El RGPD y las cookies: Qué debe hacer tu web

Dos comprobaciones: acceso al dispositivo y datos personales

Comprobación 1: almacenar información en el dispositivo o leerla. En la UE, esta norma procede del artículo 5, apartado 3, de la Directiva ePrivacy, tal como se ha transpuesto en la legislación de cada país; en el Reino Unido, de la disposición 6 del PECR. Se necesita consentimiento salvo que se aplique una excepción, tanto si la información es un dato personal como si no. Las Directrices 2/2023 del Comité Europeo de Protección de Datos (CEPD) muestran que esto puede abarcar píxeles de seguimiento, enlaces de seguimiento e identificadores únicos, no solo cookies.

Comprobación 2: tratar datos personales. El RGPD (en el Reino Unido, el UK GDPR) regula lo que haces con los datos personales: base jurídica, transparencia, conservación, comunicación a terceros, transferencias y derechos de los interesados. Los identificadores de cookies y las direcciones IP pueden ser datos personales.

Ambas comprobaciones suelen aplicarse a la misma herramienta. Un script de analítica que instala una cookie y envía datos de la visita a un proveedor debe superar las normas sobre dispositivos, normalmente mediante el consentimiento, y necesita una base jurídica del RGPD para lo que viene después. El interés legítimo no puede sustituir al consentimiento que exigen las normas sobre dispositivos, y el consentimiento para el uso de cookies no resuelve la conservación, las transferencias ni los usos posteriores.

¿Se aplica el RGPD a tu empresa?

El RGPD de la UE se aplica al tratamiento realizado en el contexto de un establecimiento en la UE y a las organizaciones de otros lugares que ofrecen bienes o servicios a personas en la UE o controlan su comportamiento allí. Que una web simplemente pueda abrirse desde Europa no resuelve la cuestión. El RGPD del Reino Unido sigue el mismo modelo para el Reino Unido, así que evalúa ambos si atiendes a los dos mercados.

El tamaño no exime: una pequeña empresa puede tratar datos personales mediante formularios, cuentas y herramientas de analítica y de publicidad. La guía del CEPD para pequeñas empresas explica que se necesita una base jurídica para cada finalidad.

En qué difieren las normas de la UE y del Reino Unido

Las normas sobre dispositivos partieron de la misma directiva de la UE, pero desde entonces el Reino Unido ha modificado el PECR. Revisa por separado a los visitantes de la UE y del Reino Unido antes de acogerte a una excepción.

En la UE, el CEPD deja el alcance de las excepciones en manos del Derecho nacional y de las autoridades nacionales. La analítica muestra la diferencia: las autoridades danesas afirman que las estadísticas de una web requieren consentimiento, mientras que algunas autoridades de control, como la CNIL francesa, aceptan una exención estricta para una medición de audiencia limitada.

En el Reino Unido, la Data (Use and Access) Act 2025 añadió excepciones para las estadísticas, para la apariencia o la funcionalidad y para localizar un dispositivo en caso de emergencia. La guía de la ICO fija los límites: esa finalidad debe ser la única, los visitantes necesitan información clara y una forma gratuita y sencilla de oponerse, y la oposición detiene el almacenamiento o el acceso. La elaboración de perfiles, el seguimiento entre servicios y todo lo relacionado con la publicidad online siguen requiriendo consentimiento.

Octubre de 2026: la propuesta Ómnibus Digital de la Comisión Europea modificaría las normas de la UE sobre cookies, incluidas las excepciones al consentimiento. Todavía está en tramitación legislativa, así que se aplican las normas nacionales vigentes.

Qué debe hacer tu web

Define las finalidades antes de elegir las categorías del banner

Enumera cada herramienta y lo que hace realmente: prestar el servicio solicitado, estadísticas, medición publicitaria o creación de audiencias. Para cada finalidad, registra los datos, los destinatarios, el plazo de conservación y la base jurídica. Elimina las herramientas que no tengan una finalidad clara.

¿Usas productos publicitarios o de medición de Google con visitantes del EEE o del Reino Unido? La propia política de Google añade requisitos sobre consentimiento, información y registros: consulta nuestra guía sobre la Política de Consentimiento de Usuarios de la UE de Google.

Haz que el consentimiento sea una elección real

Cuando se requiera consentimiento, pídelo antes de que empiece la actividad, explica cada finalidad y deja desactivados los ajustes opcionales. Desplazarse por la página, el silencio o seguir navegando no constituyen consentimiento, como explican las directrices del CEPD sobre el consentimiento. Ofrece una opción de rechazo tan clara como la de aceptar y un enlace permanente a los ajustes: el RGPD exige que retirar el consentimiento sea tan fácil como darlo.

Conecta la elección con lo que se ejecuta realmente

Una preferencia guardada solo sirve si la web la respeta. Revisa los scripts del gestor de etiquetas, los plugins, los vídeos incrustados y otros widgets, no solo si el banner desaparece. Trasladar la recogida de datos a un servidor no saca los datos del ámbito del RGPD.

Explica el recorrido de los datos y atiende los derechos

Tu información de privacidad debe indicar quién es el responsable, las finalidades y bases jurídicas, los destinatarios, la conservación, los derechos y las transferencias internacionales, con los mismos nombres y finalidades que el banner y la declaración de cookies. Establece un procedimiento para las solicitudes de ejercicio de derechos. No todos los derechos son absolutos, así que evalúa cada solicitud en lugar de prometer la supresión automática.

Qué significa esto para tus informes

Si menos visitantes aceptan la analítica opcional, el tráfico registrado puede bajar sin que bajen las visitas reales. Anota los cambios de consentimiento en los informes de campañas y compara los resultados con los pedidos y las consultas. Mantén también separadas las finalidades: la cookie de la cesta de una tienda online no debe convertirse discretamente en un identificador de marketing cuando un visitante rechaza la publicidad.

Lista de comprobación para tu web

• Ámbito: registra qué regímenes se aplican: el RGPD de la UE, el RGPD del Reino Unido y las normas sobre dispositivos de cada país al que te diriges.
• Primera visita: antes de cualquier elección, no aparecen cookies, almacenamiento ni solicitudes que dependan del consentimiento.
• Rechazo: después de recargar y navegar, el almacenamiento y las solicitudes opcionales siguen desactivados, incluidos los destinos del lado del servidor.
• Elección parcial: aceptar una finalidad activa solo las herramientas correspondientes.
• Retirada: después de volver a abrir los ajustes y retirar el consentimiento, las herramientas afectadas se detienen.
• Excepciones del Reino Unido: si te acoges a una, la información y la opción gratuita de oposición son visibles, y oponerse detiene el almacenamiento o el acceso.
• Después de los cambios: repite las comprobaciones cuando añadas una herramienta, cambies una finalidad o entres en un nuevo mercado.

Preguntas frecuentes