Inicio / Blog / Privacidad
Privacidad Tiempo de lectura aproximado: 22 min · 24.08.2026

¿Es obligatorio el aviso de cookies en una web?

No, no en todos. Si el sitio web solo escribe lo que el propio servicio necesita, basta la política. El banner es una elección, no un adorno.

Ilustración: una ventana del navegador con un documento y un visto en el centro — la pregunta de si el aviso de cookies hace falta siquiera.

No, no en todos. Si el sitio web solo escribe lo que el propio servicio necesita, basta la política. El banner es una elección, no un adorno.

Usted abre su nuevo sitio web, con la historia de la empresa, el teléfono y un formulario de contacto, y lo primero que ve es una barra que pide consentimiento para cookies que esa página no escribe, porque el plugin se copió de otro proyecto donde sí estaba Google Analytics, y ahora usted paga un teatro en el que el botón «Aceptar» esconde un inventario vacío. En la calle de al lado, una tienda con el mismo WordPress, pero con Google Analytics 4 y el píxel de Meta, muestra solo el contenido mientras el navegador ya ha recibido un identificador antes de que el comprador haya leído el nombre de un solo producto, y esa diferencia es el tema de todo este artículo. El primer caso es un aviso de más. El segundo es almacenamiento sin consentimiento, y la ley no pregunta si la barra se ve, sino qué escribe el sitio web en el equipo terminal y si eso era necesario para el servicio que el usuario ha pedido él mismo.

Este artículo responde a si el aviso de cookies es obligatorio en un sitio web, y la respuesta no es «sí, en todos», aunque casi todos los plugins se comporten así, ni «no, en ninguno», aunque resulte cómodo decirlo en un sitio web que quiere quedarse limpio. La respuesta es un límite: si el sitio web solo almacena o lee lo necesario para el servicio pedido, la ventana de elección no es una obligación, pero la información sobre esas cookies sigue correspondiendo a una política alcanzable desde cada página. Si el sitio web mide visitantes, muestra publicidad o carga una herramienta de terceros antes de que el usuario haya pedido nada, el consentimiento hace falta antes de la primera escritura, y entonces la barra ya no es un adorno, sino el único modo lícito de obtener ese consentimiento.

Nombramos este límite porque hemos visto los dos extremos en una misma semana: un sitio web que compra una plataforma de gestión del consentimiento (CMP) para esconder una cookie de sesión, y un sitio web que lanza la analítica sin ninguna elección porque «total, tenemos política de privacidad», y ninguno de los dos estados es cumplimiento. Ninguno es tampoco motivo para reescribir la comprobación técnica que ya hemos escrito en otro sitio, porque allí pertenece la pregunta de si la barra, cuando hace falta, detiene de verdad las etiquetas. Aquí queda solo la primera pregunta, a la que se responde demasiado a menudo con un plugin: si usted tiene siquiera algo que pedir, antes de que alguien le venda la herramienta con la que pedirlo.

¿Es obligatorio el aviso de cookies en una web?

No, no en todos los sitios web, y esta es la respuesta que la Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos, actualizada en mayo de 2024, escribe con esa misma claridad: si el editor utiliza solo cookies para finalidades exceptuadas, no es necesario informar de su uso ni obtener el consentimiento, y un recuadro emergente con botones de elección no es obligatorio. Por transparencia, la Agencia recomienda mencionarlas al menos de forma genérica en la política de cookies o en la política de privacidad. No es nuestra opinión ni un «atajo práctico» que las agencias inventan para vender menos trabajo; es el límite de la obligación del responsable del tratamiento que la propia Agencia ha trazado, y conviene leerlo antes de que alguien le venda una plataforma de gestión del consentimiento a un sitio web que no tiene nada que gestionar. Si aun así quiere mostrar una barra cuando no hay elección, puede ser informativa —«Entendido» y un enlace a la política— y ahí no puede figurar «Aceptar», porque en ese momento usted no pide consentimiento y un botón que parece consentimiento es una mala práctica.

