemática la Directiva ePrivacy actual?
La Directiva ePrivacy de 2002 se concibió antes de la explosión del tracking online. Exige el consentimiento para la instalación de cookies, pero deja que cada país transponga las reglas a su manera. Resultado: las reglas varían de un país a otro, lo que complica la vida de los editores de sitios internacionales.
Transposiciones nacionales divergentes
En Francia, la CNIL adoptó directrices estrictas (consentimiento explícito, rechazar tan fácil como aceptar). En Alemania, las autoridades regionales aplican reglas parecidas, pero con matices. En España, la AEPD tiene un enfoque diferente en algunos puntos. Para un sitio que opera en toda Europa, este mosaico de reglas es un quebradero de cabeza.
La CNIL hace cumplir estas normas mediante multas, como muestran estos casos reales de sanciones de la CNIL por cookies.
Un texto inadecuado para las nuevas tecnologías
La directiva de 2002 habla de «cookies», pero no cubre de forma explícita el fingerprinting, el tracking mediante identificadores publicitarios móviles ni las tecnologías de tracking sin cookies, como los métodos de tracking sin cookies. El Reglamento ePrivacy pretende cubrir estas lagunas ampliando la definición de los rastreadores incluidos.
¿Qué cambiará el Reglamento ePrivacy para las cookies?
Aunque el texto no está cerrado, varios cambios importantes cuentan con consenso en las sucesivas versiones del proyecto. Estos son los principales impactos esperados para los editores de sitios web.
Una definición ampliada de los rastreadores
El Reglamento ePrivacy ya no se limitará a las cookies. Cubrirá cualquier técnica de almacenamiento de información en el terminal del usuario o de acceso a ella. Esto incluye el fingerprinting (huella digital del navegador), los píxeles invisibles, el almacenamiento local (localStorage, IndexedDB), los identificadores publicitarios y, potencialmente, algunos métodos de tracking server-side.
El consentimiento desde la configuración del navegador
Una de las propuestas más debatidas del Reglamento ePrivacy es la posibilidad de que los usuarios gestionen su consentimiento directamente desde la configuración de su navegador, en lugar de hacerlo mediante un banner de cookies en cada sitio. Si se adopta esta disposición, podría reducir el número de banners que ven los usuarios.
Esta idea responde a un problema real, analizado en nuestro artículo sobre la fatiga del consentimiento y los banners de cookies ignorados.
En la práctica, los navegadores ofrecerían una interfaz estándar para definir preferencias de consentimiento por defecto (aceptar, rechazar, gestionar por categoría). Los sitios tendrían que respetar estas preferencias sin mostrar un banner adicional, salvo que determinadas finalidades requieran un consentimiento independiente.
Para entender las categorías que usan hoy los banners, consulte nuestra guía de las 4 categorías de cookies del RGPD.
Reglas uniformes en toda la UE
Se acabaron las transposiciones nacionales divergentes. El reglamento se aplicará directamente en los 27 Estados miembros, como el RGPD. Los editores de sitios internacionales ya no tendrán que gestionar variaciones de las reglas entre Francia, Alemania, España o los Países Bajos.
El tratamiento de los metadatos de las comunicaciones
El Reglamento ePrivacy amplía también su ámbito a los metadatos de las comunicaciones electrónicas (ubicación, marca de tiempo, destinatarios). Este apartado afecta sobre todo a los operadores de telecomunicaciones y a los servicios de mensajería, pero puede tener impacto en las herramientas de analítica que utilizan datos de ubicación o de sesión.
¿Cuál es el calendario del Reglamento ePrivacy?
La Comisión Europea presentó el proyecto de Reglamento ePrivacy en enero de 2017. El Parlamento Europeo adoptó su posición en octubre de 2017. Desde entonces, las negociaciones en el Consejo se han estancado por los desacuerdos entre los Estados miembros, sobre todo en torno a la gestión del consentimiento desde los navegadores y las excepciones para las cookies analíticas.
En 2021, la presidencia portuguesa del Consejo propuso un compromiso, pero no prosperó. A día de hoy (2026), el texto sigue sin adoptarse. Varios expertos calculan que la adopción podría producirse entre 2027 y 2028, con un periodo transitorio de 24 meses antes de su aplicación efectiva.
Mientras tanto, la Directiva ePrivacy de 2002 (modificada en 2009) sigue siendo el texto vigente, complementado por las directrices nacionales (CNIL, BfDI, AEPD, etc.) y por el marco del RGPD para las cookies.
Errores frecuentes sobre el Reglamento ePrivacy
Esperar al reglamento para cumplir la normativa. El RGPD y las directrices nacionales (CNIL, etc.) ya se aplican. El Reglamento ePrivacy no va a «crear» una obligación de consentimiento, sino que va a aclarar y unificar reglas que ya existen. No espere para configurar correctamente su CMP.
Creer que los banners de cookies van a desaparecer. Aunque el reglamento prevé la gestión del consentimiento desde el navegador, esta disposición sigue en debate y su implementación técnica llevará tiempo. Los banners de cookies seguirán siendo necesarios durante varios años como mínimo.
Confundir ePrivacy y RGPD. El RGPD regula el tratamiento de datos personales. La directiva (y el futuro reglamento) ePrivacy regula específicamente el acceso al terminal del usuario (cookies, fingerprinting, etc.). Ambos textos se complementan: el RGPD aporta los principios generales y ePrivacy, las reglas específicas para los rastreadores.
Las condiciones que debe cumplir un consentimiento válido según el RGPD se detallan en nuestro artículo sobre las 7 condiciones de validez del consentimiento RGPD.
Pensar que el fingerprinting escapa a la regulación. El Reglamento ePrivacy pretende cubrir de forma explícita el fingerprinting y las técnicas de tracking sin cookies. Los sitios que han abandonado las cookies en favor del fingerprinting tendrán que obtener un consentimiento equivalente.
Ignorar las excepciones para las cookies analíticas. Algunas versiones del proyecto prevén una excepción al consentimiento para las cookies analíticas propias que no se comparten con terceros. En la práctica, ya es así en varios países (Francia, con la CNIL, para Matomo en configuración exenta). El reglamento podría oficializar esta excepción a escala europea.
Checklist para anticiparse al Reglamento ePrivacy
- Haga un inventario completo de todos los rastreadores de su sitio (cookies, localStorage, fingerprinting, píxeles)
- Compruebe que su CMP cubre los rastreadores más allá de las cookies HTTP
- Documente las finalidades de cada rastreador y los terceros destinatarios de los datos
- Configure su CMP para bloquear los scripts antes del consentimiento, incluido el fingerprinting
- Siga la evolución del texto ePrivacy a través de las publicaciones de la Comisión Europea y los dictámenes de su autoridad nacional
- Prepare su política de cookies para integrar las nuevas definiciones (rastreadores, metadatos)
- Pruebe el comportamiento de su sitio cuando el navegador indica un rechazo global del tracking
- Documente su cumplimiento actual para facilitar la transición al futuro reglamento
Conclusión
El Reglamento ePrivacy aún no se ha adoptado, pero sus grandes líneas están claras: ampliar la definición de los rastreadores, unificar las reglas en Europa y, potencialmente, integrar el consentimiento en los navegadores. Los editores de sitios que ya cumplen el RGPD y las directrices de la CNIL están bien posicionados para adaptarse al futuro reglamento.
El punto de partida: realizar una auditoría completa de sus rastreadores (no solo de las cookies HTTP) para identificar las tecnologías que cubrirá el futuro reglamento. Escanee su sitio gratis con FlowConsent para obtener un inventario completo.