El aviso de cookies: cuándo lo necesitas y cómo tiene que ser

En 20 segundos

Solo necesitas pedir permiso para las cookies que no hacen falta para que tu web funcione: las de estadísticas, las de publicidad y muchas de vídeos o mapas de otras empresas. Si las usas, el aviso tiene que salir antes de cargarlas y el botón de «Rechazar» tiene que verse igual que el de «Aceptar».

Cuando reviso la web de un negocio, lo primero que miro no es el diseño. Es qué pasa en el primer segundo: si sale un aviso de cookies, si se puede decir que no y si la web ya ha cargado cosas antes de preguntar.

De 74 negocios locales que revisé, 41 tenían algo que arreglar en esta parte legal. Casi nunca por mala fe. Normalmente la web la montó otra persona, se instaló un plugin y nadie volvió a mirarlo.

Qué es una cookie, en una frase

Es un pequeño archivo que la web deja en el móvil o el ordenador de quien la visita, para reconocerle después. Se parece al sello que te ponen en la mano a la entrada de un concierto: sirve para que, cuando vuelvas, sepan que ya estuviste.

¿Tu web necesita el aviso?

Depende de qué cookies use. La ley distingue entre dos tipos.

Las que no necesitan permiso son las imprescindibles para que la web haga lo que el visitante ha pedido: mantener la sesión iniciada, recordar lo que lleva en el carrito o proteger un formulario. Sin ellas la web no funcionaría.

Las que sí lo necesitan son todas las demás. Las más comunes en webs de negocios pequeños son tres:

• Estadísticas, como Google Analytics. La AEPD lo dice claro: las cookies de análisis requieren consentimiento.
• Publicidad, como el píxel de Meta o los anuncios de Google.
• Contenido de otras empresas metido en tu web, como vídeos o mapas, que pueden poner sus propias cookies.

Si tu web no usa nada de esto, no tienes que pedir permiso. Si usa aunque sea una, sí.

Cómo tiene que ser el aviso

La guía de la AEPD se actualizó en mayo de 2024 y es bastante concreta. Estas son las reglas que más se incumplen:

• Rechazar, tan fácil como aceptar. Si hay un botón de «Aceptar», tiene que haber otro de «Rechazar» en el mismo sitio. Esconderlo detrás de «Configurar» no vale.
• Primero se pregunta, después se carga. Las cookies que necesitan permiso no pueden instalarse antes de que la persona diga que sí.
• Seguir navegando no es decir que sí. Los avisos de «si continúas, aceptas» ya no sirven.
• Nada de muros. No se puede bloquear la web entera a quien rechaza, salvo que se le ofrezca una alternativa de verdad.
• El permiso caduca. Un sí no vale para siempre: la AEPD pide que no dure más de 24 meses.

Lo del botón de rechazar es lo que más veo mal. Es comprensible: quien instala el aviso quiere que la gente acepte. Pero la norma es justo esa, que decir que no cueste lo mismo que decir que sí.

Comprueba la tuya en cinco minutos

No hace falta saber de informática. Con el navegador Chrome:

1. Abre una ventana de incógnito, para empezar sin cookies guardadas.
2. Entra en tu web y no pulses nada del aviso, si sale.
3. Pulsa el icono que hay a la izquierda de la dirección y busca el apartado de cookies y datos de sitios.
4. Si ya aparecen cookies de Google Analytics, Meta, YouTube u otras empresas, tu web las está cargando antes de preguntar.

Si en el paso 4 solo aparecen cookies de tu propio dominio, o ninguna, vas bien. Si aparecen de otras empresas, habla con quien te lleva la web: normalmente es cuestión de configurar el aviso para que bloquee esas cookies hasta que el visitante acepte.

Quien vigila esto en España es la Agencia Española de Protección de Datos. Y aunque parezca un detalle técnico, es de las cosas más fáciles de comprobar desde fuera: cualquiera puede hacer la prueba de arriba en tu web.

Fuentes

• Ley 34/2002, de servicios de la sociedad de la información (LSSI), artículo 22.2 · ver la fuente
• AEPD, Guía sobre el uso de las cookies, mayo de 2024 · ver la fuente
• Revisión propia de 74 negocios locales

Esto no es asesoramiento legal. Es información general basada en la norma citada. Para tu caso concreto, consulta con un profesional.