Rechazar cookies pagando: cuándo es legal el «paga o acepta»
La respuesta corta
En España, una web puede impedir el acceso a quien rechaza las cookies si se lo explica y le ofrece una alternativa sin cookies, que puede ser de pago, genuinamente equivalente y del propio editor. Para las grandes plataformas en línea, el CEPD considera que elegir solo entre consentir y pagar no dará un consentimiento válido en la mayoría de los casos.
Antonio Sivera · CEO de Grupo CamaltecActualizado el · 7 min de lectura
Desde enero de 2024 es habitual encontrar webs, sobre todo de periódicos, que al entrar te dan dos opciones: aceptar las cookies o pagar para navegar sin ellas. En España no es ilegal por sí mismo. La guía de cookies de la AEPD lo admite con condiciones, y el Comité Europeo de Protección de Datos (CEPD) ha puesto límites más estrictos a las grandes plataformas. Aquí tienes qué dice cada uno, qué te pasa si rechazas y por qué, en general, no es el modelo para la web de una pyme. No es asesoramiento jurídico: si te planteas implantarlo, revisa tu caso con un asesor.
¿Qué es el modelo «pagar o aceptar»?
Es un muro de cookies con alternativa de pago. La web solo deja entrar a quien acepta las cookies de publicidad o a quien paga una tarifa para acceder sin ellas. En inglés se llama «consent or pay» o «pay or okay», y la guía de la AEPD lo traduce como modelos de «consentimiento o remuneración».
Un muro de cookies es cualquier banner que condiciona el acceso a aceptar las cookies. Hay dos variantes:
- Sin alternativa: o aceptas o no entras. La AEPD no lo admite.
- Con alternativa: si no aceptas, puedes entrar de otra forma, por ejemplo pagando. Es el «pagar o aceptar».
Lo usan sobre todo webs que se financian con publicidad basada en perfiles.
¿Es legal cobrar por rechazar las cookies en España?
Sí, con condiciones. El apartado 3.2.10 de la guía de la AEPD parte de una regla general: para que el consentimiento sea libre, el acceso a los servicios no debe supeditarse a aceptar las cookies. Por eso no se pueden usar muros de cookies que no ofrezcan una alternativa al consentimiento.
Después admite la excepción. Rechazar las cookies puede impedir el acceso a la web, o el uso total o parcial del servicio, si se cumplen estas condiciones:
- Se informa adecuadamente al usuario.
- Se ofrece una alternativa de acceso sin aceptar las cookies, «no necesariamente gratuita».
- Las dos opciones son genuinamente equivalentes, como piden las Directrices 05/2020 del CEPD sobre el consentimiento.
- La alternativa la ofrece el propio editor. No vale que la ofrezca otra entidad.
La guía añade un límite. El criterio pesa más cuando negar el acceso impediría ejercer un derecho reconocido por ley, por ejemplo si la web es el único medio que se da al usuario para ejercerlo.
Lo que la guía no hace es fijar un precio ni decir cuándo una tarifa es razonable. Eso depende del caso. Si quieres ver qué ha sancionado la AEPD en materia de cookies, lo tienes en multas de la AEPD por cookies.
¿Qué dice el dictamen 08/2024 del CEPD?
Que las grandes plataformas en línea, en la mayoría de los casos, no pueden obtener un consentimiento válido si solo ofrecen elegir entre consentir la publicidad comportamental o pagar. El CEPD lo adoptó el 17 de abril de 2024 con base en el artículo 64.2 del RGPD, a petición de las autoridades de protección de datos de Países Bajos, Noruega y Hamburgo.
¿A quién se aplica?
Solo a las grandes plataformas en línea. La propia guía de la AEPD dice que el dictamen afecta «exclusivamente» a la oferta de acceso sin publicidad comportamental mediante pago que hacen estas plataformas, y pone como ejemplo las grandes redes sociales.
