Modelos de pago o consentimiento en 2026: Orientaciones del EDPB para editores
Durante dos años, los editores europeos se han apoyado en la misma respuesta cuando las tasas de consentimiento del GDPR se desplomaron: ofrecer a los usuarios una elección entre aceptar el seguimiento o pagar una suscripción. El modelo de pago o consentimiento — a veces denominado consent-or-pay o cookie paywall — prometía una forma de mantener vivos los modelos de negocio financiados por publicidad cumpliendo al mismo tiempo el requisito del GDPR de que el consentimiento sea otorgado libremente. En 2026, ese compromiso está sometido a una seria presión legal. El Comité Europeo de Protección de Datos EDPB, el Garante italiano, el DSK alemán y el Datatilsynet noruego han tomado posición, y el Tribunal de Justicia de la Unión Europea tiene la cuestión en su docket. Esta guía explica dónde se encuentra hoy el derecho y qué pueden hacer los editores para mantener en funcionamiento un flujo de pago o consentimiento conforme.
Qué significa el pago o consentimiento en la práctica
Un banner de pago o consentimiento presenta al usuario dos opciones en la primera visita. La primera es aceptar el seguimiento y el tratamiento para publicidad conductual a cambio de acceso gratuito al contenido. La segunda es pagar una cuota recurrente — normalmente mensual — a cambio de una versión sin anuncios o sin seguimiento del mismo contenido. Rechazar ambas opciones bloquea completamente el acceso. Meta, Le Monde, Der Spiegel, Bild y decenas de editores europeos de nivel medio han lanzado variantes de este diseño desde 2023.
La teoría jurídica sostiene que el consentimiento sigue siendo libremente otorgado porque el usuario tiene una alternativa genuina: puede pagar en lugar de consentir. La teoría contraria, que los reguladores han respaldado cada vez más, es que esto solo funciona si la alternativa de pago es un equivalente real y proporcional — y muchas implementaciones no superan esa prueba.
La Opinión del EDPB de abril de 2024 y lo que siguió
El punto de partida para cualquier análisis de 2026 es la Opinion 08/2024 del EDPB, adoptada en abril de 2024 en respuesta a una solicitud de las autoridades supervisoras holandesa, noruega y de Hamburgo. La Opinión se refiere específicamente a las plataformas en línea muy grandes, pero su razonamiento se aplica ahora ampliamente a los editores.
El EDPB concluyó que, en la mayoría de los casos, las grandes plataformas no pueden apoyarse en un diseño binario de pago o consentimiento para obtener un consentimiento válido en virtud del GDPR. Tres conclusiones del EDPB son las más importantes para los editores:
- Una elección binaria rara vez es suficiente. Cuando la alternativa al consentimiento es una suscripción de pago que es la única otra opción, el consentimiento generalmente no será libremente otorgado. Los responsables del tratamiento deben considerar ofrecer una tercera opción que no implique ningún pago ni seguimiento conductual — como un nivel de publicidad contextual.
- La cuota no debe ser disuasoria. Si el precio se fija tan alto que los usuarios se sienten funcionalmente obligados a consentir, la elección es ilusoria. Los reguladores pueden comparar la cuota con el ARPU propio del editor entre los usuarios que consienten.
- El alcance del tratamiento debe ser limitado. Incluso cuando se otorga consentimiento, no puede cubrir legalmente tratamientos no relacionados, como compartir datos con cientos de proveedores terceros. Cada finalidad de tratamiento sigue requiriendo su propia base jurídica válida.
Posición de las DPA nacionales en 2026
Italia — Garante
La autoridad de protección de datos italiana ha sido la más activa en materia de enforcement. En sus directrices de 2024 y una serie de decisiones de 2025, el Garante exigió que los editores ofrezcan una tercera opción sin seguimiento y sin pago, con las reglas precisas dependiendo del tamaño y posición en el mercado del editor. Los banners puramente binarios en sitios de habla italiana ahora se tratan como presumiblemente no conformes.