Este límite es también el punto en el que los nombres empiezan a engañar, porque aviso de cookies, en el habla cotidiana, significa cualquier texto que cuenta que el sitio web guarda algo, mientras que el banner de cookies es la interfaz de elección con la que se obtiene el consentimiento para lo que la excepción no cubre, y la política de cookies es el documento en el que la Agencia quiere ver la finalidad, el destinatario y el plazo de conservación. La ley no exige en ninguno de esos sitios un diseño concreto de barra, y tampoco exige que cada página con un token de seguridad de formulario pregunte primero si el usuario autoriza al sitio web a funcionar. Mezclar estas tres palabras es o bien poner una elección donde no la hay, o bien imaginar que la política, ella sola, autoriza una medición que nadie ha pedido.

Las consecuencias del lado equivocado salen más caras de lo que parecen, porque un «Aceptar» de más en un sitio web puramente técnico enseña al visitante que el consentimiento es un trámite, y le enseña a usted que el cumplimiento es instalar un plugin, no comprobar el inventario. Una elección que falta allí donde la analítica ya escribe no es «un riesgo pequeño, total tenemos política», sino almacenamiento antes del consentimiento, y la Guía trata esa secuencia como condición de la norma, no como un consejo de estilo. En ambos casos usted ha hecho un trabajo que no corresponde a lo que ocurre en el sitio web, y ese es un estado peor que una página en blanco, porque parece orden y por eso tarda más en revisarse.

Antes de comprar cualquier herramienta, anote qué escribe el sitio web en el navegador durante el primer segundo de un perfil limpio, y pregunte a cada línea si es necesaria para el servicio que el usuario ha pedido en ese momento, no para el servicio que usted quiere medir. Si la respuesta es sí en todas las líneas, usted necesita una política, no un banner, y este artículo no le vende más que esa frase. Si una sola línea es medición, publicidad o una herramienta ajena, usted necesita el consentimiento antes de esa línea, y solo entonces tiene sentido hablar del texto de la barra, que también escribiremos aquí, pero no antes.

La ley nombra el almacenamiento y el acceso, no el banner

El artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico, dice que los prestadores pueden utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios a condición de que estos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular sobre los fines del tratamiento, y esa misma frase está en el artículo 5, apartado 3, de la Directiva ePrivacy. En ninguno de esos textos aparece la palabra «banner», porque la obligación recae sobre la acción en el equipo terminal, y la barra es solo un modo de recoger ese consentimiento, si es que hace falta. Quien empieza por comprar un plugin empieza por el extremo equivocado, como si la ley hablara de un marco en la parte baja de la pantalla y no de lo que ocurre antes del marco.

Las excepciones son dos, y son estrechas: el consentimiento no hace falta si el almacenamiento o el acceso son de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas, o si resultan estrictamente necesarios para prestar un servicio de la sociedad de la información que el destinatario ha pedido expresamente. La Guía traduce este segundo supuesto a casos concretos —cookie de entrada del usuario para un formulario o un carrito, autenticación de sesión, seguridad frente a ataques, sesión de un reproductor, equilibrado de carga, idioma o presentación que el usuario ha elegido y que no se usa para otro fin— y esa lista no es un menú en el que quepa todo lo que a usted le resulta cómodo. «Nos hace falta a nosotros para saber si el sitio web funciona» no es una excepción, por mucho que se escriba en una oferta, porque el usuario, al abrir la página de inicio, no ha pedido una medición.

El ámbito no está atado a un archivo cuyo nombre sea «cookie», porque las directrices del Comité Europeo de Protección de Datos sobre el alcance técnico del artículo 5, apartado 3, adoptadas el 7 de octubre de 2024 en su segunda redacción, recuerdan que el precepto habla de información, no de datos personales, y de almacenamiento o acceso, no de una sola tecnología. Los píxeles, el localStorage y la huella digital del dispositivo entran en la misma pregunta, y el Tribunal de Justicia, en el asunto Planet49 (C-673/17), lo dice desde el otro lado: la protección alcanza a cualquier información en el equipo terminal, también cuando no son datos personales. Por eso una política que promete «no usamos cookies» todavía no responde si el sitio web accede por otro método a lo que ya está en el dispositivo. Esa respuesta importa más que el hecho de que el nombre del archivo lleve o no la palabra «cookie».

Aquí está también el error que vemos en las compras, cuando alguien adquiere una «solución de cookies» como si la ley fuera la barra, y después se extraña de que la comprobación siga encontrando solicitudes que la barra no menciona. La solución que empieza por el plugin empieza por el extremo equivocado, porque primero hay que entender qué se almacena y para qué hace falta, y solo después tiene sentido elegir si basta la política o hace falta una interfaz de elección que ejecute de verdad esa elección. No inventamos este orden para retrasar el proyecto; lo pedimos para que el proyecto, después del lanzamiento, siga correspondiendo al inventario con el que se encargó.

