Cookies y RGPD en tu web: cómo cumplir la normativa en 2026
La mayoría de banners de cookies que se ven en internet son técnicamente inválidos: hacen que aceptar sea un clic y rechazar sea un laberinto de tres pantallas. Es una práctica tan extendida que muchas empresas ni siquiera saben que están incumpliendo la normativa.
Qué exige realmente la normativa sobre cookies
La normativa de cookies exige informar de forma clara sobre qué cookies usa tu web y pedir consentimiento previo antes de instalar cualquier cookie que no sea estrictamente necesaria para el funcionamiento básico del sitio, con la condición añadida de que rechazarlas debe ser igual de fácil que aceptarlas.
Este último punto es donde falla la mayoría de webs: un botón grande de "aceptar todo" y un enlace diminuto de "configurar" o "rechazar" escondido en gris claro no cumple la exigencia de igualdad de esfuerzo entre aceptar y rechazar. La AEPD ha sancionado explícitamente este tipo de diseño, conocido como dark pattern.
Tipos de cookies y su tratamiento
- Cookies técnicas o estrictamente necesarias: mantener la sesión, el carrito de compra, la preferencia de idioma. No requieren consentimiento previo.
- Cookies analíticas: miden tráfico y comportamiento de usuarios (Google Analytics y similares). Requieren consentimiento previo, salvo configuraciones muy específicas de anonimización que en la práctica pocas webs implementan correctamente.
- Cookies publicitarias o de terceros: usadas para personalizar anuncios o hacer remarketing. Requieren consentimiento previo explícito, y no deben cargarse antes de que el usuario decida.
El fallo técnico que casi nadie revisa: muchas webs piden el consentimiento correctamente en el banner, pero las cookies analíticas o publicitarias ya se han cargado en segundo plano antes de que el usuario responda. Pedir permiso "de boquilla" mientras el script ya se ha ejecutado es un incumplimiento tan grave como no mostrar el banner en absoluto.
Cómo debería ser un banner de cookies conforme
- Botones de "aceptar todo" y "rechazar todo" con el mismo tamaño y visibilidad, en la primera capa del banner, sin necesidad de entrar a un submenú para rechazar.
- Ninguna cookie no esencial se carga hasta que el usuario decide, verificado técnicamente, no solo en la interfaz visual.
- Información clara y accesible sobre qué cookies concretas usa la web y con qué finalidad, no solo un texto genérico.
- Posibilidad de cambiar la decisión en cualquier momento, con un enlace visible de "configuración de cookies" en el footer.
Por qué esto se relaciona con la seguridad de tu web
Un mal cumplimiento de la normativa de cookies suele ir de la mano de una gestión general poco cuidada de la web y sus formularios: repasa también consentimiento RGPD en formularios web para revisar el resto de puntos de contacto con datos personales de tu sitio, y mantenimiento web y ciberseguridad como base técnica mínima de cualquier web que trate datos.
¿Tu banner de cookies cumple realmente la normativa?
Diagnóstico gratuito de exposición y revisión básica de los puntos de contacto con datos personales de tu web.