El CEPD no da una lista cerrada. Propone valorar caso por caso, entre otros elementos:
- Si atrae a un gran número de usuarios.
- La posición de la empresa en el mercado.
- Si trata datos a gran escala.
La definición puede cubrir, entre otras, a algunas plataformas en línea de muy gran tamaño de la Ley de Servicios Digitales y a los guardianes de acceso de la Ley de Mercados Digitales.
¿Qué exige?
Estas son las ideas principales del dictamen, tal como las recogen el CEPD y la AEPD:
- El pago no debe ser la vía por defecto. Ofrecer solo una alternativa de pago no debería ser lo habitual. Las plataformas deben plantearse una «alternativa equivalente» que no implique pagar.
- Si cobran, una opción gratuita más. Si cobran por esa alternativa, deben considerar ofrecer otra gratuita y sin publicidad comportamental. Podría llevar publicidad general o contextual, que trate menos datos personales o ninguno. El dictamen pone el ejemplo de anuncios basados en temas que el usuario elige de una lista.
- Cuatro criterios para valorar si el consentimiento es libre: la condicionalidad, el perjuicio para quien no consiente, el desequilibrio de poder y la granularidad.
- Tarifa sin presión. No puede hacer que la persona se sienta obligada a consentir. Si procede cobrar, y cuánto, se valora caso por caso.
La presidenta del CEPD, Anu Talus, resumió el fondo: los responsables deben evitar que el derecho fundamental a la protección de datos se convierta en algo por lo que haya que pagar.
El CEPD anunció también unas directrices sobre estos modelos con un alcance más amplio. La guía de la AEPD esperaba que llegaran en el primer semestre de 2025. Al revisar este artículo no las hemos encontrado publicadas en la web del CEPD, y su programa de trabajo 2026-2027, presentado en febrero de 2026, las sigue incluyendo.
¿Qué medios lo aplican en España?
Sobre todo periódicos digitales. En enero de 2024, el Laboratorio de Periodismo de la Fundación Luca de Tena informó de que varias cabeceras, entre ellas las de Vocento, empezaban a pedir un pago a quien rechazaba las cookies. En el caso de El Correo, 3,99 euros. Otras webs pedían importes pequeños, como un euro, o una suscripción anual. Precios y condiciones han podido cambiar desde entonces, así que compruébalos en cada web.
De ahí vienen búsquedas como «rechazar cookies por 1 euro». No hay una tarifa oficial. Cada editor fija la suya, y la AEPD solo exige que la alternativa sea genuinamente equivalente y que se informe bien de ella.
¿Qué pasa si rechazas las cookies?
La web debe dejarte navegar con las cookies técnicas, sin instalar las de analítica ni las de publicidad comportamental. Las técnicas, como la sesión o el carrito, no necesitan tu consentimiento; lo explicamos en cookies técnicas. En la práctica:
- Puedes seguir viendo anuncios, pero no deberían basarse en un perfil hecho a partir de tu navegación.
- Algún contenido de terceros, como un vídeo o un mapa incrustado, puede no cargar hasta que lo aceptes.
- Si hay un muro de cookies, te ofrecerá la alternativa: pagar, aceptar o irte.
Rechazar no es definitivo. Puedes cambiar de opinión desde el panel de configuración, que la web debe mantener accesible de forma permanente.
¿Es obligatorio aceptar las cookies?
No. El artículo 22.2 de la LSSI solo permite usar cookies no exentas con el consentimiento del usuario, y ese consentimiento tiene que ser libre. Lo que sí puede hacer una web, dentro de los límites de la AEPD, es no dejarte entrar si rechazas y tampoco aceptas la alternativa que te ofrece. Nadie puede obligarte a aceptar. Como mucho, puede pedirte algo a cambio de entrar sin cookies.
Visto desde el editor, lo obligatorio es ofrecer «Rechazar» con la misma facilidad que «Aceptar». Tienes los requisitos en la guía del banner de cookies y cuándo hace falta el aviso en ¿es obligatorio el aviso de cookies?.
