Qué es el consentimiento según el RGPD
El artículo 4.11 del RGPD define el consentimiento como toda manifestación de voluntad libre, específica, informada e inequívoca, prestada «ya sea mediante una declaración o una clara acción afirmativa». El considerando 32 añade que el silencio, las casillas ya marcadas o la inacción no constituyen consentimiento.
Esa definición ya incluye la mayoría de los «tipos» de los que oirá hablar. Informado, específico e inequívoco no son variantes entre las que elegir: son condiciones que todo consentimiento debe cumplir. La única elección real que deja el RGPD es entre el consentimiento ordinario (una clara acción afirmativa) y el consentimiento explícito, más exigente. Lo demás, empezando por el consentimiento implícito, no basta.
Para las cookies, el artículo 22.2 de la LSSI, que transpone la Directiva ePrivacy, se remite a esta misma definición. La lista completa de requisitos está en nuestra guía sobre las 7 condiciones de validez del consentimiento RGPD. Este artículo explica los términos habituales y lo que significan en la práctica.
Los tipos de consentimiento de un vistazo
- Consentimiento explícito (o expreso): una declaración expresa, escrita u oral, que confirma un fin concreto. El RGPD lo exige en tres casos.
- Consentimiento inequívoco: una clara acción afirmativa, como hacer clic en «Aceptar» o marcar una casilla vacía. Es el estándar del RGPD y el que se aplica a las cookies.
- Consentimiento informado: el que se presta tras recibir la información necesaria para entender lo que se acepta. Es una condición de todo consentimiento válido.
- Consentimiento implícito o tácito: deducido de un comportamiento (seguir navegando, desplazarse por la página, no oponerse). No es válido según el RGPD.
- Consentimiento granular: una elección distinta para cada finalidad, en lugar de un único «Acepto» para todo.
- Opt-in y opt-out: dos modelos. Con el opt-in no ocurre nada hasta que la persona acepta; con el opt-out el tratamiento empieza y la persona puede oponerse después.
- Consentimiento parental: el que presta quien tiene la patria potestad o tutela de un menor por debajo de la edad legal.
Consentimiento explícito: cuándo lo exige el RGPD
El consentimiento explícito es más exigente que el ordinario. El RGPD lo requiere en tres situaciones:
- el tratamiento de categorías especiales de datos, como salud, religión, orientación sexual o datos biométricos (artículo 9.2.a);
- las decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos o significativos similares (artículo 22.2.c);
- las transferencias de datos fuera del EEE sin garantías adecuadas (artículo 49.1.a).
Las Directrices 05/2020 del CEPD sobre el consentimiento explican que «explícito» se refiere a la forma de expresarlo. La persona debe confirmarlo mediante una declaración expresa: un formulario firmado, una frase escrita, un correo electrónico, una firma electrónica o una casilla junto a una frase que nombre la finalidad concreta. Una confirmación en dos pasos (un formulario y luego un correo de verificación) también puede servir.
Ejemplos de consentimiento explícito
- Una aplicación de salud pregunta: «Acepto que [Empresa] trate mis síntomas para proponerme ejercicios», con una casilla vacía y una confirmación aparte.
- Una farmacia en línea recoge una declaración firmada antes de guardar datos de recetas.
- Una plataforma de selección pide una confirmación por escrito antes de un rechazo totalmente automatizado.
En un sitio web normal, las cookies no suelen necesitar un consentimiento explícito, sino uno inequívoco. La excepción es el seguimiento que revela datos sensibles, por ejemplo un sitio que crea perfiles publicitarios a partir de visitas a páginas sobre una enfermedad.
Consentimiento inequívoco: el estándar para las cookies
Inequívoco significa que la persona ha hecho algo que muestra claramente su acuerdo. Hacer clic en «Aceptar todo», activar una categoría o marcar una casilla vacía cumplen este requisito. La clave es la acción: algo que el visitante hace de forma activa.
El Tribunal de Justicia de la UE lo confirmó para las cookies en la sentencia Planet49 (C-673/17, 1 de octubre de 2019): una casilla premarcada no es un consentimiento válido, porque el usuario no hace nada. La misma lógica descarta los banners que consideran aceptación cerrar el aviso con la cruz.
¿Qué diferencia hay entonces entre consentimiento explícito e inequívoco? Ambos exigen una elección activa. El explícito añade una declaración expresa vinculada a un fin concreto, a menudo por escrito. Un clic en «Aceptar» para cookies analíticas es inequívoco, y eso basta para las cookies. No bastaría para tratar datos de salud.
Consentimiento implícito: por qué ya no sirve para las cookies
El consentimiento implícito se deduce de un comportamiento en lugar de expresarse. Durante años, muchos banners en España mostraban: «Si continúa navegando, consideramos que acepta el uso de cookies.»
El RGPD puso fin a esa práctica. Las Directrices 05/2020 del CEPD señalan que desplazarse por una página o cualquier actividad similar no cumple en ningún caso el requisito de una clara acción afirmativa. Las autoridades nacionales siguieron ese criterio:
- España: la AEPD actualizó su guía sobre el uso de cookies en julio de 2020 y eliminó el «seguir navegando» como forma de consentimiento.
- Francia: las directrices de la CNIL de septiembre de 2020 suprimieron la navegación continuada como consentimiento, con plazo de adaptación hasta el 31 de marzo de 2021.
- Reino Unido: el ICO considera que el consentimiento implícito no es válido para cookies no esenciales según el PECR.
