Cómo configurar cookies legales en tu sitio web

Un banner genérico que avisa de que una web usa cookies no protege a tu negocio. Para configurar cookies legales en tu sitio web hay que identificar qué tecnologías se cargan, bloquear las que no sean necesarias antes de obtener permiso y permitir al usuario aceptar, rechazar o elegir con la misma facilidad. Si el aviso solo incluye un botón de «Aceptar», el riesgo de incumplimiento es real.

Esta obligación afecta a autónomos, comercios online, despachos, asociaciones, comunidades de propietarios y pymes. No importa que la web tenga pocas visitas: si instala cookies analíticas, publicitarias o de terceros sin una base válida, está tratando información del usuario sin cumplir las reglas aplicables.

Por qué el banner de cookies no es un mero trámite

Las cookies son pequeños archivos que el navegador almacena para recordar información. Algunas permiten que el carrito de compra funcione o que el usuario mantenga una sesión iniciada. Otras miden visitas, elaboran perfiles, muestran publicidad personalizada o conectan la web con servicios externos.

En España, su uso se apoya principalmente en el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información y en el RGPD cuando la información recogida permite identificar o hacer identificable a una persona. La LOPDGDD completa el marco nacional de protección de datos. Por tanto, no basta con copiar un texto de otra página ni con instalar una herramienta automática sin revisarla.

El error más habitual es cargar cookies no necesarias al abrir la web y pedir consentimiento después. En ese momento, la cookie ya se ha instalado. El consentimiento debe ser previo, informado, libre, específico, inequívoco y demostrable. Si el usuario no acepta, las cookies opcionales no pueden activarse.

Qué cookies pueden instalarse sin consentimiento

La regla práctica es sencilla: las cookies estrictamente necesarias para prestar el servicio solicitado pueden utilizarse sin autorización previa. Aun así, deben aparecer explicadas en la política de cookies.

Pueden entrar en esta categoría las cookies de seguridad, las que recuerdan los productos añadidos al carrito, las que mantienen la sesión privada de un usuario o las que permiten equilibrar la carga técnica de un sitio. La excepción no depende del nombre de la cookie, sino de su finalidad real. Una cookie denominada «técnica» no queda exenta si se utiliza para medir, perfilar o hacer marketing.

Las cookies analíticas, de personalización no esencial, de publicidad comportamental, de redes sociales y las asociadas a contenidos de terceros requieren normalmente consentimiento antes de activarse. Es frecuente que vídeos incrustados, mapas, píxeles de campañas o widgets sociales instalen rastreadores aunque el titular de la web no sea consciente de ello.

Las analíticas no están automáticamente exentas

Medir visitas puede parecer inocuo, pero las herramientas de analítica suelen recoger identificadores, direcciones IP u otros datos vinculables a un dispositivo. Su uso exige revisar la configuración concreta, los terceros que intervienen, las transferencias internacionales y la información facilitada al usuario. Dar por hecho que toda analítica es técnica es una decisión arriesgada.

Cómo configurar cookies legales en una web paso a paso

El proceso correcto empieza antes de diseñar el banner. Primero hay que realizar una auditoría de cookies y tecnologías similares. Deben revisarse las cookies propias, las de terceros, los píxeles, etiquetas, scripts, iframes y herramientas que se cargan desde el gestor de contenidos o desde campañas publicitarias.

De cada elemento conviene documentar su nombre, proveedor, finalidad, duración, tipo, datos que recoge y base jurídica. Este inventario permite distinguir las cookies necesarias de las opcionales y detectar servicios que ya no se utilizan. Mantener scripts abandonados aumenta el riesgo y puede perjudicar el rendimiento de la web.

Después debe configurarse una plataforma de gestión del consentimiento o una solución técnica equivalente. Su función no es solo mostrar una ventana: debe impedir la carga de las categorías no necesarias hasta que exista una elección válida del usuario. Si la herramienta de analítica se ejecuta antes del clic, la configuración no es correcta aunque el diseño del aviso parezca profesional.

