> El artículo 5.3 de la Directiva ePrivacy obliga a pedir consentimiento: qué abarca (píxeles, local storage, fingerprinting), excepciones y multas. > > Canonical: https://www.flowconsent.com/es/laws/directiva-eprivacy Ley de cookies # Directiva ePrivacy y cookies: la norma detrás de cada banner El artículo 5.3 de la Directiva ePrivacy obliga a pedir consentimiento: qué abarca (píxeles, local storage, fingerprinting), excepciones y multas. Actualizado el 9 de octubre de 2026 · 9 min de lectura [Escanear mi sitio gratis](https://www.flowconsent.com/es/scan) · [Probar FlowConsent gratis](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=laws) ## Ficha - Nombre completo Directiva 2002/58/CE relativa a la privacidad y las comunicaciones electrónicas, modificada por la Directiva 2009/136/CE - Jurisdicción Unión Europea (EEE), a través de las leyes nacionales - En vigor desde 31 de octubre de 2003 - Autoridad La autoridad designada por la ley nacional de transposición (en España, la AEPD con arreglo a la LSSI) - Multa máxima Fijada por la ley de cada Estado miembro (sin tope europeo común) - Modelo de consentimiento Opt-in ## Lo esencial - El artículo 5.3 de la Directiva ePrivacy exige consentimiento antes de almacenar o leer información en el dispositivo del usuario, con dos excepciones estrictas. - Abarca mucho más que las cookies: local storage, píxeles, enlaces de seguimiento, fingerprinting y parte del seguimiento por IP. - La regla se aplica haya o no datos personales, y toma del RGPD la definición de consentimiento. - Cada país la aplica con su propia ley y autoridad, en España con el artículo 22.2 de la LSSI, fuera de la ventanilla única del RGPD. - La propuesta de Reglamento ePrivacy se retiró en 2025, de modo que la directiva y sus leyes nacionales siguen siendo la referencia. Índice > **En resumen:** el artículo 5.3 de la Directiva ePrivacy establece que usted solo puede almacenar o leer información en el dispositivo de un visitante (cookies, local storage, píxeles, scripts de fingerprinting) cuando este ha consentido, salvo que la operación sea estrictamente necesaria para el servicio que ha solicitado. Se aplica a toda web o app utilizada por personas en la UE, a través de la ley nacional de cada Estado, que en España es el artículo 22.2 de la LSSI. Las autoridades nacionales la aplican directamente, sin esperar a una autoridad principal, y sobre esta base se han impuesto las mayores multas por cookies de Europa. ## Directiva ePrivacy: ¿de qué se trata? La Directiva ePrivacy, oficialmente Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, se adoptó el 12 de julio de 2002. Los Estados miembros tenían hasta el **31 de octubre de 2003** para incorporarla a su Derecho. La Directiva 2009/136/CE, de 25 de noviembre de 2009, reescribió la regla de las cookies hasta convertirla en la obligación de consentimiento previo que conocemos hoy. Por eso se la llama a menudo «ley de cookies». La regla cabe en una sola frase, el artículo 5.3. Almacenar información en el equipo terminal de un abonado o usuario, o acceder a información ya almacenada en él, solo está permitido si esa persona ha dado su consentimiento tras recibir información clara y completa sobre los fines. A continuación vienen dos excepciones. Tres rasgos la distinguen del RGPD: - **Protege el dispositivo, no solo los datos personales.** El considerando 24 trata el equipo terminal y la información que contiene como parte de la esfera privada del usuario. El Tribunal de Justicia confirmó en Planet49 (C-673/17, 1 de octubre de 2019) que la protección se aplica sean o no datos personales. - **Es una directiva, no un reglamento.** No se aplica directamente. Cada país ha incorporado el artículo 5.3 a su propio Derecho: en España, el **artículo 22.2 de la Ley 34/2002 (LSSI)**, que la AEPD aplica y desarrolla en su guía sobre el uso de las cookies. - **Fija el desencadenante; el RGPD fija el estándar.