--------------------------- Title: Multas RGPD y cookies en España: la guía práctica URL: https://www.cookiebot.com/es/multas-rgpd-cookies-espana/ --------------------------- # Multas RGPD y cookies en España: la guía práctica ## Puntos clave - Las cookies en España se rigen sobre todo por el artículo 22.2 de la LSSI y la AEPD se encarga de supervisar su cumplimiento. El RGPD y la LOPDGDD entran en juego cuando además existe un tratamiento inadecuado de los datos personales que recoges. - Una multa por cookies puede llegar a 30.000 € por una infracción leve y hasta 150.000 € por una grave. Si hay mal uso de datos personales, las cifras del RGPD son mucho mayores. - La AEPD inicia muchos procedimientos a raíz de denuncias de usuarios, aunque también puede actuar de oficio o como consecuencia de actuaciones inspectoras propias. - El error más común y más caro es cargar rastreadores antes de que el usuario comunique sus preferencias (Google Analytics, píxel de Meta, etiquetas de GTM). - Como primera medida legal puedes comprobar el riesgo de tu web en minutos con un escaneo de cookies. ## **El tamaño de la empresa no importa** Existe la idea de que las sanciones de protección de datos solo se dirigen a grandes marcas. Sin embargo, la realidad es diferente, especialmente cuando hablamos de cookies ya que cualquier descuido o error es relativamente fácil de detectar desde fuera. La AEPD ha multado a joyerías, tiendas online y medios digitales por errores de cookies.[ Massimo Dutti fue sancionada con 5.000 €](https://www.aepd.es/es/documento/ps-00051-2023.pdf) por no informar bien en la primera capa de su banner y no dejar reconfigurar el consentimiento.[ Estado de Alarma TV (EDA TV) recibió 2.000 €](https://www.elconfidencialdigital.com/articulo/el-chau-chau/proteccion-datos-multa-estado-alarma-tv-uso-cookies/20250408050000956707.html), rebajados a 1.200 € por pago voluntario, por instalar cookies sin permiso previo. Y las[ primeras sanciones de este tipo](https://www.garrigues.com/es_ES/noticia/primeras-sanciones-por-el-incumplimiento-de-la-normativa-del-uso-de-cookies-en-las-web), de solo 500 € y 3.000 €, afectaron a dos empresas pequeñas ya en 2014. El patrón es claro: no hace falta ser una multinacional para recibir una resolución sancionadora. Y el proceso suele ser similar: un usuario visita tu web, ve que las cookies se activan sin darle opción o que no puede rechazarlas, y presenta una denuncia. A partir de ahí, la AEPD comienza su investigación. ## **Dos leyes, dos tipos de multa** En España existen dos niveles regulatorios, uno a nivel europeo y otro a nivel nacional, es por ello que cuando hablamos de «multas por cookies» en España conviven dos marcos distintos: **1. La ley de cookies (LSSI).** El artículo 22.2 de la LSSI regula cómo pueden utilizarse cookies y tecnologías similares, obligando a informar adecuadamente y a obtener el consentimiento antes de instalar cookies no necesarias. Las sanciones aplicables se determinan conforme al régimen sancionador de la propia LSSI y dependen de la gravedad de la infracción y de las circunstancias concretas de cada caso. **2. El RGPD y la LOPDGDD.** Entran en juego cuando, además de las cookies, hay un tratamiento incorrecto de datos personales: perfiles publicitarios, cesión a terceros, falta de base legal, brechas de seguridad, etc. Aquí las cifras ascienden. Aunque el RGPD establece únicamente dos niveles máximos de sanción (hasta 10 millones de euros o el 2 % del volumen de negocio mundial anual, y hasta 20 millones de euros o el 4 %, según la infracción), la LOPDGDD clasifica las infracciones en leves, graves y muy graves a efectos de su aplicación en España: Tipo de infracciónQué implicaSanciónPrescribe enLeveFallos formales, sin daño real al usuarioHasta 40.000 €1 añoGraveAfecta a derechos del usuario o a la seguridad de los datos40.001 € – 300.000 €2 añosMuy graveVulneración seria o a gran escalaMás