Ley de cookies en España: qué dice la normativa y cómo cumplirla

En este artículo se explica qué dice la ley de cookies en España, qué normativas se aplican, cuándo es necesario solicitar consentimiento, qué debe incluir un banner conforme a los criterios de la AEPD y qué pasos pueden seguir las empresas para cumplir la normativa sin complicaciones.

Desde la entrada en vigor de las directrices actualizadas de la Agencia Española de Protección de Datos en 2024, las organizaciones deben revisar con especial atención cómo informan a los usuarios, cómo solicitan el consentimiento y qué opciones ofrecen en la primera capa del banner de cookies.

Para cumplir la normativa, no basta con mostrar un aviso genérico. Estos son los puntos que debes asegurarte de cumplir: 

• Identifica qué cookies se instalan
• Diferencia entre cookies técnicas y no técnicas
• Obtén un consentimiento válido antes de activar determinadas tecnologías 
• Permite que el usuario pueda aceptar, configurar o rechazar cookies de forma clara y sencilla

Leyes de cookies en España: qué normativas se aplican

En España, el marco legal de las cookies combina tres normas principales: el RGPD, la LOPDGDD y la LSSI, que transpone al ordenamiento español los criterios de la Directiva ePrivacy. Para cumplir correctamente, las empresas deben respetar las tres, ya que regulan tanto el consentimiento como la información al usuario y el tratamiento de datos personales.

Las cookies pueden implicar el acceso a información del dispositivo del usuario y, en muchos casos, el tratamiento de datos personales. Por eso, su uso no se regula mediante una única «ley de cookies», sino a través de un marco normativo que combina privacidad, protección de datos y servicios de la sociedad de la información.

Obligaciones de las empresas bajo la normativa española 

Las empresas que operan con datos en España deben adoptar un enfoque transparente, documentado y respetuoso con la privacidad del usuario en el uso de cookies u otras tecnologías de seguimiento. 

En concreto, deben cumplir las siguientes obligaciones:

• Informar a los usuarios sobre qué cookies se utilizan, con qué finalidad, durante cuánto tiempo permanecen activas y si son propias o de terceros.
• Identificar al responsable del tratamiento e indicar si los datos obtenidos mediante cookies se comparten con terceros.
• Obtener el consentimiento del usuario de forma previa, informada, libre y explícita antes de instalar cookies exentas, es decir, que requieren consentimiento.
• Facilitar el rechazo de cookies y la gestión de preferencias de forma sencilla, clara y accesible.
• Proteger los datos recogidos a través de cookies mediante medidas de seguridad adecuadas y conforme a los principios de protección de datos aplicables.

¿A quién se aplican las leyes de cookies en España? 

Las leyes de cookies en España se aplican a una amplia variedad de sitios web, aplicaciones móviles y servicios digitales que interactúan con usuarios ubicados en territorio español. En términos generales, afectan a:

• Sitios web y aplicaciones móviles dirigidos a usuarios en España o que tratan datos personales de personas situadas en España.
• Plataformas digitales, con independencia del país en el que estén establecidas, que ofrezcan bienes o servicios a residentes en España o realicen seguimiento de su comportamiento online dentro del territorio español.

Dado que las normativas de cookies en España están diseñadas para proteger la privacidad de las personas en el país, cualquier sitio web o servicio online que interactúe con este tipo de público debe asegurarse de cumplir las normativas.

Consentimiento de cookies en España

El consentimiento es uno de los elementos centrales del cumplimiento de la ley de cookies en España. Antes de instalar cookies que requieren consentimiento, las empresas deben asegurarse de que el usuario recibe información clara y puede decidir libremente si acepta, rechaza o configura su uso.

¿Qué es el consentimiento válido?

El consentimiento válido en materia de cookies es una manifestación libre, específica, informada e inequívoca de la voluntad del usuario. Esto significa que, antes de instalar cookies no exentas, el usuario debe recibir información clara sobre su uso y poder aceptar, rechazar o configurar sus preferencias mediante una acción afirmativa clara.

El artículo 6 de la LOPDGDD establece la definición de consentimiento del usuario en sintonía con la del RGPD. En virtud del RGPD, el consentimiento sobre cookies debe otorgarse de forma libre, específica, informada y explícita.