Alemania — DSK
La conferencia alemana de autoridades de protección de datos publicó un documento de posición a finales de 2024 que se alineaba con el EDPB, pero se detuvo ante una prohibición total. El DSK exige que la alternativa sea "apropiada" — es decir, que el nivel de pago debe ofrecer un acceso comparable al contenido, el precio debe ser objetivamente justificable, y cualquier alternativa gratuita ofrecida debe ser genuinamente utilizable. Varios Landesdatenschutzbeauftragte han abierto desde entonces investigaciones sobre editores concretos.
Noruega — Datatilsynet
Noruega adoptó la línea más dura. En una declaración de 2025, el Datatilsynet afirmó que para la mayoría de los editores de interés general, ningún diseño de pago o consentimiento producirá un consentimiento válido en virtud del GDPR. Los editores noruegos recurren cada vez más a la publicidad contextual o a flujos híbridos de publicidad contextual más consentimiento.
Francia — CNIL
La posición de la CNIL es más pragmática, pero está evolucionando. Francia permite el pago o consentimiento en principio, pero publicó en 2025 criterios que cubren la razonabilidad del precio, el alcance del seguimiento bajo la opción de consentimiento y si el rechazo resulta genuinamente en acceso continuado a través de canales alternativos.
Cómo es una implementación conforme en 2026
El pago o consentimiento no ha muerto, pero sobrevive solo cuando se diseña con cuidado. Los editores que quieran mantener este flujo activo deben evaluar cuatro dimensiones de diseño.
Añadir una tercera opción
El cambio más importante desde la Opinión del EDPB es la incorporación de una tercera opción: acceso gratuito con publicidad contextual y sin seguimiento conductual. Esta tercera opción no tiene que ser la predeterminada — puede estar a un clic más profundo que "Aceptar" y "Suscribirse" — pero su existencia transforma la posición jurídica del banner. Varios grandes editores alemanes e italianos han implementado este patrón a lo largo de 2025.
Justificar el precio
Documente cómo se estableció el precio de la suscripción. Compárelo con el ARPU propio del editor entre usuarios que consienten, con productos de suscripción comparables en el mercado y con el coste marginal de servir tráfico no rastreado. Un precio que sea varios múltiplos del ARPU de los usuarios que consienten es el camino más rápido hacia una decisión regulatoria en su contra.
Acotar el alcance del consentimiento
Audite en qué consienten realmente los usuarios bajo la ruta "Aceptar". La Opinión del EDPB es explícita en que el consentimiento no puede agrupar finalidades no relacionadas. Si su cadena TCF lista 300 proveedores y una docena de finalidades no relacionadas, el consentimiento es vulnerable antes incluso de llegar a la cuestión del pago o consentimiento. Reduzca la lista de proveedores, separe las finalidades donde sea posible y presente controles granulares en lugar de un único botón de Aceptar todo.
Garantizar la revocación fácil
Haga que la retirada del consentimiento sea tan fácil como su concesión original. Tanto la CNIL como el Garante han sancionado a editores cuyos flujos de cancelación de suscripción eran materialmente más difíciles que el registro original. La misma lógica se aplica ahora al consentimiento: el camino para revocar debe ser localizable, sin fricciones y completo.
Qué observar durante 2026
Dos desarrollos pendientes remodelarán este ámbito antes de fin de año. El primero es la pendiente decisión del Tribunal de Justicia de la Unión Europea ECJ en el caso de pago o consentimiento de Meta (remitido por el DSB austriaco), que emitirá el primer pronunciamiento vinculante a nivel europeo sobre la legalidad del modelo. El segundo es la revisión de la Comisión Europea sobre la interacción del GDPR con la Ley de Mercados Digitales DMA y la Ley de Servicios Digitales DSA, que examina si las plataformas en línea muy grandes deberían afrontar normas más estrictas que los editores más pequeños — una posición que el EDPB ha insinuado pero no establecido formalmente.
Hasta que esas decisiones lleguen, la postura más segura para los editores es la que los reguladores ya han telegrafíado: ofrezca una tercera opción sin seguimiento, mantenga precios objetivamente justificables, acote el alcance del consentimiento a finalidades genuinamente relacionadas y haga que la revocación sea tan fácil como la concesión original. Los editores que lo hagan bien en los cuatro aspectos mantendrán sus flujos de pago o consentimiento activos; el resto será cada vez más probable que se enfrente a medidas coercitivas.