Cookies y consentimiento en 2026: lo que exige la ley
El banner que todo el mundo tiene y casi nadie tiene bien
Todas las webs muestran un banner de cookies. Muchas lo hacen mal: banners que no permiten rechazar con la misma facilidad que aceptar, cookies que se instalan antes del consentimiento o políticas de cookies copiadas que describen tecnologías que la web ni usa. En 2026, con la AEPD afinando criterios y usuarios más conscientes, el “banner de adorno” es un riesgo evitable.
Lo esencial en pocas líneas: la normativa de cookies (RGPD más la directiva ePrivacy y la LSSI española) exige informar al usuario de qué cookies usa tu web y obtener su consentimiento explícito antes de instalar las que no sean estrictamente necesarias. El banner recoge el consentimiento; la política de cookies es el documento detallado que lo explica.
Repasemos qué exige la ley exactamente y cómo cumplirla sin volverte loco.
Que exige la normativa de cookies en 2026
Los requisitos, destilados de la normativa y de las guías de la AEPD:
- Información previa: antes de instalar cookies no esenciales, el usuario debe saber qué cookies usas, para qué, quién las instala y cuánto duran.
- Consentimiento activo: nada de casillas premarcadas ni “si sigues navegando, aceptas”. Hace falta una acción afirmativa del usuario.
- Rechazar tan fácil como aceptar: si hay botón de “Aceptar” en la primera capa del banner, debe haber una opción equivalente para rechazar, sin laberintos.
- Granularidad: el usuario debe poder aceptar unas categorías (por ejemplo, analítica) y rechazar otras (publicidad).
- Revocabilidad: retirar el consentimiento debe ser tan sencillo como darlo, con un enlace o panel accesible.
- Sin muros abusivos: condicionar todo el acceso a la aceptación de cookies solo se admite en supuestos limitados y con alternativas.
Que cookies necesitan consentimiento y cuales no
| Tipo de cookie | ¿Consentimiento? | Ejemplos |
|---|---|---|
| Técnicas o estrictamente necesarias | No (pero deben documentarse) | Sesión, carrito de compra, preferencia de idioma |
| Analítica | Sí | Google Analytics (_ga, ga*) |
| Publicidad y marketing | Sí | Píxeles de redes sociales, remarketing |
| Redes sociales | Sí | Botones de compartir que instalan cookies de terceros |
Ese matiz de la primera fila es importante: las cookies técnicas no requieren consentimiento, pero sí deben aparecer explicadas en tu política de cookies.
Politica de cookies: el documento que sostiene el banner
El banner sin política es un consentimiento sin información, y la política sin banner es información sin consentimiento. Necesitas ambos, y que cuenten lo mismo.
La política de cookies debe detallar cada tipo de cookie que usa tu web, su finalidad, quién la instala (propia o de terceros), su duración y cómo desactivarlas. No es lo mismo que la política de privacidad: esta cubre todo el tratamiento de datos personales de tu web, mientras que la de cookies se centra específicamente en las tecnologías de rastreo. Lo ideal es tener las dos coordinadas, como explicamos en qué debe incluir tu política de privacidad.
Genera tu politica de cookies gratis
Para ahorrarte la redacción desde cero, hemos publicado un generador gratuito: introduces el nombre de tu web y los datos del responsable, marcas qué cookies usa tu sitio (analítica, publicidad, redes sociales, funcionales) y obtienes un documento completo que explica cada tipo de cookie, su finalidad y su duración.
Puedes usarlo gratis en rakaty.com/herramientas/generador-politica-cookies. Si usas Google Analytics 4, por ejemplo, la política debe recoger las cookies _ga y _ga_*, y tu banner debe obtener consentimiento antes de cargarlas: el generador te lo deja documentado.
Como con toda plantilla legal, es un punto de partida sólido; si tu web hace tratamientos complejos (publicidad programática, perfilado), conviene revisión profesional.
Errores que se sancionan (y como evitarlos)
- Cargar cookies antes del clic: es el fallo técnico más común. Verifica con las herramientas de desarrollador del navegador que sin consentimiento no se instala nada no esencial.
- Botón de rechazar escondido: primera capa con “Aceptar” gigante y “Configurar” en gris claro. La AEPD ya ha señalado este patrón.
- Política desactualizada: añadiste un píxel de una red social y la política no lo menciona.
- No registrar el consentimiento: debes poder demostrar quién consintió, cuándo y qué versión del banner vio.
Preguntas frecuentes
¿Necesito banner de cookies si solo uso cookies técnicas?
No necesitas banner de consentimiento, porque las cookies estrictamente necesarias están exentas. Pero sí debes documentarlas en tu política de cookies. Ojo: en cuanto añades analítica o cualquier cookie de terceros, el banner pasa a ser obligatorio.
¿Qué diferencia hay entre la política de cookies y la de privacidad?
La política de privacidad cubre todo el tratamiento de datos personales de tu web: formularios, newsletter, clientes. La política de cookies se centra específicamente en las cookies y tecnologías de rastreo: cuáles usas, para qué, quién las instala y cómo desactivarlas. Son documentos complementarios.
¿Vale un banner que diga “si sigues navegando, aceptas”?
No. El consentimiento debe ser una acción afirmativa clara: seguir navegando no lo es, y las casillas premarcadas tampoco. El banner debe ofrecer aceptar, rechazar y configurar, con la opción de rechazo tan accesible como la de aceptación.
Conclusion
Cumplir con la normativa de cookies en 2026 no es complicado si se hace con orden: inventaria las cookies que realmente usa tu web, monta un banner que informe y respete la decisión del usuario, y publica una política de cookies que cuente la verdad. La mayoría de sanciones vienen de la dejadez, no de la dificultad.
En Rakaty ayudamos a PYMEs a poner en regla su web, desde las cookies hasta los flujos de datos con IA, y publicamos herramientas gratuitas como este generador para que el primer paso no cueste nada. Si quieres una revisión de tu caso, escríbenos.