Para que el consentimiento sea válido, debe cumplir los siguientes requisitos:

• Previo: debe obtenerse antes de activar cookies no exentas.
• Informado: el usuario debe saber qué cookies se utilizan, con qué finalidad y si intervienen terceros.
• Libre: no puede condicionarse de forma indebida el acceso al servicio.
• Específico: debe referirse a finalidades concretas.
• Inequívoco: debe derivarse de una acción clara del usuario.

El consentimiento explícito a las cookies se obtiene, por lo general, a través de una acción clara y afirmativa, como hacer clic en un botón con la etiqueta «Consiento», «Acepto» o un término similar.

No constituye consentimiento válido:

• Seguir navegando por la web sin interactuar con el banner.
• Tener casillas premarcadas.
• Utilizar botones o diseños que induzcan al usuario a aceptar sin una alternativa real de rechazo.
• Ocultar la opción de rechazar cookies o dificultar su acceso frente a la aceptación.
• Basarse en el silencio o en la inactividad del usuario.

Cuando una cookie sirve para dos o más fines diferentes, pero un usuario sólo acepta uno de ellos, la cookie solo debe funcionar para el fin aceptado.

La ley de protección de datos española especifica que el usuario debe tener al menos 14 años de edad para otorgar un consentimiento válido. En el caso de los menores de 14 años, debe obtenerse el consentimiento de sus padres o tutores legales.

Flujo del consentimiento válido

El consentimiento de cookies debe seguir un proceso claro y trazable desde la primera visita del usuario a la web. Primero, el usuario accede al sitio y visualiza la primera capa del banner con la información básica y las opciones principales: aceptar, rechazar o configurar.

Si desea personalizar su elección, puede acceder a una segunda capa donde se explican las categorías de cookies y puede seleccionar sus preferencias. Una vez tomada la decisión, la web debe guardar esa elección y activar únicamente las cookies permitidas.

Además, la empresa debe conservar un registro del consentimiento para poder demostrar que se ha obtenido de forma válida, libre, informada, específica e inequívoca.

¿Qué cookies están exentas de la obligación de obtener el consentimiento explícito? 

El artículo 22.2 de la LSSI contempla determinados supuestos en los que los sitios web o aplicaciones no necesitan obtener el consentimiento explícito del usuario para utilizar cookies. En general, existen dos grandes tipos de cookies exceptuadas:

Cookies necesarias para la comunicación

Son cookies estrictamente necesarias para permitir la comunicación entre el dispositivo del usuario y la red. Por ejemplo, pueden intervenir en la conexión entre el navegador del usuario y el servidor del sitio web para que la página pueda cargarse correctamente.

Cookies necesarias para prestar un servicio solicitado por el usuario

Son cookies imprescindibles para ofrecer una funcionalidad que el usuario ha pedido de forma expresa. Por ejemplo, en una tienda online, las cookies que permiten recordar los productos añadidos al carrito mientras el usuario continúa navegando.

En ambos casos, estas cookies se consideran esenciales para el funcionamiento básico del sitio web o para la prestación de un servicio solicitado directamente por el usuario. Por ello, pueden utilizarse sin solicitar consentimiento previo, siempre que su uso se limite a esa finalidad estrictamente necesaria.

Otros ejemplos de cookies que pueden estar exentas de consentimiento, según su finalidad y configuración, incluyen:

• Cookies de personalización, cuando permiten recordar preferencias solicitadas por el usuario, como el idioma o el tamaño de la fuente.
• Cookies de identificación o autenticación, cuando resultan necesarias para mantener una sesión iniciada de forma segura.
• Cookies de seguridad del usuario, utilizadas para detectar intentos de autenticación erróneos o proteger la cuenta frente a usos indebidos.
• Cookies de sesión para equilibrar la carga del servidor y garantizar una navegación estable.
• Cookies necesarias para recordar elementos seleccionados por el usuario, como productos añadidos al carrito o datos introducidos en un formulario durante la misma sesión.

Nuevas directrices sobre el uso de cookies para las herramientas de medición de audiencia

Las directrices aplicables en España desde enero de 2024 establecen requisitos específicos para los operadores de sitios web o aplicaciones móviles que utilizan cookies o tecnologías similares con fines de medición de audiencia.