de 300.000 €3 años *Esta clasificación corresponde a la LOPDGDD En los casos más graves, el RGPD permite llegar hasta 20 millones de euros o el 4 % de la facturación anual global, la cifra que sea mayor. Es importante recalcar que ambos marcos pueden solaparse. Dependiendo de las circunstancias del caso, un mismo incumplimiento puede dar lugar a responsabilidades tanto en virtud de la LSSI como del RGPD, por ejemplo cuando, además de instalar cookies sin consentimiento, se realiza un tratamiento ilícito de los datos personales obtenidos. Por eso afinar la gestión de cookies es la forma más efectiva de reducir riesgos. ## **Los errores de cookies que más multas desencadenan** Estos son los errores más comunes en las resoluciones de la AEPD. Si tu web presenta alguno de estos, es posible que estés corriendo riesgos. ### **1. Activar rastreadores antes de que el usuario decida** Es el error número uno y el más técnico. Google Analytics, el píxel de Meta, mapas, vídeos incrustados o etiquetas de Google Tag Manager que se disparan en cuanto alguien abre la página, antes de tocar el banner. La ley exige lo contrario: nada de cookies no esenciales hasta que haya una acción clara de opt-in (aceptación). La mayoría de dueños de webs ni siquiera sabe cuántos rastreadores tiene su sitio, porque muchos llegan a través de plugins o de terceros. En 2025 la AEPD[ sancionó a Wallapop](https://lawwwing.com/aepd-sanciones-2025/) justo por este motivo: su web cargaba cookies no necesarias nada más entrar y, además, el botón de «rechazar» no llegaba a detenerlas. ### **2. Un banner sin botón de «Rechazar» claro** La AEPD lo tiene claro desde su[ guía de cookies actualizada](https://www.cookiebot.com/es/guia-cookies-aepd/): rechazar debe ser tan fácil como aceptar. Un banner con un botón grande de «aceptar todo» y el rechazo escondido en un submenú se considera un patrón engañoso y es sancionable. «Aceptar» y «rechazar» deben estar al mismo nivel, con el mismo peso visual. ### **3. Casillas premarcadas** Dar por aceptadas las cookies de análisis o publicidad con casillas ya marcadas no es posible. El permiso tiene que ser una decisión activa del usuario, no algo marcado por defecto. ### **4. Muros de cookies sin alternativa** Obligar a aceptar cookies para poder acceder a la web, el llamado[ muro de cookies](https://usercentrics.com/es/knowledge-hub/muro-de-cookies/), no es válido si no ofreces una vía equivalente para quien no quiere aceptarlas. Bloquear el acceso a cambio del «sí» no es una elección libre. El caso más conocido es el de[ Iberia, multada con 30.000 €](https://www.aepd.es/es/documento/ps-00032-2020.pdf) (el importe máximo por esta vía) precisamente por usar un muro de cookies. ### **5. Una política de cookies ausente, incompleta o desfasada** Massimo Dutti fue sancionada por la AEPD debido, entre otros aspectos, a deficiencias en la información facilitada al usuario y en los mecanismos para gestionar el consentimiento, lo que ilustra la importancia de que tanto el banner como la política de cookies cumplan los requisitos establecidos por la normativa. Tu web debe explicar de forma clara qué cookies usa, para qué, si son propias o de terceros, y cómo aceptarlas, rechazarlas o configurarlas. Y esa información tiene que estar actualizada: si añades una herramienta nueva, la política tiene que reflejarlo. ### **6. No poder retirar el permiso con facilidad** Retirar el consentimiento debe ser tan sencillo como darlo. En la práctica, eso significa un enlace o icono siempre accesible para volver a abrir las preferencias de cookies. Además, no conviene mantener una elección de forma indefinida: la AEPD recomienda renovarla y no superar los 24 meses. ### **7. No guardar registro de los permisos** Si te llega una reclamación, tienes que poder demostrar qué aceptó cada usuario y cuándo. Sin registros de consentimiento, no tienes forma de probar que estabas cumpliendo