¿Qué pasa si no tengo política de cookies en mi web en España?

Si no tienes política de cookies en tu web en España, te expones a sanciones de la AEPD que, para infracciones leves, llegan hasta 30.000 €. La obligación nace del artículo 22.2 de la LSSI-CE y del RGPD: necesitas informar y obtener el consentimiento previo del usuario antes de instalar cookies no técnicas. No es opcional ni un mero formalismo.

⏱ Lectura estimada: 18 minutos

Saber qué pasa si no tienes política de cookies en tu web en España no es un capricho legal: es evitar una multa perfectamente real. Muchas pymes y autónomos tienen su web funcionando con un banner genérico, mal configurado o directamente inexistente, sin saber que eso les expone a sanciones. En Clyvert nos encontramos este problema constantemente al revisar webs y aplicar las guías de la AEPD en clientes nuevos.

En esta guía te explicamos qué obliga la ley, qué sanciones ha impuesto de verdad la Agencia Española de Protección de Datos, qué errores son los más frecuentes y cómo poner tu web en regla. Sin alarmismo, pero sin restarle importancia: cumplir es más fácil y barato que la primera multa.

Un apunte para enfocar bien el tema: cumplir con las cookies no es solo evitar una sanción, aunque ese sea el motivo más urgente. Una web que gestiona bien el consentimiento transmite profesionalidad y cuida la relación con sus visitantes desde el primer clic. En un momento en que los usuarios son cada vez más conscientes de su privacidad, hacer las cosas bien en este terreno también es una señal de confianza que te diferencia de quien improvisa.

¿Qué es la política de cookies y por qué es obligatoria en España?

El documento que informa al usuario de qué cookies usa una web, con qué finalidad y cómo gestionarlas es la política de cookies. Es obligatoria en España porque el artículo 22.2 de la LSSI-CE y el RGPD exigen informar y obtener el consentimiento previo del usuario antes de instalar cookies que no sean estrictamente necesarias para el funcionamiento del sitio.

Conviene distinguir dos elementos que a veces se confunden. El banner de cookies es la ventana que aparece al entrar y permite aceptar, rechazar o configurar. La política de cookies es el documento, normalmente una página aparte, que detalla qué cookies hay, quién las pone y para qué. Ambos son necesarios: el banner recoge el consentimiento y la política lo informa. Tener uno sin el otro deja el cumplimiento incompleto: un banner sin política no informa lo suficiente, y una política sin banner no recoge el consentimiento previo que exige la ley.

La base legal combina varias normas. El artículo 22.2 de la Ley 34/2002 (LSSI-CE) establece la obligación de consentimiento informado. El Reglamento General de Protección de Datos (RGPD) fija las condiciones para que ese consentimiento sea válido (libre, específico, informado e inequívoco). La Guía sobre el uso de las cookies de la AEPD concreta cómo aplicarlo. El plazo para adaptarse a la guía vigente venció en enero de 2024, así que ya no hay periodo de gracia. Esto significa que cualquier web que siga hoy con la configuración antigua —la del «si sigues navegando, aceptas» o la del banner que solo deja aceptar— lleva más de un año en situación irregular, aunque nadie la haya denunciado todavía.

«El consentimiento para el uso de cookies debe obtenerse antes de su instalación y ha de ser tan fácil rechazarlas como aceptarlas.»— Agencia Española de Protección de Datos, Guía sobre el uso de las cookies

Mucha gente piensa que las cookies son un tecnicismo sin importancia, pero la lógica detrás de la norma es sencilla y razonable. Cuando una web instala una cookie en tu navegador, está guardando información sobre ti, a veces para algo tan inofensivo como recordar tu idioma y a veces para rastrear tu comportamiento y vendérselo a anunciantes. La ley solo exige que el usuario sepa qué se hace con sus datos y pueda decidir. Visto así, cumplir no es un obstáculo burocrático, sino una cuestión de respeto básico hacia quien visita tu web, algo que además refuerza tu reputación.

