La guía de cookies de la AEPD de España: lo que deben saber los publishers
Por qué España merece un análisis aparte
España es una de las mayores audiencias para los publishers en español de todo el mundo, y su autoridad de protección de datos, la Agencia Española de Protección de Datos (AEPD), es uno de los reguladores más activos de Europa. Como todos los países de la UE, España aplica el RGPD, pero la norma sobre cookies procede de la legislación nacional que transpone la Directiva ePrivacy. Para los publishers, las orientaciones de la AEPD sobre cookies son la referencia más práctica de cómo se interpretan esas normas en España.
Este artículo resume lo que esas orientaciones significan para un sitio o una app típicos financiados con publicidad. Es un resumen práctico, no asesoramiento jurídico.
La base jurídica: artículo 22.2 de la LSSI
La norma sobre cookies en España se encuentra en el artículo 22.2 de la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico, conocida como LSSI. Exige que el almacenamiento de información en el dispositivo de un usuario, o el acceso a ella, se base en un consentimiento otorgado tras recibir información clara y completa, con una excepción para el almacenamiento estrictamente necesario para un servicio solicitado expresamente por el usuario o para transmitir una comunicación.
Cuando las cookies se usan para tratar datos personales, también se aplican el RGPD y la Ley Orgánica 3/2018 de España (LOPDGDD), y por eso la AEPD es la autoridad con la que tratan los publishers en materia de cookies.
La guía de cookies de la AEPD
La AEPD publica una Guía sobre el uso de las cookies, elaborada junto con asociaciones del sector. Se actualizó en julio de 2023 para alinearla con el trabajo del Comité Europeo de Protección de Datos sobre los banners de cookies y los patrones de diseño engañosos, y se dio a las organizaciones hasta enero de 2024 para adaptarse. A continuación se resumen los puntos principales relevantes para los publishers.
Misma prominencia para rechazar
La guía actualizada espera que, si la primera capa del banner contiene un botón para aceptar las cookies, ofrezca también una forma equivalente de rechazarlas, presentada al mismo nivel y con una visibilidad similar. Una opción de rechazo escondida tras un enlace de “configuración” no es equivalente.
Sin consentimiento por navegar
Hacer scroll, seguir navegando o cerrar el banner no cuentan como consentimiento. El usuario debe realizar una acción afirmativa clara.
Información clara por capas
La guía acepta un enfoque por capas: una primera capa breve que identifique al publisher, los propósitos, si participan terceros y cómo aceptar, rechazar o configurar; y una segunda capa con información detallada sobre cada cookie, las partes implicadas y la conservación.
Elecciones granulares
Los usuarios deben poder elegir por propósito y, cuando resulte útil, por tercero, en lugar de enfrentarse a un único interruptor de todo o nada.
Retirada
Los usuarios deben poder retirar el consentimiento en cualquier momento, con la misma facilidad con que lo dieron. Un enlace o icono persistente que vuelva a abrir los ajustes es la solución habitual.
Duración del consentimiento
La guía recomienda que el consentimiento se renueve periódicamente y sugiere una validez máxima de 24 meses, de modo que se vuelva a preguntar a los usuarios en lugar de conservar una elección indefinidamente.
Acceso condicionado a las cookies
La guía analiza los casos en que el acceso a un servicio se condiciona a aceptar las cookies. Indica que esto puede ser aceptable en algunas circunstancias, por ejemplo cuando se ofrece al usuario una alternativa real para acceder al contenido sin aceptar cookies, que no tiene por qué ser gratuita. Dada la opinión separada del CEPD sobre los modelos de “consentir o pagar” para las grandes plataformas, los publishers que se planteen este enfoque deberían buscar asesoramiento jurídico específico.
Qué significa esto en la práctica
Para la mayoría de los publishers que ya usan un CMP basado en TCF en la UE, España exige pocos cambios estructurales. Los puntos que más a menudo requieren atención son:
- Rechazo en la primera capa. Si tu banner para la UE sigue usando solo “Aceptar” más “Gestionar opciones”, el tráfico español es un motivo para añadir un botón de rechazo visible.
- Textos en español. Los propósitos y las descripciones de terceros deben estar en español claro para los usuarios de España, no en fragmentos traducidos automáticamente mezclados con nombres de proveedores en inglés.
- Calendario de nueva solicitud. Comprueba que tu CMP renueva el consentimiento dentro del periodo que hayas elegido y que los cambios en proveedores o propósitos activan una nueva solicitud.
- Política de cookies. Mantén la información de la segunda capa y tu política de cookies coherentes con lo que realmente se ejecuta en el sitio.
- Carga previa al consentimiento. Asegúrate de que no se instala ninguna cookie de publicidad o analítica antes de que el usuario decida. Sigue siendo el hallazgo más común en las investigaciones sobre cookies en todas partes.
Contexto de aplicación
La AEPD publica regularmente sus resoluciones, y entre ellas aparecen casos de cookies, que a menudo implican banners sin una opción real de rechazo o cookies instaladas antes de cualquier elección. Los importes y los resultados varían según el caso, así que la lección útil es el patrón de los hallazgos más que cualquier cifra: las opciones de rechazo ausentes, el rastreo previo al consentimiento y la información poco clara son los problemas que aparecen una y otra vez.
Una checklist de banner lista para España
- Aceptar y rechazar ofrecidos al mismo nivel en la primera capa.
- Ninguna cookie más allá de las estrictamente necesarias antes de una elección.
- Resumen claro de la primera capa en español, con un enlace a los detalles.
- Controles granulares por propósito en la segunda capa.
- Retirada disponible desde cada página.
- Consentimiento renovado dentro de un periodo definido, recomendado como máximo de 24 meses.
- Política de cookies alineada con las etiquetas que realmente se cargan.
Puntos clave
- La norma española sobre cookies es el artículo 22.2 de la LSSI; la AEPD la hace cumplir junto con el RGPD.
- La guía de la AEPD, actualizada en julio de 2023, espera que rechazar sea tan fácil como aceptar en la primera capa.
- Navegar o cerrar el banner no es consentimiento.
- La guía recomienda renovar el consentimiento al menos cada 24 meses.
- Los modelos de acceso condicionado requieren una revisión jurídica cuidadosa, caso por caso.