En resumen: el RGPD decide si el consentimiento que respalda sus cookies es válido: debe ser libre, específico, informado, inequívoco, demostrable y tan fácil de retirar como de dar. Se aplica a toda web establecida en la UE y a cualquier web de fuera que siga a personas en la UE. Si se equivoca, se expone a multas de hasta 20 millones de euros o el 4 % de la facturación mundial, y todos los datos recogidos sobre ese consentimiento pasan a ser ilícitos.
RGPD: ¿de qué se trata?
El Reglamento General de Protección de Datos, oficialmente Reglamento (UE) 2016/679, se adoptó el 27 de abril de 2016 y se aplica desde el 25 de mayo de 2018. Como reglamento, rige directamente en todos los Estados miembros sin necesidad de transposición, y también en el Espacio Económico Europeo. En España lo completa la LOPDGDD (Ley Orgánica 3/2018).
El RGPD no es una ley de cookies en sentido estricto. La regla según la cual usted necesita permiso antes de almacenar o leer información en el dispositivo de un visitante procede del artículo 5.3 de la Directiva ePrivacy, que en España recoge el artículo 22.2 de la LSSI. Ambos textos funcionan juntos, y el artículo 95 del RGPD confirma que no deroga la Directiva ePrivacy. Lo que aporta el RGPD es todo lo que rodea a esa regla:
- La definición del consentimiento. El artículo 4.11 lo define como «toda manifestación de voluntad libre, específica, informada e inequívoca», mediante una declaración o una clara acción afirmativa. La Directiva ePrivacy remite a esta definición, de modo que su banner se evalúa con el estándar del RGPD.
- Las reglas sobre los datos. El considerando 30 explica que las personas pueden ser identificadas mediante identificadores en línea como direcciones IP o cookies. Cuando una cookie recoge un identificador, un historial o un perfil publicitario, el RGPD regula lo que usted haga con ello: base jurídica, transparencia, conservación, seguridad, derechos de acceso y supresión.
- La responsabilidad proactiva. Usted debe poder demostrar que cumple, lo que para el consentimiento significa poder probarlo (artículo 7.1).
Ámbito territorial. Según el artículo 3.1, el RGPD se aplica a los tratamientos de cualquier empresa establecida en la UE, con independencia de dónde se realicen. Según el artículo 3.2, también se aplica a las empresas de fuera de la UE que ofrecen bienes o servicios a personas en la UE o controlan su comportamiento en la UE. Las cookies analíticas y publicitarias que perfilan a visitantes europeos son un ejemplo claro de ese control.
¿A quién se aplica?
Si personas en la UE visitan su web y usted utiliza algo más que cookies estrictamente necesarias, el RGPD le concierne. Eso incluye:
- Empresas de la UE de cualquier tamaño, desde un comercio local con formulario de contacto hasta un gran e-commerce. No existe una exención para pequeñas empresas en materia de consentimiento.
- Empresas de fuera de la UE que se dirigen a visitantes europeos o los siguen, como un SaaS estadounidense con Google Analytics, un píxel de Meta o el LinkedIn Insight Tag. El artículo 27 suele exigirles un representante en la UE.
- Agencias y freelancers que crean y gestionan webs para clientes. El responsable suele ser el cliente, pero quien instala las etiquetas condiciona el cumplimiento.
- Proveedores externos cuyos scripts se ejecutan en su web. El Tribunal de Justicia de la UE resolvió en el asunto Fashion ID (C-40/17, 29 de julio de 2019) que una web que inserta el botón «Me gusta» de Facebook puede ser corresponsable con Facebook de la recogida y transmisión de los datos del visitante. No puede limitarse a culpar al proveedor.
Lo que el RGPD exige para las cookies y el consentimiento
Base jurídica: consentimiento para todo lo no esencial
El artículo 6 enumera seis bases jurídicas. Para las cookies no estrictamente necesarias (analítica, publicidad, plugins sociales, la mayoría de herramientas de A/B testing), la base es el consentimiento del artículo 6.1.a. El grupo de trabajo del CEPD sobre banners de cookies confirmó en enero de 2023 que el interés legítimo no justifica instalar o leer esas cookies, y que sin un consentimiento válido el tratamiento posterior tampoco puede cumplir el RGPD.
