Ley de cookies en España: cómo cumplirla sin quedarte ciego en analítica
Qué exige la AEPD en 2026 sobre cookies, los errores que más se sancionan y cómo configurar el consentimiento sin perder los datos que necesitas para decidir.
Casi todas las webs de pyme que auditamos tienen el mismo problema: cargan Google Analytics y el píxel de Facebook en cuanto abres la página, y el aviso de cookies aparece cuando el seguimiento ya lleva medio segundo funcionando. Eso no es un detalle técnico. Es exactamente el supuesto que la Agencia Española de Protección de Datos sanciona.
Qué dice la norma, en corto
El artículo 22.2 de la LSSI exige el consentimiento del usuario antes de instalar cualquier cookie que no sea estrictamente necesaria para prestar el servicio. El RGPD añade que ese consentimiento debe ser libre, específico, informado e inequívoco, y que retirarlo tiene que ser tan fácil como darlo.
Traducido a la práctica, significa cuatro cosas:
- Ninguna cookie de analítica o publicidad puede instalarse antes de que el usuario acepte.
- Rechazar debe estar en la primera pantalla, con la misma visibilidad que aceptar.
- Seguir navegando no equivale a consentir.
- El usuario debe poder cambiar de opinión en cualquier momento sin buscar durante cinco minutos.
Los cuatro errores que más se sancionan
1. Cargar los scripts antes del consentimiento
Es el más frecuente y el más fácil de detectar: basta con abrir las herramientas de desarrollador y ver qué peticiones salen antes de tocar el banner. Si aparece google-analytics.com o connect.facebook.net, el incumplimiento está probado.
2. El botón de rechazar escondido
Un «Aceptar» grande y de color frente a un «Configurar» en gris pequeño es un patrón oscuro. La AEPD lo considera consentimiento no libre. Ambas opciones deben estar en la primera capa y tener un peso visual equivalente.
3. El muro de cookies
Impedir el acceso a quien rechaza sólo es admisible en supuestos muy concretos y siempre ofreciendo una alternativa equivalente. En una web corporativa o una tienda, no se sostiene.
4. Una política de cookies genérica
Copiar la de otra web y cambiar el nombre no sirve. Hay que listar las cookies reales, su titular, su finalidad y su duración, y actualizarlo cuando cambias de herramienta.
«Si todos rechazan, me quedo sin datos»
Es la objeción razonable. En España las tasas de aceptación con un banner correcto suelen situarse entre el 55 % y el 75 %, según el sector. Pierdes visibilidad, sí, pero hay tres formas de compensarlo sin incumplir.
Consent Mode y modelado de conversiones
El modo de consentimiento de Google permite enviar señales sin cookies cuando el usuario rechaza, y estimar estadísticamente las conversiones no observadas. No es magia: necesita un volumen mínimo de tráfico para modelar con fiabilidad, pero recupera buena parte de la lectura agregada.
Analítica sin cookies
Herramientas como Plausible, Fathom o Matomo en configuración anónima miden visitas sin identificadores persistentes. Al no requerir consentimiento, te dan el 100 % del tráfico. Pierdes el análisis de usuario recurrente, pero para decidir qué contenidos funcionan es más que suficiente.
Seguimiento del lado del servidor
Registrar en tu propia base de datos los eventos que de verdad importan —formularios enviados, pedidos completados, presupuestos solicitados— no depende de ninguna cookie de terceros. Es el dato más fiable que vas a tener y muchas empresas no lo aprovechan.
La combinación que recomendamos
Para la mayoría de las pymes funciona así: analítica sin cookies como base para tener el 100 % del tráfico, Google Analytics con Consent Mode para quien acepta, y registro en servidor de las conversiones reales. Con eso cumples la norma y tienes mejores datos que la mayoría de quienes no la cumplen.
Cómo comprobar si tu web cumple hoy
- Abre tu web en una ventana de incógnito.
- Antes de tocar el banner, abre las herramientas de desarrollador y revisa la pestaña de red.
- Busca peticiones a dominios de Google, Meta, TikTok, LinkedIn o herramientas de mapas de calor.
- Mira también las cookies ya instaladas en la pestaña de almacenamiento.
Si hay algo distinto de la cookie de sesión de tu propio dominio y la del propio consentimiento, tienes trabajo pendiente. La buena noticia es que resolverlo es cuestión de horas, no de semanas, y elimina un riesgo que puede costar bastante más que arreglarlo.