¿Cuál es la multa máxima por cookies en España?

Por la LSSI, hasta 30.000 € por una infracción leve del artículo 22.2, y de 30.001 a 150.000 € si es grave por reincidencia. Si además se infringe el RGPD, por ejemplo tratando datos personales sin base legal, el RGPD prevé multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, la cifra que sea mayor.

¿La AEPD multa también a pymes y particulares?

Sí. La LSSI se aplica a cualquier prestador de servicios de la sociedad de la información, sea una gran empresa o una persona física. En 2026, por ejemplo, la AEPD multó con 1.000 € a un particular titular de una web (PS/00332/2025).

¿Me avisará la AEPD antes de multarme?

No necesariamente. La LSSI permite a la AEPD apercibirte en lugar de abrir un procedimiento, para que corrijas la web en un plazo, pero es una facultad, no una obligación. En el caso de Iberia, la AEPD rechazó el apercibimiento porque la empresa no había hecho los cambios que había anunciado.

¿Qué pasa si pago la multa enseguida?

Si pagas antes de la resolución se te aplica una reducción del 20 %, y si además reconoces tu responsabilidad, otra del 20 %. Las dos son acumulables, así que una multa propuesta de 5.000 € se queda en 3.000 €. A cambio renuncias a recurrir en vía administrativa.

¿Cómo evito una multa por cookies?

Asegúrate de que ninguna cookie no exenta se carga antes del consentimiento, de que rechazar sea tan fácil como aceptar y de que rechazar o retirar el consentimiento funcione de verdad. Cookie Confirm escanea tu web cada mes, bloquea los scripts hasta que hay consentimiento y guarda cada consentimiento 12 meses como prueba.

Multas de la AEPD por cookies: importes, casos y cómo evitarlas

Quién multa y por qué ley

En España, las cookies se rigen por el artículo 22.2 de la Ley 34/2002 (LSSI). Lo explicamos en detalle en La ley de cookies en España. Las infracciones de ese artículo las sanciona la Agencia Española de Protección de Datos (AEPD): el artículo 43.1 de la LSSI le atribuye esa competencia, aunque el resto de la LSSI lo aplique el Ministerio.

Cuando las cookies tratan datos personales, como pasa con casi todas las de análisis y publicidad, se aplica además el RGPD. La AEPD lo dice en su Guía sobre el uso de las cookies: hay tratamiento de datos personales, por ejemplo, cuando se usan identificadores únicos que permiten distinguir a unos usuarios de otros y seguirlos de forma individual.

Cuánto puede costarte

Por la LSSI

Infracción	Qué es	Multa
Leve (art. 38.4 g)	Usar cookies sin haber informado o sin haber obtenido el consentimiento según el art. 22.2	Hasta 30.000 €
Grave (art. 38.3 i)	Reincidir en la infracción leve de cookies, declarada por resolución firme en los tres años anteriores	De 30.001 a 150.000 €

Para fijar la cuantía, el artículo 40 de la LSSI tiene en cuenta, entre otros criterios, la intencionalidad, el tiempo que ha durado la infracción, la reincidencia, los perjuicios causados, los beneficios obtenidos, el volumen de facturación afectado y las medidas que hayas adoptado para reparar el daño. En la práctica, la AEPD casi siempre aplica la intencionalidad como agravante: entiende que te corresponde a ti montar un sistema de consentimiento que cumpla la ley.

Ojo con la publicidad: si las cookies las instala una red publicitaria en los espacios que cedes en tu web, el artículo 37 de la LSSI hace responsable también a esa red si no te exigió cumplir con la información y el consentimiento.

Por el RGPD

Si además se infringe el RGPD, se aplican sus propias multas (artículo 83). Tratar datos sin base legal o con un consentimiento que no cumple el artículo 7 puede costar hasta 20 millones de euros o el 4 % del volumen de negocio anual global del ejercicio anterior, la cifra que sea mayor. La Ley Orgánica 3/2018 (LOPDGDD) califica esas infracciones como muy graves en su artículo 72.

Los dos regímenes son distintos. En el caso Techpump, la AEPD recordó que los criterios del artículo 83.2 del RGPD no sirven para graduar una multa impuesta por la LSSI.

Cómo actúa la AEPD

La mayoría de los casos empiezan con una reclamación de un usuario. Después, normalmente:

Traslado o requerimiento de información. La AEPD pide explicaciones al titular de la web.
Investigación. Los inspectores visitan la web con el historial y las cookies borrados y anotan qué cookies se cargan antes de hacer clic en nada, con capturas de las herramientas de desarrollador del navegador. También prueban si "Rechazar" y la retirada del consentimiento funcionan de verdad.
Acuerdo de inicio. Si ve indicios de infracción, abre un procedimiento sancionador (PS) con una multa propuesta. El procedimiento puede durar como máximo nueve meses.
Alegaciones o pago. Puedes defenderte o pagar con reducción.
Resolución, que la AEPD publica en su web.

Apercibimiento en lugar de multa

El artículo 39 ter de la LSSI permite a la AEPD no abrir el procedimiento y apercibirte para que acredites, en un plazo, que has corregido la web, siempre que la infracción sea leve o grave. Si no cumples, se abre el procedimiento. Es una facultad de la AEPD, no un derecho tuyo: Iberia la pidió y la AEPD la rechazó porque, días después de que la empresa dijera que ya había adaptado la web, la AEPD comprobó que seguía sin permitir rechazar las cookies.

Reducciones por pago voluntario y reconocimiento

El artículo 85 de la Ley 39/2015 (LPACAP) prevé reducciones de al menos el 20 % si reconoces tu responsabilidad y otras del 20 % si pagas antes de la resolución. Son acumulables. La AEPD aplica el 20 % por cada una, así que con ambas la multa baja un 40 %. Las dos van indicadas en el acuerdo de inicio y solo valen si renuncias a recurrir en vía administrativa.