Cómo adaptar cookies a normativa sin multas

Un banner que dice «seguimos navegando si acepta» no protege a su empresa. Tampoco lo hace copiar una política de cookies de otra web o instalar un aviso genérico sin revisar qué tecnologías recoge realmente su sitio. Saber cómo adaptar cookies a normativa exige alinear la parte legal, la configuración técnica y la información que recibe el usuario antes de que se activen las cookies no necesarias.

Para autónomos, pymes, asociaciones y comunidades de propietarios, el problema suele aparecer al lanzar una web, añadir analítica, campañas publicitarias o formularios externos. Son funciones útiles para el negocio, pero pueden implicar acceso o almacenamiento de información en el dispositivo del usuario. Si se instalan sin una base válida, la web queda expuesta a reclamaciones, requerimientos y sanciones que podrían haberse evitado con una adaptación correcta.

Qué normativa regula las cookies en España

El uso de cookies se apoya principalmente en el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico, conocido como LSSI-CE. Esta norma obliga a informar de forma clara y completa y, con carácter general, obtener el consentimiento del usuario antes de instalar o acceder a cookies no técnicas.

Cuando esas cookies tratan datos personales o permiten identificar, seguir o perfilar a una persona, también entran en juego el RGPD y la LOPDGDD. En ese caso deben respetarse principios como licitud, transparencia, minimización de datos y responsabilidad proactiva. No basta con mostrar un texto: la empresa debe poder demostrar que el consentimiento se obtuvo correctamente.

La Agencia Española de Protección de Datos ha concretado criterios relevantes en su guía sobre cookies. Entre ellos, que aceptar y rechazar deben presentarse con una visibilidad y facilidad equivalentes, que el consentimiento debe ser granular cuando existan finalidades distintas y que las cookies no exentas no pueden cargarse antes de que el usuario decida.

Antes del banner: audite qué instala su web

El error más frecuente es empezar por el diseño del banner. La adaptación debe comenzar con una auditoría técnica y documental. Hay que identificar las cookies propias y de terceros, su finalidad, duración, proveedor, dominio y el momento exacto en que se activan.

Esto es especialmente relevante si la web incorpora estadísticas, píxeles publicitarios, vídeos embebidos, mapas, chat, botones de redes sociales o herramientas de reserva. A veces una página aparentemente sencilla comunica datos a varios proveedores desde la primera visita. Si no se conoce ese recorrido, no puede redactarse una política fiable ni configurarse el bloqueo previo.

No todas las cookies requieren consentimiento. Las técnicas o estrictamente necesarias para prestar un servicio solicitado por el usuario pueden estar exentas. Por ejemplo, una cookie de sesión para mantener una compra, una cookie de seguridad o una que recuerde la elección de privacidad realizada por el visitante. La excepción debe analizarse por su función real, no por el nombre que reciba la cookie ni por comodidad comercial.

Las cookies analíticas, de personalización no imprescindible, publicidad comportamental o seguimiento de campañas normalmente requieren una acción afirmativa previa. Que una herramienta sea habitual o gratuita no elimina esta obligación.

Revise también a sus proveedores

Si intervienen terceros, la responsabilidad no desaparece. Conviene revisar qué proveedor recibe datos, dónde se realizan los tratamientos, qué garantías se aplican si hay transferencias internacionales y qué contratos o condiciones deben formalizarse. La información del proveedor debe coincidir con la que figura en la segunda capa de la política de cookies.

Este punto tiene una consecuencia práctica: una política copiada rara vez sirve. Puede mencionar herramientas que su web no usa, omitir las que sí están activas o asignar plazos de conservación incorrectos. Es un documento que debe responder a la configuración real de su sitio.

Cómo adaptar cookies a normativa paso a paso

Una adaptación eficaz combina estas actuaciones y debe verificarse tras su implantación:

• Realizar un inventario técnico completo de cookies, identificadores y tecnologías similares.
• Clasificarlas por finalidad y separar las exentas de las que requieren consentimiento.
• Bloquear las no necesarias hasta que el usuario acepte expresamente cada finalidad o categoría.
• Configurar una primera capa visible con opciones claras de aceptar, rechazar y configurar.
• Publicar una segunda capa o política detallada, actualizada y comprensible.
• Registrar y conservar evidencias del consentimiento, de su configuración y de los cambios realizados.