Dónde sigue existiendo el consentimiento implícito
El término sigue siendo habitual fuera de la protección de datos europea. En medicina, el paciente que extiende el brazo para un análisis de sangre da un consentimiento implícito. En Canadá, la ley PIPEDA admite el consentimiento implícito para información poco sensible, y la ley antispam CASL distingue el consentimiento expreso del implícito para los correos comerciales. En Estados Unidos, la mayoría de las leyes estatales siguen un modelo de opt-out para las cookies publicitarias.
Si su sitio se dirige a visitantes europeos, ninguno de estos modelos cambia lo que debe hacer con ellos.
Consentimiento informado: qué debe saber la persona
El consentimiento informado procede de la ética médica. En el RGPD, significa que la persona recibe información suficiente antes de decidir. Según el CEPD, como mínimo debe saber:
- la identidad del responsable del tratamiento;
- la finalidad de cada operación para la que se pide el consentimiento;
- el tipo de datos que se recogen y utilizan;
- el derecho a retirar el consentimiento en cualquier momento;
- en su caso, el uso de los datos para decisiones automatizadas y los riesgos de una transferencia fuera del EEE.
En un banner de cookies, esto supone nombrar las finalidades (analítica, publicidad, personalización) con palabras sencillas en la primera capa y detallar los servicios y cookies de cada una en la segunda. Un banner que solo dice «Utilizamos cookies para mejorar su experiencia» no es informado. Esconder la elección tras una redacción confusa también incumple esta regla: nuestro artículo sobre los dark patterns que prohíbe la CNIL recoge los diseños ya sancionados.
Antes de redactar su banner, conviene saber qué instala realmente su sitio. Compruebe en 30 segundos qué cookies instala su sitio con el escáner gratuito.
Consentimiento granular: una elección por finalidad
El consentimiento debe ser específico. Si utiliza datos para varias finalidades distintas, la persona debe poder aceptar unas y rechazar otras. Por eso un banner tiene categorías: un visitante puede aceptar la medición de audiencia y rechazar la publicidad. Un único botón «Acepto» que cubre analítica, publicidad y redes sociales, sin opción de rechazo, es un consentimiento agrupado y no es válido.
El artículo 7.4 añade que el consentimiento no debe condicionar un servicio cuando el tratamiento no es necesario para prestarlo. El artículo 7.3 exige que retirar el consentimiento sea tan fácil como darlo, lo que en la práctica significa un enlace o botón permanente para volver a abrir el banner.
Opt-in u opt-out
El opt-in es el modelo europeo: no se instala ninguna cookie no esencial ni se activa ninguna etiqueta hasta que el visitante acepta. El opt-out invierte la lógica: el seguimiento empieza por defecto y la persona puede oponerse después, por ejemplo mediante un enlace «Do Not Sell or Share» en California. Según el RGPD y la normativa ePrivacy, las cookies que no son estrictamente necesarias requieren opt-in. Un banner que carga Google Analytics al entrar y ofrece rechazar después funciona en opt-out y no cumple en la UE.
Otras formas: por escrito, verbal y parental
- El consentimiento por escrito no es obligatorio para el consentimiento ordinario, pero es la forma más sencilla de obtener uno explícito.
- El consentimiento verbal puede ser válido, por ejemplo en una llamada grabada, pero es más difícil de demostrar.
- El consentimiento parental se aplica a los servicios en línea ofrecidos directamente a menores. El artículo 8 fija la edad en 16 años y permite a los Estados bajarla hasta 13: en España, el artículo 7 de la LOPDGDD la sitúa en 14 años.
Sea cual sea la forma, el artículo 7.1 exige poder demostrar que se prestó el consentimiento. Para las cookies, eso implica registrar cada elección: consulte qué guardar como prueba del consentimiento de cookies.
¿Qué tipo de consentimiento necesita su sitio web?
Para la mayoría de los sitios, la respuesta es sencilla:
- Cookies y rastreadores no estrictamente necesarios: consentimiento inequívoco, informado y granular, en modo opt-in, obtenido antes de cargar nada.
- Cookies estrictamente necesarias: sin consentimiento, pero con información en su política de cookies.
- Datos sensibles o decisiones totalmente automatizadas: consentimiento explícito, con una declaración expresa y su registro.
- Visitantes fuera de Europa: revise la ley local; aplicar el estándar europeo en todas partes es la opción más sencilla y también cumple con los regímenes de opt-out.
FlowConsent es un ejemplo de banner construido sobre este modelo de opt-in inequívoco: muestra «Aceptar» y «Rechazar» con el mismo peso en la primera capa y permite elegir categoría por categoría.
Cómo gestiona FlowConsent los tipos de consentimiento
FlowConsent recoge el tipo de consentimiento que el RGPD exige para las cookies: una elección activa, informada y granular. Los scripts que necesitan consentimiento se bloquean antes del consentimiento, así que nada se activa hasta que el visitante hace clic. El banner mantiene botones de Aceptar y Rechazar equivalentes y categorías granulares, y personalizar su aspecto no cambia esos ajustes (consulte la personalización del banner). El escaneo automático de cookies enumera los servicios de su sitio para describir cada finalidad con exactitud. Cada elección queda registrada y puede exportar la prueba de consentimiento en cualquier momento. Google Consent Mode v2 está integrado, los datos se alojan en Europa y la instalación lleva unos diez minutos. FlowConsent es gratuito hasta 25.000 sesiones al mes; después, Pro cuesta 14,99 € al mes hasta 100.000 sesiones.