Multas RGPD y cookies en España: la guía práctica

El tamaño de la empresa no importa

Existe la idea de que las sanciones de protección de datos solo se dirigen a grandes marcas. Sin embargo, la realidad es diferente, especialmente cuando hablamos de cookies ya que cualquier descuido o error es relativamente fácil de detectar desde fuera.

La AEPD ha multado a joyerías, tiendas online y medios digitales por errores de cookies. Massimo Dutti fue sancionada con 5.000 € por no informar bien en la primera capa de su banner y no dejar reconfigurar el consentimiento. Estado de Alarma TV (EDA TV) recibió 2.000 €, rebajados a 1.200 € por pago voluntario, por instalar cookies sin permiso previo. Y las primeras sanciones de este tipo, de solo 500 € y 3.000 €, afectaron a dos empresas pequeñas ya en 2014. El patrón es claro: no hace falta ser una multinacional para recibir una resolución sancionadora.

Y el proceso suele ser similar: un usuario visita tu web, ve que las cookies se activan sin darle opción o que no puede rechazarlas, y presenta una denuncia. A partir de ahí, la AEPD comienza su investigación.

Dos leyes, dos tipos de multa 

En España existen dos niveles regulatorios, uno a nivel europeo y otro a nivel nacional, es por ello que cuando hablamos de «multas por cookies» en España conviven dos marcos distintos:

1. La ley de cookies (LSSI). El artículo 22.2 de la LSSI regula cómo pueden utilizarse cookies y tecnologías similares, obligando a informar adecuadamente y a obtener el consentimiento antes de instalar cookies no necesarias. Las sanciones aplicables se determinan conforme al régimen sancionador de la propia LSSI y dependen de la gravedad de la infracción y de las circunstancias concretas de cada caso.

2. El RGPD y la LOPDGDD. Entran en juego cuando, además de las cookies, hay un tratamiento incorrecto de datos personales: perfiles publicitarios, cesión a terceros, falta de base legal, brechas de seguridad, etc. Aquí las cifras ascienden. Aunque el RGPD establece únicamente dos niveles máximos de sanción (hasta 10 millones de euros o el 2 % del volumen de negocio mundial anual, y hasta 20 millones de euros o el 4 %, según la infracción), la LOPDGDD clasifica las infracciones en leves, graves y muy graves a efectos de su aplicación en España:

*Esta clasificación corresponde a la LOPDGDD

En los casos más graves, el RGPD permite llegar hasta 20 millones de euros o el 4 % de la facturación anual global, la cifra que sea mayor.

Es importante recalcar queambos marcos pueden solaparse. Dependiendo de las circunstancias del caso, un mismo incumplimiento puede dar lugar a responsabilidades tanto en virtud de la LSSI como del RGPD, por ejemplo cuando, además de instalar cookies sin consentimiento, se realiza un tratamiento ilícito de los datos personales obtenidos. Por eso afinar la gestión de cookies es la forma más efectiva de reducir riesgos.

Los errores de cookies que más multas desencadenan

Estos son los errores más comunes en las resoluciones de la AEPD. Si tu web presenta alguno de estos, es posible que estés corriendo riesgos.

1. Activar rastreadores antes de que el usuario decida

Es el error número uno y el más técnico. Google Analytics, el píxel de Meta, mapas, vídeos incrustados o etiquetas de Google Tag Manager que se disparan en cuanto alguien abre la página, antes de tocar el banner. La ley exige lo contrario: nada de cookies no esenciales hasta que haya una acción clara de opt-in (aceptación). La mayoría de dueños de webs ni siquiera sabe cuántos rastreadores tiene su sitio, porque muchos llegan a través de plugins o de terceros. En 2025 la AEPD sancionó a Wallapop justo por este motivo: su web cargaba cookies no necesarias nada más entrar y, además, el botón de «rechazar» no llegaba a detenerlas.

2. Un banner sin botón de «Rechazar» claro

La AEPD lo tiene claro desde su guía de cookies actualizada: rechazar debe ser tan fácil como aceptar. Un banner con un botón grande de «aceptar todo» y el rechazo escondido en un submenú se considera un patrón engañoso y es sancionable. «Aceptar» y «rechazar» deben estar al mismo nivel, con el mismo peso visual.

3. Casillas premarcadas

Dar por aceptadas las cookies de análisis o publicidad con casillas ya marcadas no es posible. El permiso tiene que ser una decisión activa del usuario, no algo marcado por defecto.

