El banner de cookies es lo primero que ve cualquier visitante de la web de tu despacho, y también lo primero que revisa la Agencia Española de Protección de Datos cuando abre un expediente. Desde julio de 2023 exige que aceptar y rechazar pesen igual, sin casillas premarcadas ni colores que empujen al clic fácil. Sirve tanto si lo configuras tú como si se lo dejas a quien te lleva la web: conviene saber qué categorías distingue la norma, qué cookies puedes activar sin pedir permiso y qué pasa si el aviso falla.
Un banner de cookies cumple si el botón de rechazar pesa igual que el de aceptar, sin casillas premarcadas, y si solo activa cookies no técnicas cuando el usuario da su consentimiento expreso. La AEPD exige este diseño desde enero de 2024 y la LSSI sanciona incumplirlo con multas de hasta 30.000 euros por infracción.
Categorías del banner de cookies que exige la AEPD
La guía distingue cuatro grupos y solo uno queda fuera del consentimiento previo. El resto necesita que el usuario elija, categoría por categoría, no con un único «aceptar todo» disfrazado de obligatorio:
- Técnicas o necesarias: mantienen la sesión, el idioma o el formulario de contacto.
- Preferencias: recuerdan una elección, como el modo oscuro o que ya se cerró el aviso.
- Análisis: miden visitas y comportamiento, propio o de terceros.
- Publicidad: alimentan remarketing, redes sociales o medición de campañas.
| Categoría | Consentimiento previo | Ejemplo en tu web | Conservación orientativa |
|---|---|---|---|
| Técnicas o necesarias | No | Cookie de sesión del formulario de contacto | Se borra al cerrar el navegador |
| Preferencias | Sí | Recordar que ya se cerró el aviso de cookies | Hasta 12 meses |
| Análisis propio, sin ceder datos | Solo si cumple las condiciones de excepción | Estadística agregada en un panel alojado en tu servidor | Hasta 14 meses |
| Análisis de terceros | Sí | Medición de visitas con Google Analytics 4 | Hasta 24 meses |
| Publicidad y redes sociales | Sí, con casilla propia | Píxel de remarketing o botón de compartir en LinkedIn | Entre 12 y 24 meses |
Cookies técnicas que no piden permiso
Son las únicas que la web de tu despacho puede activar sin esperar respuesta: la cookie de sesión que mantiene abierto el formulario de contacto mientras el usuario escribe, la que recuerda el idioma elegido o la que protege el envío del formulario frente a ataques (token CSRF). También entra aquí el balanceo de carga del servidor, si el hosting lo usa. La condición es estricta: técnica significa imprescindible para el servicio que el usuario ha pedido, no cómoda para medir su visita. Un chat en vivo cuenta como técnica mientras solo recuerde la conversación abierta; en el momento en que envía datos a un proveedor externo para analizar la conversación, pasa a necesitar consentimiento como cualquier cookie de análisis o publicidad.
Simetría obligatoria entre aceptar y rechazar
La actualización de la guía de la AEPD de julio de 2023, con plazo de adaptación hasta el 11 de enero de 2024, incorporó las directrices del Comité Europeo de Protección de Datos sobre patrones engañosos. Desde entonces, aceptar y rechazar deben aparecer en el mismo nivel, con el mismo formato, sin que uno destaque en color y el otro se difumine en gris. Un banner con «Aceptar todo» en un botón verde grande y «Configurar» en un enlace diminuto no cumple, aunque técnicamente ofrezca las dos opciones. Tampoco vale obligar a entrar en un segundo panel solo para rechazar cuando aceptar se resuelve con un clic. Conviene revisar el banner que trae el tema o el plugin de tu WordPress: muchos siguen con el diseño anterior a 2023.
Un gestor de consentimiento, o CMP por sus siglas en inglés, es el script que bloquea las cookies no técnicas hasta que el usuario decide, guarda esa elección y solo vuelve a preguntar si cambian las categorías activas en la web.
Casillas premarcadas, el fallo más repetido
El error que más se repite en las webs de despachos no es la falta de banner, sino que llega con las casillas de análisis o publicidad ya marcadas al abrirlo. Eso no es consentimiento: la norma exige activar cada categoría, no desactivarla cuando la cookie ya está instalada. El mismo problema aparece con los widgets incrustados: un mapa de Google Maps, un vídeo de YouTube o un botón de compartir en redes sociales cargan sus propias cookies de terceros en cuanto la página termina de pintarse, antes de que nadie haya tocado el banner. Si tu despacho usa un mapa de calor para ver por dónde navegan los visitantes, la misma regla aplica: necesita el mismo permiso previo que cualquier cookie de análisis. Verificarlo es sencillo: abrir la web en una pestaña de incógnito, mirar las cookies instaladas antes de pulsar nada y comprobar que solo aparecen las técnicas.