Dos capas: el equipo terminal y los datos personales

La primera capa es ePrivacy y su transposición en la LSSI, que pregunta si usted puede escribir o leer algo, y la segunda capa es el Reglamento general de protección de datos (RGPD), que pregunta, si después se tratan datos personales, sobre qué base jurídica y con qué transparencia. La Agencia ya ha relatado esta interacción en la Guía, y no deben fundirse las dos dimensiones en un solo «banner RGPD». Una capa no anula la otra. Un único visto verde no responde a las dos, por cómodo que sea comprar en un pedido una sola herramienta contra las dos preguntas.

Esta diferencia es la razón de que la política de privacidad no sea un banner de cookies, porque la política cumple el deber de informar —qué se hace, con qué fin, durante cuánto tiempo, a quién llegan los datos— y eso puede hacerse también cuando la elección no hace falta. El banner obtiene el consentimiento allí donde la excepción no sirve, y tiene que cumplir el artículo 4, apartado 11, del Reglamento: una manifestación libre, específica, informada e inequívoca mediante una clara acción afirmativa, que no dan el silencio, una casilla marcada de antemano ni la inactividad. Eso lo dijo el Tribunal en 2019 en el asunto Planet49, y el Reglamento lo ha escrito también en el considerando 32, de modo que un botón que espera que la persona no vea la casilla no es consentimiento aunque la política debajo sea larga.

El texto del artículo 22.2 de la LSSI sigue remitiéndose a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y no debe leerse como si la ley de 1999 siguiera fijando la calidad del consentimiento, porque la Guía de la Agencia ya ha trasladado ese punto al Reglamento y a la Ley Orgánica 3/2018. La remisión de la Directiva ePrivacy a la Directiva 95/46/CE es, tras el artículo 94 del RGPD, una remisión al propio Reglamento, y «consentimiento» significa lo que dice el artículo 4, apartado 11, no lo que alguien recuerda de una ley derogada. Nombramos este desfase para que usted no se ponga a buscar el artículo de la ley antigua allí donde la autoridad de control ya lee el Reglamento.

En la práctica eso son dos preguntas que no deben hacerse en el mismo aliento: primero, si esta acción puede ocurrir antes de la elección o es una excepción, y después, si los datos son datos personales, sobre qué base los sigue tratando y dónde puede leerlo el usuario. El sitio web que responde solo a la segunda con una política larga y no responde a la primera ha escrito un ensayo sobre lo que hace y no ha preguntado si puede hacerlo. El otro ensayo, que responde solo a la primera y olvida la transparencia del artículo 13, es una barra sin contenido, y ambos los vemos más a menudo que un inventario que responde a las dos.

Cuándo no hace falta el consentimiento — y cuándo la información sigue en la política

El consentimiento no hace falta allí donde la cookie es necesaria para el propio servicio pedido y no se usa para otro fin, y esa condición es más estrecha de lo que suena. Un formulario que, sin el token de sesión, no puede distinguir su envío del de un extraño; un carrito que, sin identificador, olvida el artículo; un equilibrado de carga que solo dice qué servidor responde; un idioma que el usuario ha elegido y que la cookie se limita a recordar: ese es el núcleo de las cookies estrictamente necesarias, no «todo aquello sin lo cual nos resulta incómodo». La Agencia deja en esta lista la cookie de idioma que el usuario ha marcado, pero saca de la excepción el uso de esa misma preferencia para perfilar o personalizar anuncios, porque entonces la finalidad ya no es la función que el usuario ha pedido.

Aquí se esconde con más frecuencia el exceso, porque a la analítica se la llama «necesaria para mejorar el sitio web», a la ventana de chat «necesaria para responder al cliente», al píxel publicitario «necesario para saber si la campaña funciona», y ninguna de esas frases es una excepción. El usuario, al abrir la página de inicio, no ha pedido una medición, un chat ni una campaña, y la excepción pertenece a la función que está usando en ese momento, no a la función que usted quiere medir. Si no puede escribir ese vínculo en una sola frase sin la palabra «nosotros», no es una cookie estrictamente necesaria. Conviene decirlo en voz alta cuando la herramienta todavía se quiere añadir, no cuando ya escribe.