El panel inicial debe informar, de forma breve, de que se usan cookies propias y de terceros, para qué se utilizan y cómo puede el visitante aceptarlas, rechazarlas o configurarlas. Un botón de «Aceptar» sin alternativa equivalente para «Rechazar» no cumple el estándar exigible. Ocultar el rechazo en un enlace pequeño, obligar a abrir varias pantallas o redactarlo con términos confusos aumenta el riesgo.

La opción «Configurar» debe permitir elegir por finalidades, como analítica o publicidad, sin casillas premarcadas. El usuario también tiene que poder retirar o modificar su consentimiento con posterioridad de manera sencilla. Por eso es recomendable incorporar un acceso permanente a la configuración de cookies desde el pie de página o un elemento claramente identificable.

El consentimiento no se presume

Seguir navegando, deslizar la página o cerrar el aviso no equivale a aceptar. El consentimiento válido debe ser libre, informado, específico, inequívoco y verificable. Si se utiliza una plataforma de gestión del consentimiento, hay que revisar que esté bien parametrizada: una herramienta mal configurada no soluciona el incumplimiento.

También conviene valorar con cautela los llamados muros de cookies. Impedir el acceso a una web si no se aceptan determinadas cookies puede ser admisible solo en circunstancias concretas y cuando exista una alternativa equivalente que no condicione injustificadamente al usuario. Para la mayoría de pequeños negocios, la opción más segura suele ser permitir el acceso al contenido básico aunque el visitante rechace las cookies opcionales.

La política de cookies debe explicar, no confundir

La segunda capa es el documento donde se ofrece información ampliada. Debe identificar al responsable de la web, explicar qué son las cookies, detallar las categorías utilizadas y reflejar, para cada una, información relevante como finalidad, titularidad, duración y modo de aceptación o retirada.

No conviene convertirla en un texto jurídico imposible de entender. El visitante debe comprender por qué se recaban datos y qué consecuencias tiene aceptar cada categoría. A la vez, el documento debe guardar coherencia con la política de privacidad, el aviso legal y los contratos con los proveedores que intervienen en el tratamiento.

La fecha de actualización importa. Cada nuevo plugin, campaña, herramienta de medición o integración externa puede modificar el inventario y exigir una revisión. Mantener el banner durante años sin controles periódicos es una práctica arriesgada, incluso si en el momento de instalarlo era correcta.

Errores que exponen a sanciones y reclamaciones

El primer error es cargar analítica o publicidad antes del consentimiento. Puede ocurrir por etiquetas insertadas directamente en la plantilla, gestores de etiquetas mal configurados o complementos que se activan por defecto. Debe comprobarse en una visita nueva y sin consentimiento que esas tecnologías no se ejecutan.

El segundo es diseñar una aceptación fácil y un rechazo difícil. La normativa no permite empujar al usuario hacia una opción mediante colores, tamaño, ubicación o recorridos desproporcionados. La decisión debe ser real, no una apariencia de elección.

El tercero es olvidar la prueba. Ante una inspección, afirmar que «había un banner» no es suficiente. La empresa debe acreditar qué se mostraba, qué categorías existían, cuándo se obtuvo la elección y cómo se evitó la carga previa. Documentar el proceso forma parte de la responsabilidad proactiva exigida por el RGPD.

Por último, está el error de tratar las cookies como un asunto exclusivamente informático. La parte técnica es imprescindible, pero debe coordinarse con el cumplimiento legal. Una agencia web puede instalar la solución, mientras que la empresa sigue necesitando definir finalidades, revisar proveedores, validar textos y asumir sus obligaciones como responsable.

Cuándo conviene pedir una revisión profesional

Si su web usa formularios, medición de visitas, publicidad digital, contenidos incrustados o herramientas de terceros, conviene revisar el sistema antes de recibir una queja o una solicitud de información. La urgencia es mayor tras un rediseño, un cambio de proveedor o la puesta en marcha de campañas de captación.

Una revisión profesional permite detectar cookies ocultas, corregir el banner, actualizar la documentación y dejar evidencias del cumplimiento. Consultoría Rosario Polo acompaña a empresas y profesionales en la adaptación al RGPD y la LOPDGDD con un enfoque práctico: identificar el riesgo, aplicar las medidas necesarias y evitar que una web comercial se convierta en una fuente de sanciones.

La mejor decisión no es poner cualquier aviso para cumplir de cara a la galería. Es comprobar qué ocurre realmente cuando un usuario entra en su web y darle control efectivo sobre sus datos. Hacerlo ahora reduce costes, protege la reputación del negocio y permite vender online con mayor seguridad jurídica.