Qué cookies requieren consentimiento en España

Un banner de cookies mal configurado puede convertir una web aparentemente correcta en un foco de incumplimiento. No basta con mostrar un aviso genérico ni con incluir una política de cookies copiada de otra página. Saber qué cookies requieren consentimiento es esencial para que autónomos, pymes, asociaciones y comunidades de propietarios eviten tratamientos ilícitos de datos y posibles sanciones.

La obligación no depende del tamaño de la empresa ni de que se venda por internet. Si su sitio web instala o lee cookies no técnicas en el dispositivo de una persona usuaria, debe analizar qué tecnologías utiliza, con qué finalidad y cuál es la base jurídica aplicable antes de activar esos tratamientos.

Qué cookies requieren consentimiento y por qué

En España, la regla principal se encuentra en el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico. Esta norma exige informar de forma clara y obtener el consentimiento antes de almacenar o acceder a información en el dispositivo del usuario, salvo en supuestos concretos de exención. El RGPD y la LOPDGDD completan esta obligación cuando las cookies tratan datos personales o permiten identificar, directa o indirectamente, a una persona.

Por tanto, requieren consentimiento previo las cookies que no sean necesarias para prestar un servicio solicitado expresamente. En la práctica, entran aquí muchas cookies analíticas, publicitarias, de publicidad comportamental, redes sociales, medición de campañas y personalización comercial.

El error habitual consiste en pensar que una cookie no necesita autorización porque no recoge nombre, DNI o correo electrónico. No es así. Una combinación de identificadores, dirección IP, comportamiento de navegación, dispositivo y preferencias puede constituir un dato personal o hacer identificable al usuario. Además, la normativa regula el acceso al dispositivo incluso cuando el dato obtenido no permite identificar directamente a una persona.

Cookies publicitarias y de perfilado

Las cookies que muestran anuncios adaptados a los intereses o comportamientos del visitante requieren consentimiento. También lo necesitan las tecnologías que crean segmentos de audiencia, miden conversiones publicitarias o comparten información con terceros para campañas de marketing.

Este tipo de tratamiento suele implicar una mayor exposición jurídica porque puede intervenir más de una entidad. El titular de la web debe conocer quién recibe los datos, qué cookies instala cada proveedor, cuánto tiempo permanecen activas y si existen transferencias internacionales de datos. Instalar una etiqueta comercial y dejar que funcione sin revisión no elimina la responsabilidad de la empresa.

Cookies analíticas: no siempre están exentas

Las cookies de analítica permiten saber cuántas personas visitan la web, qué páginas consultan, desde qué canal llegan o cuánto tiempo permanecen en ella. Con frecuencia se activan por defecto, pero no deberían hacerlo sin un análisis previo.

Como norma general, las cookies de medición de audiencia requieren consentimiento. Sin embargo, determinadas soluciones analíticas muy limitadas pueden quedar exentas si se utilizan exclusivamente para medir la audiencia propia, recogen datos agregados, reducen al mínimo la identificación, no cruzan datos con otras finalidades y no los comunican a terceros para su propio uso.

No basta con llamar a una herramienta “estadística” para considerarla técnica. Si la configuración permite elaborar perfiles, utilizar datos para publicidad, combinar información entre servicios o conservar identificadores durante periodos excesivos, el consentimiento será necesario. Es un supuesto que exige revisión técnica y jurídica, no una decisión basada en intuiciones.

Cookies de redes sociales y contenidos externos

Los botones sociales, vídeos incrustados, mapas, reproductores, chat en línea y otros contenidos de terceros pueden instalar cookies antes de que el usuario realice una acción visible. Si no son estrictamente necesarios para el funcionamiento solicitado, deben bloquearse hasta que exista consentimiento.

Una opción útil es mostrar una capa previa sobre el contenido externo. Así, el visitante puede decidir si desea cargar el vídeo, el mapa o el chat, con información suficiente sobre la intervención de un tercero. Esto reduce el riesgo de activar rastreadores sin una decisión válida.

Cookies exentas de consentimiento

No todas las cookies exigen una aceptación previa. Están exentas las que sean necesarias para realizar una comunicación a través de una red de comunicaciones electrónicas o para prestar un servicio de la sociedad de la información solicitado expresamente por la persona usuaria.

Entre los ejemplos más habituales se encuentran las cookies de sesión que permiten navegar por áreas privadas, las necesarias para mantener un carrito de compra, las de seguridad y prevención de fraude, las de equilibrio de carga o las que recuerdan una elección técnica del usuario, como el idioma o la configuración de privacidad. También pueden estar exentas las cookies indispensables para autenticar un acceso o completar un pago solicitado.