El aviso, aun así, permanece, porque la Agencia recomienda informar al menos de forma genérica de las cookies exceptuadas en la política de cookies o en la política de privacidad, y entonces el recuadro emergente no es obligatorio. Informar de las herramientas estrictamente necesarias puede hacerse en una política de privacidad alcanzable, pero el responsable del tratamiento tiene que poder justificar por qué esa herramienta concreta es necesaria. El artículo 13 del Reglamento exige esta información también cuando se recogen datos personales sin banner, porque la transparencia no es un apéndice del consentimiento y la política no es un regalo que pueda aplazarse hasta que alguien se queje.

Nosotros mismos, en nuestro sitio web, tenemos la sesión, el token de seguridad y el recuerdo de la elección de consentimiento entre las cookies estrictamente necesarias y no pedimos consentimiento por ellas, porque sin ellas esta página no puede aceptar un formulario ni recordar lo que usted ya ha elegido. Es una decisión de nuestro inventario, no una cita de la Agencia sobre la cookie de consentimiento, y no la escondemos detrás de un «todo el mundo lo hace», porque esa línea no es una exención universal. Si en su sitio web no hay esas líneas y tampoco hay mediciones, le basta la política; si aun así quiere mostrar una barra informativa, muestre «Entendido» y un enlace, no «Aceptar», porque de lo contrario pide lo que la ley, en ese momento, no pide.

Cuándo el consentimiento hace falta antes de la primera escritura

Para las cookies de analítica y de marketing el consentimiento hace falta, y la Guía de 2024 lo formula como regla, no como consejo: cualquier cookie que no quede exceptuada del artículo 22.2 necesita un consentimiento del usuario que sea libre, específico, informado e inequívoco. Las herramientas que analizan la navegación o personalizan anuncios no son estrictamente necesarias y no pueden arrancar sin consentimiento. «Solo contamos páginas» no convierte en excepción una herramienta de mercado: la Agencia admite, en la guía de enero de 2024 sobre medición de audiencia, una vía estrecha para estadísticas anónimas hechas solo a nombre del editor y sin cruce entre sitios, y Google Analytics 4 o el píxel de Meta no caben en ella cuando reutilizan los datos.

El tiempo forma parte de esta regla, no es una nota a pie, porque si el identificador se escribe o se lee antes de que el usuario haya elegido, el consentimiento no se ha obtenido, por muy bella que sea la barra que aparece medio segundo después. La Guía sigue situando esa secuencia en el centro: las cookies que necesitan consentimiento no pueden utilizarse mientras la persona no ha elegido, y una animación más rápida no corrige ese segundo. Por eso la pregunta no es «¿tenemos banner?», sino «¿qué ocurre en el primer segundo de un perfil limpio?», y ese segundo lo fijamos en la comprobación con un registro, no con la impresión de que la barra apareció lo bastante pronto.

Las herramientas de terceros no desplazan este límite, solo lo hacen más visible: si en el sitio web hay un vídeo de YouTube incrustado, las cookies de YouTube son cookies de terceros y YouTube es su responsable del tratamiento. Eso todavía no es lo mismo que decir que cada reproductor incrustado exige automáticamente una barra de elección antes del primer píxel, porque si el vídeo se carga solo después del clic del usuario, en el primer segundo puede no haber nada que almacenar. La prueba sigue siendo la misma —si antes de la acción pedida ya ha habido almacenamiento o acceso— y, si lo ha habido, el consentimiento hacía falta antes; si no, usted ha dejado la elección donde corresponde.

Que la cookie sea propia o de terceros no decide esta prueba, y la Agencia lo deja escrito: hará falta informar y obtener el consentimiento de cualquier cookie que no quede fuera del artículo 22.2, sea propia o de terceros, de sesión o persistente, de modo que un identificador propio que usted mismo escribe para medir después el comportamiento no es «más seguro» que un píxel ajeno solo porque el dominio sea el suyo. La ley pregunta por la acción y la finalidad, no por el servidor en el que vive el archivo, y una política que presume de que «no usamos cookies de terceros» todavía no ha respondido qué hace su propia analítica. Aquí es también donde solemos pedir que se abra el registro de Network, no discutir la palabra «first-party». El registro termina esa discusión antes.