la normativa. ## **Cuánto puede costarte de verdad** Las multas por cookies en España no suelen ser millonarias. Los importes reales se mueven muchas veces entre unos cientos y unas decenas de miles de euros, y bajan si reconoces la responsabilidad y pagas de forma voluntaria. Suena asumible, pero es un cálculo peligroso por tres motivos: - **Se acumulan costes indirectos:** rehacer el banner y el seguimiento a contrarreloj, horas de tu equipo o de una agencia, y la posibilidad de perder datos de analítica y campañas mientras lo arreglas. - **El daño de imagen es real:** aparecer en una resolución de la AEPD no ayuda a la confianza de tus clientes. - **Puede escalar:** si el problema afecta a datos personales, entras en el terreno del RGPD, donde las cifras son mayores. Dicho de otro modo: el coste de prevenir es siempre menor que el de corregir tras una denuncia. ## **Cómo comprobar si tu web está en riesgo** No necesitas un despacho de abogados para hacer una primera revisión. Con este repaso detectas la mayoría de los problemas: - **Escanea tu web** — Comprueba qué cookies y rastreadores están presentes. Casi siempre aparecen más de los esperados, muchos de terceros que ni recordabas haber añadido. - **Mira qué se dispara antes de aceptar** — Abre tu web en una ventana nueva y revisa, con las herramientas de desarrollo del navegador o con la vista previa de Google Tag Manager, qué se carga antes de tocar el banner. Si ves Analytics o el píxel de Meta activos, hay un problema que corregir. - **Revisa el banner** — ¿El botón de «rechazar» es tan visible como el de «aceptar»? ¿Hay casillas premarcadas? ¿Se puede acceder sin aceptar? - **Revisa la política de cookies** — ¿Existe, es completa y está al día? - **Comprueba que el consentimiento se puede revocar** — ¿Puede un usuario volver a cambiar sus preferencias con facilidad? ## **Cómo corregirlo en tu plataforma** La buena noticia es que casi todo esto se resuelve con una plataforma de gestión de cookies (CMP) que escanee, bloquee y organice el consentimiento por ti, sin tener que tocar el código de cada rastreador. - **WordPress:** con un[ plugin de cookies](https://www.cookiebot.com/es/new-wp-cookie-plugin/) añades el banner y el bloqueo previo sin programar. Es el punto débil habitual, porque muchos plugins cargan rastreadores por su cuenta. - **Shopify:** el reto suele estar en los píxeles y apps de marketing; la CMP se encarga de que no se activen hasta que el usuario decide. - **Wix:** existe[ integración directa](https://www.cookiebot.com/es/cookiebot-for-wix-by-usercentrics-app/) para gestionar el banner y el bloqueo. - **Google Tag Manager:** aquí es clave conectar el permiso con el[ Modo de Consentimiento de Google](https://www.cookiebot.com/es/cookiebot-cmp-google-consent-mode/), para que tus etiquetas solo se disparen cuando corresponda y no pierdas datos de medición. Además, integrar correctamente Google Consent Mode puede ser necesario para acceder a determinadas funcionalidades de medición y publicidad de Google y para optimizar el rendimiento de las campañas respetando las preferencias de consentimiento del usuario. En todos los casos, la idea es la misma: bloquear las cookies no esenciales por defecto, mostrar un banner con opciones reales de aceptar o rechazar, y guardar el registro de cada elección. ## **Qué significa para tu web** Revisar todo esto a mano lleva tiempo y es fácil pasar algo por alto: un píxel olvidado, un plugin que se salta el bloqueo, una política de cookies desactualizada. Y basta con uno de esos fallos para que una denuncia acabe en sanción. Ahí es donde una CMP simplifica todo el proceso y provee tranquilidad para ti y tu equipo. [Cookiebot CMP](https://www.cookiebot.com/es/cookie-consent-solution/) escanea tu web, detecta las cookies y rastreadores —incluidos los de terceros—, los bloquea hasta que el usuario decide y muestra un banner con opciones claras de