Banner de cookies: qué exige la AEPD en 2026

El banner de cookies es la parte de la web que más ha cambiado en los últimos años. La norma de base es el artículo 22.2 de la LSSI: para guardar o leer información en el dispositivo del usuario hace falta informarle y obtener su consentimiento. Cómo se pide ese consentimiento lo concreta la Guía sobre el uso de cookies de la AEPD, actualizada en julio de 2023 y de aplicación obligatoria desde el 11 de enero de 2024.

Qué cookies necesitan consentimiento

No todas. La ley exime a las cookies estrictamente necesarias para que la web funcione o para prestar un servicio que el usuario ha pedido:

• No necesitan consentimiento: la sesión de un usuario registrado, el carrito de la compra, la cookie que recuerda que el usuario rechazó las cookies o el idioma que ha elegido.
• Sí lo necesitan: Google Analytics y otras herramientas de analítica, los píxeles de Meta, LinkedIn o TikTok, la publicidad, y los contenidos de terceros que ponen sus propias cookies, como los vídeos de YouTube o los mapas de Google.

Si tu web solo usa cookies técnicas, no necesitas banner. Basta con explicarlo en la política de cookies.

Lo que tiene que cumplir el banner

1. Aceptar y Rechazar en la primera capa, con el mismo peso. Mismo tipo de botón, mismo tamaño y un color que no empuje a aceptar. Un enlace pequeño de “configurar” como única alternativa ya no vale.
2. Nada se carga antes de decidir. Si Google Analytics se ejecuta al abrir la página y el banner aparece después, el consentimiento llega tarde. Es el fallo más común.
3. Sin casillas premarcadas. En el panel de configuración, todas las finalidades empiezan desmarcadas.
4. Información clara en la primera capa: quién usa las cookies, para qué y si hay terceros, con un enlace a la política de cookies.
5. Retirar el consentimiento debe ser igual de fácil que darlo. Lo normal es un enlace permanente, por ejemplo en el pie de página, que vuelve a abrir el panel.
6. Renovar el consentimiento. La AEPD recomienda volver a pedirlo como máximo cada 24 meses.

Webs en euskera y castellano

En Euskadi muchas webs son bilingües, y el banner tiene que serlo también. El consentimiento solo vale si es informado: quien navega en euskera tiene que ver el banner, los botones y la política de cookies en euskera. Un error habitual es traducir la web y dejar el banner del plugin en castellano, o peor, en inglés, porque el texto viene de fábrica y nadie lo ha tocado.

Lo mismo vale para los botones: Onartu y Ukatu (o Baztertu) tienen que tener el mismo peso que Aceptar y Rechazar.

Google Consent Mode no sustituye al banner

El modo de consentimiento de Google ajusta el comportamiento de sus etiquetas según lo que el usuario elija, pero necesita un banner que recoja esa decisión. En su modo “básico” las etiquetas no se cargan hasta que el usuario acepta, que es lo más prudente. En el modo “avanzado” envían señales sin cookies antes del consentimiento, y conviene valorarlo con cuidado.

¿Hay que pagar una suscripción?

No. Plataformas como Cookiebot o iubenda funcionan con cuota mensual, pero hay gestores de consentimiento de código abierto que se instalan en tu propia web, cumplen los mismos requisitos y no caducan si dejas de pagar. Lo importante no es la herramienta, sino que esté bien configurada y que bloquee de verdad los scripts.

Qué multa hay

Usar cookies sin informar o sin consentimiento es una infracción leve de la LSSI (artículo 38.4.g), con multa de hasta 30.000 € (artículo 39). La AEPD ha sancionado a empresas de todos los tamaños por banners sin botón de rechazar o por cargar cookies antes de tiempo.

Qué puede cambiar: el Digital Omnibus

La Comisión Europea propuso en noviembre de 2025 el llamado Digital Omnibus, que trasladaría las reglas de cookies al RGPD (un nuevo artículo 88a). Incluye rechazar con un clic, no volver a preguntar durante seis meses a quien ha rechazado y respetar las preferencias enviadas por el navegador. A septiembre de 2026 sigue siendo una propuesta en tramitación y, como pronto, se aplicaría en 2027. Hasta entonces manda la LSSI con la guía de la AEPD. Un banner que ya ofrece rechazar con un clic está bien preparado para el cambio.