La excepción para cookies analíticas propias
La guía admite un caso, muy estrecho, en el que el análisis no pide consentimiento: cuando la propia web mide solo estadísticas agregadas, sin ceder datos a terceros ni cruzarlos con otras webs del mismo visitante. En la práctica esto excluye a Google Analytics tal y como se usa por defecto, porque los datos viajan a servidores de Google y se combinan con otras señales del usuario. Herramientas propias, alojadas en el servidor del despacho y sin compartir nada fuera, sí pueden entrar en la excepción si además limitan la conservación y ofrecen darse de baja.
Condiciones para no pedir consentimiento
Para que una cookie de análisis quede exenta hace falta que se cumplan varias condiciones a la vez, no basta con una. Primero, que los datos se queden en el servidor del despacho o de un encargado que no los use para nada más. Segundo, que no identifiquen al usuario entre sesiones ni lo crucen con otras webs. Tercero, que el resultado sean cifras agregadas, número de visitas, páginas más leídas, y no un perfil individual. Y cuarto, que exista una forma sencilla de excluirse de la medición. Si tu despacho usa Google Analytics 4 con Consent Mode v2, la propia herramienta ya asume que hace falta consentimiento previo para cargar sus cookies: es la señal de que, tal y como está montada por defecto, no entra en la excepción y necesita pasar por el banner como cualquier otra cookie de publicidad o análisis de terceros.
Multas de la LSSI si el aviso falla
La obligación de pedir consentimiento antes de instalar cookies no técnicas no viene del RGPD sino del artículo 22.2 de la Ley de Servicios de la Sociedad de la Información, que exige informar con claridad de la finalidad de cada cookie y obtener el consentimiento previo del usuario. Instalarlas sin ese consentimiento está tipificado como infracción leve, sancionable con multa de hasta 30.000 euros por los artículos 38 y 39 de la misma ley. Si además identifican al usuario, la AEPD puede acumular expediente por el RGPD, con importes muy superiores. Coordinar el banner con la política de privacidad de tu despacho evita que un documento diga una cosa y el otro haga otra: el aviso de cookies informa de qué se instala y cuándo, la política explica qué se hace después con esos datos.
Responsable de instalar el banner de cookies
El cliente decide qué categorías activa su web y qué texto explica cada una, pero bloquear cada cookie hasta que el usuario responde depende de quien mantiene el WordPress del despacho. La mayoría de plugins de consentimiento lo hacen bien de fábrica, pero solo si están actualizados con la simetría que exige la AEPD desde 2024: muchas instalaciones arrastran el diseño anterior a 2019. Antes de dar el banner por bueno conviene probarlo en un navegador limpio, sin cookies previas, y comprobar tres cosas: que rechazar cuesta un solo clic, que ninguna cookie de análisis o publicidad aparece antes de aceptar, y que la elección se recuerda en la siguiente visita sin volver a preguntar cada vez. Un banner que pregunta de nuevo en cada página es tan mal síntoma como uno que no pregunta nunca.
Preguntas frecuentes sobre banner de cookies
¿Sirve un plugin gratuito de cookies?
Sí, si permite configurar las categorías por separado y mostrar aceptar y rechazar con el mismo peso visual. El problema no suele ser el precio del plugin, sino la plantilla que trae por defecto: hay que revisar los colores y el orden de los botones antes de publicarlo, no confiar en la configuración de fábrica.
¿Necesito banner si solo tengo un mapa incrustado?
Sí. Un mapa de Google Maps carga cookies de terceros en cuanto se pinta en la página, antes de que el usuario haga nada. La solución técnica es cargarlo solo tras el consentimiento, con una imagen estática o un botón de «activar mapa» mientras tanto, igual que con los vídeos de YouTube incrustados.
¿Cuánto dura el consentimiento guardado?
La guía no fija un plazo único, pero recomienda no superar los 24 meses antes de volver a preguntar. Muchos gestores de consentimiento lo fijan en 6 o 12 meses por defecto. Si cambias de categorías activas o de proveedor de análisis, hay que resetear el consentimiento y volver a pedirlo, aunque no haya pasado ese plazo.
¿Qué pasa si cambio de gestor de consentimiento?
Las elecciones guardadas con el plugin anterior no valen para el nuevo: cada gestor guarda su propia cookie de consentimiento y no lee la de otro proveedor. Toca volver a preguntar a todos los visitantes, aunque ya hubieran rechazado el análisis la semana anterior con el sistema antiguo.