El aviso de cookies no es lo mismo que el banner de cookies

El aviso es información, el banner es elección, y la política es el sitio donde la información permanece cuando la barra se ha cerrado, pero estas tres palabras se funden a diario en un solo «cookie notice», y por eso junto a «aviso de cookies» aparece «banner de cookies» como si fueran una sola obligación. No lo son, porque informar se puede hacer en la política, sin barra, si la excepción cubre todo lo que el sitio web hace, pero la elección solo se obtiene con una interfaz que permite también rechazar, y esa interfaz es el banner. Mezclarlos es o bien pedir una firma donde solo hace falta un texto, o bien imaginar que el texto, él solo, autoriza una medición.

La diferencia se ve en la práctica: un sitio web que solo usa cookies técnicas y muestra el botón «Aceptar» pide lo que no hace falta, y enseña que el consentimiento es el único botón que cierra algo. La buena práctica en ese mismo sitio es un texto informativo, un enlace a la política y un «Entendido» que no admite nada, solo quita la barra, y si usted rebautiza ese «Entendido» como consentimiento ha vuelto al mal ejemplo, solo que con una palabra más educada. No contamos este ejemplo para reírnos de los plugins; lo contamos porque es el modo más barato de ver que un objeto en la pantalla todavía no es una obligación.

Cuando el consentimiento sí hace falta, la Agencia pide recogerlo con un banner de elección, y que rechazar sea tan sencillo como aceptar, en la primera vista, no en el tercer menú. El muro de cookies —una pared que no deja leer el contenido mientras no hay elección— solo es admisible si existe una alternativa genuina, el rechazo o un acceso de pago equivalente, y el deber de informar permanece también entonces. Citamos aquí la Guía como el marco español, no como una glosa de otro país, porque en España el límite lo trazan la LSSI y la Agencia, y con eso basta para no confundir el aviso con la elección.

Esta diferencia es también la razón de que ya no escribamos un segundo documento técnico con otro título, porque la Guía habla de política de cookies y, en ese mismo documento, hay sitio para la finalidad, el destinatario y el plazo. Un segundo archivo con otro título no crea un segundo cumplimiento; solo da un segundo sitio en el que el inventario puede quedarse atrás, y lo hemos visto las veces suficientes para dejar de prometer un segundo archivo como regalo. Si usted tiene una política en la que están esas líneas, tiene un aviso; si solo tiene una barra sin esas líneas, tiene un adorno, y un adorno la comprobación no lo toma por prueba.

Qué escribir en el aviso de cookies si hace falta el consentimiento

Si el consentimiento hace falta, la información tiene que permitir que la persona entienda a qué consiente antes de consentir, y el Tribunal, en el asunto Planet49, dijo que en la información clara y completa entran la duración de las cookies y si terceras personas acceden a ellas. La Agencia reparte lo mismo en finalidades, en si son propias o de terceros y en destinatarios, y dice que esa información debe estar en el banner lo bastante para que la elección sea informada, y en la política, donde puede contarse con más amplitud. Un texto general con citas de la ley no es información, es una tapadera, y la tapadera sigue siéndolo aunque esté traducida a doce idiomas.

En la primera vista tienen que verse con la misma claridad el consentimiento y el rechazo, porque la Agencia pide que la opción de rechazar se ofrezca en la misma capa y al mismo nivel que la de aceptar, y que el contraste de los botones no empuje a consentir. Seguir navegando por el sitio web y cerrar el banner no son, por sí mismos, un consentimiento válido, y Planet49 añade que una casilla marcada de antemano tampoco lo es, porque el consentimiento pide una acción activa, no el silencio en el que usted ha esperado que la persona no viera la casilla. Estas líneas pertenecen a este artículo porque son la forma de la obligación, no los pasos de DevTools, que hemos dejado para el otro texto.

La retirada del consentimiento tiene que ser tan sencilla como prestarlo, porque el artículo 7, apartado 3, del Reglamento lo dice así, y la Agencia lo traduce en un acceso fácil y permanente al sistema de gestión cuando la barra ya ha desaparecido, de ordinario un enlace en el pie, desde cada página. Un botón que guarda la nueva elección pero no la comunica a las etiquetas ya cargadas es el mismo error del que hemos escrito en la comprobación técnica, solo que desde el otro lado: aquí es la forma de la obligación, allí la falta de prueba. No terminamos este artículo con los pasos del registro de Network, porque pertenecen al otro texto; aquí basta decir que una retirada que no se encuentra no es una retirada, aunque la política la haya prometido.