** Desde 2018, el «consentimiento» de la directiva es el definido por el RGPD: libre, específico, informado e inequívoco. **Ámbito territorial.** La regla protege los dispositivos de usuarios en la UE, a través de la ley de cada país. Una empresa de fuera de la UE que instala rastreadores en los navegadores de visitantes europeos está en la misma situación que una local. La Comisión Europea propuso en 2017 sustituir la directiva por un Reglamento ePrivacy. Las negociaciones nunca concluyeron, y la Comisión aprobó la retirada de la propuesta el 16 de julio de 2025 (anunciada en el Diario Oficial el 6 de octubre de 2025). La directiva sigue siendo la referencia. ## ¿A quién se aplica? El artículo 5.3 no se limita a los operadores de telecomunicaciones. Se aplica a **cualquiera que almacene o lea información en el dispositivo de un usuario**, es decir: - **Responsables de webs** cuyas páginas instalan cookies o ejecutan scripts que escriben o leen en el navegador (local storage, session storage, IndexedDB). - **Editores de apps** cuyos SDK leen identificadores del dispositivo o almacenan datos en el móvil. - **Terceros** como redes publicitarias, proveedores de analítica y redes sociales cuyas etiquetas se ejecutan en sus páginas. El CEPD señala que el almacenamiento y el acceso no tienen por qué hacerlos la misma parte. - **Remitentes de correos** que usan píxeles para saber si se ha abierto un mensaje. - **Fabricantes de dispositivos conectados** (televisores, coches, sensores) que envían datos almacenados a un servidor. El tamaño de la empresa no importa, ni tampoco si usted es anunciante, editor o proveedor. ## Lo que exige la Directiva ePrivacy para las cookies y el consentimiento ### Base jurídica: el consentimiento, y nada más Para todo lo que no esté exento, la única base es el **consentimiento**. El grupo de trabajo del CEPD sobre banners confirmó en enero de 2023 que el interés legítimo no justifica instalar o leer cookies con arreglo al artículo 5.3. Sin consentimiento válido, el tratamiento posterior tampoco puede cumplir el RGPD. ### Qué cuenta como «almacenar» o «acceder» Aquí la directiva llega mucho más lejos de lo que se suele pensar. Las Directrices 2/2023 del CEPD (versión final adoptada el 7 de octubre de 2024) fijan tres criterios: se trata de **información** (personal o no), afecta al **equipo terminal** del usuario y supone **almacenamiento** o **acceso**. Aplicado a técnicas habituales: - **Píxeles y enlaces de seguimiento.** Enviarlos al dispositivo es almacenamiento, al menos en la caché del navegador, y recoger el identificador devuelto es acceso. - **Local storage y API similares.** Escribir o leer en ellos se trata exactamente igual que las cookies. - **Procesamiento local.** Cuando un código calcula algo en el dispositivo (un perfil, una puntuación) y envía el resultado, hay acceso. - **Fingerprinting.** Leer características del dispositivo para crear un identificador ya estaba cubierto por el Grupo del Artículo 29 en 2014. - **Seguimiento por IP.** Puede entrar en el artículo 5.3 cuando la dirección procede del dispositivo del usuario, como en IPv6 o con una IPv4 estática del router doméstico. - **Identificadores únicos.