TL;DR
El marco normativo de las cookies y de la protección de datos sigue evolucionando en 2026. La Comisión Europea propuso en noviembre de 2025 el Digital Omnibus, que plantea cambios concretos en el RGPD y en la Directiva ePrivacy para reducir la "fatiga del consentimiento" y simplificar el cumplimiento. Al mismo tiempo, el control se endurece: la CNIL francesa ha impuesto multas récord (90 millones de euros a Google en noviembre de 2025 y 42 millones a Free en enero de 2026). El Consent Mode v2 es ya obligatorio para los anunciantes en el EEE. En esta guía repasamos qué ha cambiado, qué se aplica en España y qué está por llegar.
Qué está en vigor: RGPD, Directiva ePrivacy y LSSI
La regulación de las cookies se apoya en dos textos complementarios: el RGPD (reglamento europeo) y la Directiva ePrivacy (2002/58/CE). En España, la Directiva ePrivacy se traspuso en el artículo 22.2 de la LSSI (Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico). Ambos niveles conviven, lo que a veces genera solapamientos.
El RGPD fija las reglas generales de protección de datos personales: bases jurídicas del tratamiento, derechos de los interesados, obligaciones de seguridad y sanciones. El artículo 22.2 de la LSSI regula específicamente el uso de dispositivos de almacenamiento y recuperación de datos en el equipo del usuario, es decir, la instalación y lectura de cookies y tecnologías similares.
La forma en que la autoridad española interpreta estas reglas se recoge en la guía sobre el uso de las cookies de la AEPD, actualizada en 2023 para alinearse con las directrices del Comité Europeo de Protección de Datos (CEPD). Estas reglas no han cambiado en lo esencial en 2026, pero su aplicación es cada vez más exigente.
¿Cuáles son las reglas actuales del consentimiento de cookies?
Cualquier cookie que no sea estrictamente necesaria para el funcionamiento del sitio requiere el consentimiento del usuario antes de instalarse. Esto incluye cookies publicitarias, cookies analíticas, cookies de redes sociales y cualquier otro rastreador no esencial.
El consentimiento debe ser libre, específico, informado e inequívoco. En la práctica: rechazar tiene que ser tan fácil como aceptar. La AEPD considera que el botón de rechazar debe estar en la primera capa del banner, al mismo nivel que el de aceptar. Un banner que solo ofrece "Aceptar todo" y "Configurar" no es suficiente.
No puede instalarse ninguna cookie no esencial antes de que el usuario haya elegido. Los scripts deben estar bloqueados por defecto y activarse solo tras el consentimiento. El usuario tiene que poder retirar su consentimiento con la misma facilidad con la que lo dio.
Las cookies estrictamente necesarias (autenticación, carrito de compra, preferencias de idioma, seguridad) están exentas de consentimiento. En algunos países, ciertas cookies de medición de audiencia pueden acogerse a una exención en condiciones estrictas, como Matomo configurado en modo exento CNIL en Francia. En España, la AEPD no contempla esta exención con carácter general para la analítica.
Qué ha cambiado entre 2024 y 2026
Consent Mode v2 obligatorio (marzo de 2024)
Google hizo obligatoria la implementación del Consent Mode v2 para los anunciantes que se dirigen a usuarios del EEE. Sin Consent Mode, el remarketing, la medición de conversiones y la creación de audiencias quedan limitados o desactivados en Google Ads. Este requisito obligó a muchos sitios a revisar la implementación técnica de su consentimiento.
Plena aplicación de la guía de la AEPD
Tras su actualización en 2023, la guía de la AEPD se aplica ya sin periodo de adaptación. Entre otros puntos, exige poder rechazar en la primera capa con la misma facilidad que aceptar y prohíbe los diseños que empujan al usuario a aceptar. La AEPD sanciona con regularidad a sitios web por infracciones del artículo 22.2 de la LSSI, y no solo a grandes empresas.
Multas récord de la CNIL en Francia (2025-2026)
Francia ofrece un buen ejemplo de cómo se ha endurecido el control. En septiembre de 2025, la CNIL multó a Google con 325 millones de euros (anuncios insertados sin consentimiento en Gmail, cookies instaladas sin acuerdo al crear la cuenta) y a Shein con 150 millones de euros. En noviembre de 2025, Google recibió otra multa de 90 millones de euros por instalar automáticamente la cookie publicitaria NID antes de que apareciera el banner de consentimiento.