Las cuatro cualidades del consentimiento válido
Las Directrices 05/2020 del CEPD sobre el consentimiento (adoptadas el 4 de mayo de 2020) concretan el artículo 4.11:
- Libre. El acceso a sus contenidos no debe depender de aceptar cookies. El CEPD pone el ejemplo de un script que oculta la página hasta que se pulsa «Aceptar cookies»: sin elección real, el consentimiento no es libre. Es el llamado muro de cookies.
- Específico y granular. El usuario debe poder elegir finalidad por finalidad (analítica, publicidad, personalización) en lugar de aceptar un paquete.
- Informado. Como mínimo, la identidad del responsable, la finalidad de cada operación, el tipo de datos recogidos y la existencia del derecho a retirar el consentimiento.
- Inequívoco. Hace falta una acción afirmativa clara. El considerando 32 establece que «el silencio, las casillas ya marcadas o la inacción» no constituyen consentimiento, y el CEPD añade que desplazarse por la página tampoco.
Consentimiento previo y excepciones
Las cookies no esenciales no deben instalarse, ni los scripts de seguimiento ejecutarse, hasta que el visitante haya aceptado. Un banner que muestra una elección mientras Google Analytics ya se carga en segundo plano no cumple esta regla.
Las cookies estrictamente necesarias para un servicio solicitado por el usuario (carrito, sesión, equilibrio de carga, memoria de la propia elección de cookies) no requieren consentimiento. Esa excepción procede de la Directiva ePrivacy. El CEPD advierte contra la práctica de clasificar como «necesarias» cookies de marketing o analítica para no preguntar: usted debe poder justificar por qué cada cookie declarada necesaria lo es realmente.
Duración, retirada y prueba
Duración. El RGPD no fija una vida útil para cookies ni consentimientos. Exige no conservar los datos más tiempo del necesario (artículo 5.1.e). En la práctica, fije duraciones razonables, renueve el consentimiento periódicamente y vuelva a preguntar al añadir un proveedor o una finalidad. La AEPD considera buena práctica no superar los 24 meses.
Retirada. El artículo 7.3 permite retirar el consentimiento en cualquier momento, y retirarlo debe ser tan fácil como darlo. Si aceptar costó un clic, rechazar después no puede exigir un correo a su servicio de atención. El grupo de trabajo sugiere un pequeño icono siempre visible o un enlace en un lugar fijo, como el pie de página.
Prueba. El artículo 7.1 le atribuye la carga de la prueba. Mantenga un registro con la fecha y hora, las elecciones, la versión del banner y su texto, y un identificador que vincule el registro al navegador. Sin ese registro, su consentimiento no existe en una inspección.
El banner de cookies conforme al RGPD
Un banner conforme convierte todo lo anterior en unas pocas decisiones de diseño. En la primera capa debe mostrar:
- una explicación breve y clara de para qué usa las cookies y quién recibe los datos;
- un botón «Aceptar todo» y un botón «Rechazar todo», al mismo nivel y con un peso visual comparable;
- un botón «Configurar» que abra una segunda capa con interruptores por finalidad, todos desactivados por defecto;
- un enlace a la política de cookies con la lista completa, su finalidad y su duración.
El grupo de trabajo del CEPD identificó prácticas que no producen un consentimiento válido:
- ninguna opción de rechazo en una capa que contiene un botón de aceptar;
- casillas premarcadas en la capa de configuración;
- una opción de rechazo escondida como simple enlace de texto o colocada fuera del banner;
- un botón de rechazo con un contraste tan bajo que resulta ilegible;
- interruptores de «interés legítimo» enterrados en capas profundas, que obligan a rechazar dos veces;
- cookies de marketing o analítica etiquetadas como esenciales.
Para diseños, textos y capturas, lea nuestra guía del banner de cookies conforme, y consulte lo que prohíben las autoridades en los banners para ver cómo se analizan los dark patterns.
Sanciones y controles
Cada país del EEE cuenta con una autoridad independiente (la AEPD en España, la CNIL en Francia, la autoridad belga, la irlandesa, etc.), coordinadas por el Comité Europeo de Protección de Datos (CEPD). En los casos transfronterizos, la ventanilla única atribuye la autoridad principal al país del establecimiento principal. Esa ventanilla única no se aplica a las normas ePrivacy sobre la instalación de cookies, de modo que cada autoridad nacional puede actuar directamente sobre los banners.