** Cifrar un correo electrónico en el dispositivo y enviarlo a socios es acceso. El mensaje práctico: pasar a un seguimiento «sin cookies» no elimina por sí solo la necesidad de consentimiento. Lo que cuenta es si el método almacena o lee información del dispositivo. ### Excepciones El artículo 5.3 permite dos tipos de almacenamiento o acceso sin consentimiento: - las operaciones **con el único fin de efectuar la transmisión** de una comunicación por una red; - las operaciones **estrictamente necesarias** para prestar un servicio **expresamente solicitado** por el usuario. Ejemplos típicos son las cookies de sesión y de carrito, la autenticación, el equilibrio de carga, la seguridad y la memoria de la elección de cookies. El grupo de trabajo del CEPD advirtió que a veces se etiquetan como «esenciales» cookies de marketing o analítica. En España, la AEPD exige consentimiento para las cookies analíticas, aunque reconoce que las de primera parte con datos agregados presentan poco riesgo. ### Consentimiento previo, información, retirada y prueba - **Antes, no después.** Ninguna cookie no exenta puede instalarse ni ningún script leer el dispositivo hasta obtener el consentimiento. - **Información clara y completa** sobre las finalidades antes de la elección. - **La retirada** debe ser posible en todo momento y tan fácil como el consentimiento, porque la directiva usa las condiciones del RGPD. - **Prueba.** Conserve un registro que demuestre que el consentimiento se obtuvo antes de que se activara cualquier rastreador. La directiva no fija la duración de las cookies ni del consentimiento: eso queda en manos de las leyes nacionales y de las autoridades. ## El banner de cookies conforme a la Directiva ePrivacy La directiva no describe un banner, pero las autoridades que la aplican coinciden en lo esencial: - explique **qué hacen los rastreadores y quién los instala** antes de preguntar; - ofrezca **Aceptar y Rechazar al mismo nivel**: una amplia mayoría de autoridades del grupo de trabajo consideró que un banner sin opción de rechazo en la capa con el botón de aceptar no produce un consentimiento válido; - deje **todas las casillas sin marcar**: el Tribunal de Justicia declaró en Planet49 que una casilla premarcada no es un consentimiento válido; - no condicione el acceso al contenido a la aceptación (los muros de cookies están bajo vigilancia); - haga que el rechazo sea **efectivo**: tras pulsar Rechazar, no debe escribirse ni leerse ningún rastreador no exento; - ofrezca una **vía permanente para cambiar de opinión**, como un icono flotante o un enlace en el pie. Los trucos de diseño cuentan tanto como los botones. Consulte nuestro artículo sobre [los muros de cookies](https://www.flowconsent.com/es/blog/cookie-wall-muro-cookies-legal-alternativas) y nuestra [guía del banner de cookies conforme](https://www.flowconsent.com/es/blog/banner-cookies-conforme-rgpd-guia). ## Sanciones y controles El artículo 15 bis de la directiva deja las sanciones en manos de los Estados, que deben prever sanciones «efectivas, proporcionadas y disuasorias». **No existe un tope europeo**: el importe depende de la ley nacional. En España, la LSSI califica como infracción leve el uso de cookies sin información o consentimiento, con multa de hasta 30.000 €, y la AEPD es la autoridad competente. Como la ventanilla única del RGPD no se aplica a las cuestiones ePrivacy, cada autoridad nacional puede actuar contra una empresa extranjera. Casos reales: - **Google, 325 millones de euros (CNIL, 1 de septiembre de 2025).** La CNIL multó a Google LLC con 200 millones y a Google Ireland Limited con 125 millones. En cuanto a las cookies, constató que, al crear una cuenta, se orientaba a los usuarios hacia cookies de publicidad personalizada sin informarles claramente de que el acceso podía depender de aceptarlas, de modo que el consentimiento no era libre ni informado. - **SHEIN, 150 millones de euros (CNIL, deliberación SAN-2025-005 de 1 de septiembre de 2025).** En shein.com se instalaban cookies publicitarias en cuanto el visitante llegaba a la página de inicio, antes de interactuar con el banner, y tras pulsar «Rechazar todo» se seguían escribiendo y leyendo cookies publicitarias. - **Planet49 (Tribunal de Justicia de la UE, 1 de octubre de 2019).