En enero de 2026, Free y Free Mobile fueron sancionadas con un total de 42 millones de euros por fallos en la seguridad de los datos. Estas sanciones recuerdan que cumplir el RGPD no se limita a las cookies, sino que abarca toda la cadena de tratamiento de datos. Aunque se trate de casos franceses, se basan en las mismas normas europeas que se aplican en España.
Consentimiento multidispositivo y grabación de sesiones (enero y febrero de 2026)
La CNIL publicó el 16 de enero de 2026 sus recomendaciones definitivas sobre el consentimiento multidispositivo. Precisan en qué condiciones un consentimiento dado en un dispositivo (por ejemplo, un ordenador) puede extenderse a otros dispositivos del mismo usuario (móvil, tableta), siempre con requisitos estrictos de identificación y transparencia.
En febrero de 2026, la CNIL abrió además una consulta pública sobre un proyecto de recomendación relativo a la grabación de sesiones (session replay). Esta tecnología registra y reproduce las interacciones del usuario en un sitio (clics, desplazamientos, textos introducidos) y plantea cuestiones específicas de consentimiento y minimización de datos. Si usa este tipo de herramientas, conviene seguir de cerca estas orientaciones.
Controles automatizados
La CNIL utiliza ya robots para detectar automáticamente sitios que no cumplen. Estos controles comprueban a gran escala si se instalan cookies antes del consentimiento, si existe un botón de rechazar y si se usan dark patterns. Las pymes están cada vez más en el punto de mira, no solo las grandes empresas. En España ocurre lo mismo: una cookie instalada antes del consentimiento es fácil de detectar desde fuera.
Qué está por llegar: el Digital Omnibus y el futuro de las cookies
El 19 de noviembre de 2025, la Comisión Europea publicó el "Digital Omnibus Package", un conjunto de propuestas para simplificar el marco normativo digital europeo. Plantea modificaciones del RGPD, de la Directiva ePrivacy, del Data Act y de la Directiva NIS2.
Exención de consentimiento para la medición de audiencia
El Digital Omnibus propone que deje de exigirse el consentimiento para las cookies usadas con fines de medición de audiencia agregada y de seguridad. El objetivo es reducir el número de banners eximiendo la analítica propia (first-party) de la obligación de consentimiento, con condiciones estrictas (datos agregados, sin cesión a terceros). El CEPD y el Supervisor Europeo de Protección de Datos (SEPD) apoyan este objetivo en su dictamen conjunto 2/2026 del 11 de febrero de 2026.
Prohibido volver a pedir el consentimiento durante 6 meses
El Digital Omnibus prevé que, tras un rechazo, el sitio no pueda volver a solicitar el consentimiento para la misma finalidad durante al menos 6 meses. La medida busca combatir la "fatiga del consentimiento" que lleva a muchos usuarios a aceptar las cookies por puro cansancio.
Preferencias de consentimiento en el navegador
La propuesta prevé que los usuarios puedan fijar sus preferencias de consentimiento directamente en el navegador y que los sitios respeten esas preferencias mediante señales automatizadas y legibles por máquina. El CEPD y el SEPD respaldan con fuerza este enfoque, que a largo plazo podría reducir la dependencia de los banners de cookies.
Integración de las reglas sobre cookies en el RGPD
El Digital Omnibus propone trasladar algunas reglas sobre cookies directamente al RGPD (artículo 88a propuesto), en lugar de mantenerlas en la Directiva ePrivacy. El CEPD y el SEPD han expresado reservas: el RGPD solo cubre datos personales, mientras que la Directiva ePrivacy (y con ella el artículo 22.2 de la LSSI) protege toda la información almacenada en el equipo del usuario, incluidos los datos no personales. Esta separación podría generar inseguridad jurídica.
¿En qué punto está el proceso legislativo?
El Digital Omnibus está en fase de consulta (cerrada el 15 de marzo de 2026 para el bloque principal). El texto aún debe negociarse en el Parlamento Europeo y en el Consejo de la UE. No se espera una adopción definitiva antes de finales de 2026 como pronto, y su aplicación efectiva probablemente tardará varios años más. Las reglas actuales, incluida la LSSI, siguen siendo plenamente aplicables.
Qué hacer en concreto en 2026
Las reglas actuales siguen en vigor y el Digital Omnibus no cambiará nada a corto plazo. Estas son las acciones prioritarias para cumplir en 2026:
- Compruebe que su banner de cookies cumple los requisitos actuales: botón de rechazar en la primera capa, con el mismo tamaño y diseño que el de aceptar, ninguna cookie antes del consentimiento e información clara sobre las finalidades.
- Implemente el Consent Mode v2 si usa etiquetas de Google (GA4, Google Ads). Para usuarios del EEE se recomienda el modo básico.
