Qué es la política de cookies y quién la necesita
En España, «politica de cookies» se busca 390 veces al mes. La respuesta corta: la necesita casi cualquier web de empresa, porque basta con una herramienta de estadísticas, un vídeo de YouTube incrustado, un mapa de Google o un píxel de publicidad para instalar cookies que no son imprescindibles.
La ley distingue dos grupos. Las cookies que sirven en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario (el carrito de una tienda, la sesión de un área de clientes, el idioma que el usuario elige) no necesitan consentimiento. Todas las demás sí, y antes de instalarlas hay que informar.
Aun así, la AEPD recomienda mencionar también las exentas, al menos de forma genérica, con una frase como esta: «Este sitio web utiliza cookies que permiten el funcionamiento y la prestación de los servicios ofrecidos en el mismo». Una web sin ninguna cookie no exenta es rara; si es la tuya, esa frase en tu política de privacidad basta y te deja preparado para el día en que añadas una herramienta.
Qué debe decir la política de cookies, según la AEPD
La guía de la AEPD enumera lo que la política de cookies debe incluir. Traducido a la web de un negocio:
- Qué son las cookies, en dos o tres frases sencillas.
- Qué tipos de cookies usas y para qué: análisis, publicidad comportamental, preferencias. Una línea por finalidad.
- Quién las usa: solo tú o también terceros (Google, Meta, la plataforma de reservas), identificados por su nombre o su marca. Puede ir en un desplegable, siempre que sea fácil de abrir.
- Cómo aceptar, rechazar o retirar el consentimiento desde tu propia web. Si tu herramienta no puede borrar las cookies de terceros ya aceptadas, la AEPD propone avisar: «si acepta las cookies de terceros, deberá eliminarlas desde las opciones del navegador o desde el sistema ofrecido por el propio tercero».
- Las transferencias de datos fuera del Espacio Económico Europeo, si las hay.
- Cuánto tiempo se conservan los datos de cada finalidad.
Para el resto de lo que exige el artículo 13 del RGPD (los derechos del usuario, por ejemplo), la guía dice que el editor podrá remitirse a la política de privacidad. No hace falta repetirlo todo: una política de cookies corta, con un enlace a la de privacidad, es lo que la AEPD describe.
El banner de cookies: la primera capa
La AEPD admite informar por capas: un aviso visible al entrar (el banner) y la política de cookies completa en una segunda página. La información de la primera capa debe darse antes del uso de las cookies, incluida, en su caso, su instalación: si tus etiquetas de estadísticas o publicidad se cargan antes de que el usuario pulse un botón, el banner no sirve de nada.
Lo que debe tener el banner:
- Quién es el responsable de la web (basta la marca si tus datos completos están en el aviso legal).
- Para qué se usan las cookies y si son propias o también de terceros.
- Un botón «Aceptar» y un botón «Rechazar» equivalentes: si hay botón para aceptar, tiene que haber botón para rechazar, en la misma capa.
- Un botón o enlace a un panel de configuración para elegir por finalidad (análisis sí, publicidad no).
- Un enlace visible a la política de cookies.
Rechazar tan fácil como aceptar
La opción de rechazar debe ofrecerse al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptarlas, sin remitirle a otra capa o lugar diferente para realizar esa acción. Un banner con un gran botón «Aceptar» y un pequeño enlace «Configurar» que lleva a una lista de casillas no la cumple.
Lo mismo vale después: el sistema para retirar el consentimiento debe ser tan fácil como el utilizado cuando se prestó. En la práctica, un enlace «Configurar cookies» fijo en el pie de todas las páginas, que vuelve a abrir el panel.
Sobre la duración, la AEPD considera buena práctica que el consentimiento no dure más de 24 meses y que, mientras tanto, no se pida otra vez en cada visita.
¿Las cookies de Google Analytics necesitan consentimiento?
Sí. La guía de la AEPD recuerda que las cookies de análisis no están exentas del deber de obtener un consentimiento informado para su uso, aunque considera poco probable que supongan un riesgo si son de primera parte, tratan datos agregados con fines estadísticos, se informa de ellas y el usuario puede negarse. Es decir: el riesgo es menor, pero el consentimiento sigue haciendo falta.
