Banner de cookies conforme a la AEPD: qué exige la guía y cómo revisar el de tu web
Desde el 11 de enero de 2024, la web de tu empresa debe permitir rechazar las cookies con la misma facilidad que aceptarlas: botón de rechazo en la primera capa, mismo nivel visual y sin casillas premarcadas. Aquí te explicamos qué pide la Agencia Española de Protección de Datos y cómo comprobar tu banner en cinco pasos.
- El botón «Rechazar» debe estar en la primera capa, igual de visible que «Aceptar».
- Las cookies analíticas y publicitarias no pueden cargarse antes de que el usuario consienta.
- La política de cookies debe detallar nombre, finalidad, duración y titular de cada cookie.
Qué exige la AEPD desde enero de 2024
La obligación de informar y obtener consentimiento para las cookies nace del artículo 22.2 de la Ley 34/2002 (LSSI), y la AEPD concreta cómo cumplirla en su Guía sobre el uso de cookies. La última actualización relevante incorporó las directrices europeas contra los patrones engañosos: las acciones de aceptar o rechazar cookies tienen que presentarse en un lugar y formato destacados, y ambas acciones deben estar al mismo nivel, sin que sea más complicado rechazarlas que aceptarlas. Los criterios recogidos en la Guía deberán implementarse, a más tardar, el 11 de enero de 2024, de modo que hoy ya no existe periodo transitorio. La guía también matiza las cookies de personalización: cuando el propio usuario toma decisiones sobre ellas (por ejemplo, la elección del idioma de la web o la moneda en la que desea realizar transacciones), se trata de cookies técnicas que no requieren de consentimiento.
Cómo revisar el banner de tu web en cinco pasos
1) Abre tu web en una ventana de incógnito y comprueba que la primera capa muestra «Aceptar» y «Rechazar» con el mismo tamaño, color y posición. Un enlace pequeño «Configurar» junto a un gran botón verde de «Aceptar» no supera la revisión. 2) Con las herramientas de desarrollador del navegador (pestaña Aplicación > Cookies), verifica que antes de pulsar nada solo existen cookies técnicas; si aparece Google Analytics o el píxel de Meta, el bloqueo previo falla. 3) Entra en el panel de configuración: ninguna categoría no necesaria puede venir premarcada. 4) Revisa que la política de cookies enlazada lista cada cookie con nombre, finalidad, duración y quién la instala. 5) Confirma que existe un enlace permanente (en el pie, por ejemplo) para cambiar la decisión después.
Ejemplo: una asesoría con WordPress usaba un plugin de banner gratuito con «Aceptar» y «Más información». Al auditarla, Analytics se cargaba al abrir la página. La solución fue activar el bloqueo previo del plugin, añadir el botón de rechazo equivalente y regenerar la tabla de cookies. Es el tipo de ajuste que incluimos en los proyectos de diseño web, junto con la medición respetuosa con el consentimiento.
Límites: lo que un plugin no resuelve solo
Instalar una plataforma de gestión del consentimiento no garantiza el cumplimiento: hay que configurarla, mantenerla y revisarla cada vez que se añade una herramienta de marketing, un chat o un vídeo incrustado. Tampoco sustituye a la revisión jurídica de tu política de privacidad ni al registro de actividades de tratamiento. Si tu web dirige a usuarios de otros países o usa modelos de «pagar o aceptar», consulta a un profesional de protección de datos antes de decidir. Esta guía es orientativa y no constituye asesoramiento legal.
Preguntas frecuentes
¿Necesito banner si solo uso cookies técnicas?
No es obligatorio pedir consentimiento para cookies estrictamente necesarias, pero sí debes informar de su uso en la política de cookies. En cuanto añadas analítica o publicidad, el banner con aceptación y rechazo pasa a ser exigible.
¿Vale el botón «Configurar» en lugar de «Rechazar»?
No. La guía exige un mecanismo de rechazo equivalente al de aceptación en la primera capa; obligar a entrar en un panel para rechazar hace el rechazo más difícil que la aceptación.
¿Cuánto tiempo puedo recordar la elección del usuario?
La AEPD admite conservar la preferencia durante un plazo razonable, con 24 meses como referencia habitual, siempre que el usuario pueda cambiarla en cualquier momento mediante un enlace accesible.
¿Google Analytics 4 con IP anonimizada necesita consentimiento?
Sí. La analítica de terceros se considera no exenta, por lo que no debe activarse hasta que el usuario acepte esa categoría, con independencia de la anonimización.