El texto que escribimos para los clientes sale del inventario, no de una plantilla, porque el modelo de la Agencia para la política muestra la finalidad, quién utiliza las cookies y el plazo de cada categoría, y eso es lo que también nos pedimos a nosotros: cada línea tiene que poder comprobarse contra lo que ocurre en el sitio web. Una plantilla que queda del proyecto anterior es peor que una página en blanco, porque nombra cookies que ya no están y calla las que sí están, y este es también el momento en el que dejamos de escribir un ensayo jurídico. El trabajo que sigue es la comprobación, no una firma más bajo un texto que nadie ha comparado con lo que ocurre en el primer segundo.

Qué cuesta un banner que el sitio web no necesita

Un banner de más no es prudencia. Roba la primera pantalla, enseña al visitante a pulsar sin leer y le enseña a usted que el cumplimiento es el valor por defecto de un plugin, no la correspondencia del inventario con lo que ocurre en el sitio web. Poner un «Aceptar» sobre un sitio web técnico es exactamente esta factura: usted ha puesto una elección donde no la hay, y ahora tiene que mantener una elección que no cambia nada, porque debajo no hay nada que apagar.

Ese es un estado peor que el silencio. El objeto en la pantalla da impresión de orden, y precisamente este «orden» es la razón por la que consideramos un error la barra de más.

No vendemos una plataforma de gestión del consentimiento a un sitio web al que le basta la política, y eso suena a un encargo perdido, y lo es. Preferimos perder el trabajo en el que habría que instalar Cookiebot, OneTrust o un banner a medida allí donde el inventario solo tiene sesión y token de seguridad, a ganar un cliente que a los seis meses pregunta por qué paga una barra que no gestiona nada. Esta es la frase que una presentación de ventas suele saltarse, y por eso la escribimos aquí. Un artículo que termina siempre en «compre nuestro trabajo» no es una respuesta a si el aviso es siquiera obligatorio.

El otro precio es jurídico, no solo estético, porque la barra que pide consentimiento para lo que no lo necesita, o que esconde el rechazo, es el mismo engaño contra el que la Agencia actúa también allí donde el consentimiento sí hace falta. Usted no puede defender «total, tenemos banner» si el banner se ha levantado sobre el inventario equivocado, porque el cumplimiento no es que un objeto exista en la pantalla, sino la correspondencia entre lo que el sitio web hace y lo que usted ha dicho de ello. Un objeto de más no daña esa correspondencia menos que uno que falta, y esa es también la razón por la que a veces recomendamos quitar la barra, no añadirla, aunque suene al revés de lo que se espera de una agencia.

Si el banner hace falta, la siguiente pregunta no es si «queda bien»

Si el inventario muestra analítica, publicidad u otra herramienta a la que la excepción no alcanza, entonces sí, usted necesita una elección antes de la primera escritura, y ahí termina el alcance de este artículo, porque la siguiente pregunta es si la barra que ahora hace falta detiene de verdad lo que promete detener. A eso hemos respondido en el artículo sobre si el banner de cookies detiene de verdad las etiquetas: «Rechazar» que cierra el marco pero no apaga la etiqueta no es un rechazo, y este texto no lo reescribe, porque ya está escrito. Repetir aquí siete fallos sería robarle al otro artículo su pregunta, y no lo hacemos ni siquiera cuando el enlace interno, en este punto, parece una venta.

Nuestro servicio de inventario y comprobación de cookies empieza a partir de 800 € y suele ocupar 1–4 semanas, según las plantillas, los idiomas, la CMP y el contenedor de etiquetas, y este «a partir de» es un mínimo publicado, no una factura. Pertenece al inventario, a la configuración y a la comprobación, no a la promesa de que toda la protección de datos de la organización quedará ordenada con una sola barra, y el modo de consentimiento básico o el avanzado los elegimos después de su evaluación jurídica y de las necesidades de analítica. No prometemos datos de modelización del comportamiento allí donde la propiedad de Google no cumple las condiciones de Google, porque estas líneas son las mismas que están en la página del servicio, y este artículo no las sube ni las baja.

