Política de cookies: qué debe incluir (con ejemplo y plantilla)

La política de cookies es la página de una web que explica qué cookies y tecnologías similares usa, para qué sirve cada una, quién las gestiona, cuánto duran y cómo aceptarlas, rechazarlas o cambiar de opinión. Es la «segunda capa» del aviso de cookies: el banner resume y la política detalla. La base legal es el artículo 22.2 de la Ley 34/2002 (LSSI-CE), y su contenido lo concreta la Guía sobre el uso de las cookies de la AEPD.

En esta guía repasamos qué debe incluir, te dejamos una plantilla con huecos para completar y te contamos cómo comprobar que lo que dice tu política coincide con lo que hace tu web.

Qué es y qué norma la exige

El artículo 22.2 de la LSSI-CE permite usar dispositivos de almacenamiento y recuperación de datos en el equipo de quien navega, como las cookies, solo si esa persona ha dado su consentimiento después de recibir información clara y completa sobre su uso y, en particular, sobre sus fines. La política de cookies es el lugar donde se da esa información completa.

La obligación no se limita a las cookies. La guía de la AEPD habla de «cookies y tecnologías similares», y el Comité Europeo de Protección de Datos, en sus Directrices 2/2023 sobre el ámbito técnico del artículo 5.3 de la Directiva sobre privacidad electrónica, aclara que también pueden quedar incluidas técnicas como los píxeles de seguimiento o el almacenamiento local del navegador.

En julio de 2023 la AEPD actualizó su guía para adaptarla a las directrices europeas y fijó el 11 de enero de 2024 como fecha límite para aplicar los nuevos criterios. La versión publicada en su web está fechada en mayo de 2024.

¿Mi web necesita una?

Si tu web solo usa cookies técnicas exceptuadas, como las que mantienen la sesión o recuerdan la cesta de la compra, no necesitas pedir consentimiento para ellas. Aun así, conviene informar también de ellas: una política breve evita dudas a quien visita la web.

Si usas cookies de análisis, de publicidad o de personalización que decides tú, o incrustas servicios de terceros que las instalan (vídeos, mapas, redes sociales, chats), la política es imprescindible. Son casos muy habituales: un vídeo de YouTube incrustado en modo normal o una herramienta de estadísticas ya bastan.

Qué debe incluir

La guía de la AEPD (apartado 3.1.1) enumera lo que debe contener la política de cookies:

1. Qué son las cookies y para qué sirven en general, en lenguaje sencillo.
2. Qué tipos de cookies usa la web y con qué finalidad: técnicas, de análisis, publicitarias, de personalización.
3. Quién las usa: si solo tu empresa o también terceros, identificando a esos terceros. La guía admite que el detalle de cada tercero se muestre con un botón desplegable, siempre que sea fácil de consultar.
4. Cómo aceptar, rechazar o retirar el consentimiento con el sistema de configuración de la propia web. Si una vez aceptadas las cookies de terceros tu sistema no puede eliminarlas, hay que explicar cómo hacerlo desde el navegador o desde el sistema del tercero.
5. Transferencias internacionales, si las hay, con el país y la garantía que las permite. Para las que hagan terceros vale remitir a su información.
6. Decisiones automatizadas con efectos jurídicos o similares, si la elaboración de perfiles las implica, con la lógica aplicada.
7. Cuánto tiempo se conservan los datos para cada finalidad.

Para el resto de la información del artículo 13 del RGPD que no es propia de las cookies, como los derechos de las personas, la guía permite remitir a la política de privacidad.

Además, la política debe estar disponible de forma permanente: lo normal es enlazarla desde el banner y desde el pie de todas las páginas.

El inventario: la parte que más se descuida

Antes de escribir, la guía de la AEPD recomienda revisar qué cookies usa de verdad la web: si son propias o de terceros, de sesión o persistentes, y para qué sirve cada una. Y repetir esa revisión de forma periódica, porque las webs cambian.

Para cada cookie o grupo de cookies, conviene anotar:

• Nombre (por ejemplo, _ga).
• Quién la gestiona: tu empresa o el tercero.
• Finalidad en una frase que se entienda.
• Duración.
• Si necesita consentimiento o es técnica exceptuada.

Así lo hacemos en la política de cookies de XEVIA, enlazada en el pie de esta página, que puedes usar como ejemplo real.

Ejemplo de política de cookies

Esta plantilla es genérica. Sustituye los textos entre comillas y en cursiva por los datos reales de tu web y elimina los apartados «si procede» que no se apliquen. Solo es válida si refleja lo que tu web instala de verdad.

Política de cookies

Qué son las cookies. Este sitio web utiliza cookies y tecnologías similares que almacenan y recuperan información cuando navegas. En general, sirven para fines muy diversos, como reconocerte, obtener información sobre tu navegación o personalizar cómo se muestra el contenido. A continuación te explicamos los usos concretos que hacemos de ellas.

Quién las utiliza. «Nombre de la empresa», titular de esta web, y los terceros que se indican en cada caso.

Cookies técnicas (no necesitan tu consentimiento).

• «nombre de la cookie» · propia · «para qué sirve, por ejemplo: mantener la sesión o la cesta de la compra» · duración: «sesión o plazo».