** No es una multa, sino la sentencia que todas las autoridades aplican hoy: una casilla premarcada no es consentimiento válido, el usuario debe conocer la duración de las cookies y el acceso de terceros, y todo ello se aplica haya o no datos personales. ## Checklist de cumplimiento 1. **Inventaríe toda técnica que toque el dispositivo**: cookies, local storage, píxeles, enlaces etiquetados, fingerprinting y SDK. 2. **Clasifique cada una** como exenta (transmisión o estrictamente necesaria) o sujeta a consentimiento, y documente el razonamiento. 3. **Bloquee todo script no exento hasta el consentimiento**, incluidos los píxeles de seguimiento en los correos. 4. **No considere exento por defecto el seguimiento sin cookies o del lado del servidor**: compruebe si lee información del dispositivo. 5. **Muestre Aceptar y Rechazar juntos**, sin casillas premarcadas. 6. **Compruebe que Rechazar funciona de verdad**: ni rastreadores nuevos ni lectura de los antiguos. 7. **Explique finalidades y terceros** con claridad antes de la elección. 8. **Ofrezca una vía permanente de retirada** y registre cada elección. 9. **Revise las normas nacionales** de cada país donde esté su público; en España, la LSSI y la guía de la AEPD. ## Cómo le ayuda FlowConsent a cumplir la Directiva ePrivacy FlowConsent aplica la regla del artículo 5.3 donde importa: en el navegador. Su **escaneo automático** encuentra las cookies y rastreadores de sus páginas, y los scripts se **bloquean antes del consentimiento**, de modo que nada no exento se ejecuta hasta que el visitante acepta. Usted decide qué servicios son estrictamente necesarios y cuáles requieren consentimiento, y puede comprobar el resultado con nuestra [verificación de conformidad](https://www.flowconsent.com/es/doc/compliance-verification). El banner muestra Aceptar y Rechazar juntos, Google Consent Mode v2 está integrado, cada elección se guarda como prueba exportable y el alojamiento es europeo. La instalación lleva unos diez minutos. Analice su web con nuestro [escáner gratuito](https://www.flowconsent.com/es/scan) y [cree su cuenta gratuita](https://app.flowconsent.com/auth/register): gratis hasta 25.000 sesiones al mes, Pro a 14,99 € al mes hasta 100.000 sesiones. ## Para saber más Estos artículos exploran la parte práctica de la regla ePrivacy. Lea [lo que habría cambiado el Reglamento ePrivacy](https://www.flowconsent.com/es/blog/reglamento-eprivacy-cookies-que-cambia) para el contexto legislativo, y el resumen de sanciones de la CNIL para más casos. Los demás tratan los muros de cookies, la analítica sin cookies, el server-side tagging y la auditoría de sus rastreadores. Para saber más ## Profundice en Directiva ePrivacy. Guías prácticas de nuestro blog para aplicar estas reglas en su sitio. [Blog](https://www.flowconsent.com/es/blog/reglamento-eprivacy-cookies-que-cambia) ### [Reglamento ePrivacy: qué cambia para las cookies](https://www.flowconsent.com/es/blog/reglamento-eprivacy-cookies-que-cambia) [Leer el artículo ](https://www.flowconsent.com/es/blog/reglamento-eprivacy-cookies-que-cambia)· [Blog](https://www.flowconsent.com/es/blog/necesito-banner-de-cookies-en-mi-web) ### [¿Necesito un banner de cookies en mi web?](https://www.flowconsent.com/es/blog/necesito-banner-de-cookies-en-mi-web) [Leer el artículo ](https://www.flowconsent.com/es/blog/necesito-banner-de-cookies-en-mi-web)· [Blog](https://www.flowconsent.com/es/blog/sanciones-cnil-cookies-casos-reales) ### [Sanciones de la CNIL por cookies: casos reales que debe conocer](https://www.flowconsent.com/es/blog/sanciones-cnil-cookies-casos-reales) [Leer el artículo ](https://www.flowconsent.com/es/blog/sanciones-cnil-cookies-casos-reales)· [Blog](https://www.flowconsent.com/es/blog/cookie-wall-muro-cookies-legal-alternativas) ### [Cookie wall: ¿es legal y qué alternativas