¿Necesitas un banner de cookies? Normas de consentimiento por región

Sigue estos pasos con las herramientas para desarrolladores del navegador abiertas en una ventana privada nueva:

1. Enumera cada cookie y elemento de almacenamiento que instala tu web, y cada solicitud a terceros que hace antes de que hagas clic en nada.
2. Clasifica cada uno: estrictamente necesario, preferencias, analítica, publicidad o contenido insertado.
3. Comprueba dónde están tus visitantes. Si tienes visitantes de la UE o el Reino Unido, las normas de consentimiento se aplican a los elementos no exentos. Si solo atiendes a EE. UU., céntrate en los derechos de exclusión y en la información.
4. Aplica las exenciones con honestidad. En el Reino Unido, comprueba las condiciones estadística y de apariencia. En los países de la UE, consulta las orientaciones nacionales sobre analítica.
5. Decide. Si queda algo no exento para visitantes de la UE o el Reino Unido, necesitas un banner de consentimiento que lo bloquee hasta que la gente acepte.
6. Actualiza la política de privacidad para que describa las cookies, el comportamiento del consentimiento y cómo cambiar las preferencias.

Si la lista es corta, plantéate quitar herramientas en lugar de añadir un banner. Alojar tú mismo las fuentes, usar contenido insertado de clic para cargar y eliminar los píxeles que no usas puede dejarte solo con cookies esenciales. Para la política en sí, consulta cómo crear la política de privacidad de una web.

La exención de las cookies estrictamente necesarias es más estrecha de lo que afirman muchos banners. Pregúntate si el servicio que pidió el usuario dejaría de funcionar sin la cookie, desde el punto de vista del usuario, no del negocio.

Normalmente exentas:

• Cookies de sesión que mantienen a alguien con la sesión iniciada o recuerdan un carrito de la compra.
• Cookies de seguridad que evitan el fraude o protegen los formularios de inicio de sesión.
• Cookies de equilibrio de carga que distribuyen las solicitudes.
• Una cookie que recuerda la decisión de consentimiento del visitante.
• Preferencias que el usuario ha configurado activamente para el servicio actual, como el idioma, según la interpretación de algunos reguladores.

Normalmente no exentas:

• Píxeles publicitarios, de retargeting y de redes sociales.
• La mayoría de la analítica de terceros.
• Vídeos y publicaciones sociales insertados que instalan sus propias cookies.
• Herramientas de pruebas A/B y de personalización.

Algunos reguladores reconocen un término medio limitado. La CNIL francesa, por ejemplo, acepta que la medición de audiencia pueda estar exenta cuando se limita estrictamente a medir el sitio para el editor, produce estadísticas anónimas y no rastrea a las personas entre sitios, con condiciones sobre la vida útil de las cookies y la conservación de los datos. Consulta las orientaciones de cada país al que te diriges antes de apoyarte en una exención así.

Si necesitas consentimiento, el banner tiene que recogerlo correctamente. Los reguladores europeos han sido claros sobre los fallos habituales. El informe del grupo de trabajo sobre banners de cookies del Comité Europeo de Protección de Datos concluyó que la mayoría de las autoridades consideran una infracción un banner sin opción de rechazo en la misma capa que la opción de aceptar, y criticó los diseños de botones engañosos y las cookies etiquetadas erróneamente como esenciales.

Una lista práctica:

• Bloquear antes del consentimiento: las cookies y scripts no esenciales no deben cargarse hasta que el visitante acepte.
• Rechazar tan fácil como aceptar: ofrece un botón de rechazar junto al de aceptar en la primera capa.
• Sin casillas premarcadas: las categorías empiezan desactivadas.
• Opciones granulares: permite aceptar la analítica sin aceptar la publicidad.
• Información clara: nombra las finalidades y los terceros implicados, y enlaza a tu política de privacidad.
• Retirada sencilla: un enlace permanente como Configuración de cookies permite cambiar de opinión con la misma facilidad con que se dio el consentimiento.
• Registros: conserva pruebas del consentimiento cuando te apoyes en él.

Las orientaciones europeas también dicen que los muros de cookies, que bloquean el acceso salvo que se acepte, por lo general no producen un consentimiento válido. Un banner que solo dice «al usar este sitio aceptas las cookies» falla en casi todos los puntos de esta lista.

La norma de la UE procede del artículo 5(3) de la Directiva sobre la privacidad y las comunicaciones electrónicas (Directiva ePrivacy), no del propio RGPD. Establece que almacenar información, o acceder a información ya almacenada, en el dispositivo de un usuario solo está permitido si el usuario ha dado su consentimiento tras recibir información clara y completa. Cada país de la UE transpone la directiva a su propia legislación, así que los detalles varían ligeramente.

Hay dos exenciones:

1. El almacenamiento o el acceso cuya única finalidad sea efectuar la transmisión de una comunicación a través de una red.
2. El almacenamiento o el acceso estrictamente necesario para que el proveedor preste un servicio que el usuario ha solicitado expresamente.

Tres puntos sorprenden a muchos titulares de webs:

• No son solo las cookies. El almacenamiento local, los píxeles, los SDK y las técnicas de huella digital del dispositivo pueden quedar todos sujetos a la norma.
• Se aplica tanto si los datos son personales como si no. El desencadenante es el acceso al dispositivo.
• El consentimiento sigue el estándar del RGPD. Debe ser libre, específico, informado e inequívoco, y prestarse mediante una clara acción afirmativa. En el asunto Planet49, el Tribunal de Justicia de la UE declaró que una casilla premarcada no genera un consentimiento válido.

