Si diriges una pequeña empresa, tu banner de cookies suele ser lo primero que ve un visitante. También es una de las primeras cosas que miramos cuando auditamos un sitio web. Cualquiera puede comprobarlo en segundos, y las autoridades europeas de protección de datos han revisado banners en acciones coordinadas.
La mayoría de los problemas de los banners son decisiones de diseño, no acertijos jurídicos. Estos son los cinco errores que revisamos primero, qué dice la ley y cómo corregir cada uno.
Primero, las reglas en un minuto
Aquí funcionan juntas dos normas:
- Directiva ePrivacy, artículo 5, apartado 3 exige consentimiento antes de almacenar o leer información en el dispositivo de un usuario, como cookies, píxeles o almacenamiento local. La excepción es todo lo estrictamente necesario para prestar un servicio que el usuario ha solicitado expresamente, o necesario únicamente para transmitir una comunicación.
- RGPD define qué es un consentimiento válido. El artículo 4, punto 11, exige una “manifestación de voluntad libre, específica, informada e inequívoca”, dada “mediante una declaración o una clara acción afirmativa”. El artículo 7 añade condiciones, entre ellas que debes poder demostrar el consentimiento y que retirarlo debe ser tan fácil como darlo.
Error 1: casillas premarcadas o consentimiento “implícito”
Qué aspecto tiene: interruptores de analítica y marketing que ya están activados, o un banner que dice “Si continúas navegando, aceptas las cookies.”
Qué exige la ley: El considerando 32 del RGPD establece con claridad que “el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento”. El Tribunal de Justicia de la UE lo confirmó para las cookies en Planet49 (C-673/17, sentencia de 1 de octubre de 2019): una casilla premarcada que el usuario debe desmarcar para rechazar no da un consentimiento válido. El Tribunal también declaró que esto se aplica con independencia de que la información almacenada en el dispositivo sean o no datos personales, y que los usuarios deben ser informados de cuánto duran las cookies y de si terceros pueden acceder a ellas.
Las Directrices 05/2020 del Comité Europeo de Protección de Datos (CEPD) sobre el consentimiento van más allá: seguir utilizando un sitio web no es una indicación de consentimiento, y desplazarse o deslizar “en ningún caso” cumple el requisito de una acción afirmativa clara.
Cómo corregirlo:
- Deja todas las categorías no esenciales desactivadas por defecto.
- Elimina cualquier fórmula del tipo “al continuar usando este sitio”.
- Activa las etiquetas no esenciales solo después de un clic claro en “Aceptar” o en una categoría concreta.
- En tu banner o política de cookies, indica la finalidad, la duración y los terceros de cada categoría.
Error 2: no hay un “Rechazar todo” equivalente en la primera capa
Qué aspecto tiene: un botón grande “Aceptar todo” junto a “Configuración” o “Gestionar preferencias”. Para rechazar, el visitante tiene que abrir una segunda pantalla y desactivar las opciones una por una.
Qué exige la ley: el consentimiento debe ser libre, y rechazar no debe requerir más esfuerzo que aceptar. En el informe del Grupo de Trabajo del CEPD sobre banners de cookies (adoptado el 17 de enero de 2023), la gran mayoría de las autoridades consideraron que no ofrecer una opción de rechazo en la misma capa que la de aceptación infringe el artículo 5, apartado 3, de la Directiva ePrivacy. Algunos reguladores nacionales, como la CNIL francesa, ya habían adoptado esta posición en sus propias guías y sanciones.
Cómo corregirlo:
- Pon “Rechazar todo” (o “Rechazar no esenciales”) en la primera capa, junto a “Aceptar todo”.
- Mantén “Personalizar” como tercera opción si quieres, pero nunca como única vía para decir que no.
- Compruébalo en el móvil, donde los botones suelen apilarse u ocultarse.
Error 3: cookies instaladas antes del consentimiento
Qué aspecto tiene: el banner parece perfecto, pero al abrir las herramientas de desarrollador del navegador en la primera carga, las cookies de analítica, publicidad o redes sociales ya están ahí antes de que nadie haga clic.
