Qué deberías revisar en tu web según la guía de cookies de la AEPD

Si tienes una web con visitantes en España, la referencia práctica sobre cookies no es un blog: es la Guía sobre el uso de las cookies de la AEPD, actualizada en mayo de 2024. Ahí es donde la Agencia Española de Protección de Datos explica cómo interpreta las obligaciones del artículo 22.2 de la LSSI — y, por tanto, qué deberías revisar en tu web si no quieres sorpresas.

Esta no es una guía legal más. Es la traducción de ese documento a comprobaciones concretas que puedes hacer hoy en tu propia web: qué debe hacer tu banner, cómo verificar el consentimiento técnicamente, qué pasa con tu analítica y qué revisar antes de que lo revise otro. En KAUFAST somos técnicos web, no abogados — este artículo no es asesoramiento jurídico, y al final te decimos exactamente dónde acaba nuestra parte y empieza la de un profesional del derecho.

Por qué importa la guía de la AEPD

La guía no es una ley: es el documento donde el regulador español explica sus criterios. La actualización de julio de 2023 la adaptó a las directrices del Comité Europeo de Protección de Datos, y la propia Agencia anunció que incluye indicaciones sobre el color, tamaño y lugar de las opciones del banner; la versión vigente es de mayo de 2024. Cuando la AEPD examina una web, estos son los criterios que aplica. Y la actividad supervisora es real: según el propio blog de la Agencia, España registró 326 sanciones de protección de datos en el análisis europeo de 2025, y sus resoluciones se publican con nombre y apellidos.

Qué cookies necesitan consentimiento (y cuáles no)

Antes de revisar el banner conviene saber qué regula exactamente. El artículo 22.2 de la LSSI exceptúa las cookies que solo permiten la comunicación entre equipo y red, y las estrictamente necesarias para prestar un servicio que el usuario ha pedido. La guía recoge la lista interpretativa del GT29: cookies de entrada del usuario, autenticación de sesión, seguridad, sesión de reproductor multimedia, equilibrado de carga, personalización de la interfaz y determinados plug-ins sociales.

Todo lo demás — publicidad, personalización con fines publicitarios y, en general, la analítica de terceros — necesita información previa y consentimiento. Esta distinción es la primera comprobación práctica: ¿tu gestor de consentimiento clasifica bien qué es exento y qué no?

Qué debe hacer tu banner de cookies

De la guía se extraen comprobaciones muy concretas:

1. Rechazar debe ser tan fácil como aceptar. Si ofreces un botón de aceptar, la opción de rechazar debe estar en la misma capa y al mismo nivel. Un "Rechazar" escondido en un segundo panel no cumple el criterio de la guía.
2. El botón de rechazar debe verse. La guía menciona expresamente el caso del botón cuyo texto no contrasta lo suficiente con el color de fondo. El rechazo camuflado es un patrón que la Agencia conoce.
3. Información en dos capas. Una primera capa con la información esencial al acceder, y un enlace claramente visible — "Cookies", "Política de cookies" o similar — a una segunda capa con el detalle.
4. Granularidad por finalidad. El usuario debe poder aceptar o rechazar por tipos de cookies, al menos según su finalidad: puede, por ejemplo, aceptar la analítica y rechazar la publicidad.
5. Sin muros de cookies sin alternativa. Condicionar el acceso a aceptar cookies solo cabe si se informa adecuadamente y existe una alternativa de acceso — no necesariamente gratuita — sin necesidad de aceptarlas.

Cómo verificar el consentimiento técnicamente

Aquí es donde la mayoría de las webs fallan sin saberlo, porque el banner parece correcto pero la técnica lo desmiente. Tres comprobaciones en una ventana de incógnito:

• Antes de decidir: abre las herramientas de desarrollador (Aplicación → Cookies) al aterrizar. Si ya hay cookies de analítica o publicidad antes de que toques el banner, el consentimiento llega tarde.
• Tras rechazar: repite la comprobación. Si al rechazar se crean igualmente cookies no exentas, tu gestor de consentimiento no está controlando las etiquetas reales de la página.
• Señales hacia Google: si usas Google Analytics o Ads, la decisión del usuario debe llegar también a las etiquetas de Google. Cómo montar y comprobar esa pieza lo explicamos paso a paso en nuestra guía de Consent Mode v2: implementación y verificación.

