En resumen: la normativa española obliga a toda web a obtener un consentimiento previo e informado antes de utilizar cookies que no sean estrictamente necesarias, con arreglo al artículo 22.2 de la LSSI interpretado junto con el RGPD y la LOPDGDD. Se aplica a los prestadores establecidos en España y a los prestadores de fuera de la UE que dirigen sus servicios a usuarios españoles. La AEPD vigila activamente su cumplimiento, con multas de hasta 30.000 € por infracción de cookies, más en caso de reincidencia, y las sanciones del RGPD cuando se tratan datos personales sin base legal.
LOPDGDD: ¿de qué se trata?
La LOPDGDD es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Se publicó en el BOE núm. 294, de 6 de diciembre de 2018, y entró en vigor al día siguiente, el 7 de diciembre de 2018. Según su artículo 1, tiene dos objetivos: adaptar el ordenamiento español al Reglamento General de Protección de Datos (RGPD) y completar sus disposiciones, y garantizar los derechos digitales de la ciudadanía (su título X, artículos 79 a 97). No sustituye al RGPD: el Reglamento se aplica directamente y la LOPDGDD desarrolla lo que el Derecho europeo deja a cada Estado.
Si usted busca «LOPDGDD cookies», conviene saber que la norma que regula las cookies en sentido estricto es otra: el artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Es la transposición española de la regla de la Directiva ePrivacy. Su texto permite a los prestadores utilizar «dispositivos de almacenamiento y recuperación de datos» en los equipos de los usuarios solo si estos han dado su consentimiento tras recibir información clara y completa sobre su utilización, en particular sobre los fines del tratamiento.
Ese artículo todavía remite a la antigua Ley Orgánica 15/1999. La AEPD explica en su guía de cookies que la remisión debe entenderse hecha hoy al RGPD, aplicable desde el 25 de mayo de 2018, y a la LOPDGDD, aplicable desde el 7 de diciembre de 2018. En la práctica, el régimen español de cookies funciona en tres capas:
- el artículo 22.2 de la LSSI decide cuándo hace falta consentimiento;
- el RGPD y la LOPDGDD definen qué es un consentimiento válido y regulan los datos personales obtenidos mediante cookies;
- la guía sobre el uso de las cookies de la AEPD, actualizada en mayo de 2024, explica cómo aplica la AEPD todo lo anterior a los banners.
Ámbito territorial. La LSSI se aplica a los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados a través de un establecimiento permanente situado en España. Los prestadores establecidos fuera de la UE y del EEE que dirijan específicamente sus servicios al territorio español también quedan sujetos a sus obligaciones.
¿A quién se aplica?
En la práctica, la normativa española de cookies afecta a:
- empresas, autónomos, asociaciones y administraciones públicas que gestionan una web o una app desde España;
- empresas de fuera de la UE que se dirigen a usuarios españoles, por ejemplo con una tienda en español, precios para España o publicidad dirigida a España;
- cualquier responsable cuyas cookies traten datos personales de personas en España, que además debe respetar el RGPD y la LOPDGDD.
La guía de la AEPD entiende el concepto de cookie de forma amplia. El artículo 22.2 abarca cualquier dispositivo que almacene o recupere datos del equipo terminal del usuario (ordenador, móvil, tableta), incluidos los objetos locales compartidos, los web beacons y las técnicas de fingerprinting. Y protege a cualquier «destinatario» del servicio, sea persona física o jurídica.
Cuando las cookies permiten identificar al usuario, por ejemplo un cliente con sesión iniciada, o utilizan identificadores únicos que permiten singularizarlo y seguirlo, hay tratamiento de datos personales. En ese caso, el RGPD y la LOPDGDD se aplican plenamente, además de la LSSI.
Lo que exige la LOPDGDD para las cookies y el consentimiento
Consentimiento previo para todo lo que no sea estrictamente necesario
España sigue un modelo opt-in. Según la guía de la AEPD, las cookies solo pueden utilizarse una vez que el usuario ha recibido la información requerida y ha dado su consentimiento.
Quedan exentas las cookies que sirven únicamente para transmitir una comunicación por una red, o que son estrictamente necesarias para prestar un servicio expresamente solicitado por el usuario. La AEPD cita, entre otras, las cookies de entrada del usuario (formularios, carrito de la compra), de autenticación o sesión, de seguridad, de equilibrio de carga y de personalización de la interfaz elegida por el propio usuario, como el idioma o el tamaño de letra, siempre que se limiten a esa finalidad.