La clave está en el criterio de necesidad. Que una cookie sea útil para la empresa, mejore la experiencia comercial o facilite la obtención de estadísticas no significa que sea necesaria. Debe ser imprescindible para ofrecer una funcionalidad que el usuario haya pedido de forma concreta.

Cómo debe ser un consentimiento válido

El consentimiento no se obtiene con una frase ambigua como “si continúa navegando, acepta las cookies”. Tampoco es válido activar por defecto las casillas de publicidad o analítica. La aceptación debe producirse mediante una acción afirmativa clara, libre, específica, informada e inequívoca.

El primer nivel del aviso debe explicar, de forma comprensible, para qué se utilizan las cookies y ofrecer al menos una opción de aceptar, otra de rechazar y otra de configurar. Rechazar no puede ser más difícil que aceptar. Si el botón de aceptación es visible y el de rechazo queda oculto, usa un tamaño inferior o exige varios pasos adicionales, el diseño puede considerarse contrario a las exigencias de transparencia y libertad de elección.

La opción de configuración debe permitir aceptar o rechazar finalidades concretas, especialmente cuando intervienen cookies analíticas, publicitarias o de terceros. No es necesario abrumar al usuario con lenguaje técnico en la primera capa, pero sí facilitar una segunda capa con información detallada: responsable, finalidades, base jurídica, terceros, plazos de conservación y modo de retirar el consentimiento.

Además, las cookies no exentas deben permanecer bloqueadas hasta que se produzca la aceptación. El banner no sirve de nada si las etiquetas de marketing, analítica o redes sociales ya se han cargado al entrar en la página.

Errores que pueden generar incumplimiento

La mayoría de problemas no están en la política de cookies, sino en la configuración real del sitio web. Una auditoría debe comprobar qué se activa antes del consentimiento, no solo qué declara el texto legal.

Estos son los fallos más frecuentes que conviene corregir cuanto antes:

• Instalar cookies no técnicas antes de que el usuario acepte o configure sus preferencias.
• Usar botones de “aceptar” sin una alternativa de “rechazar” igual de accesible.
• Considerar el silencio, la navegación o el cierre del aviso como una aceptación válida.
• Mantener activas cookies de terceros que no aparecen identificadas en la política.
• No ofrecer un mecanismo sencillo y permanente para retirar o modificar el consentimiento.
• Copiar una política genérica que no coincide con las cookies realmente instaladas.

También debe evitarse condicionar el acceso total a la web a la aceptación de cookies no necesarias, salvo que exista una alternativa real y equivalente que permita acceder al servicio sin seguimiento. Los llamados muros de cookies requieren un análisis especialmente cuidadoso, porque una elección forzada difícilmente será libre.

Cómo adaptar su web sin asumir riesgos innecesarios

El primer paso es realizar un inventario técnico. Hay que identificar cookies propias y de terceros, píxeles, etiquetas, almacenamiento local y cualquier tecnología similar que acceda al dispositivo. Después, cada elemento debe clasificarse por finalidad, duración, titularidad y necesidad.

Con ese inventario se configura la plataforma de gestión de consentimiento para bloquear lo no esencial antes de la elección. A continuación, se redactan el aviso y la política de cookies de acuerdo con la configuración efectiva. Por último, conviene documentar la prueba del consentimiento, revisar periódicamente las etiquetas y comprobar que una actualización de la web no haya introducido nuevos rastreadores sin control.

La vigencia del consentimiento tampoco puede ser indefinida. Debe renovarse o revisarse con una periodicidad razonable y siempre que cambien de forma relevante las finalidades, los terceros o las tecnologías empleadas. El usuario debe poder modificar su decisión sin tener que localizar formularios complejos ni enviar correos electrónicos.

Para una pequeña empresa, resolverlo bien no exige complicar la web ni perjudicar la conversión. Exige eliminar etiquetas innecesarias, explicar con claridad lo que se utiliza y respetar la decisión del visitante desde la primera carga. Consultoría Rosario Polo puede ayudarle a revisar su web y adaptar el sistema de cookies al RGPD, la LOPDGDD y la normativa aplicable.

Una política correcta empieza por una pregunta sencilla: ¿esta cookie es imprescindible para el servicio que el usuario ha solicitado? Si la respuesta es no, no la active hasta contar con un consentimiento válido, verificable y fácil de retirar.