existen?](https://www.flowconsent.com/es/blog/cookie-wall-muro-cookies-legal-alternativas) [Leer el artículo ](https://www.flowconsent.com/es/blog/cookie-wall-muro-cookies-legal-alternativas)· [Blog](https://www.flowconsent.com/es/blog/analytics-sin-cookies-guia-completa) ### [Analytics sin cookies: guía completa para medir sin consentimiento](https://www.flowconsent.com/es/blog/analytics-sin-cookies-guia-completa) [Leer el artículo ](https://www.flowconsent.com/es/blog/analytics-sin-cookies-guia-completa)· [Blog](https://www.flowconsent.com/es/blog/server-side-tagging-cookies-consentimiento) ### [Server-side tagging y cookies: impacto en el consentimiento](https://www.flowconsent.com/es/blog/server-side-tagging-cookies-consentimiento) [Leer el artículo ](https://www.flowconsent.com/es/blog/server-side-tagging-cookies-consentimiento)· [Blog](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa) ### [Auditoría de cookies del sitio web: guía completa para escanear sus rastreadores](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa) [Leer el artículo](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa) Preguntas ## Directiva ePrivacy y cookies: sus preguntas ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué diferencia hay entre la Directiva ePrivacy y el RGPD? La Directiva ePrivacy decide cuándo puede usted almacenar o leer información en el dispositivo de un visitante: solo con consentimiento, salvo excepción. El RGPD regula lo que hace después con los datos personales obtenidos y aporta la definición de consentimiento válido. La mayoría de los banners deben cumplir ambos textos a la vez, pero la obligación de preguntar antes de instalar una cookie procede de la Directiva ePrivacy. ### ¿La Directiva ePrivacy solo se aplica a las cookies? No. El artículo 5.3 cubre cualquier almacenamiento de información en el equipo terminal del usuario o acceso a ella. En sus Directrices 2/2023, el CEPD explica que los píxeles de seguimiento, los enlaces de seguimiento, la información generada localmente y enviada a un servidor, los identificadores únicos y, en muchos casos, el seguimiento por IP entran en ese ámbito. Cambiar de técnica no elimina la necesidad de consentimiento. ### ¿Se aplica la regla si la cookie no contiene datos personales? Sí. El artículo 5.3 protege la información almacenada en el dispositivo, no solo los datos personales. El Tribunal de Justicia lo confirmó en el asunto Planet49 (2019), y el CEPD lo repite en sus directrices de 2023. Un identificador publicitario aleatorio que usted considere anónimo sigue necesitando consentimiento si no es estrictamente necesario. La guía de la AEPD sigue el mismo criterio. ### ¿Qué cookies están exentas de consentimiento? El artículo 5.3 exime el almacenamiento o acceso que sirve solo para transmitir una comunicación por una red, y el estrictamente necesario para un servicio expresamente solicitado por el usuario. Ejemplos típicos: el carrito, la sesión de usuario o la cookie que recuerda la elección de cookies. Las cookies publicitarias, de redes sociales y la mayoría de las analíticas no están exentas; en España, la AEPD exige consentimiento para las analíticas. ### ¿Va a sustituir el Reglamento ePrivacy a la directiva? No a corto plazo. La Comisión Europea propuso un Reglamento ePrivacy en 2017, pero las negociaciones se estancaron y la Comisión aprobó la retirada de la propuesta el 16 de julio de 2025, anunciada en el Diario Oficial el 6 de octubre de 2025. Hasta que se adopte un nuevo texto, la directiva de 2002 modificada en 2009 y las leyes nacionales que la transponen, como la LSSI, siguen siendo las normas aplicables. ### ¿La configuración del navegador puede valer como consentimiento? El considerando 66 de la Directiva 2009/136/CE admite que el consentimiento se exprese mediante la configuración del navegador cuando sea