Según el artículo 83.5, las infracciones de los principios básicos, incluidas las condiciones del consentimiento, pueden sancionarse con hasta 20 millones de euros o el 4 % del volumen de negocio total anual mundial del ejercicio anterior, la cifra que sea mayor. Otras infracciones tienen un tope de 10 millones o el 2 % (artículo 83.4). Dos casos reales muestran dónde se centran las autoridades:
- Criteo, 40 millones de euros (CNIL, 15 de junio de 2023). La autoridad francesa sancionó a la empresa de publicidad digital por no verificar que las personas cuyos datos trataba hubieran consentido. Los rastreadores de Criteo estaban en webs asociadas, y la empresa alegaba que la recogida del consentimiento correspondía a sus socios. La CNIL apreció infracciones de los artículos 7, 12, 13, 15, 17 y 26 del RGPD (deliberación SAN-2023-009). Lección: si usted se apoya en un consentimiento recogido por otro, debe poder probarlo igualmente.
- IAB Europe, 250.000 € (autoridad belga, 2 de febrero de 2022). La autoridad concluyó que el Transparency and Consent Framework (TCF), usado por muchos banners para la publicidad programática, incumplía varias disposiciones del RGPD. En una sentencia anunciada el 14 de mayo de 2025, el Tribunal de Mercado belga anuló la decisión por motivos de procedimiento pero respaldó su razonamiento: el TC String es un dato personal, IAB Europe es corresponsable y la multa de 250.000 € se mantiene.
En España, la AEPD sanciona además las cookies con arreglo a la LSSI; lo explicamos en detalle en la página dedicada a la LOPDGDD. Las multas son solo una parte del riesgo: las autoridades también pueden ordenar la supresión de los datos recogidos sin consentimiento válido.
Checklist de cumplimiento
- Escanee su web para listar cada cookie, píxel y script de terceros, página por página.
- Clasifique cada rastreador como estrictamente necesario o no, y documente por qué los «necesarios» lo son.
- Bloquee los scripts no esenciales hasta el consentimiento, incluidas las etiquetas lanzadas desde Google Tag Manager.
- Coloque Aceptar y Rechazar juntos en la primera capa, con la misma visibilidad.
- Ofrezca elecciones granulares por finalidad, con todos los interruptores desactivados por defecto.
- Identifique al responsable y a los principales destinatarios, y explique cada finalidad con claridad.
- Registre cada consentimiento y cada rechazo con fecha, elecciones y versión del banner, en formato exportable.
- Ofrezca una vía permanente para retirar el consentimiento, como un icono flotante o un enlace en el pie.
- Revise los contratos con sus proveedores, en especial los acuerdos de corresponsabilidad por píxeles y plugins.
- Vuelva a pedir el consentimiento cuando añada finalidades o proveedores, y repita el escaneo tras cada cambio.
Cómo le ayuda FlowConsent a cumplir el RGPD
FlowConsent aplica las reglas de consentimiento del RGPD sin necesidad de un equipo jurídico. Los scripts se bloquean antes del consentimiento, de modo que las etiquetas de analítica y publicidad solo se activan cuando el visitante acepta. El banner muestra Aceptar y Rechazar juntos y categorías granulares, y el escaneo automático detecta las nuevas cookies a medida que cambia su web. Cada elección queda registrada y usted puede exportar la prueba de consentimiento que exige el artículo 7.1, como explica nuestra documentación del informe de prueba. Google Consent Mode v2 está integrado, el alojamiento es europeo y la instalación lleva unos diez minutos. Empiece con nuestro escáner gratuito y cree su cuenta: gratis hasta 25.000 sesiones al mes, Pro a 14,99 € al mes hasta 100.000 sesiones.
Para saber más
Los artículos siguientes profundizan en cada requisito del RGPD tratado aquí. Empiece por las 7 condiciones de validez del consentimiento si busca el detalle jurídico, o por la guía sobre la prueba del consentimiento si prepara una inspección. Los demás tratan las categorías de cookies, Google Analytics, ejemplos de banners y los cambios de 2026.