El primer nivel del aviso debe informar de forma clara de que se usan cookies propias y de terceros, indicar sus finalidades principales y ofrecer tres acciones visibles: aceptar, rechazar y configurar. El botón de rechazo no puede quedar escondido en una segunda pantalla, tener un color casi invisible o exigir más pasos que aceptar. Ese diseño condiciona la decisión y puede invalidar el consentimiento.

En el panel de configuración, las cookies deben agruparse por finalidades comprensibles, como necesarias, analíticas, personalización y publicidad. Las categorías opcionales tienen que estar desactivadas por defecto. El usuario puede aceptar todas, rechazar todas o elegir categoría por categoría, sin que se le obligue a aceptar para acceder a contenidos que no dependen de esos rastreadores.

La política de cookies debe coincidir con la realidad técnica

El banner informa de forma resumida. La política de cookies amplía esa información y debe estar disponible desde el propio aviso y desde una zona permanente de la web. Debe explicar qué son las cookies, quién las instala, para qué se usan, cuánto tiempo permanecen activas, cómo se aceptan o rechazan y cómo revocar el consentimiento posteriormente.

También debe identificar a los terceros que reciben datos cuando corresponda y coordinarse con la política de privacidad. No sirve una política fechada hace años si la web ha añadido campañas, vídeos, mapas o nuevas herramientas de medición desde entonces.

Errores que pueden convertir tu aviso en un incumplimiento

Copiar un banner estándar es una de las causas más frecuentes de problemas. Cada sitio web tiene una combinación distinta de plugins, formularios, etiquetas y proveedores. Una solución válida para una tienda online puede ser insuficiente para una clínica, un despacho profesional o una asociación que usa formularios de inscripción y contenidos externos.

También es incorrecto utilizar casillas premarcadas, interpretar el silencio o la mera navegación como aceptación, renovar constantemente el aviso para forzar una respuesta o impedir el acceso sin justificar que las cookies son imprescindibles. Los llamados muros de cookies solo pueden plantearse en supuestos muy limitados, con alternativas reales y una valoración jurídica previa.

Otro fallo es no guardar prueba de los consentimientos. El responsable debe poder acreditar cuándo, cómo y para qué finalidades obtuvo la autorización. Esto exige conservar registros de la elección, la versión del texto mostrada y la posibilidad de retirar o modificar la decisión en cualquier momento mediante un enlace o icono accesible.

Mantener el cumplimiento evita sorpresas costosas

Configurar el sistema una vez no cierra el trabajo. Una actualización del gestor web, una nueva campaña o la instalación de un complemento puede añadir cookies sin que el banner las controle. Es recomendable revisar la web de forma periódica y siempre que cambien sus funcionalidades, proveedores o estrategias de marketing.

La supervisión debe incluir dispositivos móviles, distintos navegadores y formularios. Un banner que funciona en ordenador, pero activa rastreadores antes del consentimiento en móvil, sigue siendo un incumplimiento. También hay que verificar que retirar el permiso tenga un efecto real y no se limite a cambiar una preferencia visual.

Las autoridades pueden valorar tanto la falta de información como la ausencia de consentimiento válido, la instalación prematura de cookies o la dificultad para rechazarlas. Además de una posible sanción económica, una reclamación consume tiempo, obliga a corregir la web con urgencia y daña la confianza de clientes y usuarios.

Para una pyme, la solución más rentable no es escoger el banner más rápido, sino implantar un sistema revisado conforme a su actividad y a las herramientas que utiliza. Consultoría Rosario Polo puede analizar la configuración real de tu web y adaptar la documentación y el consentimiento para que el cumplimiento no dependa de plantillas genéricas.

Antes de publicar una nueva funcionalidad, hazte una pregunta sencilla: ¿qué se instala en el dispositivo del usuario y qué ocurre si pulsa «Rechazar»? Si no puedes responder con certeza, es el momento de revisarlo antes de que una inspección o una reclamación te obliguen a hacerlo con prisas.