En una frase. La AEPD exige banners de cookies con rechazo en primera capa al mismo nivel que la aceptación, consentimiento granular por finalidad y cero tracking previo al consentimiento; cualquier desviación se sanciona con base en el artículo 22 LSSI hasta 600.000 EUR.
Puntos clave
- Base legal: artículo 22.2 LSSI + RGPD + Guía AEPD sobre el uso de cookies (julio 2023, vigente 2026).
- Botones “Aceptar” y “Rechazar” deben estar al mismo nivel visual y de fricción.
- “Continuar navegando” como consentimiento está prohibido desde 2021.
- Walls de cookies admitidos solo con alternativa real (incluida de pago, criterios CEPD 2024).
- Sanciones LSSI: hasta 30.000 EUR (leves), 150.000 EUR (graves), 600.000 EUR (muy graves).
1. Marco normativo aplicable a cookies en España
Las cookies se rigen en España por la confluencia de tres normas:
- Artículo 22.2 LSSI (Ley 34/2002), que exige consentimiento previo informado para almacenar o acceder a información en el terminal del usuario; analizamos la ley completa en nuestra guía de la LSSI-CE.
- RGPD: cuando las cookies tratan datos personales, se aplican los principios y bases jurídicas.
- Guía sobre el uso de cookies AEPD (versión vigente julio 2023), que detalla cómo cumplir el artículo 22 LSSI.
La Guía AEPD no es norma con rango de ley, pero es el criterio interpretativo aplicado por la AEPD en procedimientos sancionadores.
2. Cookies que requieren consentimiento
- Cookies analíticas no propias o que envían datos a terceros.
- Cookies publicitarias y de personalización.
- Cookies de redes sociales para insertar contenido o botones de compartir.
- Cookies de geolocalización con finalidades comerciales.
- Píxeles, fingerprinting, identificadores en localStorage, sessionStorage e IndexedDB.
3. Cookies exentas
El artículo 22.2 LSSI exime las cookies estrictamente necesarias:
- Cookies de sesión para autenticación.
- Cookies para recordar el contenido de una cesta de compra.
- Cookies de balanceo de carga.
- Cookies de seguridad para detectar intentos de acceso indebido.
- Cookies de personalización de interfaz solicitadas por el usuario (idioma, contraste).
Las cookies analíticas propias sin perfilado y agregadas se consideran admisibles sin consentimiento por la Guía AEPD, criterio que difiere ligeramente de la CNIL francesa.
4. Anatomía de un banner conforme
Primera capa (visible al entrar al sitio):
- Información clara sobre uso de cookies y finalidades principales.
- Identidad del editor y categorías de terceros.
- Tres botones con la misma jerarquía visual: “Aceptar todas”, “Rechazar todas”, “Configurar”.
- Enlace a la política de cookies completa.
Segunda capa (panel de configuración):
- Lista de categorías con casillas desactivadas por defecto (excepto técnicas).
- Información detallada de cada cookie: nombre, finalidad, plazo, tercero.
- Posibilidad de aceptar o rechazar por categoría.
5. Errores frecuentes sancionados por la AEPD
| Error | Multa típica |
|---|---|
| Botón aceptar destacado, rechazar oculto en segunda capa | 5.000 – 30.000 EUR |
| Carga de cookies de tracking antes del consentimiento | 10.000 – 100.000 EUR |
| Casillas marcadas por defecto | 5.000 – 25.000 EUR |
| Falta de botón rechazar | 10.000 – 80.000 EUR |
| Banner que no permite cambiar el consentimiento | 3.000 – 15.000 EUR |
| Política de cookies inexistente o desactualizada | 2.000 – 20.000 EUR |
| Uso de dark patterns | 15.000 – 100.000 EUR |
6. Casos reales relevantes
- Vueling (PS/00056/2024): 30.000 EUR por banner sin opción de rechazo en primera capa.
- Open Bank (2023): 100.000 EUR por instalación de cookies de terceros antes del consentimiento.
- Glovo (2024): 30.000 EUR por dark patterns en el banner.
- PCComponentes (2025): 60.000 EUR por configuración de cookies inaccesible y falta de equivalencia.