A menudo sí, pero las normas británicas han cambiado. El equivalente británico de la norma ePrivacy es el reglamento 6 de las Privacy and Electronic Communications Regulations (PECR). La Data (Use and Access) Act 2025 lo modificó, y las disposiciones pertinentes entraron en vigor el 5 de febrero de 2026.

Las orientaciones de la ICO describen ahora cinco excepciones al requisito de consentimiento:

1. Comunicación: únicamente para transmitir una comunicación.
2. Estrictamente necesario: imprescindible para prestar el servicio que solicita el usuario.
3. Fines estadísticos: únicamente para recoger información estadística sobre cómo se usa tu servicio, con el fin de mejorarlo.
4. Apariencia: únicamente para adaptar la apariencia o la funcionalidad del servicio a las preferencias del usuario.
5. Asistencia de emergencia: únicamente para localizar un dispositivo con el fin de prestar ayuda de emergencia.

Las excepciones estadística y de apariencia tienen condiciones. Debes ofrecer información clara y completa y una forma sencilla y gratuita de oponerse. Para la analítica, la ICO dice que los datos deben estar agregados, no deben usarse para rastrear o perfilar a las personas ni con fines publicitarios, y cualquier proveedor externo solo puede actuar por cuenta tuya, no usar los datos para sus propios fines. La publicidad online nunca cumple los requisitos. Así que una web británica que solo use analítica propia y agregada puede evitar la solicitud de consentimiento, pero la mayoría de las configuraciones publicitarias siguen necesitándola.

No existe en EE. UU. una ley general que exija consentimiento previo antes de instalar cookies. El modelo estadounidense se centra en el aviso y la exclusión, así que un banner al estilo europeo a menudo no es obligatorio por ley, aunque muchas empresas estadounidenses usan uno para gestionar las preferencias.

Lo que sí esperan las leyes de EE. UU.:

• CCPA de California: las empresas que superan sus umbrales y venden o comparten información personal, también para publicidad conductual entre contextos, deben ofrecer una opción de exclusión, normalmente un enlace Do Not Sell or Share My Personal Information, y deben respetar las señales de preferencia de exclusión como Global Privacy Control.
• Otras leyes estatales de privacidad: muchas dan a los consumidores el derecho a excluirse de la publicidad dirigida, y varias exigen respetar mecanismos universales de exclusión. Algunas exigen consentimiento previo para los datos sensibles.
• CalOPPA: exige que tu política de privacidad indique cómo respondes a las señales Do Not Track y si terceros pueden recoger información sobre las actividades online de los visitantes entre sitios a lo largo del tiempo.
• COPPA: los sitios dirigidos a menores de 13 años suelen necesitar un consentimiento parental verificable antes de recoger identificadores persistentes para publicidad conductual.

Consulta el resumen de las leyes estatales de privacidad de EE. UU. para saber qué estados se aplican y en qué difieren sus normas de exclusión.

Google añade requisitos contractuales a los de la ley. Su política de consentimiento de usuarios de la UE se aplica a los usuarios finales del Espacio Económico Europeo, el Reino Unido y Suiza. Si usas productos de Google como Google Analytics, Google Ads o AdSense, debes obtener un consentimiento legalmente válido para las cookies u otro almacenamiento local cuando la ley lo exija, y para la recogida, la comunicación y el uso de datos personales para la personalización de anuncios. También debes conservar registros del consentimiento, dar instrucciones claras para revocarlo e identificar a cada parte que pueda recoger, recibir o usar datos personales.

Dos consecuencias prácticas:

• Editores: Google exige a los editores que usan AdSense, Ad Manager o AdMob utilizar una plataforma de gestión del consentimiento certificada por Google cuando muestran anuncios a usuarios del EEE y el Reino Unido.
• Anunciantes y usuarios de analítica: el modo de consentimiento de Google permite que tu banner transmita a las etiquetas de Google los estados de consentimiento para almacenamiento, datos de usuario para anuncios y personalización de anuncios, y las etiquetas ajustan su comportamiento en consecuencia.

Describe en tu política de privacidad lo que implementes. La guía de política de privacidad para Google Analytics y la información de privacidad sobre analítica explican los textos relacionados de la política.

Sí, en la mayoría de los casos, porque cumplen funciones distintas. El banner recoge o registra decisiones en el momento en que alguien llega. La política de privacidad explica tu tratamiento al completo: qué recoge cada herramienta, por qué, quién lo recibe, cuánto tiempo se conserva y cómo puede la gente cambiar de opinión.

Ambos deben coincidir. Si tu política dice que la analítica solo se ejecuta tras el consentimiento, el banner debe bloquearla de verdad hasta entonces. Si las etiquetas se disparan antes de que haya una decisión, tu política no debe afirmar lo contrario.

Legal Policy Generator redacta la parte de la política, no el banner. No ofrece un banner de cookies ni una herramienta de gestión del consentimiento. Su cuestionario pregunta qué tecnologías de seguimiento usas, si el seguimiento no esencial empieza solo tras el consentimiento o antes del consentimiento con opción de exclusión, y cómo pueden las personas cambiar sus preferencias; después selecciona las cláusulas correspondientes para las regiones que atiendes. Puedes empezar con el generador de política de privacidad y combinar el resultado con la herramienta de consentimiento que prefieras.

Si además quieres un documento de cookies aparte, lee política de privacidad vs. política de cookies para decidir si aporta valor a tu web.