Antes de escribirnos, haga la misma comprobación con la que empezó este texto: perfil limpio, primer segundo, lista de lo que se escribió, y una línea por cada «por qué», porque esa lista sale más barata que cualquier oferta. Si la lista está vacía o solo contiene la excepción, usted necesita una política, y se lo diremos también entonces, aunque eso signifique que la comprobación no es el encargo de esta semana. Si en la lista hay una línea para la que el consentimiento hacía falta ayer, la barra que hoy parece educada todavía no es una respuesta, y entonces conviene leer el otro artículo, no este otra vez.

Si quiere que leamos esa lista con usted y le digamos de qué lado está, escríbanos, porque a veces la respuesta más honesta es que basta la política y que el dinero conviene guardarlo para el contenido, no para la barra, y a veces la respuesta es que el consentimiento hace falta y que ahora hay que comprobar si funciona. Las dos son válidas, y solo una es justa en cada sitio web, y preferimos perder una comprobación en la que habría que instalar un banner sobre un inventario vacío a ganar un proyecto en el que ese banner, después del lanzamiento, se convierte en un reproche.

ES
Edijs Stikuts
Propietario · Webmasters
Borrador redactado con asistencia de IA; hechos verificados y contenido aprobado por Edijs Stikuts.
Póngase en contacto →
FAQ

Preguntas frecuentes.

¿Es obligatorio el aviso de cookies en todos los sitios web?

No, no en todos. Si el sitio web usa solo cookies para las que el consentimiento no es necesario, la Agencia Española de Protección de Datos no exige un recuadro de elección y recomienda mencionarlas al menos de forma genérica en la política. El aviso, en ese caso, es la política, no el banner. En cuanto el sitio web mide visitantes, muestra publicidad o carga una herramienta a la que la excepción no alcanza, el consentimiento hace falta antes de la primera escritura, y entonces la interfaz de elección ya no es un adorno.

¿Basta la política de privacidad si solo utilizo una cookie de sesión?

Sí, si esa cookie es de verdad necesaria para el servicio pedido y no se usa para otro fin. La Agencia dice que entonces no hay que poner una ventana de elección, y que basta informar, al menos de forma genérica, en una política alcanzable en el sitio web. Si aun así muestra una barra, puede ser informativa con «Entendido», no con «Aceptar». El artículo 13 del Reglamento sigue exigiendo informar de los datos personales, también sin banner.

¿Puede arrancar Google Analytics 4 antes del consentimiento?

No. La Agencia exige para las cookies de analítica un consentimiento libre, específico, informado e inequívoco, y no se obtiene lanzando primero la medición. Eso vale para el primer segundo de un perfil limpio, no para el momento en que la barra acaba por aparecer. El modo de consentimiento avanzado, en el que las etiquetas pueden cargarse con el almacenamiento denegado, no es un permiso automático y no es el tema de este artículo; el modo lo determina la evaluación jurídica y después se comprueba.

¿Un YouTube o un mapa incrustados exigen automáticamente un banner?

No de forma automática, y sí si la incrustación, antes del clic del usuario, ya escribe o lee información en el equipo terminal. Las cookies de YouTube en una incrustación son cookies de terceros y YouTube es su responsable del tratamiento, pero la prueba sigue siendo el almacenamiento, no la existencia del reproductor. Si el vídeo se carga solo a petición, en el primer segundo puede no haber nada que pedir; si el identificador sale al abrir la página, el consentimiento hacía falta antes.

¿Qué hago si ya tengo un banner y no estoy seguro de que funcione?

Pregunte primero si ese banner tenía que existir. Si en el inventario solo está la excepción, la barra puede sobrar y un «Aceptar» sobre ella es mala práctica. Si en el inventario hay analítica o marketing, el trabajo siguiente es comprobar si «Rechazar» detiene de verdad las etiquetas, y eso lo hemos descrito en el artículo sobre el banner. Una comprobación técnica con nosotros empieza a partir de 800 € y suele ocupar 1–4 semanas.

SERVICIO RELACIONADO
Auditoría de cookies

Auditoría de cookies que conduce al cumplimiento del RGPD y de ePrivacy — análisis completo de la configuración de cookies, banner CMP, Consent Mode v2.

Saber más →