Todas las demás requieren consentimiento, sean propias o de terceros, de sesión o persistentes. También las cookies analíticas: la AEPD indica que no están exentas, aunque es poco probable que supongan un riesgo cuando son de primera parte, tratan datos agregados con fines estadísticos, se informa de ellas y el usuario puede rechazarlas.
Qué es un consentimiento válido
El artículo 6 de la LOPDGDD recoge la definición del RGPD: el consentimiento es toda manifestación de voluntad libre, específica, informada e inequívoca, prestada mediante una declaración o una clara acción afirmativa. Añade que, cuando se pide para varias finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas. La guía de la AEPD lo concreta para las cookies:
- seguir navegando no es una forma válida de consentir, como ha establecido el Comité Europeo de Protección de Datos (CEPD);
- consultar la segunda capa o navegar por el panel de configuración tampoco equivale a aceptar;
- las casillas premarcadas a favor de aceptar no son admisibles;
- para menores de 14 años, el consentimiento debe darlo el titular de la patria potestad o tutela (artículo 7 de la LOPDGDD).
Información por capas
El artículo 11 de la LOPDGDD permite informar por capas: una información básica (identidad del responsable, finalidad y posibilidad de ejercer los derechos) y una dirección o enlace para acceder de forma sencilla al resto. La AEPD aplica la misma lógica a las cookies: una primera capa breve en el banner y una segunda capa, normalmente la política de cookies, con el detalle de cada cookie, su titular y su duración.
Duración, retirada y prueba
Duración. La AEPD considera buena práctica que la validez del consentimiento para una cookie no supere los 24 meses, conservando durante ese tiempo la elección del usuario. Si cambian las finalidades o los terceros, debe actualizar su política y volver a pedir el consentimiento.
Retirada. El usuario debe poder retirar el consentimiento en cualquier momento, y el sistema debe ser tan fácil como el utilizado para darlo. La AEPD considera que esa facilidad existe cuando el usuario tiene un acceso sencillo y permanente al panel de configuración de cookies.
Prueba. Según el artículo 7.1 del RGPD, cuando el tratamiento se basa en el consentimiento, el responsable debe poder demostrar que el usuario consintió. Un registro con la fecha, las opciones elegidas y la versión del banner es la forma práctica de cumplir esa obligación.
El banner de cookies conforme a la LOPDGDD
La guía de la AEPD es una de las más detalladas de Europa sobre el diseño del banner. Nuestra guía del banner de cookies conforme cubre los principios generales; esto es lo que espera la AEPD en concreto.
La primera capa debe mostrarse antes de utilizar las cookies y permanecer visible hasta que el usuario actúe. Debe incluir:
- la identidad del editor (basta con la marca si los datos completos figuran en otro lugar de la web);
- las finalidades de las cookies y si son propias o de terceros;
- información genérica sobre los datos recogidos si se elaboran perfiles, por ejemplo para publicidad comportamental;
- cómo aceptar, configurar y rechazar las cookies;
- un enlace claramente visible a una segunda capa con más información.
Los botones. La opción de rechazar debe ofrecerse al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptar, sin remitir al usuario a otra capa. El mecanismo debe ser similar: si utiliza un botón «Aceptar», necesita un botón «Rechazar». A eso se suma un botón o enlace bien visible a un panel de configuración donde aceptar o rechazar las cookies, al menos por finalidad.
Prácticas prohibidas. El banner no debe dar la impresión de que aceptar es obligatorio para navegar, no debe empujar claramente hacia la aceptación y no debe usar colores o contrastes engañosos, como un botón de rechazo cuyo texto no se lee. Son los mismos dark patterns que persiguen las autoridades europeas, como explica nuestro artículo sobre dark patterns en los banners de cookies.
Muros de cookies. No pueden utilizarse muros de cookies que no ofrezcan una alternativa al consentimiento. Denegar el acceso solo es posible si se informa adecuadamente al usuario y se le ofrece una alternativa de acceso sin aceptar cookies, que no tiene por qué ser gratuita.