Según estos criterios, las cookies empleadas para obtener estadísticas de tráfico o rendimiento pueden estar exentas de consentimiento únicamente cuando cumplen condiciones muy concretas:

• Los datos recopilados se limitan a los estrictamente necesarios para la prestación del servicio.
• El tratamiento se realiza exclusivamente en nombre del editor del sitio web o aplicación.
• El tratamiento solo se utiliza para producir datos estadísticos anónimos.
• El uso de estas cookies o tecnologías similares no permite cotejar los datos con otras operaciones de tratamiento.
• Los datos recopilados no se transmiten a terceros.
• El uso de estas cookies o tecnologías similares no permite el seguimiento agregado de la navegación del usuario por diferentes sitios web o aplicaciones.

En la práctica, estas condiciones son restrictivas. En la mayoría de implementaciones de analítica con proveedores de terceros, como Google Analytics, Meta Pixel u otras herramientas similares, no se cumplen todos los requisitos de exención, por lo que seguirá siendo necesario obtener el consentimiento explícito del usuario antes de activar estas tecnologías.

Requisitos de los proveedores de servicios de medición de audiencia

Un proveedor que proporciona un servicio de medición comparativa de audiencias a varios editores debe proporcionar garantías objetivas a dichos editores de que:

• Los datos se recopilan, tratan y almacenan de forma independiente para cada editor.
• Las cookies o tecnologías similares utilizadas son completamente independientes entre sí y de cualquier otra cookie o tecnología similar.

Cuando un editor utiliza un proveedor de servicios de medición de audiencia, también deben existir las siguientes garantías y requisitos:

1. El contrato con el proveedor debe cumplir los requisitos del art. 28 del RGPD:

1. Obligación de no reutilizar en ningún caso los datos recopilados en el marco del contrato.
2. Restricción del tratamiento de los datos a los fines antes expuestos según sea estrictamente necesario.
3. Cumplimiento de las garantías establecidas en el caso de servir a varios editores.
4. Cualquier transferencia de datos fuera de la Unión Europea cumple las condiciones establecidas en el RGPD

2. Realizar y documentar una evaluación, por parte del editor o de un tercero independiente, de si es posible configurar y se han configurado las herramientas proporcionadas por el proveedor para garantizar el cumplimiento de los requisitos antes mencionados.

Condiciones estrictamente necesarias aceptadas para la administración del sitio web

Según la primera condición, la AEPD solo considera estrictamente necesarias para la correcta administración de un sitio web las siguientes medidas:

• Medición de audiencia página por página.
• La lista de páginas desde las que se ha seguido un enlace para solicitar la página actual (a veces llamada «referente»), ya sea interna o externa al sitio, por página y agregada diariamente.
• Determinación del tipo de dispositivo, navegador y tamaño de pantalla de los visitantes, por página y agregados diariamente.
• Estadísticas de tiempo de carga de la página, por página y agregadas por hora.
• Estadísticas sobre el tiempo dedicado a cada página, la tasa de rebote, la profundidad de desplazamiento, por página y agregadas diariamente.
• Estadísticas sobre las acciones de los usuarios (clics, selecciones), por página y agregadas diariamente.
• Estadísticas sobre la zona geográfica de origen de las solicitudes, por página y agregadas diariamente.

Cualquier otra recopilación y tratamiento de datos más allá de los tipos y fines enumerados anteriormente deben contar con el consentimiento previo del interesado (usuario, cliente, jugador o visitante) para que se considere lícito.

Requisitos de notificación a los usuarios del uso de cookies de medición de audiencia

Aunque determinadas cookies de medición de audiencia puedan estar exentas de la obligación de obtener consentimiento, los usuarios deben recibir información clara sobre su uso. Esta información suele incluirse en la política de privacidad del sitio web o de la aplicación, junto con una explicación de la finalidad de estas cookies y de las condiciones en las que se utilizan.

La duración de estas cookies o tecnologías similares debe limitarse al periodo estrictamente necesario para permitir una comparación significativa de audiencias a lo largo del tiempo. Como referencia, puede establecerse una duración máxima de 13 meses, sin que esta se prorrogue automáticamente cuando el usuario vuelva a visitar el sitio web.

Asimismo, la información recopilada mediante estas cookies o tecnologías similares podrá conservarse durante un periodo máximo de 25 meses. Tanto la vida útil de las cookies como los periodos de conservación de los datos deben revisarse periódicamente para garantizar que siguen limitándose a lo estrictamente necesario.

