En España las cookies no las regula el RGPD sino el artículo 22.2 de la LSSI, y quien lo interpreta es la AEPD en su Guía sobre el uso de las cookies. Eso importa porque la respuesta a «¿necesito un banner?» no está en el reglamento europeo sino en esa ley y en esa guía, y porque la guía cambió en julio de 2023 de una forma que afecta a casi todas las webs.
El artículo 22.2 de la LSSI exime del consentimiento a las cookies que tienen como única finalidad permitir la comunicación, o que son estrictamente necesarias para prestar un servicio que la persona ha solicitado expresamente. En la práctica, y siguiendo la guía de la AEPD:
Si tu web solo usa cookies de esta lista, no necesitas banner de consentimiento. Sigues necesitando informar en la política de cookies, pero no pedir permiso.
La analítica no está exenta. Google Analytics, incluso con IP anonimizada, no entra en el 22.2 según la AEPD; la guía admite un margen solo para medición estrictamente propia, de bajo riesgo, y aun así con condiciones. Los píxeles publicitarios, el remarketing, los botones sociales que cargan scripts de terceros y los mapas incrustados que leen cookies tampoco. Si tienes cualquiera de estos, tienes banner.
Es el cambio de la actualización de julio de 2023 y el que más webs incumplen todavía. La guía exige que la opción de rechazar todas las cookies esté en el mismo lugar y con el mismo formato que la de aceptar: mismo nivel, mismo tamaño, mismo color de énfasis. Un botón «Aceptar» destacado y un enlace «Configurar» en gris no cumple. Un banner sin opción de rechazo en la primera capa no cumple. Seguir navegando ya no vale como consentimiento. Los muros de cookies solo se admiten con una alternativa equivalente que no exija aceptarlas.
La AEPD dio seis meses de adaptación desde la publicación. El plazo terminó el 11 de enero de 2024. Desde entonces es criterio de inspección.
La guía de la AEPD fija el contenido mínimo del banner: quién es el responsable, para qué se usan las cookies en términos comprensibles, si intervienen terceros, cómo aceptar, rechazar y configurar, y un enlace a la segunda capa con el detalle de cada cookie. No vale un «usamos cookies para mejorar tu experiencia» con un botón. Y el consentimiento tiene fecha de caducidad: la guía considera que no debería durar más de 24 meses, pasados los cuales hay que volver a pedirlo. Si tu banner lo guardó en 2023 y no ha vuelto a preguntar, no tienes consentimiento.
Antes de elegir un banner o copiar una política, averigua qué se carga de verdad. Abre la web en una ventana privada sin iniciar sesión y anota las peticiones a terceros, las cookies y los scripts que aparecen antes de cualquier elección. Repite la comprobación después de rechazar: si sigue cargándose lo mismo, el banner es decorativo. Repite después de aceptar: lo que aparezca ahora es lo que la política debe describir.
Muchas plataformas de tienda y de gestión de contenidos cargan por defecto herramientas que no entran en la exención. Que no las hayas configurado tú no significa que no estén.
La política de cookies y la política de privacidad describen lo que tu web hace, no lo que hacía cuando se redactaron. Si cambias una etiqueta, un píxel o una plataforma, vuelve a revisar el inventario, la información de la primera capa y el mecanismo de elección. Rowpa lee tu web, detecta las herramientas que cargan, y las incorpora al registro de actividades con su entidad, su país y su papel, para que la política se genere de lo que hay y se marque como desactualizada cuando el inventario cambie.
Convierte la guía en un registro revisable. Construye tu RAT gratis y revisa cada propuesta antes de compartirla.
Empezar gratisContenido informativo, no asesoramiento jurídico. Confirma las obligaciones y plazos aplicables a tu organización con un profesional cualificado.