Cookies técnicas: qué son, cuáles están exentas y ejemplos reales
La respuesta corta
Las cookies técnicas son las que permiten navegar por una web y usar sus servicios, como mantener la sesión, recordar el carrito o gestionar el pago. Según la guía de la AEPD, están exentas de consentimiento mientras sirvan solo para prestar el servicio que pide el usuario; si también se usan para analítica o publicidad, dejan de estarlo para esa finalidad.
Antonio Sivera · CEO de Grupo CamaltecActualizado el · 7 min de lectura
«Cookies técnicas» no es un término de la ley. Es una de las categorías de la «Guía sobre el uso de las cookies» de la AEPD, cuya versión publicada hoy es la de mayo de 2024. La LSSI solo dice qué queda fuera de la obligación de pedir permiso; la guía lo concreta con una lista de finalidades y unos supuestos exentos. Aquí tienes esa lista, ejemplos con nombre, los casos que generan dudas y cómo informar de ellas. La clasificación completa, con las de análisis y publicidad, está en tipos de cookies.
¿Qué son las cookies técnicas?
Son las que permiten navegar por una web, plataforma o aplicación y usar sus opciones o servicios, incluidas las que el editor usa para gestionar la web y habilitar sus funciones. La guía de la AEPD pone estos ejemplos:
- Controlar el tráfico y la comunicación de datos.
- Identificar la sesión y acceder a zonas de acceso restringido.
- Recordar los elementos de un pedido, hacer la compra y gestionar el pago.
- Controlar el fraude vinculado a la seguridad del servicio y usar elementos de seguridad durante la navegación.
- Tramitar la inscripción o la participación en un evento.
- Contar visitas para facturar las licencias del software con el que funciona el servicio.
- Almacenar contenidos para difundir vídeo o sonido.
- Habilitar contenidos dinámicos, como la animación de carga de un texto o una imagen.
- Compartir contenidos a través de redes sociales.
También incluye las que gestionan los espacios publicitarios como un elemento más del diseño de la página, siempre que no recojan información de los usuarios para otros fines, como personalizar los anuncios.
¿Qué cookies técnicas están exentas de consentimiento?
Están exentas las que se usan solo para prestar el servicio que pide el usuario. El artículo 22.2 de la LSSI deja fuera dos finalidades: permitir únicamente la comunicación entre el equipo del usuario y la red, y prestar estrictamente un servicio que el usuario ha solicitado expresamente.
Para concretarlo, la guía recoge los supuestos que el Grupo de Trabajo del Artículo 29 (GT29) identificó en su Dictamen 4/2012:
| Supuesto exento | Qué cubre | Matiz de la guía |
|---|---|---|
| Cookies de «entrada del usuario» | Formularios de varias páginas y cesta de la compra | Suelen ser de sesión |
| Autenticación o identificación de usuario | Mantener la sesión iniciada | Únicamente de sesión |
| Seguridad del usuario | Detectar intentos de acceso erróneos y reiterados | Ligadas a esa finalidad |
| Sesión de reproductor multimedia | Reproducir vídeo o audio | De sesión |
| Sesión para equilibrar la carga | Repartir las peticiones entre servidores | De sesión |
| Personalización de la interfaz de usuario | Idioma, moneda, tamaño de letra o contraste que elige el usuario | No tienen por qué ser de sesión, pero solo pueden servir para eso |
| Determinados complementos (plug-in) para intercambiar contenidos sociales | Botones de redes sociales | Solo para usuarios que han decidido mantener la sesión abierta |
Dos reglas cruzan toda la tabla:
- La duración. La caducidad de una cookie exenta debe estar relacionada con su finalidad. Por eso es mucho más probable que se consideren exentas las de sesión que las persistentes.
- Las cookies polivalentes. Si una cookie técnica se usa también para una finalidad no exenta, necesita consentimiento para esa otra finalidad. El GT29 recomendaba usar una cookie distinta para cada finalidad.
Ejemplos reales de cookies técnicas, con nombre
Estos nombres aparecen a menudo en webs con WordPress, WooCommerce o Cloudflare. La finalidad y la duración son las que publica cada proveedor; la última columna aplica los supuestos de la guía y es orientativa.
| Cookie | Quién la pone | Finalidad según su documentación | Duración | Supuesto de la guía |
|---|---|---|---|---|
wp_woocommerce_session_ |
WooCommerce | Guardar un código único por cliente para localizar los datos de su carrito | 2 días | Entrada del usuario (carrito) |
woocommerce_cart_hash y woocommerce_items_in_cart |
WooCommerce | Detectar cuándo cambia el contenido del carrito | Sesión | Entrada del usuario (carrito) |
__cf_bm |
Cloudflare | Identificar y mitigar el tráfico automatizado para proteger la web de bots | Caduca tras 30 minutos de inactividad | Seguridad |
__cflb |
Cloudflare (balanceo de carga) | Enviar las siguientes peticiones del visitante al mismo servidor de origen | De sesión, de unos segundos a 24 horas | Equilibrio de la carga |
pll_language |
Polylang (WordPress) | Recordar el idioma del visitante cuando vuelve a la web | 1 año por defecto | Personalización de la interfaz, con matices |
| Cookie de consentimiento | Tu herramienta de cookies (cada una le da su nombre) | Guardar si el visitante aceptó o rechazó, y qué categorías eligió | La que fije la herramienta | No figura en la lista de la guía |
Tres notas sobre la tabla:
- La cookie de consentimiento. La guía de la AEPD no la cita, pero exige recordar la elección: considera buena práctica que el consentimiento no dure más de 24 meses y que, mientras tanto, no se vuelva a preguntar en cada visita. La CNIL, la autoridad francesa, sí incluye de forma expresa entre los rastreadores exentos los que conservan la elección del usuario sobre las cookies.
