Banner de cookies: qué es, cuándo es obligatorio y qué debe tener

El banner es lo único que el visitante ve de todo el sistema de consentimiento. También es lo primero que mira quien quiere saber si una web cumple. En España lo regulan el artículo 22.2 de la LSSI y la Guía sobre el uso de las cookies de la AEPD. La guía se actualizó en julio de 2023 para incorporar las directrices europeas sobre patrones engañosos, sus nuevos criterios se aplican desde el 11 de enero de 2024 y la versión publicada hoy lleva fecha de mayo de 2024. Aquí tienes qué debe tener un banner, qué no vale y cómo comprobar que hace lo que dice.

¿Qué diferencia hay entre un banner de cookies y una CMP?

El banner es el aviso que ve el visitante; la CMP es el sistema que hace que su decisión se cumpla. El banner informa y ofrece aceptar, rechazar o configurar. La CMP (plataforma de gestión del consentimiento, por sus siglas en inglés) guarda la elección, bloquea o libera los scripts según esa elección, envía las señales a herramientas como Google y deja cambiar de opinión.

Un banner sin CMP detrás es decorativo: informa, pero no impide que las cookies se instalen. Por eso, cuando evalúes una solución, pregunta por las dos partes:

• Banner: textos, botones, capas, diseño, versión móvil.
• CMP: bloqueo previo, memoria de la elección, Consent Mode v2, panel para retirar el consentimiento.

En WordPress, la mayoría de soluciones reúnen las dos cosas en un plugin. Si comparas opciones, tienes criterios y precios en la guía de plugins de cookies para WordPress.

¿Cuándo es obligatorio un banner de cookies?

Es obligatorio cuando la web usa cookies o tecnologías similares que no son estrictamente necesarias, como las de analítica o publicidad. El artículo 22.2 de la LSSI solo permite usarlas si el usuario ha dado su consentimiento después de recibir información clara y completa. Quedan fuera dos casos: el almacenamiento técnico necesario para transmitir la comunicación y el estrictamente necesario para prestar un servicio que el usuario ha pedido expresamente.

En la práctica, si la web solo usa cookies técnicas (sesión, carrito, seguridad), no necesitas pedir consentimiento. Si añade Google Analytics, un píxel publicitario o vídeos incrustados de terceros, sí. Lo repasamos caso por caso en ¿es obligatorio el aviso de cookies?.

Un punto que interesa a quien monta webs para otros: la guía de la AEPD recuerda que la responsabilidad administrativa por el uso de cookies corresponde a cada parte obligada y no se puede desplazar por contrato. Qué sanciones ha impuesto la AEPD lo tienes en multas de la AEPD por cookies.

¿Qué debe tener un banner de cookies según la AEPD?

Debe informar de lo esencial en una primera capa, ofrecer «Aceptar», «Rechazar» y «Configurar», enlazar a una segunda capa con el detalle y permitir retirar el consentimiento en cualquier momento. Vamos por partes.

La información de la primera capa

La primera capa es el banner en sí. Según el apartado 3.1.2.2 de la guía, debe incluir:

1. Quién es el editor responsable de la web. No hace falta la razón social si sus datos completos están en otras secciones (aviso legal, política de privacidad) y su identidad es evidente.
2. Para qué se usan las cookies.
3. Si son propias o también de terceros, sin tener que identificar aquí a cada tercero.
4. Qué tipo de datos se recogen si se elaboran perfiles, por ejemplo con publicidad comportamental.
5. Cómo aceptar, configurar y rechazar.
6. Un enlace claramente visible a la segunda capa, con un texto como «Política de cookies».

Esta información debe mostrarse antes de usar las cookies y seguir visible hasta que el usuario acepte o rechace.

Los botones de la primera capa

La guía pide tres mecanismos en la primera capa:

• Aceptar: un botón o mecanismo equivalente, fácilmente visible, con textos como «Aceptar cookies», «Aceptar» o «Consentir».
• Rechazar: un botón o mecanismo similar al de aceptar, con textos como «Rechazar cookies» o «Rechazar». Si aceptar es un botón, rechazar también.
• Configurar: un botón o mecanismo claramente visible, que no tiene por qué ser igual a los anteriores, que lleve a un panel para aceptar o rechazar por finalidades.