- Audite con regularidad las cookies y rastreadores de su web. Los scripts de terceros pueden instalar cookies sin que usted lo sepa. Use un escáner de cookies para ver qué rastreadores están activos.
- Asegúrese de que la prueba del consentimiento se guarda correctamente: quién consintió, cuándo, a qué y con qué versión del banner. Según el artículo 7.1 del RGPD, usted tiene que poder demostrar el consentimiento.
- Documente su configuración en el registro de actividades de tratamiento. Si la AEPD le pide explicaciones, tendrá que demostrar que su implementación cumple.
Errores frecuentes (y cómo evitarlos)
Creer que el Digital Omnibus cambia las reglas ya. El texto está en fase de consulta y negociación. El RGPD, la Directiva ePrivacy, la LSSI y la guía de la AEPD siguen plenamente vigentes. Solución: no relaje su cumplimiento anticipándote a simplificaciones que todavía no se han aprobado.
Subestimar los controles automatizados. Autoridades como la CNIL ya escanean sitios web a gran escala con robots. Las pymes están tan expuestas como las grandes empresas. Solución: verifique su cumplimiento con auditorías de cookies periódicas.
No actualizar el banner al añadir nuevos scripts. Cada nuevo rastreador que añada a la web debe integrarse en el banner de consentimiento y bloquearse por defecto. Solución: audite las cookies con cada cambio en la web y actualice la configuración de su CMP.
Confundir el cumplimiento en cookies con el cumplimiento del RGPD. Las cookies son solo una parte del RGPD. La seguridad de los datos (artículo 32), los derechos de los interesados (acceso, rectificación, supresión), la gestión de encargados del tratamiento y las evaluaciones de impacto también son obligaciones. Solución: adopte un enfoque global del cumplimiento, no centrado solo en las cookies.
Usar una CMP con la configuración por defecto. Instalar una CMP no basta. La configuración por defecto no siempre cumple lo que pide la AEPD (falta el botón de rechazar, los scripts no se bloquean antes del consentimiento). Solución: elija una CMP adecuada y configúrela siguiendo la guía de la AEPD.
Subestimar el importe de las sanciones. Las multas no solo afectan a los gigantes tecnológicos. La AEPD sanciona con frecuencia a pymes y profesionales por incumplir la LSSI en materia de cookies, y una sanción, aunque sea modesta, también tiene un coste reputacional.
Checklist: cumplimiento en cookies y RGPD en 2026
- El banner de cookies cumple la guía de la AEPD: botón de rechazar en la primera capa, con el mismo tamaño y formato que el de aceptar.
- No se instala ninguna cookie no esencial antes del consentimiento del usuario.
- Los scripts de terceros (analítica, publicidad, redes sociales) están bloqueados por defecto.
- El Consent Mode v2 está implementado para las etiquetas de Google (modo básico recomendado para el EEE).
- El usuario puede retirar su consentimiento con la misma facilidad con la que lo dio.
- La prueba del consentimiento se guarda (quién, cuándo, qué, versión del banner).
- La duración de las cookies está limitada y se indica en la política de cookies.
- Se realiza una auditoría de cookies con regularidad (como mínimo con cada cambio en la web).
- La política de cookies está actualizada y es accesible desde el banner.
- La configuración de la CMP está documentada en el registro de actividades de tratamiento.
- Las etiquetas de terceros (Facebook, LinkedIn, TikTok) se bloquean por separado, no solo mediante el Consent Mode.
- Si comparte el consentimiento entre dispositivos, lo hace con condiciones estrictas de transparencia.
Conclusión
El marco normativo de las cookies y del RGPD en 2026 se caracteriza por dos movimientos simultáneos. Por un lado, las reglas existentes se aplican con más rigor: controles automatizados, multas récord y especial atención a los dark patterns y al bloqueo real de los scripts antes del consentimiento. Por otro, el Digital Omnibus propone simplificaciones que podrían reducir la fatiga del consentimiento, en particular la exención para la medición de audiencia y las preferencias de consentimiento en el navegador.
Estas simplificaciones todavía no están en vigor. Mientras tanto, cumplir las reglas actuales sigue siendo la prioridad. Lo esencial no cambia: consentimiento libre, informado e inequívoco, bloqueo de los scripts antes del consentimiento, botón de rechazar en la primera capa, prueba del consentimiento y auditorías periódicas.
Para comprobar el estado de cumplimiento de su web e identificar los rastreadores que se cargan antes del consentimiento, lance un escaneo gratuito con FlowConsent.