¿Sabes qué cookies tiene tu sitio web?

Analízalo gratis con el escáner de Cookiebot by Usercentrics y descubre todos los rastreadores activos.

Escanea gratis ahora

¿Pueden los usuarios retirar el consentimiento otorgado anteriormente?

Sí. Los usuarios pueden retirar el consentimiento de cookies en cualquier momento, y el proceso para hacerlo debe ser tan sencillo y accesible como el utilizado para otorgarlo.

Al igual que el RGPD, la ley de cookies en España exige que los usuarios mantengan el control sobre sus datos personales incluso después de haber aceptado inicialmente el uso de cookies. Por ello, los sitios web deben proporcionar instrucciones claras sobre cómo retirar el consentimiento y, cuando corresponda, cómo eliminar las cookies ya almacenadas en el dispositivo del usuario.

El rechazo o la modificación de preferencias no debe requerir más pasos ni ser menos visible que la aceptación inicial. En este sentido, Cookiebot CMP by Usercentrics incluye un icono persistente en el sitio web que permite a los usuarios acceder de nuevo a sus preferencias de consentimiento y modificarlas en cualquier momento.

¿Cómo pueden los usuarios rechazar su consentimiento? 

Los usuarios pueden rechazar las cookies directamente desde el banner de consentimiento, sin que el proceso sea más complejo, menos visible o menos accesible que la opción de aceptarlas.

De acuerdo con los criterios actualizados de la Guía de Cookies de la AEPD, desde enero de 2024 el botón para rechazar cookies debe aparecer en la primera capa del banner cuando también se ofrece la opción de aceptar. Ambas opciones deben presentarse con la misma visibilidad, accesibilidad y nivel de interacción.

Esto significa que los mecanismos para aceptar y rechazar las cookies, ya sean botones o enlaces, deben estar diseñados de forma similar y ubicarse en el mismo nivel de la página o interfaz del banner. El objetivo es permitir una elección libre y equilibrada, sin inducir al usuario a aceptar ni dificultar el rechazo mediante diseños menos visibles, textos confusos o recorridos adicionales innecesarios.

Requisitos del banner de consentimiento de cookies en España

El banner de consentimiento es el principal punto de contacto entre el usuario y la información sobre cookies. Para cumplir la normativa española, no basta con mostrar un aviso genérico: el banner debe ofrecer información clara, opciones equilibradas y un acceso sencillo a la configuración detallada.

Primera capa del banner de consentimiento

Según la legislación española, la primera capa de un banner de consentimiento de cookies debe proporcionar a los usuarios información esencial al acceder a un sitio web o aplicación. Esta capa debe:

• Mostrar claramente el nombre del editor del sitio web.
• Informar a los usuarios sobre los fines específicos del uso de cookies, como la mejora de la experiencia del usuario, el análisis o la publicidad.
• Especificar si las cookies utilizadas son propias o de terceros.
• Describir los tipos de cookies que se utilizan, por ejemplo, cookies funcionales, analíticas o publicitarias, y la naturaleza de los datos que recopilan y tratan.
• Ofrecer opciones claramente etiquetadas para aceptar, configurar o rechazar el uso de cookies. Desde 2024, la AEPD exige que el botón de rechazo aparezca en la primera capa del banner con la misma visibilidad y accesibilidad que el botón de aceptación.
• Proporcionar un enlace a una segunda capa de información que ofrezca más detalles sobre el uso de las cookies, sus implicaciones para la privacidad y las prácticas de gestión de datos.

Segunda capa del banner de consentimiento

La segunda capa de información de un banner de cookies debe ofrecer información más detallada y específica sobre las cookies utilizadas en el sitio web o aplicación.

Un elemento clave de esta capa es el panel de configuración, que permite a los usuarios gestionar sus preferencias de forma más granular. Este panel puede organizarse mediante distintos criterios:

• Agrupación por finalidad: permite al usuario otorgar o denegar su consentimiento de forma selectiva para una o varias finalidades, como análisis, marketing, personalización o integración con redes sociales.
• Agrupación por proveedores externos: dentro de cada finalidad, las cookies pueden agruparse según el tercero responsable de ellas, de modo que el usuario pueda aceptar cookies de un proveedor y rechazar las de otro.
• Identificación de terceros: el banner debe identificar claramente las cookies de terceros, ya sea mediante el nombre del proveedor o la marca por la que se conoce públicamente.
• Selección activa de preferencias: en ningún caso deben aparecer opciones premarcadas en favor de la aceptación de cookies. El usuario debe seleccionar activamente sus preferencias.

