Resumen
La CNIL (la autoridad francesa de protección de datos) sanciona con regularidad a empresas por incumplir la normativa sobre cookies y rastreadores. Las infracciones más frecuentes son instalar cookies sin consentimiento previo, no ofrecer un botón Rechazar tan visible como el botón Aceptar e informar de forma insuficiente al usuario. En 2025, las cookies figuraron entre los principales motivos de sanción con 21 decisiones, incluidas dos grandes multas de 325 millones de euros (Google) y 150 millones de euros (Shein). A principios de 2026, la CNIL siguió aplicando la normativa con una multa de 1,5 millones de euros a American Express por infracciones relacionadas con cookies, y confirmó que las cookies siguen siendo un tema prioritario junto con la IA y la ciberseguridad.
¿Por qué sanciona la CNIL las infracciones relacionadas con cookies?
La CNIL es competente para controlar y sancionar las operaciones relacionadas con cookies en virtud del artículo 82 de la Ley francesa de Protección de Datos, que transpone la Directiva ePrivacy. Esta competencia se aplica a cualquier sitio web accesible desde Francia, incluidos los sitios con sede fuera de Francia.
Desde 2020, la CNIL ha convertido las cookies en un tema prioritario de control. En 2024, se sancionó a 11 organizaciones por infracciones relacionadas con cookies. En 2025, se impusieron 21 sanciones por un importe acumulado superior a 475 millones de euros. En enero de 2026, American Express recibió una multa de 1,5 millones de euros específicamente por infracciones relacionadas con cookies, lo que confirma que la CNIL sigue tratando el cumplimiento en materia de cookies como una prioridad propia.
Las sanciones por cookies más importantes
Google: 100 millones de euros (diciembre de 2020)
Sancionada por instalar cookies publicitarias sin consentimiento, no informar a los usuarios y disponer de un mecanismo de oposición defectuoso. Confirmada por el Consejo de Estado francés en 2024.
Amazon: 35 millones de euros (diciembre de 2020)
Sancionada por instalar cookies sin consentimiento y no informar a los usuarios. Confirmada por el Consejo de Estado en septiembre de 2024.
Google: 150 millones de euros (diciembre de 2021)
google.fr y youtube.com ofrecían un botón para aceptar las cookies, pero ninguno equivalente para rechazarlas (hacían falta 5 clics). Ese mismo día se sancionó a Facebook con 60 millones de euros.
Microsoft, Apple, TikTok (diciembre de 2022)
Microsoft (Bing): 60 millones de euros. Apple: 8 millones de euros por cookies publicitarias en iOS. TikTok: 5 millones de euros. Todas sancionadas por instalar cookies sin consentimiento y/o carecer de un mecanismo de rechazo equivalente.
Google: 325 millones de euros (septiembre de 2025)
La multa por cookies más alta impuesta nunca por la CNIL. Instalación de rastreadores sin consentimiento, proceso de rechazo más complejo que el de aceptación e incentivos comerciales que condicionaban el acceso al servicio a la aceptación de cookies.
Shein: 150 millones de euros (septiembre de 2025)
Cookies publicitarias sin consentimiento, falta de claridad en la información al usuario y un proceso deliberadamente complejo para rechazar el seguimiento publicitario.
¿Qué infracciones se sancionan con más frecuencia?
Instalar cookies antes del consentimiento. La infracción más frecuente. Todas las categorías de cookies no esenciales (analítica, publicidad, funcionales) requieren consentimiento antes de instalarse. Una auditoría de cookies lo detecta.
Ningún botón Rechazar tan visible como Aceptar. Fundamento de la multa de 150 millones de euros a Google (2021). Rechazar debe ser tan sencillo como aceptar, con un solo clic.
Información insuficiente al usuario. Banner poco claro o política de cookies incompleta.
No respetar el rechazo. El usuario rechaza, pero los rastreadores siguen funcionando, o se vuelve a pedir el consentimiento de forma abusiva.
Las sanciones no se limitan a las grandes empresas
La CNIL también sanciona a empresas de todos los tamaños mediante su procedimiento simplificado. Las multas tienen un tope de 20.000 euros, pero van acompañadas de requerimientos de adecuación. El riesgo de inspección existe para cualquier sitio accesible desde Francia, sea cual sea su tamaño.
¿Cómo evitar una sanción de la CNIL por cookies?
- No actives ninguna cookie no esencial antes de que el visitante elija.
- Muestra un botón Rechazar tan visible como Aceptar en el primer nivel.
- Informa con claridad sobre las finalidades de los rastreadores.
- Respeta el rechazo: bloquea de verdad los scripts cuando el visitante rechaza.
- No vuelvas a pedir el consentimiento en cada visita (máximo 13 meses).
- Permite retirar el consentimiento en cualquier momento (enlace en el pie de página).
- Haz un análisis periódico de tu sitio.
- Utiliza una CMP que bloquee los scripts y guarde la prueba del consentimiento.
Conclusión
Las sanciones de la CNIL por cookies no son teóricas. Afectan tanto a grandes corporaciones como a medianas empresas, y los importes aumentan cada año (487 millones de euros acumulados en 2025, con una aplicación de la normativa que continúa en 2026 con la multa a American Express). El procedimiento simplificado representa ya la mayoría de las decisiones, lo que significa que las pymes se enfrentan a un riesgo real de inspección. El cumplimiento se basa en una CMP bien configurada y en auditorías periódicas.
Empieza con un análisis gratuito de tu sitio para comprobar que tus cookies no se activan antes del consentimiento.