Cookies de análisis (solo con tu consentimiento) (si procede).

• «nombre de la cookie» · de «nombre del tercero» · «para qué sirve, por ejemplo: contar visitas y saber qué páginas se consultan» · duración: «plazo».

Cookies publicitarias (solo con tu consentimiento) (si procede).

• «nombre de la cookie» · de «nombre del tercero» · «para qué sirve, por ejemplo: mostrarte anuncios según un perfil elaborado a partir de tu navegación» · duración: «plazo».

Transferencias internacionales (si procede). «Tercero» puede tratar datos en «país» con la garantía de «decisión de adecuación u otra garantía». Más información en «enlace a la información del tercero».

Cómo aceptar, rechazar o cambiar tu elección. Al entrar en la web puedes aceptar todas las cookies, rechazarlas o configurarlas por finalidades. Puedes cambiar tu elección en cualquier momento desde «nombre del enlace, por ejemplo: Preferencias de cookies», en el pie de cada página. Si aceptas cookies de terceros y después quieres eliminarlas, puedes hacerlo también desde la configuración de tu navegador o desde el sistema que ofrezca cada tercero.

Tus derechos. Puedes consultar el resto de la información sobre el tratamiento de tus datos y cómo ejercer tus derechos en la «política de privacidad (enlace)».

Cambios. Si cambian las finalidades o los terceros, actualizaremos esta política y te pediremos de nuevo tu decisión. Última actualización: «fecha».

Lo que la política no puede arreglar

Una política perfecta no sirve si el banner no funciona. La AEPD exige que el banner permita rechazar con la misma facilidad que aceptar, que no se instalen cookies no exentas antes de decidir y que retirar el consentimiento sea tan fácil como darlo. La guía también considera buena práctica que el consentimiento para una cookie no dure más de 24 meses. Todo esto lo explicamos en la guía sobre el banner de cookies según la AEPD.

Errores frecuentes

• Una política genérica copiada que habla de cookies que la web no usa y omite las que sí usa.
• Sin nombres de terceros: decir «cookies de terceros» sin identificar quiénes son.
• Un inventario desactualizado: se añadió un chat, un píxel de publicidad o un vídeo y nadie tocó la política.
• Mandar al navegador como única opción para rechazar o retirar el consentimiento.
• Decir que seguir navegando es aceptar. La guía recuerda que, según el Comité Europeo de Protección de Datos, no es una forma válida de consentir.
• Esconderla: solo enlazada desde el banner, que desaparece en cuanto se pulsa un botón.
• Mezclarla con la política de privacidad sin un apartado separado y fácil de encontrar.

Qué riesgo hay

Según los artículos 38 y 39 de la LSSI-CE, usar cookies sin informar o sin obtener el consentimiento en los términos del artículo 22.2 es una infracción leve, con multa de hasta 30.000 euros. Si se reincide y así se ha declarado por resolución firme en los tres años anteriores, pasa a ser grave: de 30.001 a 150.000 euros. Quien sanciona estas infracciones es la AEPD (artículo 43). Puedes ver el resto de normas en vigor en el Observatorio normativo de XEVIA.

Cómo comprobar la tuya

1. Abre tu web en una ventana privada y, sin pulsar nada en el banner, mira qué cookies hay con las herramientas para desarrolladores del navegador (tecla F12, pestaña de almacenamiento o aplicación).
2. Acepta todo, navega por varias páginas y vuelve a mirar. Anota cada cookie nueva.
3. Compara esa lista con tu política: cada cookie debería aparecer, con su tercero, su finalidad y su duración.
4. Comprueba que la política se abre desde el banner y desde el pie, y que el enlace para cambiar la elección funciona.

La herramienta para comprobar las cookies de tu web y el diagnóstico gratuito de XEVIA te dan una primera lectura automática. El diagnóstico revisa la página de inicio desde fuera: detecta herramientas de seguimiento sin un gestor de consentimiento visible, scripts que se cargan sin esperar al consentimiento, cookies de analítica o publicidad que se instalan en la primera visita, vídeos de YouTube en modo normal y si la portada enlaza una política de cookies. Es orientativo: no pulsa los botones del banner ni recorre el resto de páginas, y no lee el contenido de la política.

Preguntas frecuentes

¿Las cookies de análisis necesitan consentimiento?

Sí. La guía de la AEPD indica que no están exentas, aunque reconoce que, si son propias y tratan datos agregados con fines estadísticos, es poco probable que supongan un riesgo para la privacidad.

¿Sirve un generador automático de políticas de cookies?

Puede ayudarte a empezar, pero la política tiene que describir las cookies concretas de tu web. Revisa el resultado con el inventario que hayas hecho tú.

¿Tengo que volver a pedir el consentimiento si cambio algo?

Si cambian las finalidades o los terceros que usan las cookies, la guía indica que hay que actualizar la política y permitir que cada persona tome una nueva decisión.

¿Dónde encaja esto con el resto de textos legales?

La política de cookies convive con el aviso legal y la política de privacidad. Te lo explicamos todo junto en la guía sobre los requisitos legales de una página web, y la parte de datos personales en la guía sobre qué debe incluir la política de privacidad.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.