La política de cookies es el documento que explica qué cookies usa una web, para qué y durante cuánto tiempo, y hace falta en cualquier página que use cookies que no sean estrictamente técnicas. Lo exige el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información (LSSI)[1]. El aviso que aparece al entrar en la web tiene que ofrecer un botón para rechazar con el mismo aspecto y al mismo nivel que el de aceptar, y las cookies analíticas o de publicidad solo pueden activarse después de que el usuario diga que sí, nunca antes, según la guía de la Agencia Española de Protección de Datos (AEPD), actualizada en mayo de 2024[2].
Esta guía es para quien tiene una web y quiere saber si su aviso de cookies cumple, no para copiar un texto. La política concreta depende de qué cookies usa cada web de verdad, y eso solo lo sabe quien la ha revisado. Lo que sí es igual para cualquier web es lo que pide la norma: qué tiene que decir el aviso, cómo tiene que verse el banner y qué pasa si falta.
Qué es la política de cookies y cuándo hace falta
Una cookie es un archivo pequeño que una web guarda en el navegador del usuario para recordar algo entre visitas: un idioma, un carrito de la compra o qué páginas ha visitado para mostrarle anuncios relacionados. El artículo 22.2 de la LSSI distingue, en la práctica, dos grupos[1]:
- Cookies técnicas
- Sin ellas la web no funciona: iniciar sesión, recordar el idioma o mantener el carrito de la compra. No piden consentimiento.
- Cookies no técnicas
- Analíticas, de publicidad, de redes sociales o de personalización. Necesitan que el usuario las acepte antes de activarse, sin excepción.
La política de cookies solo es obligatoria si la web usa alguna cookie del segundo grupo. Una web con únicamente cookies técnicas no necesita ni banner ni política, pero en la práctica casi ninguna se queda ahí: un contador de visitas con Google Analytics ya exige las dos cosas.
Cómo tiene que ser el aviso: el botón de rechazar
El error más repetido no está en el texto de la política, sino en el banner que aparece al entrar. La guía de la AEPD es explícita: la opción para rechazar las cookies debe ofrecerse en la misma capa y al mismo nivel que la opción para aceptarlas, con un mecanismo similar; si para aceptar hay un botón, para rechazar tiene que haber otro botón, no un enlace de texto pequeño escondido entre párrafos[2].
- ✓Botón de aceptar
- Visible, con un texto claro: «Aceptar cookies», «Aceptar» o similar.
- ✓Botón de rechazar
- Mismo tamaño, mismo contraste y mismo nivel que el de aceptar. No puede estar en un color que apenas se lea.
- ✓Acceso a configurar
- Un tercer botón o enlace que lleve directo al panel de preferencias, sin que el usuario tenga que buscarlo.
- Sin casillas premarcadas
- Ninguna opción puede venir aceptada de antemano. Guardar la configuración sin marcar nada equivale a rechazarlo todo.
Seguir navegando, cerrar el aviso con una X o no hacer nada no es aceptar: siguiendo las directrices del Comité Europeo de Protección de Datos, la AEPD descarta la inactividad como forma válida de consentimiento[2]. Si la web activa cookies analíticas antes de que el usuario pulse el botón, el consentimiento no es válido aunque el banner exista y esté bien escrito.
Qué tiene que decir, repartido en dos capas
La AEPD recomienda repartir la información en dos capas[2]. La primera es el propio banner: identifica quién es el editor de la web (si no se deduce ya del dominio), para qué se usan las cookies, si son propias o de terceros, y lleva un enlace claro a la segunda capa. La segunda capa es la página completa de política de cookies, con el detalle: qué cookies concretas se instalan, qué datos recogen, cuánto tiempo duran y qué terceros las gestionan.
Un error con el que se topa casi cualquier web con formulario de contacto o vídeos incrustados es mezclar la política de cookies con el aviso legal o con la de privacidad. Son tres documentos distintos, regulados por artículos distintos, y ninguno sustituye a los otros dos. Si tu web también publica PDF o vídeos, conviene revisar además la ley de accesibilidad web, otra obligación que se solapa en el tiempo con la de cookies.
Los otros dos errores que señala la AEPD
Además de esconder el botón de rechazar, la guía señala dos fallos más. El primero son los «muros de cookies»: webs que bloquean el acceso si no se aceptan todas las cookies, sin ofrecer ninguna alternativa. La guía de la AEPD permite bloquear el acceso cuando no se aceptan, pero exige informar de ello con claridad y ofrecer una alternativa real para usar el servicio sin aceptarlas; esa alternativa no tiene que ser gratuita, puede ser de pago, pero sí tiene que ser un servicio genuinamente equivalente y prestado por el propio editor, no por un tercero ajeno a la web[2].
El segundo es no facilitar cómo retirar el consentimiento después de haberlo dado. La norma exige que retirarlo sea tan fácil como darlo: si aceptar fue un clic en un botón, revocarlo tiene que ser igual de accesible, normalmente con un enlace permanente a un panel de configuración[2].
Qué sanciona la AEPD y cuánto
Usar cookies no técnicas sin haber informado u obtenido el consentimiento en los términos del artículo 22.2 está clasificado como infracción leve por el artículo 38.4.g de la LSSI, con una multa de hasta 30.000 euros según el artículo 39.1.c[1]. No hace falta una denuncia para que la AEPD abra expediente: puede partir de la reclamación de un usuario o de una inspección de oficio.
| Incumplimiento | Artículo LSSI | Multa |
|---|---|---|
| Usar cookies no técnicas sin informar ni obtener consentimiento (art. 22.2) | 38.4.g) y 39.1.c) | Hasta 30.000 € |
La multa de la LSSI no es la única consecuencia posible. Si el banner incumple y, además, las cookies tratan datos personales sin una base legal válida, el problema se duplica: a la sanción de la LSSI se puede sumar una infracción del Reglamento General de Protección de Datos por el tratamiento en sí, con un régimen sancionador propio y mucho más alto. Revisar el aviso de cookies es, de hecho, una de las comprobaciones más sencillas que entran en una revisión de una página web ya construida.
Dudas rápidas
¿Una web que solo usa cookies técnicas necesita política de cookies?
No, pero son pocas las que se quedan ahí. En cuanto hay una herramienta de analítica, un chat o un vídeo incrustado, ya hay cookies que necesitan consentimiento.
¿Vale con un botón que solo diga «Aceptar»?
No, si no hay un botón equivalente para rechazar. La AEPD exige que la opción de rechazar esté al mismo nivel y con un mecanismo similar al de aceptar, no un enlace de texto aparte.
¿Puedo bloquear el acceso a la web si no se aceptan las cookies?
Solo si ofreces una alternativa real para usar el servicio sin aceptarlas. Un muro de cookies sin alternativa no cumple con las directrices que sigue la AEPD.
Fuentes
[1] Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE). Texto consolidado del BOE, artículos 22.2, 38.4.g y 39.1.c, consultado el 29 de octubre de 2026. LSSI-CE en el BOE
[2] Agencia Española de Protección de Datos (AEPD). Guía sobre el uso de las cookies, actualizada en mayo de 2024, apartados 3.1.2 y 3.2, consultada el 29 de octubre de 2026. Guía sobre el uso de las cookies, AEPD
¿Tu banner de cookies lo configuraste una vez y no lo has vuelto a mirar?
Cuéntanos qué tiene hoy tu web, y revisamos contigo si el aviso, la política y el botón de rechazar cumplen lo que pide la AEPD.