Respuesta rápida: para usar cookies legalmente necesitas un consentimiento previo, informado, libre e inequívoco para cada cookie no esencial (analítica, publicidad, personalización). En la práctica: un banner que bloquee las cookies no esenciales hasta que el usuario actúe, un botón «Rechazar» tan visible como «Aceptar», sin casillas premarcadas, con prueba del consentimiento y retirada tan fácil como la aceptación. Las cookies estrictamente necesarias (sesión, carrito, seguridad) no requieren consentimiento, pero deben informarse.
El marco: RGPD, LOPDGDD y art. 22 LSSI-CE
Se superponen dos normas. La directiva ePrivacy exige consentimiento antes de instalar cookies; el RGPD define un consentimiento «libre, específico, informado e inequívoco». En España aplica además el art. 22 de la LSSI-CE y la Guía de cookies de la AEPD, que prohíbe los muros de cookies que obligan a aceptar. El TJUE (Planet49, C-673/17) confirmó que una casilla premarcada no es consentimiento válido.
«Los datos personales son el nuevo petróleo de internet y la nueva moneda del mundo digital.»
— Meglena Kuneva, comisaria europea de Consumo (2009)
Cinco requisitos de un banner conforme
- Bloquear primero. Ningún rastreador se activa antes del consentimiento.
- Granularidad. Elección por finalidad (necesarias, preferencias, estadística, marketing).
- Rechazar tan fácil como aceptar. Ambos botones en la primera capa — criterio de la AEPD.
- Sin patrones oscuros. Ni casillas premarcadas ni trucos de color.
- Revocable y registrado. Un enlace permanente «Configurar cookies» y registro del consentimiento.
Google Consent Mode v2 — obligatorio desde marzo de 2024
Desde marzo de 2024, todo sitio que envíe datos del EEE o Reino Unido a Google Ads, GA4 o remarketing debe usar el Consent Mode v2, que transmite la decisión mediante cuatro señales (ad_storage, analytics_storage, ad_user_data, ad_personalization). Sin conexión correcta con el banner, la medición de conversiones deja de funcionar para los visitantes europeos. Una CMP certificada compatible con TCF v2.2 une banner y etiquetas.
Necesarias vs. sujetas a consentimiento
| Tipo | Ejemplos | ¿Consentimiento? |
|---|---|---|
| Estrictamente necesarias | Sesión, carrito, seguridad | No (informar) |
| Estadística | Google Analytics 4, Matomo | Sí |
| Marketing | Meta Pixel, Google Ads, LinkedIn | Sí — siempre |
Cuánto cuesta incumplir
El RGPD permite multas de hasta 20 M€ o el 4 % de la facturación mundial. La CNIL francesa sancionó a Google con 150 M€ porque rechazar exigía más clics que aceptar; la AEPD también ha multado banners no conformes. Un consentimiento inválido convierte en ilícito todo tratamiento posterior.
Preguntas frecuentes
¿Necesito banner solo con Google Analytics?
Sí. GA4 instala cookies y trata datos personales; el consentimiento previo es obligatorio.
¿Solo «Aceptar» es válido?
No. Sin «Rechazar» equivalente el consentimiento no es libre.
¿Cuánto dura el consentimiento?
No hay cifra única; se recomienda renovar cada 6–12 meses (la AEPD sugiere ~24 meses máximo para su almacenamiento).
Fuentes
- TJUE — Planet49 (C-673/17).
- AEPD — Guía de cookies; art. 22 LSSI-CE.
- Google for Developers — Consent Mode v2.
- IAB Europe — TCF v2.2.
¿Necesitas una web conforme y que convierta?
WiseGuyXL crea y audita webs conformes al RGPD y de alto rendimiento en toda Europa — diseño y desarrollo web. Hemos logrado un 341 % de crecimiento orgánico en más de 30 proyectos en más de 9 mercados.