La función de cada mecanismo tiene que ser evidente. No se puede dar la impresión de que hay que aceptar para navegar, ni empujar claramente al usuario a aceptar.

La segunda capa y el panel de configuración

La segunda capa es la política de cookies. Debe estar disponible de forma permanente en la web y contener la información detallada que enumera el apartado 3.1.1 de la guía. En tu web, esa página es la política de cookies.

El panel de configuración puede ir dentro de esa segunda capa, siempre que el acceso desde la primera sea directo. El usuario no debe tener que desplazarse por grandes cantidades de texto para encontrarlo. Además, según la guía:

• Las cookies deberían agruparse al menos por finalidad.
• Debe evitarse el máximo nivel de detalle, cookie a cookie, porque el exceso de información dificulta decidir.
• Tiene que quedar claro cómo guardar la selección, por ejemplo con un botón «Guardar selección».
• Si el usuario guarda sin seleccionar ninguna categoría, equivale a rechazarlas todas.

Cómo retirar el consentimiento

El usuario debe poder retirar el consentimiento en cualquier momento, con un sistema tan fácil como el que usó para darlo. Lo dice el artículo 7.3 del RGPD y lo desarrolla la guía. La AEPD entiende que se cumple cuando el usuario tiene acceso sencillo y permanente al panel de configuración, por ejemplo con un enlace o botón siempre visible. La política de cookies debe explicar, además, cómo retirar el consentimiento y eliminar las cookies.

Sobre la duración, la AEPD considera buena práctica que el consentimiento para una cookie no dure más de 24 meses. Mientras tanto, la web debe recordar la elección sin volver a preguntar en cada visita.

¿Qué es obligatorio y qué no está permitido en un banner de cookies?

Esta tabla resume los criterios de la guía de la AEPD y del RGPD que más afectan al diseño de un banner:

¿Qué no vale como consentimiento?

No vale nada que no sea una acción afirmativa clara del usuario. El RGPD define el consentimiento como una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa (art. 4.11). Por eso no sirven:

• Seguir navegando. La guía lo explica con un ejemplo: si el usuario no pulsa «Aceptar» y simplemente sigue navegando, el uso de cookies no está legitimado. La mera inactividad no implica consentimiento.
• Casillas premarcadas. La AEPD dice que en ningún caso son admisibles las opciones premarcadas a favor de aceptar. El considerando 32 del RGPD añade que el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento.
• Aceptar las condiciones de uso. La aceptación de los términos de la web debe separarse de la aceptación de la política de cookies.
• Diseños que empujan a aceptar. Colores o contrastes engañosos que lleven a un consentimiento involuntario no son válidos.
• Muros de cookies sin alternativa. La AEPD no admite los muros que no ofrecen una alternativa al consentimiento. Sí admite que rechazar las cookies impida acceder a la web, o a parte del servicio, si se informa al usuario y se le ofrece una alternativa de acceso sin cookies, no necesariamente gratuita. Esa alternativa debe ser genuinamente equivalente y no puede ofrecerla una entidad ajena al editor. El criterio pesa más cuando la web es el único medio para ejercer un derecho reconocido por ley.

¿Qué cookies exigen consentimiento?

Exigen consentimiento todas las cookies que no son técnicas ni de preferencias elegidas por el propio usuario. La guía de la AEPD las clasifica así:

• Exentas: las técnicas que permiten prestar el servicio (controlar el tráfico, identificar la sesión, acceder a zonas restringidas, recordar un pedido, gestionar el pago, controlar el fraude) y las de preferencias que elige el propio usuario, como el idioma o la moneda, siempre que no se usen para otros fines.
• No exentas: las de análisis o medición y las de publicidad comportamental. También cualquier cookie técnica que se use además para fines no exentos, como la publicidad comportamental.
• Duración: es mucho más probable que se consideren exceptuadas las cookies de sesión que las persistentes.

Sobre las de análisis, la guía recoge la opinión del Grupo de Trabajo del Artículo 29 (GT29). No están exentas del consentimiento, pero es poco probable que supongan un riesgo para la privacidad si son de primera parte, tratan datos agregados con fines estadísticos, se informa de ellas y se permite rechazarlas. La clasificación completa, con ejemplos, está en tipos de cookies.

¿Qué pasa si aceptas el uso de cookies?