7. Cookie walls: cuándo son admisibles
Las directrices del CEPD de 2020 actualizadas en 2024 admiten cookie walls cuando existe alternativa real y equivalente. El criterio aplicado en Europa es el “pay or consent”: permitir al usuario acceder al servicio sin cookies de tracking a cambio de una suscripción de pago razonable. La AEPD ha aceptado este modelo en sitios de prensa con suscripción inferior a 5 EUR/mes que no se considera abusiva. Cookie walls sin alternativa son nulos.
8. Renovación del consentimiento
La Guía AEPD establece que el consentimiento de cookies debe renovarse al menos cada 24 meses. Algunos sectores (banca, sanidad) aplican plazos más cortos. El consentimiento revocado por el usuario debe respetarse inmediatamente, incluyendo eliminación de cookies ya almacenadas en el terminal cuando sea técnicamente posible.
9. Documentación obligatoria
El responsable debe poder demostrar:
10. Integración con CMP (Consent Management Platform)
Los CMP basados en TCF de IAB Europe deben configurarse correctamente. El TCF v2.2 incorpora botón de rechazo en primera capa y diferenciación clara de bases jurídicas. La AEPD no ha invalidado el TCF como sí hizo la APD belga inicialmente, pero exige que la implantación concreta cumpla el artículo 22 LSSI.
11. Auditoría técnica del banner
Comprobaciones recomendadas trimestralmente:
- Abrir el sitio en modo incógnito y verificar qué cookies se cargan antes de cualquier interacción.
- Pulsar “Rechazar” y verificar que no se carga ninguna cookie no técnica.
- Verificar equivalencia visual y de fricción entre aceptar y rechazar.
- Cambiar de página tras rechazar y comprobar que el rechazo se mantiene.
- Revocar el consentimiento y verificar que las cookies se eliminan.
Herramientas: Cookiebot scanner, OneTrust audit, herramientas DevTools del navegador.
12. Cookies y RGPD: bases jurídicas
13. Cookies en el comercio electrónico
El escenario más expuesto es la tienda online. Un ecommerce medio combina cookies técnicas de sesión y carrito (exentas), analítica de terceros, píxeles de Meta y Google Ads, y herramientas de remarketing —todas ellas sujetas a consentimiento previo. El error más caro y frecuente es disparar el píxel publicitario en la carga de la página de producto, antes de que el usuario interactúe con el banner. La AEPD lo interpreta como tratamiento sin base jurídica desde el primer milisegundo. La guía RGPD para ecommerce en España detalla la secuencia correcta: bloquear por defecto todo script no técnico, cargarlo solo tras el clic afirmativo en “Aceptar” o en la categoría concreta, y mantener registro técnico del consentimiento para poder acreditarlo ante una inspección.
14. Consentimiento de cookies y prueba de la carga
Demostrar el cumplimiento no es lo mismo que cumplir. Ante un requerimiento de la AEPD, el responsable debe aportar evidencia técnica: la versión del banner mostrada, la fecha, las categorías aceptadas y el hecho de que ninguna cookie no esencial se instaló antes del consentimiento. Sin ese registro, la carga de la prueba juega en contra del responsable conforme al principio de responsabilidad proactiva del art. 5.2 RGPD. Un banner visualmente impecable pero sin logs de consentimiento es tan vulnerable como uno con dark patterns.
Véase también: modelo de política de cookies.
FAQ
¿Es obligatorio el botón rechazar en primera capa?
Sí. La Guía AEPD desde julio 2023 lo exige expresamente con la misma fricción y visibilidad que el botón aceptar.
¿Puedo usar cookies analíticas sin consentimiento?
Solo si son propias, agregadas y sin perfilado de usuarios. Google Analytics no cumple este criterio sin configuración estricta de IP anonymization y deshabilitación de signal sharing.
¿El scroll equivale a consentimiento?
No. Desde 2020 el CEPD y la AEPD han declarado expresamente que continuar navegando, hacer scroll o pulsar enlaces no constituye consentimiento válido.
¿Cuánto puede sancionarme la AEPD por cookies?
Hasta 30.000 EUR (leves), 150.000 EUR (graves), 600.000 EUR (muy graves). Las multas más frecuentes oscilan entre 5.000 EUR y 100.000 EUR.
¿El banner debe aparecer en todos los idiomas del sitio?
Sí. Si el sitio se ofrece en varios idiomas, el banner y la política deben estar disponibles en cada idioma ofrecido al usuario.