La ley de cookies en España

¿Qué es la ley de cookies?

En España, la "ley de cookies" es el artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Ese artículo traslada a la ley española la Directiva europea de privacidad electrónica (ePrivacy).

La regla básica: solo puedes usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario si este ha dado su consentimiento, después de recibir información clara y completa sobre su uso y, en particular, sobre sus finalidades. Eso incluye cookies, pero también tecnologías similares como los web beacons (píxeles) y el fingerprinting.

Hay dos excepciones: las cookies que sirven solo para transmitir una comunicación por la red, y las estrictamente necesarias para prestar un servicio que el usuario ha pedido expresamente.

Cuando las cookies tratan datos personales, como pasa con casi todas las de análisis y publicidad, se aplica además el RGPD. Es el RGPD el que fija qué es un consentimiento válido.

La Guía sobre el uso de las cookies de la AEPD

La Agencia Española de Protección de Datos (AEPD) explica cómo aplicar el artículo 22.2 en su Guía sobre el uso de las cookies, elaborada con la industria (Adigital, Anunciantes, Autocontrol e IAB Spain). La guía se ha actualizado varias veces:

• Julio de 2023: se adaptó a las Directrices 03/2022 del Comité Europeo de Protección de Datos (CEPD) sobre patrones engañosos. Desde el 11 de enero de 2024, rechazar las cookies debe ser tan fácil como aceptarlas.
• Mayo de 2024: se incorporó el Dictamen 08/2024 del CEPD sobre los modelos de "consentir o pagar".

La guía no es una ley, pero refleja cómo interpreta la AEPD la norma cuando revisa una web.

¿Qué cookies necesitan consentimiento?

Sobre las cookies de análisis, la AEPD recoge la opinión del antiguo Grupo de Trabajo del Artículo 29: no están exentas del consentimiento, aunque es poco probable que supongan un riesgo para la privacidad si son propias, tratan datos agregados con fines estadísticos y el usuario puede negarse. En España no hay, por tanto, una exención para la analítica como la de otros países.

Aunque una cookie esté exenta, sigue siendo buena idea explicarla en tu política de cookies.

Cómo debe ser el banner según la AEPD

La guía de la AEPD describe una primera capa (el banner) y una segunda capa (la política de cookies). En la primera capa debe constar:

• quién es el responsable de la web (si no se deduce claramente de la propia web);
• para qué se usan las cookies, y si son propias o también de terceros;
• un botón para aceptar y un botón para rechazar, en la misma capa, al mismo nivel y con un formato similar;
• un acceso directo a un panel de configuración para elegir por finalidades;
• un enlace a la política de cookies.

Y además:

• Nada de patrones engañosos. Un botón de rechazar con poco contraste o escondido no es válido.
• Seguir navegando no es consentimiento. Tampoco lo es abrir la segunda capa o moverse por el panel de configuración.
• Primero el consentimiento, después las cookies. Las cookies no exentas no pueden cargarse antes de que el usuario acepte.
• Retirar el consentimiento debe ser tan fácil como darlo, por ejemplo con un enlace permanente a la configuración de cookies.

Sobre los muros de cookies, la AEPD solo los admite si informas al usuario y le das una alternativa real para acceder sin aceptar las cookies. Lo explicamos en Muros de cookies: ¿puedes bloquear el acceso?

Multas y sanciones

La AEPD es quien sanciona las infracciones del artículo 22.2 de la LSSI. Usar cookies sin facilitar la información o sin obtener el consentimiento en los términos de ese artículo es una infracción leve (artículo 38.4 g), con multa de hasta 30.000 €. La LSSI tiene en cuenta, entre otros criterios, la intencionalidad, la duración de la infracción y el beneficio obtenido para fijar la cuantía.

Un caso conocido es el de Vueling: en 2019 la AEPD propuso una multa de 30.000 € porque su web no ofrecía ninguna forma de gestionar o rechazar las cookies, más allá de la configuración del navegador. Vueling pagó 18.000 € con las reducciones por reconocimiento y pago voluntario. Más casos en las multas de la AEPD por cookies. Si además se tratan datos personales sin base legal, pueden aplicarse también las multas del RGPD.

Cómo adaptar tu web paso a paso

1. Averigua qué cookies usa tu web. Un escáner de cookies detecta también las de plugins y contenido incrustado.
2. Clasifícalas por finalidad: técnicas, preferencias, análisis y publicidad.
3. Pon un banner con "Aceptar" y "Rechazar" al mismo nivel y un enlace a la configuración.
4. Bloquea las cookies no exentas hasta que el usuario acepte.
5. ¿Usas Google Ads o Google Analytics? Transmite la elección con Google Consent Mode v2.
6. Publica una política de cookies con cada cookie, su finalidad, su duración y quién la instala. Tienes un modelo en Política de cookies: ejemplo.
7. Guarda la prueba del consentimiento, para poder demostrar quién aceptó qué y cuándo.

Cookie Confirm se encarga de los siete pasos: el escáner encuentra tus cookies, el banner las bloquea hasta que hay consentimiento, la política de cookies se genera sola y cada consentimiento se guarda 12 meses. ¿Prefieres no instalarlo tú? Nuestro servicio de instalación gratuito lo deja listo en 24 horas, por 7,95 € al mes por web.

Fuentes

• Ley 34/2002 (LSSI), texto consolidado, artículos 22, 38, 39, 40 y 43 (BOE)
• AEPD: Guía sobre el uso de las cookies (mayo de 2024)
• AEPD: nota de prensa sobre la actualización de la guía de cookies (julio de 2023)
• CEPD: Directrices 05/2020 sobre el consentimiento
• AEPD: resolución PS/00300/2019, Vueling
• Parlamento Europeo: procedimiento Digital Omnibus 2025/0360(COD)