Banner de cookies: qué exige la AEPD y ejemplos de cómo hacerlo bien

El banner de cookies es el aviso que aparece al entrar en una web para informar de las cookies que se usan y pedir permiso para las que lo necesitan. Casi todas las webs tienen uno, pero muchos no funcionan como deberían: falta el botón de rechazar, las cookies se instalan antes de que el visitante decida o el diseño empuja a aceptar.

En este artículo resumimos qué dice la norma, qué criterios ha publicado la Agencia Española de Protección de Datos (AEPD) y cómo comprobar el banner de tu web.

De dónde sale la obligación

La base es el artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE). Dice, en resumen, que solo se pueden usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario, como las cookies, si este ha dado su consentimiento después de recibir información clara y completa sobre su uso y sus finalidades.

El mismo artículo exceptúa las cookies de carácter técnico que sirven solo para transmitir una comunicación o que son estrictamente necesarias para prestar un servicio que el usuario ha pedido expresamente.

Para aplicarlo en la práctica, la referencia en España es la Guía sobre el uso de las cookies de la AEPD. En julio de 2023 la AEPD la actualizó para adaptarla a las directrices del Comité Europeo de Protección de Datos y fijó el 11 de enero de 2024 como fecha límite para aplicar los nuevos criterios. La versión publicada en la web de la AEPD está fechada en mayo de 2024.

Qué cookies necesitan consentimiento y cuáles no

Según la guía, quedan exceptuadas las cookies técnicas necesarias para el servicio que pide el usuario, por ejemplo para identificar la sesión, recordar lo que hay en la cesta de la compra, gestionar el pago o recordar preferencias que el propio usuario elige, como el idioma. Dejan de estar exceptuadas si se usan también para otros fines, como la publicidad.

Necesitan consentimiento, entre otras:

• Las de análisis o medición, que cuentan visitas y estudian cómo se usa la web. La guía indica que no están exentas del consentimiento, aunque reconoce que, si son propias y tratan datos agregados con fines estadísticos, es poco probable que supongan un riesgo para la privacidad.
• Las de publicidad comportamental, que crean un perfil a partir de la navegación para mostrar anuncios.
• Las de personalización que decide el editor a partir de la información del usuario, y no el propio usuario.

Da igual que sean propias o de terceros, de sesión o persistentes: lo que cuenta es su finalidad.

Qué debe tener la primera capa

La guía propone informar por capas. La primera es el banner, que debe mostrarse antes de usar las cookies y mantenerse visible hasta que el usuario decida. Debe incluir:

• La identificación del editor, salvo que sea evidente por la propia web y sus datos completos figuren en el aviso legal o la política de privacidad.
• Las finalidades de las cookies.
• Si son propias o también de terceros (en esta capa no hace falta nombrar a cada tercero).
• Información genérica sobre los datos que se recogen si se elaboran perfiles.
• Cómo aceptar, configurar y rechazar las cookies.
• Un enlace claramente visible a la segunda capa, la política de cookies.

Y tres mecanismos: un botón para aceptar, un botón para rechazar y un botón o enlace para configurar por finalidades.

Rechazar, tan fácil como aceptar

Es el cambio más visible de la actualización de 2023. La guía establece que la opción de rechazar debe ofrecerse en la misma capa y al mismo nivel que la de aceptar, con un mecanismo similar: si se acepta con un botón, se rechaza con un botón. No vale mandar al usuario a otra capa para rechazar.

La guía añade que no se puede dar la impresión de que aceptar es obligatorio para navegar, que no se puede empujar claramente a aceptar y que el color y el contraste no pueden ser engañosos. Pone como ejemplo no válido un botón de rechazar cuyo texto apenas contrasta con el fondo y no se puede leer.

Ejemplos

Un banner que sigue el modelo de la guía (la guía incluye ejemplos parecidos):

«Usamos cookies propias y de terceros para analizar el uso de la web y mostrarte publicidad basada en un perfil elaborado a partir de tu navegación (por ejemplo, las páginas que visitas). Puedes aceptarlas, rechazarlas o configurarlas. Más información en nuestra Política de cookies.»

Debajo, tres botones: Rechazar, Configurar y Aceptar. Rechazar y Aceptar con el mismo tamaño, el mismo estilo y la misma visibilidad.

Errores que vemos con frecuencia:

• Solo hay un botón de «Aceptar» y un enlace pequeño de «Más opciones».
• «Aceptar» es un botón de color y «Rechazar» es un texto gris sin borde.
• El texto dice que «si sigues navegando, aceptas las cookies». La guía recuerda que seguir navegando no es una forma válida de consentir.
• El panel de configuración trae las casillas ya marcadas. La guía dice que las opciones premarcadas no son admisibles.
• El banner aparece, pero las cookies de analítica o publicidad ya se han instalado al cargar la página.
• Al pulsar «Rechazar», las cookies se instalan igualmente.

El panel de configuración y la política de cookies

El botón de configurar debe llevar directamente al panel, sin obligar a buscarlo entre textos largos. La guía aconseja agrupar las cookies al menos por finalidad (por ejemplo, análisis por un lado y publicidad por otro), evitar la selección cookie a cookie e indicar claramente cómo guardar la elección. Si el usuario guarda sin marcar nada, equivale a rechazar todas.

La segunda capa, la política de cookies, debe estar disponible de forma permanente y explicar qué son las cookies, qué tipos se usan y para qué, quién las usa (identificando a los terceros), cómo aceptar, rechazar o retirar el consentimiento, las transferencias internacionales si las hay, la elaboración de perfiles cuando proceda y el periodo de conservación de los datos.

Muros de cookies, retirada y renovación

Muros de cookies: la guía dice que no se pueden usar muros de cookies que no ofrezcan una alternativa al consentimiento. Admite que rechazar las cookies impida el acceso solo si se informa de ello y se ofrece una alternativa genuinamente equivalente de acceso sin cookies, que no tiene por qué ser gratuita y que debe ofrecer el propio editor.

Retirar el consentimiento: debe ser tan fácil como darlo. Un enlace o botón permanente, por ejemplo en el pie de página, que reabra el panel de configuración cumple esa función. La configuración del navegador no basta como único mecanismo para rechazar o retirar.

Renovación: la AEPD considera buena práctica que el consentimiento para una cookie no dure más de 24 meses y que, mientras tanto, se recuerde la elección del usuario sin volver a preguntarle en cada visita. Si cambian las finalidades o los terceros, hay que actualizar la política y volver a pedir la decisión.

Cómo comprobar tu banner en cinco minutos

1. Abre tu web en una ventana privada del navegador, para empezar sin cookies previas.
2. Antes de pulsar nada, abre las herramientas para desarrolladores (tecla F12), ve a la pestaña de almacenamiento o aplicación y mira qué cookies hay. Las de analítica o publicidad no deberían aparecer todavía.
3. Comprueba que el banner muestra «Rechazar» y «Aceptar» al mismo nivel y con un aspecto equivalente.
4. Pulsa «Rechazar», recarga la página y vuelve a mirar las cookies. Las que necesitan consentimiento no deberían estar.
5. Busca el enlace para cambiar la configuración y comprueba que reabre el panel.

Las cookies de analítica y publicidad suelen tener nombres reconocibles que empiezan por _ga o _fbp, entre otros. Si aparecen antes de aceptar o después de rechazar, el banner no está bloqueando lo que debe.

El diagnóstico gratuito de XEVIA revisa desde fuera qué cookies y servicios de terceros carga tu web. Para los textos legales, puedes ver cómo lo hacemos en nuestra propia política de cookies.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.