El panel debe indicar con claridad cómo guardar las preferencias seleccionadas, mediante opciones como «guardar selección» o «guardar configuración».

Texto sobre cookies en el banner de consentimiento

Según la normativa española, el texto utilizado en los banners de consentimiento de cookies puede variar, siempre que comunique con claridad las implicaciones de cada elección para el usuario. Las opciones deben ser comprensibles, directas y no inducir a error sobre lo que supone aceptar, configurar o rechazar las cookies.

Las principales opciones del banner pueden formularse del siguiente modo:

• Aceptar: puede utilizarse esta fórmula u otras expresiones equivalentes, como «Aceptar cookies» o «Consentir». El requisito principal es que el texto indique de forma clara que el usuario está dando su consentimiento al uso de cookies.
• Configurar: puede sustituirse por términos como «Opciones», «Más opciones», «Otras opciones», «Cookies», «Política de cookies»” o «Ajustes de privacidad», siempre que el usuario entienda que puede gestionar sus preferencias.
• Rechazar: debe incluirse una opción clara para rechazar las cookies, con fórmulas como «Rechazar cookies», «Rechazar» o una expresión equivalente. Esta opción debe ofrecer al usuario un medio directo y comprensible para denegar el uso de cookies no exentas.

Independientemente de la terminología elegida, el texto del banner debe ser sencillo, preciso y no ambiguo. Esto permite que los usuarios comprendan las consecuencias de cada opción y puedan tomar decisiones informadas sobre su privacidad.

Duración de las cookies según las directrices

En el caso de las cookies en las que se requiere el consentimiento del usuario, la AEPD considera una buena práctica que la validez del consentimiento no sea superior a 24 meses. 

Esto significa que después de un periodo de dos años, los sitios web deben tratar de renovar el consentimiento de los usuarios para continuar usando cookies.

En el caso de las cookies que ofrecen funciones distintas a las que requieren un consentimiento explícito, se recomienda minimizar su vida útil tanto como su finalidad lo permita. 

Este enfoque de la duración de las cookies se ajusta a los principios de protección de datos más amplios, y garantiza que los datos de los usuarios no se conserven durante más tiempo del necesario y que las preferencias de los usuarios se actualicen periódicamente para reflejar el consentimiento actual.

Muros de cookies en España

El concepto de muro de cookies, en virtud de la ley de cookies en España, sigue de cerca las directrices del CEPD sobre consentimiento. Los usuarios deben poder acceder a los servicios y funcionalidades sin tener que someterse a la condición de aceptar las cookies, garantizando así que el consentimiento se otorga libremente y no bajo ninguna forma de imposición.

Si un sitio web desea implementar un muro de cookies, también debe proporcionar un medio alternativo de acceso al servicio que no requiera la aceptación de cookies. De este modo se garantiza que el consentimiento no se dé bajo coacción al restringir el acceso a los servicios.

Esta alternativa no tiene que ser necesariamente gratuita. Ofrecer un modelo de suscripción o un servicio de pago sin cookies es un enfoque viable según la normativa española sobre cookies.

Consecuencias del incumplimiento de la ley de cookies en España

El incumplimiento de la ley de cookies en España puede dar lugar a sanciones económicas y requerimientos por parte de la Agencia Española de Protección de Datos. En particular, la instalación de cookies no exentas sin consentimiento válido, la falta de información clara o la ausencia de una opción real para rechazar cookies pueden constituir una infracción de la LSSI.

Además, cuando el uso de cookies implica el tratamiento de datos personales, también pueden resultar aplicables las obligaciones del RGPD y de la LOPDGDD. En estos casos, las sanciones pueden ser especialmente relevantes, ya que el RGPD prevé multas de hasta 20 millones de euros o el 4% del volumen de negocio anual global de la empresa, la cifra que resulte mayor.