¿Qué pasa si no tienes política de cookies en tu web?

Si no tienes política de cookies o instalas cookies sin consentimiento, te arriesgas a una denuncia y a una sanción económica de la AEPD que, para infracciones leves, puede llegar a 30.000 €. Además del coste directo, daña la confianza de tus usuarios y, en caso de inspección, obliga a regularizar con prisas y bajo presión.

El procedimiento suele empezar por una denuncia: un usuario, un competidor o una asociación detecta el incumplimiento y lo comunica a la AEPD. La Agencia investiga y, si confirma la infracción, abre un procedimiento sancionador. No hace falta ser una gran empresa para que te toque: la AEPD ha sancionado desde aerolíneas hasta pequeños negocios y medios digitales modestos. De hecho, una vía habitual de denuncia son los propios competidores: en sectores muy disputados, no es raro que una empresa revise las webs de su competencia y reporte los incumplimientos que detecta. Por eso conviene no dar por hecho que tu web pasa desapercibida solo porque sea pequeña.

Conviene desterrar dos creencias falsas. La primera, que «mi web es muy pequeña y no se va a fijar nadie»: hay sanciones a negocios diminutos. La segunda, que «con poner un banner cualquiera basta»: un banner mal configurado, sin opción de rechazar o que carga cookies antes del consentimiento, infringe la norma igual que no tener nada. La forma importa tanto como el fondo.

Más allá de la multa, hay un coste que pocas empresas calculan: el del momento en que llega la denuncia. Regularizar una web bajo la presión de un procedimiento abierto significa hacerlo con prisas, a menudo pagando un sobreprecio por la urgencia y con el reloj en contra. Además, como demostró el caso de Iberia, reaccionar solo cuando la AEPD ya ha actuado puede agravar la sanción, porque la Agencia valora negativamente que no se haya corregido antes. Hacerlo con calma y a tiempo, en cambio, es barato, sencillo y te deja tranquilo. La diferencia entre ambas situaciones es enorme, y depende solo de no posponerlo.

¿Cuánto son las multas de la AEPD por cookies? Casos reales

Las multas por cookies en España se mueven habitualmente entre 3.000 € y 30.000 € para infracciones leves de la LSSI, y pueden ser muy superiores si entra en juego el RGPD. La AEPD ya ha impuesto sanciones reales y conocidas: Iberia y Vueling fueron multadas con 30.000 € cada una por una gestión incorrecta del consentimiento de cookies.

El caso de Iberia es especialmente ilustrativo porque llegó a los tribunales: la Audiencia Nacional confirmó la sanción de 30.000 € en una sentencia de junio de 2024. La aerolínea no modificó su gestión de cookies hasta que la AEPD le comunicó la apertura del procedimiento, lo que agravó su posición. Moraleja: esperar a que te avisen sale más caro que adaptarse a tiempo.

Cuando entra en juego el RGPD, las cifras se disparan

Las cifras anteriores corresponden a infracciones de la LSSI, que es la norma específica de cookies. Pero si el incumplimiento implica además un tratamiento ilegal de datos personales, puede activarse el RGPD, cuyas sanciones son de otra magnitud: hasta 20 millones de euros o el 4 % de la facturación anual global, la que sea mayor. No es lo habitual para una pyme con un banner mal configurado, pero conviene saber que el marco sancionador puede escalar mucho cuando hay datos personales de por medio. La mayoría de casos de pymes se quedan en la horquilla de la LSSI, pero el suelo de esa horquilla —varios miles de euros— ya es razón suficiente para tomarse el tema en serio.

¿Qué errores con las cookies sanciona más la AEPD?

Los errores que más sanciona la AEPD son cargar cookies de analítica o publicidad antes del consentimiento, no ofrecer un botón de rechazar al mismo nivel que el de aceptar. También usar cookies premarcadas y emplear muros de cookies que obligan a aceptar para poder navegar. Son fallos de configuración del banner, no de mala fe, pero se multan igual.