La retirada del consentimiento

La guía es clara: el usuario debe poder retirar el consentimiento en cualquier momento, y hacerlo debe ser tan fácil como fue otorgarlo. La Agencia considera que esa facilidad existe, por ejemplo, cuando hay un acceso sencillo y permanente al panel de configuración de cookies. Comprobación práctica: ¿existe en tu web un enlace o icono persistente para reabrir la configuración, y tu política de cookies explica cómo retirar el consentimiento y eliminar las cookies?

Sobre la duración: la guía considera buena práctica que la validez del consentimiento no supere los 24 meses, conservando mientras tanto la selección del usuario. Lo formula como recomendación de buena práctica, no como plazo legal — así conviene tratarlo.

Qué revisar en tu analítica

La analítica de terceros no está entre las finalidades exentas, así que requiere consentimiento. La guía contempla además la elección granular: un usuario puede aceptar las cookies analíticas y no las publicitarias, y tu configuración debe respetarlo de verdad — no solo en el banner, sino en qué etiquetas se disparan en cada caso. Si tu medición depende de Google, la pieza técnica que conecta la decisión del usuario con GA4 y Google Ads es Consent Mode v2, con sus propias trampas de implementación.

Sanciones: lo que conviene entender

No publicamos aquí una tabla de multas para asustar: los importes dependen del caso, y las resoluciones publicadas de la AEPD son la fuente primaria si quieres ver casos reales. Lo relevante para una empresa es otra cosa: la supervisión existe, es pública, y el patrón que ya analizamos en por qué las reglas inventadas acaban en multas RGPD se repite también a escala española — organizaciones que creían cumplir porque nadie había comprobado técnicamente lo contrario.

Checklist práctica para tu web

• Ninguna cookie no exenta se instala antes del consentimiento
• El banner ofrece rechazar en la misma capa y al mismo nivel que aceptar
• El botón de rechazar es tan visible como el de aceptar (contraste incluido)
• Hay primera capa con lo esencial y segunda capa ("Política de cookies") con el detalle
• Se puede elegir por finalidad (analítica sí, publicidad no, por ejemplo)
• Tras rechazar, no se crean cookies no exentas (comprobado en DevTools)
• Existe acceso permanente al panel de configuración para retirar el consentimiento
• La política de cookies explica cómo retirar el consentimiento y eliminar cookies
• La decisión del usuario llega a las etiquetas de Google (Consent Mode v2)
• No hay muro de cookies sin alternativa informada

Cuándo tiene sentido una auditoría técnica

Si has repasado la checklist y algo no cuadra — o no sabes cómo comprobarlo —, hay dos caminos que se complementan. El primero, gratuito: nuestra auditoría técnica online analiza 26 señales de tu web en 30 segundos (SEO técnico, visibilidad en IA y contenido; no es una revisión legal, pero destapa la base técnica). El segundo, a fondo: la auditoría de cumplimiento legal web de KAUFAST revisa el banner contra los criterios de la AEPD, el comportamiento real de las cookies, la configuración del consentimiento y los textos legales de tu web — y lo que hay que corregir lo implementamos nosotros en tu código.

La frontera, dicha sin rodeos: nosotros comprobamos e implementamos la parte técnica del cumplimiento. La interpretación legal de tu caso — bases jurídicas, cláusulas, contratos de encargo — corresponde a un profesional del derecho, con quien trabajamos encantados. Y si quieres seguir por tu cuenta, en privacidad de datos y cumplimiento están todas nuestras guías, con fuentes oficiales y sin jerga.