Para la publicidad (el píxel de Meta, el remarketing de Google Ads) no hay duda: necesitan consentimiento antes de cargarse. Si mides con Google Analytics 4, configura el modo de consentimiento para que las etiquetas esperen la respuesta del banner.
Las cookies de preferencias que el usuario elige él mismo (idioma, moneda, tamaño de letra) son distintas: las cookies estarán exceptuadas de las obligaciones del artículo 22.2 de la LSSI por considerarse un servicio expresamente solicitado por el usuario.
Un ejemplo: la política de cookies de una web de servicios
Pongamos una clínica de fisioterapia con web propia: formulario de cita, Google Analytics, un mapa de Google incrustado y un vídeo de YouTube. Su política de cookies tendría estas partes, cada una en pocas frases:
- Qué son las cookies y quién es el responsable de la web (con enlace al aviso legal).
- Cookies técnicas: las del formulario y la seguridad de la web, exentas de consentimiento, mencionadas de forma genérica.
- Cookies de análisis: Google Analytics, para contar visitas y mejorar la web, solo con consentimiento.
- Contenido de terceros: el mapa y el vídeo pueden instalar cookies de Google; mejor cargarlos solo tras el consentimiento, o sustituir el mapa por un enlace.
- Cómo aceptar, rechazar o cambiar de opinión: el banner y el enlace «Configurar cookies» del pie de página.
- Cuánto tiempo se conservan las cookies y el consentimiento.
- Enlace a la política de privacidad para los derechos del usuario.
Qué pasa si tu web no cumple
El artículo 38.4 g) de la LSSI tipifica como infracción leve: «Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22». Las infracciones leves se sancionan con multa de hasta 30.000 € (artículo 39) y, según el artículo 43, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por esa infracción. Es un techo, no una cifra habitual.
Para un negocio pequeño, el coste más frecuente es otro: un banner que bloquea la web o esconde el botón de rechazo transmite justo lo contrario de la confianza que buscas antes de que te llamen.
Nuestra opinión
Antes de buscar un generador de políticas de cookies, haz la lista de lo que tu web carga de verdad y quita lo que no necesitas: cada mapa sustituido por un enlace o cada píxel que ya no usas es una cookie menos que explicar y que pedir. Después, que el banner tenga «Rechazar» al lado de «Aceptar», con el mismo aspecto, y que nada se cargue antes de la respuesta. La trampa que evitaríamos es la web con un banner impecable en apariencia y las etiquetas de publicidad funcionando desde el primer segundo.
La redacción de FindMyCompany
Preguntas frecuentes
¿Es obligatoria la política de cookies?
Sí, si tu web usa cookies que no son estrictamente necesarias para el servicio que pide el usuario: estadísticas, publicidad, vídeos o mapas de terceros. La LSSI exige informar de forma clara y completa y obtener el consentimiento antes de usarlas.
¿Qué debe incluir una política de cookies?
Según la guía de la AEPD: qué son las cookies, qué tipos usas y para qué, si son propias o de terceros y quiénes son esos terceros, cómo aceptar, rechazar o retirar el consentimiento, las transferencias internacionales si las hay y el plazo de conservación. Para los derechos del usuario puede remitir a la política de privacidad.
¿El botón de rechazar es obligatorio?
Sí. La AEPD indica que la opción de rechazar debe ofrecerse al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptar, sin enviar al usuario a otra capa. Si hay un botón para aceptar, debe haber uno para rechazar.
¿Puedo considerar que el usuario acepta si sigue navegando?
No. La guía de la AEPD recoge que seguir navegando no es una forma válida de prestar el consentimiento, y que consultar la política de cookies o el panel de configuración tampoco lo es.
¿Hay que pedir consentimiento para Google Analytics?
Sí. Las cookies de análisis no están exentas del deber de obtener el consentimiento, aunque la AEPD las considera de bajo riesgo si son de primera parte, con datos agregados y con la posibilidad de negarse.
¿Cada cuánto hay que volver a pedir el consentimiento?
La AEPD considera buena práctica que el consentimiento no dure más de 24 meses y que, mientras tanto, se respete la elección del usuario sin volver a preguntarle en cada visita.