• Cargar cookies antes del consentimiento: instalar Google Analytics o Meta Pixel nada más entrar, antes de que el usuario acepte.
• Banner sin opción de rechazar: ofrecer solo «aceptar» o esconder el rechazo en submenús.
• Cookies premarcadas: dar por aceptadas las casillas por defecto.
• Muros de cookies: impedir el acceso a la web si no se aceptan todas.
• Información incompleta: no detallar qué cookies hay, quién las instala y con qué fin.

El primero de la lista es, con diferencia, el más extendido. Muchas webs instalan las herramientas de medición en cuanto cargas la página, sin esperar a que aceptes nada. Esa simple configuración por defecto, que parece inofensiva, es justo lo que la AEPD considera infracción. Por eso no basta con tener banner: hay que comprobar que de verdad bloquea las cookies hasta que el usuario decide.

Hay un matiz técnico que pilla a muchos desprevenidos. La mayoría de plantillas y plugins de cookies muestran el banner, pero no bloquean realmente los scripts: las cookies se cargan igual de fondo mientras el aviso está en pantalla. El resultado es una web que aparenta cumplir y que, en realidad, infringe la norma desde el primer segundo. Comprobarlo no es complicado, pero requiere mirar bajo el capó: revisar qué se carga antes y después de aceptar. Es la diferencia entre un cumplimiento de fachada y uno real, y es justo donde la AEPD pone el foco cuando inspecciona.

¿Qué debe incluir un banner y una política de cookies correctos?

Un banner correcto debe permitir aceptar, rechazar y configurar las cookies con la misma facilidad, antes de instalar ninguna cookie no técnica. La política de cookies, por su parte, debe detallar qué cookies usa la web, su finalidad, su duración, quién las gestiona y cómo retirar el consentimiento. Claridad y simetría son las dos claves.

Lo que debe tener el banner

• Botones de «aceptar» y «rechazar» al mismo nivel y con el mismo diseño.
• Opción de configurar las cookies por categorías.
• Bloqueo real de las cookies no técnicas hasta que el usuario acepta.
• Un enlace visible a la política de cookies completa.

Lo que debe tener la política de cookies

• Qué son las cookies y qué tipos utiliza la web.
• La finalidad de cada categoría (técnica, analítica, publicitaria).
• Quién las instala: la propia web o terceros como Google.
• La duración de cada cookie y cómo revocar el consentimiento.

Un punto que conviene cuidar es la posibilidad de cambiar de opinión. La normativa exige que retirar el consentimiento sea tan sencillo como darlo, así que tu web debe ofrecer una forma visible de modificar o revocar las preferencias de cookies en cualquier momento, no solo en la primera visita. Lo habitual es un enlace permanente en el pie de página que reabre el panel de configuración. Es un detalle pequeño, pero su ausencia es justo el tipo de fallo que convierte un cumplimiento aparente en uno incompleto.

Implementar esto bien tiene más de técnico que de legal: hay que configurar el gestor de consentimiento para que bloquee de verdad los scripts hasta la aceptación. Es una de las cosas que cuidamos cuando hacemos diseño y desarrollo web, porque una web bonita que incumple la normativa de cookies es una web con un problema esperando a ocurrir.

Un detalle de diseño que la AEPD vigila cada vez más son los llamados patrones oscuros: trucos visuales para empujar al usuario a aceptar. El clásico es poner el botón de «aceptar todo» grande y en color llamativo, y el de «rechazar» pequeño, gris o escondido tras varios clics. Aunque técnicamente exista la opción de rechazar, diseñarla para que cueste encontrarla vulnera el principio de que rechazar debe ser tan fácil como aceptar. La regla práctica es simple: ambos botones, mismo tamaño, mismo color, mismo nivel. Cualquier desequilibrio que favorezca la aceptación es una señal de alarma a ojos del regulador.

¿Qué diferencia hay entre cookies técnicas y no técnicas?