técnicamente posible y eficaz, y el artículo 22.2 de la LSSI recoge la misma idea. En la práctica, la configuración por defecto no permite consentir finalidad por finalidad en cada web, por lo que rara vez cumple el estándar del RGPD. Las autoridades esperan una herramienta de consentimiento en la propia web. ## Fuentes oficiales Los textos y directrices en los que se basa esta página. - [Directiva 2002/58/CE (Directiva ePrivacy), texto consolidado en EUR-Lex ](https://eur-lex.europa.eu/eli/dir/2002/58/2009-12-19)eur-lex.europa.eu - [Directiva 2009/136/CE por la que se modifica la Directiva ePrivacy, en EUR-Lex ](https://eur-lex.europa.eu/eli/dir/2009/136/oj)eur-lex.europa.eu - [Ley 34/2002 (LSSI), artículo 22.2, texto consolidado en el BOE ](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758)www\.boe.es - [CEPD, Directrices 2/2023 sobre el ámbito técnico del artículo 5.3 de la Directiva ePrivacy (versión 2.0) ](https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf)www\.edpb.europa.eu - [CEPD, informe del grupo de trabajo sobre banners de cookies (17 de enero de 2023) ](https://www.edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf)www\.edpb.europa.eu - [Tribunal de Justicia de la UE, comunicado 125/19, Planet49 (C-673/17) ](https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125en.pdf)curia.europa.eu - [CNIL, multa de 325 millones de euros a Google (1 de septiembre de 2025) ](https://www.cnil.fr/en/cookies-and-advertisements-inserted-between-emails-google-fined-325-million-euros-cnil)www\.cnil.fr - [CNIL, deliberación SAN-2025-005 de 1 de septiembre de 2025 (SHEIN) ](https://www.cnil.fr/sites/default/files/2025-09/cnil_sanction_shein_en.pdf)www\.cnil.fr - [Parlamento Europeo, Legislative Train, propuesta de Reglamento ePrivacy (retirada) ](https://www.europarl.europa.eu/legislative-train/theme-connected-digital-single-market/file-jd-e-privacy-reform)www\.europarl.europa.eu Otras leyes ## Otras leyes de cookies y privacidad. [RGPD · Opt-in](https://www.flowconsent.com/es/laws/rgpd) ### [RGPD y cookies: lo que el Reglamento exige a su web](https://www.flowconsent.com/es/laws/rgpd) [Leer la guía ](https://www.flowconsent.com/es/laws/rgpd)· [CCPA / CPRA · Opt-out](https://www.flowconsent.com/es/laws/ccpa-cpra) ### [CCPA y CPRA: lo que la ley de California exige para las cookies](https://www.flowconsent.com/es/laws/ccpa-cpra) [Leer la guía ](https://www.flowconsent.com/es/laws/ccpa-cpra)· [UK GDPR / PECR · Opt-in](https://www.flowconsent.com/es/laws/uk-gdpr-pecr) ### [UK GDPR, PECR y cookies: lo que exige la ley británica a su web](https://www.flowconsent.com/es/laws/uk-gdpr-pecr) [Leer la guía ](https://www.flowconsent.com/es/laws/uk-gdpr-pecr)· [TDDDG · Opt-in](https://www.flowconsent.com/es/laws/tdddg) ### [TDDDG y cookies: lo que exige el artículo 25 de la ley alemana a su web](https://www.flowconsent.com/es/laws/tdddg) [Leer la guía ](https://www.flowconsent.com/es/laws/tdddg)· [nLPD · Opt-out](https://www.flowconsent.com/es/laws/nlpd-suiza) ### [nLPD suiza y cookies: lo que exige la nueva ley de protección de datos a su web](https://www.flowconsent.com/es/laws/nlpd-suiza) [Leer la guía ](https://www.flowconsent.com/es/laws/nlpd-suiza)· [LGPD · Mixto](https://www.flowconsent.com/es/laws/lgpd-brasil) ### [LGPD y cookies: lo que exige la ley brasileña de protección de datos a su web](https://www.flowconsent.com/es/laws/lgpd-brasil) [Leer la guía ](https://www.flowconsent.com/es/laws/lgpd-brasil)· [LOPDGDD · Opt-in](https://www.flowconsent.com/es/laws/lopdgdd) ### [LOPDGDD y cookies: lo que la ley española exige a su web](https://www.flowconsent.com/es/laws/lopdgdd) [Leer la guía](https://www.flowconsent.com/es/laws/lopdgdd) [Ver todas las leyes](https://www.flowconsent.com/es/laws) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)