Un ejemplo práctico es el caso de Iberia, sancionada por la AEPD con 30.000 euros por incumplimientos relacionados con su política de cookies. Entre otros aspectos, la web no ofrecía una opción adecuada para rechazar las cookies y presentaba deficiencias en la información facilitada al usuario. Este caso muestra que no basta con incluir un aviso de cookies: el banner debe permitir una elección real, informada y equilibrada.

Cómo cumplir la ley de cookies en España

Cumplir la ley de cookies en España implica aplicar medidas concretas en el sitio web o aplicación. En la práctica, las empresas deben diseñar un banner conforme, implantar una plataforma de gestión del consentimiento, auditar las cookies del sitio, evitar muros de cookies ilegales y renovar el consentimiento de forma periódica.

1. Seguir los requisitos actualizados de visualización en los banners

Diseña banners de cookies de acuerdo con las normas legales españolas, con claras opciones de aceptación y rechazo. Asegúrate de que tus banners proporcionen información relevante sobre el tipo de cookies utilizadas y su finalidad, de acuerdo con los requisitos de la primera y la segunda capa recogidos en las directrices de la AEPD.

2. Implantar una plataforma de gestión del consentimiento

El uso de una plataforma de gestión del consentimiento (CMP) como Cookiebot CMP by Usercentrics te facilitará el cumplimiento de la ley de cookies en España y los requisitos sobre el consentimiento de cookies del RGPD. Puedes configurar Cookiebot CMP para cumplir los requisitos legales en España a la hora de obtener el consentimiento de los usuarios, lo que incluye ofrecer opciones de consentimiento detalladas. Cookiebot CMP también permite a los usuarios rechazar o retirar fácilmente el consentimiento, de acuerdo con los requisitos de la AEDP.

Cookiebot by Usercentrics es compatible con 48 idiomas, entre ellos castellano, catalán y euskera, por lo que puedes configurarlo para que muestre un banner de cookies según la configuración del navegador del usuario.

3. Realizar una auditoría de las cookies de su sitio web

Necesitas saber qué cookies utiliza tu sitio web para cumplir el requisito de incluirlas en el banner de consentimiento de cookies. Cookiebot by Usercentrics cuenta con la mejor tecnología patentada del mercado para detectar todas las cookies y rastreadores implementados en tu sitio web y facilitar el cumplimiento de este requisito.

4. Evitar los muros de cookies

Los muros de cookies que obligan a los usuarios a aceptar cookies para acceder al contenido del sitio contravienen las directrices de AEPD. Si no puedes evitar el uso de un muro de cookies, asegúrate de proporcionar una auténtica alternativa para que los usuarios accedan a tu sitio web o aplicación sin aceptar las cookies.

5. Renovar el consentimiento

Sigue las prácticas recomendadas de la AEPD en cuanto a la duración de las cookies y asegúrate de obtener el nuevo consentimiento de los usuarios a intervalos adecuados, no superiores a 24 meses. 

Si se producen cambios en tu política de cookies o en los fines de una cookie, debes solicitar a los usuarios que vuelvan a confirmar su consentimiento, aunque ya te lo han dado y la duración de la cookie no haya caducado.

Cumple la ley de cookies en España sin complicaciones

El marco legal español sobre cookies combina la LSSI, el RGPD, la LOPDGDD y las directrices actualizadas de la AEPD aplicables desde 2024. Esto exige a las empresas adoptar un enfoque activo y continuo: no basta con añadir un banner estático, sino que es necesario identificar las cookies utilizadas, informar correctamente al usuario, obtener un consentimiento válido y permitir que las preferencias puedan modificarse en cualquier momento.

Cookiebot by Usercentrics ayuda a gestionar este proceso de forma sencilla. Permite escanear las cookies de su sitio web, configurar un banner de consentimiento conforme a la normativa española y mantener la gestión del consentimiento actualizada automáticamente cuando cambian los requisitos legales o técnicos.

Evita multas con Cookiebot by Usercentrics

Gestiona el consentimiento de cookies de tu web y cumple con la normativa española con Cookiebot by Usercentrics.

Empieza ya

-

Descargo de responsabilidad: Usercentrics no provee asesoría legal y la información provista tiene fines únicamente educativos. Siempre recomendamos recurrir a consultorías legales cualificadas o especialistas en privacidad en relación a las cuestiones y operaciones sobre privacidad y protección de datos.