aceptar o rechazar. Además, guarda el registro de cada permiso, lo renueva de forma automática y mantiene tu declaración de cookies al día. Es la forma más directa de atajar el desencadenante de la mayoría de las multas de la AEPD Analiza tu web gratis y comprueba en minutos si tus cookies te expondrían a una sanción. [Escanear gratis](https://www.cookiebot.com/es/) ## Preamble Cuando se habla de multas del RGPD casi siempre se piensa en cuantiosas sanciones a grandes empresas. Pero para quien gestiona una web, el riesgo real es más cercano y más concreto: casi siempre empieza por el banner de cookies y por los rastreadores que se activan antes de solicitar el consentimiento. La AEPD sanciona estos fallos de forma cada vez más habitual, y estas sanciones afectan tanto a grandes empresas como a pequeñas organizaciones. ## Summary Cuando se habla de multas del RGPD casi siempre se piensa en cuantiosas sanciones a grandes empresas. Pero para quien gestiona una web, el riesgo real es más cercano y más concreto: casi siempre empieza por el banner de cookies y por los rastreadores que se activan antes de solicitar el consentimiento. La AEPD sanciona estos fallos de forma cada vez más habitual, y estas sanciones afectan tanto a grandes empresas como a pequeñas organizaciones. --- ## Footer ### Productos - [Solución de Consentimiento de Cookiebot™](https://www.cookiebot.com/es/cookie-consent-solution/) - [Audience Survey](https://www.cookiebot.com/es/audience-survey-add-on/) - [Cookiebot™ for Wix by Usercentrics](https://www.cookiebot.com/es/cookiebot-for-wix-by-usercentrics-app/) - [Usercentrics Cookiebot WordPress Plugin](https://www.cookiebot.com/es/new-wp-cookie-plugin/) - [Cookie Checker](https://www.cookiebot.com/es/cookie-checker/) - [Productos de Usercentrics](https://usercentrics.com/es/) - [Precios](https://www.cookiebot.com/es/pricing/) ### Regulaciones - [DMA (Europa)](https://www.cookiebot.com/es/ley-de-mercados-digitales-dma/) - [RGPD (Europa)](https://www.cookiebot.com/es/rgpd/) - [CCPA/CPRA (California)](https://www.cookiebot.com/es/what-is-ccpa/) - [VCDPA (Virginia)](/en/virginia-vcdpa/) - [LGPD (Brasil)](/es/lgpd/) - [TCF v2.3 (IAB)](/en/tcf/) - [Google Consent Mode (Europa)](https://www.cookiebot.com/es/cookiebot-cmp-google-consent-mode/) - [Microsoft UET Consent Mode](https://www.cookiebot.com/es/microsoft-consent-mode-cmp/) ### Socios - [Afíliate](https://www.cookiebot.com/es/affiliates/) - [Acceso Afiliados](https://app.impact.com/login.user) - [Conviértete en Socio](https://www.cookiebot.com/es/resellers/) - [Encuentra un Socio](https://www.cookiebot.com/es/cookiebot-reseller/) ### Recursos - [Blog](https://www.cookiebot.com/es/blog/) - [Directorio de clientes](https://www.cookiebot.com/es/cookiebot-directorio-clientes/) - [Ley de Mercados Digitales (DMA)](https://www.cookiebot.com/es/digital-markets-act-dma-resources/) - [Modo de Consentimiento de Google](https://www.cookiebot.com/es/google-consent-mode-resources/) ### La empresa - [Quiénes somos](https://www.cookiebot.com/es/about/) - [Empleo](https://usercentrics.com/career/) - [Soporte](https://support.cookiebot.com/hc/en-us/) - [Documentación para desarrolladores](https://www.cookiebot.com/es/developer/) ©2026 Cookiebot. Todos los derechos reservados. Cookiebot es una marca comercial de Usercentrics A/S. Usercentrics A/S se ha registrado en Dinamarca. N.º de registro comercial: 34624607. No vender ni compartir mi información personalSolicitudes del interesadoAdministra tus preferencias [Política de privacidad](https://www.cookiebot.com/es/privacy-policy/) · [Condiciones de servicio](/en/terms-of-service/) · [Declaración de cookies](https://www.cookiebot.com/es/cookie-declaration/) · [Acuerdo de procesamiento de datos](/es/data-processing-agreement/) · [Aviso legal](https://www.cookiebot.com/es/legal-notice/) · [Declaración de accesibilidad](/en/accessibility-statement-wcag-compliance/)