- Cloudflare. La propia Cloudflare califica sus cookies de estrictamente necesarias. Aun así, son de un tercero. La guía pide que, si usas cookies de terceros para finalidades exentas, te asegures por contrato de que ese tercero no trata los datos para ningún otro fin.
- PHP y WordPress. La cookie de sesión de PHP (
PHPSESSID) y las de inicio de sesión de WordPress, con su duración, están en tipos de cookies.
Casos dudosos
Una cookie no queda exenta por aparecer como «técnica» en la política de cookies. Estos son los casos que más dudas generan:
- Preferencias elegidas frente a personalización automática. La guía solo exime la personalización cuando responde a una elección del usuario, como pulsar la bandera de un idioma. Si la web adapta el contenido a partir de lo que observa, necesita consentimiento. Polylang explica que
pll_languageguarda el idioma de la última página visitada: si el idioma se deduce sin que el usuario lo elija, el caso ya no es tan claro. - «Recuérdame». La guía exime la autenticación «únicamente de sesión». Mantener la sesión abierta durante días es otra cosa, aunque lo pida el usuario. Valóralo en tu caso.
- Vídeos incrustados. La guía exime las cookies de sesión del reproductor, no las que el proveedor usa para medir o recomendar. Lo vemos en cookies de terceros en tu web.
- Botones de redes sociales. La excepción solo cubre a quien ya tiene la sesión abierta en la red social. Si el botón deja cookies también a quien no la tiene, no está exento.
- Contar visitas. Contarlas para facturar la licencia del software es técnico, según la guía. Medir el comportamiento de los usuarios para mejorar la web es analítica, y necesita consentimiento aunque la cookie sea propia.
- Seguridad y antifraude de terceros. Son técnicas mientras solo protejan tu servicio. Si el proveedor reutiliza los datos para sus propios fines, esa parte ya no lo es.
¿Cómo informar de las cookies técnicas?
No es obligatorio, pero la AEPD recomienda mencionarlas al menos de forma genérica, en la política de cookies o en la de privacidad. En la práctica:
- En el banner no se piden. Según la guía, el botón de rechazar sirve para rechazar las cookies «salvo aquellas que estén exentas». Rechazar no debe romper el carrito ni el inicio de sesión.
- En el panel de configuración, como categoría aparte. Es habitual mostrarlas como «necesarias» y siempre activas, porque no dependen del consentimiento. Lo que nunca puede ir marcado de antemano es una categoría no exenta.
- En la política de cookies, con nombre y finalidad. Indica quién la pone, para qué sirve y cuánto dura. Si es de un tercero, identifícalo por su nombre o su marca comercial.
- Revísalas cuando cambie la web. Un plugin nuevo puede traer cookies que parecen técnicas y no lo son. La guía recomienda revisar periódicamente las cookies que se usan.
Tienes un modelo en la plantilla de política de cookies. En Cookies Marca Blanca, la política de cookies de cada web se edita desde el panel, y la auditoría gratuita de cookies muestra qué se instala hoy. Si una cookie concreta está en el límite, lo que decide es su finalidad real: confírmala con quien la instala o con tu asesor.
Preguntas frecuentes
¿Qué son las cookies y ejemplos?
Son pequeños archivos o dispositivos que una web usa para guardar y recuperar información en tu navegador mientras navegas. Ejemplos: la cookie que mantiene tu sesión iniciada, la que recuerda el carrito de una tienda, la que guarda el idioma que elegiste o la de Google Analytics que distingue a unos usuarios de otros.
¿Cuáles son los 10 tipos de cookies?
No existe una lista oficial de diez. La guía de la AEPD clasifica las cookies con tres criterios: quién las gestiona (propias o de terceros), para qué sirven (técnicas, de preferencias, de análisis y de publicidad comportamental) y cuánto duran (de sesión o persistentes). Son ocho tipos, y una misma cookie puede estar en varios.
¿Las cookies técnicas necesitan consentimiento?
No, si sirven solo para prestar el servicio que pide el usuario, como la sesión, el carrito o la seguridad. Si además se usan para otra finalidad, como la publicidad comportamental, necesitan consentimiento para esa finalidad.
¿La cookie que guarda la respuesta del banner necesita consentimiento?
La guía de la AEPD no la menciona de forma expresa, pero pide recordar la elección del usuario para no preguntarle en cada visita, y la autoridad francesa (CNIL) la incluye entre las exentas. Debe limitarse a guardar esa elección.
¿Una cookie técnica puede ser de terceros?
Sí. Si un tercero, como un servicio de seguridad o de pagos, instala cookies solo para prestar el servicio que pide el usuario, están exentas. La guía de la AEPD pide asegurarse por contrato de que ese tercero no usa los datos para otros fines.