Si aceptas, la web puede instalar en tu navegador las cookies que ha descrito en el banner. Normalmente son de análisis, para medir cómo se usa la web, y de publicidad. Las de publicidad comportamental pueden servir para crear un perfil a partir de tus hábitos de navegación, por ejemplo las páginas que visitas, y mostrarte anuncios relacionados. Pueden ser de la propia web o de terceros.

Aceptar no es definitivo. Puedes retirar el consentimiento cuando quieras desde el panel de configuración, que la web debe mantener accesible, y borrar las cookies desde el navegador.

¿Cómo comprobar que un banner de cookies funciona de verdad?

Compara las cookies del navegador antes de decidir, después de rechazar y después de aceptar. El aspecto del banner no dice nada de lo que hace. Pasos:

1. Abre una ventana de incógnito sin extensiones que bloqueen anuncios o rastreadores.
2. Abre las herramientas de desarrollo en la pestaña de almacenamiento o aplicación (cookies) y en la de red.
3. Carga la web sin tocar el banner. Solo deberían aparecer cookies técnicas. Si ya ves _ga o _ga_ seguida de un identificador (Google Analytics) o cookies _gcl_ (Vinculación de conversiones de Google Ads), algo se carga antes de tiempo.
4. Pulsa «Rechazar» y recarga. Esas cookies deben seguir sin aparecer.
5. Borra las cookies, recarga y pulsa «Aceptar». Ahora sí deben aparecer las de los servicios aceptados.
6. Abre el panel de configuración y retira el consentimiento. Comprueba que el cambio se guarda y que, al recargar, esos servicios dejan de cargarse.
7. Repite en móvil. Comprueba que «Rechazar» sigue en la primera capa y al mismo nivel que «Aceptar» en pantallas pequeñas.

Si quieres que lo miremos nosotros, pide la auditoría gratuita de cookies. Y si buscas un banner para las webs de tus clientes, Cookies Marca Blanca muestra «Aceptar» y «Rechazar» en la misma primera capa, permite configurar por categorías (necesarias, analíticas, marketing, publicidad y funcionalidad) y bloquea las etiquetas que gestiona hasta que hay consentimiento.

Preguntas frecuentes

¿Qué es un aviso de uso de cookies?

Es el mensaje que muestra una web al entrar para informar de que usa cookies, para qué y si son propias o de terceros, y pedir al visitante que las acepte, las rechace o las configure. En España es obligatorio cuando la web usa cookies no exentas, como las de analítica o publicidad.

¿Qué pasa si acepto el uso de cookies?

La web puede instalar en tu navegador las cookies que ha descrito, normalmente de análisis y de publicidad, propias o de terceros. Las de publicidad comportamental pueden servir para crear un perfil con tus hábitos de navegación y mostrarte anuncios relacionados. Puedes retirar el consentimiento cuando quieras desde el panel de configuración de la web y borrar las cookies desde el navegador.

¿Basta con un botón de «Aceptar» y un enlace a la política de cookies?

No. La guía de la AEPD exige que la opción de rechazar esté en la misma capa, al mismo nivel y con la misma visibilidad que la de aceptar, sin mandar al usuario a otra capa. Si aceptar es un botón, rechazar también debe serlo.

¿Se puede impedir el acceso a la web a quien rechaza las cookies?

Solo si se le informa y se le ofrece una alternativa de acceso sin cookies, que no tiene por qué ser gratuita. La AEPD no admite los muros de cookies sin alternativa, y exige que la alternativa sea genuinamente equivalente y la ofrezca el propio editor.

¿Cada cuánto hay que volver a pedir el consentimiento?

La AEPD considera buena práctica que el consentimiento para una cookie no dure más de 24 meses y que, durante ese tiempo, la web recuerde la elección del usuario sin volver a preguntarle en cada visita.

Fuentes

1. Guía sobre el uso de las cookies (AEPD)
2. La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del CEPD (nota de prensa, 11 de julio de 2023)
3. Ley 34/2002, de servicios de la sociedad de la información (LSSI), art. 22.2 (BOE)
4. Reglamento (UE) 2016/679 (RGPD): art. 4.11, art. 7.3 y considerando 32 (BOE)
5. [GA4] Google Analytics cookie usage on websites (Ayuda de Analytics)
6. Conversion linker (Ayuda de Tag Manager)