Las cookies técnicas son las imprescindibles para que la web funcione (mantener la sesión, el carrito de la compra, el idioma) y no requieren consentimiento. Las no técnicas —analítica, personalización y publicidad— sí lo requieren, porque rastrean al usuario para fines que van más allá del funcionamiento básico del sitio.

La distinción es la clave de todo el sistema. Solo las cookies técnicas, las estrictamente necesarias, se libran de pedir permiso. Todo lo demás —saber cuántos visitantes tienes, recordar preferencias o mostrar anuncios personalizados— exige el consentimiento previo del usuario. Y, ojo, la analítica más habitual, como la de Google, entra en la categoría que sí necesita permiso.

Entender bien esta diferencia te ahorra dos errores opuestos. Por un lado, pedir consentimiento para cookies técnicas que no lo necesitan, lo que empeora la experiencia sin motivo. Por otro, y mucho más grave, dar por técnica una cookie que en realidad rastrea al usuario. La analítica es el caso típico: medir visitas parece inofensivo y «necesario», pero la norma la considera no técnica y, por tanto, sujeta a consentimiento. Ante la duda sobre una cookie concreta, lo prudente es tratarla como no técnica y pedir permiso: equivocarse por exceso de cautela no se sanciona; hacerlo por defecto, sí.

¿Cómo poner tu web en regla con las cookies paso a paso?

Para poner tu web en regla, audita primero qué cookies instala y clasifícalas entre técnicas y no técnicas. Después, configura un gestor de consentimiento que las bloquee hasta la aceptación, redacta una política de cookies clara y revisa que el banner ofrezca aceptar y rechazar por igual. Con esos pasos cubres la inmensa mayoría de la obligación legal.

1. Audita tus cookies: averigua qué cookies y scripts carga realmente tu web.
2. Clasifícalas: separa las técnicas (sin permiso) de las no técnicas (con permiso).
3. Instala un gestor de consentimiento: que bloquee las no técnicas hasta la aceptación.
4. Configura el banner: aceptar, rechazar y configurar al mismo nivel.
5. Redacta la política: con todo el detalle exigido y enlazada desde el banner.
6. Revisa periódicamente: cada nueva herramienta puede añadir cookies nuevas.

El último punto es el que más se descuida. Cada vez que instalas un nuevo chat, un píxel de publicidad o una herramienta de medición, puedes estar añadiendo cookies que el banner no contempla. Por eso el cumplimiento no es una tarea de una vez, sino un mantenimiento. Revisar la configuración un par de veces al año evita sorpresas y mantiene tu web del lado seguro de la ley.

¿Conviene hacerlo por tu cuenta o delegarlo?

La parte legal de redactar una política de cookies es asumible con las plantillas y guías de la propia AEPD. La parte técnica —configurar un gestor de consentimiento que bloquee de verdad los scripts— es la que suele requerir ayuda, porque un error de configuración deja la web incumpliendo aunque el texto sea perfecto. Si tu web la lleva un profesional o una agencia, lo razonable es pedir expresamente que el cumplimiento de cookies quede cerrado como parte del proyecto. Y si la gestionas tú, dedica una tarde a comprobar, con las herramientas de desarrollo del navegador, qué se carga antes de aceptar. Esa verificación sencilla es la que separa creer que cumples de cumplir de verdad. Y, ante cualquier duda seria, conviene apoyarse en un profesional: una consulta breve cuesta mucho menos que una sanción.

Preguntas frecuentes

Referencias

¿Necesitas impulsar tu negocio online?

En Clyvert diseñamos webs que cumplen la normativa de cookies y las guías de la AEPD desde el primer día, sin sustos legales. Solicita tu auditoría estratégica gratuita por WhatsApp: revisamos tu web y, si no encontramos al menos 5 mejoras significativas —legales, técnicas o de negocio—, te pagamos 50 €.

¿Prefieres que lo veamos juntos? Escríbenos por WhatsApp o visita la web de Clyvert y solicita tu auditoría gratuita.