Sanciones y controles
La AEPD supervisa el RGPD y la LOPDGDD y, según el artículo 43 de la LSSI, también es la autoridad que sanciona las infracciones en materia de cookies. Con arreglo a la LSSI:
- utilizar cookies sin la información o el consentimiento exigidos por el artículo 22.2 es una infracción leve (artículo 38.4.g), con multa de hasta 30.000 € (artículo 39);
- la reincidencia en esa infracción leve, declarada por resolución firme en los tres años anteriores, es una infracción grave (artículo 38.3.i), con multa de 30.001 a 150.000 €;
- las multas se gradúan según criterios como la intencionalidad, la duración, la reincidencia, los perjuicios o los beneficios obtenidos (artículo 40).
Cuando las cookies tratan datos personales, se aplica además el régimen del RGPD. El tratamiento sin base de licitud del artículo 6 del RGPD figura entre las infracciones muy graves del artículo 72 de la LOPDGDD, que prescriben a los tres años, y el artículo 83.5 del RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación mundial anual. El artículo 76.4 obliga a publicar en el BOE las sanciones de la AEPD superiores a un millón de euros impuestas a personas jurídicas.
Casos reales publicados por la AEPD:
- Iberia, 30.000 € (PS/00032/2020). Los usuarios no podían seguir navegando sin pulsar «aceptar» o «configuración de cookies», no había forma de rechazarlas todas a la vez y no se identificaban las cookies de terceros ni sus plazos. La AEPD impuso 30.000 € por infracción del artículo 22.2 de la LSSI. (resolución de la AEPD)
- Vodafone España, 20.000 € (PS/00567/2022). Por resolución de 28 de abril de 2023, la AEPD sancionó deficiencias en la política de cookies y el uso de cookies no técnicas sin consentimiento, una decisión que mantuvo en reposición. (resolución de la AEPD)
- Grupo Massimo Dutti, 5.000 € (PS/00051/2023). La primera capa no ofrecía «rechazar todo», el enlace de configuración era un simple texto junto a un botón «aceptar todo» destacado, y no existía un acceso permanente para retirar el consentimiento. (resolución de la AEPD)
Antes, en 2019, Vueling ya había recibido una propuesta de sanción de 30.000 € por asumir el consentimiento con la simple visita a su web, y la pagó reducida a 18.000 € (PS/00300/2019).
Checklist de cumplimiento
- Audite su web para listar cada cookie, píxel, almacenamiento local y script de fingerprinting, con su titular, finalidad y duración.
- Separe las cookies exentas (técnicas, de sesión, de carrito, de equilibrio de carga) de las que requieren consentimiento, incluidas las analíticas.
- Bloquee las cookies no exentas hasta el consentimiento y compruebe que nada se activa al cargar la página.
- Muestre una primera capa con Aceptar, Rechazar y Configurar, con el botón de rechazo igual de visible que el de aceptación.
- Elimine los dark patterns: sin casillas premarcadas, sin «seguir navegando implica aceptar», sin botón de rechazo de bajo contraste.
- Ofrezca un panel de configuración por finalidades, accesible en un clic y con descripciones claras en español.
- Añada un acceso permanente para retirar el consentimiento, como un enlace o un icono en todas las páginas.
- Conserve la prueba del consentimiento (fecha, elecciones, versión del banner).
- Renueve el consentimiento como máximo cada 24 meses, y antes si cambian finalidades o terceros.
- Actualice su política de cookies con los terceros, las finalidades y los plazos de conservación.
Cómo le ayuda FlowConsent a cumplir la LOPDGDD
FlowConsent le ofrece un banner pensado para lo que espera la AEPD: Aceptar, Rechazar y Configurar en la primera capa con la misma visibilidad, categorías por finalidad y nada premarcado. Los scripts se bloquean antes del consentimiento, de modo que las etiquetas de analítica y publicidad solo se activan cuando el visitante acepta, y Google Consent Mode v2 está integrado. El escaneo automático detecta las cookies de su web y cada elección se guarda como prueba exportable, como explica nuestra documentación del informe de prueba de consentimiento. La instalación lleva unos diez minutos, el alojamiento es europeo y el plan es gratuito hasta 25.000 sesiones al mes (Pro: 14,99 € al mes hasta 100.000 sesiones). Analice su web con nuestro escáner gratuito y después cree su cuenta.
Para saber más
Los artículos siguientes profundizan en los puntos que la AEPD revisa con más atención. Empiece por las 7 condiciones de validez del consentimiento y continúe con los muros de cookies, los dark patterns, la prueba del consentimiento y la configuración de Google Analytics conforme a la normativa española.