¿Le conviene a una pyme un muro de cookies de pago?
En general, no. El modelo tiene sentido cuando el contenido es el producto, como en un periódico. Una web corporativa o una tienda online no tienen nada que vender por navegar sin cookies. Para usarlo con garantías tendrías que:
- Montar un acceso de pago genuinamente equivalente al gratuito con cookies, con su cobro, sus cuentas de usuario y su soporte.
- Poder justificar que la tarifa no empuja a consentir.
- Asegurarte de no bloquear algo que el usuario necesita para ejercer un derecho, como un formulario de reclamación.
- Asumir que parte de los visitantes se irá sin ver la web.
Esta tabla resume dónde queda cada opción según la guía de la AEPD y el dictamen del CEPD:
| Opción | ¿Encaja con los criterios? |
|---|---|
| Banner con «Aceptar» y «Rechazar» al mismo nivel | Sí, es el caso general |
| Muro sin alternativa: aceptas o no entras | No |
| Muro con alternativa de pago del propio editor, genuinamente equivalente e informada | Sí, según la AEPD |
| Alternativa ofrecida por otra empresa | No |
| Gran plataforma que solo ofrece consentir o pagar | En la mayoría de los casos no, según el CEPD |
Para una pyme, lo razonable es un banner con «Rechazar» en la primera capa y la analítica y la publicidad cargando solo tras el consentimiento. Si usas Google Ads, Consent Mode v2 comunica a Google la decisión de cada visitante. Y si quieres saber si tu web cumple hoy, la auditoría gratuita de cookies revisa qué se instala antes y después de decidir. Qué exige la norma en conjunto lo tienes en la guía de la ley de cookies.
Preguntas frecuentes
¿Qué pasa si rechazo las cookies?
La web debe dejarte navegar con las cookies técnicas, sin instalar las de analítica ni las de publicidad comportamental. Puede que algún contenido de terceros, como un vídeo incrustado, no cargue. Si la web tiene un muro de cookies, te ofrecerá una alternativa para entrar sin ellas, que puede ser de pago.
¿Es obligatorio aceptar las cookies?
No. Las cookies que no son técnicas solo se pueden usar con tu consentimiento, y tiene que ser libre. Lo que sí admite la AEPD es que una web te deje sin acceso si rechazas, siempre que te informe y te ofrezca una alternativa sin cookies genuinamente equivalente.
¿Es legal cobrar un euro por rechazar las cookies?
La guía de la AEPD admite que la alternativa sin cookies no sea gratuita, pero no fija importes. El CEPD, para las grandes plataformas, pide valorar caso por caso si procede cobrar y cuánto, y que la tarifa no haga sentir al usuario obligado a consentir.
¿El dictamen 08/2024 del CEPD se aplica a cualquier web?
No. Se limita a las grandes plataformas en línea, como las grandes redes sociales. El CEPD anunció unas directrices de alcance más amplio sobre estos modelos, que siguen en su programa de trabajo 2026-2027.
Fuentes
- Guía sobre el uso de las cookies, mayo de 2024, apartado 3.2.10 (AEPD)
- ¿Cómo debe garantizar una gran red social que el usuario ha prestado libremente su consentimiento al uso de cookies? (preguntas frecuentes de la AEPD)
- Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms (CEPD)
- Opinion 08/2024, texto adoptado el 17 de abril de 2024 (CEPD, PDF)
- EDPB: 'Consent or Pay' models should offer real choice (nota de prensa del CEPD)
- EDPB work programme 2026-2027 (CEPD)
- Ley 34/2002, de servicios de la sociedad de la información (LSSI), art. 22.2 (BOE)
- Los lectores que no acepten cookies deberán pagar una tarifa en algunos periódicos españoles (Laboratorio de Periodismo, 11 de enero de 2024)