4. Muros de cookies sin alternativa

Obligar a aceptar cookies para poder acceder a la web, el llamado muro de cookies, no es válido si no ofreces una vía equivalente para quien no quiere aceptarlas. Bloquear el acceso a cambio del «sí» no es una elección libre. El caso más conocido es el de Iberia, multada con 30.000 € (el importe máximo por esta vía) precisamente por usar un muro de cookies.

5. Una política de cookies ausente, incompleta o desfasada

Massimo Dutti fue sancionada por la AEPD debido, entre otros aspectos, a deficiencias en la información facilitada al usuario y en los mecanismos para gestionar el consentimiento, lo que ilustra la importancia de que tanto el banner como la política de cookies cumplan los requisitos establecidos por la normativa. 

Tu web debe explicar de forma clara qué cookies usa, para qué, si son propias o de terceros, y cómo aceptarlas, rechazarlas o configurarlas. Y esa información tiene que estar actualizada: si añades una herramienta nueva, la política tiene que reflejarlo.

6. No poder retirar el permiso con facilidad

Retirar el consentimiento debe ser tan sencillo como darlo. En la práctica, eso significa un enlace o icono siempre accesible para volver a abrir las preferencias de cookies. Además, no conviene mantener una elección de forma indefinida: la AEPD recomienda renovarla y no superar los 24 meses.

7. No guardar registro de los permisos

Si te llega una reclamación, tienes que poder demostrar qué aceptó cada usuario y cuándo. Sin registros de consentimiento, no tienes forma de probar que estabas cumpliendo la normativa.

Cuánto puede costarte de verdad

Las multas por cookies en España no suelen ser millonarias. Los importes reales se mueven muchas veces entre unos cientos y unas decenas de miles de euros, y bajan si reconoces la responsabilidad y pagas de forma voluntaria. Suena asumible, pero es un cálculo peligroso por tres motivos:

• Se acumulan costes indirectos: rehacer el banner y el seguimiento a contrarreloj, horas de tu equipo o de una agencia, y la posibilidad de perder datos de analítica y campañas mientras lo arreglas.
• El daño de imagen es real: aparecer en una resolución de la AEPD no ayuda a la confianza de tus clientes.
• Puede escalar: si el problema afecta a datos personales, entras en el terreno del RGPD, donde las cifras son mayores.

Dicho de otro modo: el coste de prevenir es siempre menor que el de corregir tras una denuncia.

Cómo comprobar si tu web está en riesgo

No necesitas un despacho de abogados para hacer una primera revisión. Con este repaso detectas la mayoría de los problemas:

Cómo corregirlo en tu plataforma

La buena noticia es que casi todo esto se resuelve con una plataforma de gestión de cookies (CMP) que escanee, bloquee y organice el consentimiento por ti, sin tener que tocar el código de cada rastreador.

• WordPress: con un plugin de cookies añades el banner y el bloqueo previo sin programar. Es el punto débil habitual, porque muchos plugins cargan rastreadores por su cuenta.
• Shopify: el reto suele estar en los píxeles y apps de marketing; la CMP se encarga de que no se activen hasta que el usuario decide.
• Wix: existe integración directa para gestionar el banner y el bloqueo.
• Google Tag Manager: aquí es clave conectar el permiso con el Modo de Consentimiento de Google, para que tus etiquetas solo se disparen cuando corresponda y no pierdas datos de medición. Además, integrar correctamente Google Consent Mode puede ser necesario para acceder a determinadas funcionalidades de medición y publicidad de Google y para optimizar el rendimiento de las campañas respetando las preferencias de consentimiento del usuario.

En todos los casos, la idea es la misma: bloquear las cookies no esenciales por defecto, mostrar un banner con opciones reales de aceptar o rechazar, y guardar el registro de cada elección.

Qué significa para tu web

Revisar todo esto a mano lleva tiempo y es fácil pasar algo por alto: un píxel olvidado, un plugin que se salta el bloqueo, una política de cookies desactualizada. Y basta con uno de esos fallos para que una denuncia acabe en sanción. Ahí es donde una CMP simplifica todo el proceso y provee tranquilidad para ti y tu equipo.

Cookiebot CMP escanea tu web, detecta las cookies y rastreadores —incluidos los de terceros—, los bloquea hasta que el usuario decide y muestra un banner con opciones claras de aceptar o rechazar. Además, guarda el registro de cada permiso, lo renueva de forma automática y mantiene tu declaración de cookies al día. Es la forma más directa de atajar el desencadenante de la mayoría de las multas de la AEPD

Analiza tu web gratis y comprueba en minutos si tus cookies te expondrían a una sanción.

Escanear gratis