Qué exige la ley: el artículo 5, apartado 3, exige el consentimiento antes de almacenar información en el dispositivo o acceder a ella, salvo que se aplique la exención para cookies estrictamente necesarias. Un banner que pide consentimiento después de que los rastreadores ya se hayan cargado es pura decoración. Según el artículo 7, apartado 1, del RGPD, también debes poder demostrar que se obtuvo el consentimiento.
Cómo corregirlo:
- Carga primero tu herramienta de consentimiento y bloquea todos los scripts no esenciales hasta que se dé el consentimiento. La mayoría de las plataformas de gestión del consentimiento lo permiten, pero hay que configurarlo.
- Revisa también el contenido incrustado: vídeos de YouTube, mapas, widgets de chat y botones sociales suelen instalar cookies por su cuenta.
- Pruébalo tú mismo. Abre una ventana privada, carga el sitio y mira las cookies y las solicitudes de red antes de hacer clic en nada. Después pulsa “Rechazar todo” y vuelve a comprobar.
- Guarda un registro de las decisiones de consentimiento (marca de tiempo, versión del banner, opciones elegidas) para poder demostrar el consentimiento si te lo piden.
Error 4: patrones oscuros en colores y diseño
Qué aspecto tiene: un botón “Aceptar” brillante y de alto contraste y un enlace “Rechazar” gris pálido. O una opción de rechazo escrita en letra pequeña dentro de un párrafo. O un banner que se cierra al pulsar la X y lo cuenta en silencio como consentimiento.
Qué exige la ley: el informe del Grupo de Trabajo aborda varias de estas prácticas. Las autoridades acordaron que no pueden imponer un color o contraste estándar a todos los sitios web. En su lugar, cada banner se evalúa caso por caso para ver si su diseño es manifiestamente engañoso. El informe también enumera prácticas que pueden invalidar el consentimiento, como una opción de rechazo mostrada solo como un enlace dentro del texto y un diseño de botones engañoso. Las Directrices 03/2022 del CEPD sobre patrones de diseño engañosos (escritas para plataformas de redes sociales, pero útiles para entender cómo piensan los reguladores) describen tácticas como “skipping”, “hindering” y “stirring”, que empujan a los usuarios hacia una elección.
Cómo corregirlo:
- Da a “Aceptar todo” y “Rechazar todo” el mismo tamaño, forma y peso visual.
- Usa etiquetas de botón claras. Evita trucos como “No, gracias, no me gusta el mejor contenido”.
- No trates el cierre del banner como consentimiento.
Error 5: retirar el consentimiento es más difícil que darlo
Qué aspecto tiene: aceptar requiere un clic en la página de inicio, pero cambiar de opinión supone buscar un enlace escondido al final de la política de privacidad, o escribir un correo a la empresa.
Qué exige la ley: el artículo 7, apartado 3, del RGPD es muy claro: “Será tan fácil retirar el consentimiento como darlo.” Además, se debe informar a la persona de este derecho antes de que dé su consentimiento. Las directrices del CEPD sobre el consentimiento añaden que, cuando el consentimiento se da con un clic, un deslizamiento o una pulsación de tecla, las personas deben poder retirarlo en la práctica con la misma facilidad, a través de la misma interfaz.
Cómo corregirlo:
- Añade una forma permanente y fácil de encontrar de reabrir la configuración de cookies, como un pequeño icono flotante o un enlace claro “Configuración de cookies” en el pie de todas las páginas.
- Haz que la retirada surta efecto de inmediato: detén las etiquetas y elimina o caduca las cookies no esenciales cuando puedas.
- Indica en la primera capa del banner que las personas pueden cambiar su decisión en cualquier momento, y dónde.
Una comprobación rápida antes de darlo por terminado
Cuando auditamos un sitio, revisamos en este orden: estado por defecto, primera capa, actividad antes de un clic, diseño de los botones y, por último, la retirada. Puedes hacer lo mismo en una ventana de navegación privada.
Si prefieres una primera mirada rápida, prueba la auditoría con IA gratuita de 30 segundos de GDPRGard. Sin registro. Y si quieres saber qué está en juego, nuestra calculadora gratuita de riesgo de multa te da una idea aproximada de tu exposición.
Preguntas frecuentes
¿Necesito un banner de cookies si solo uso cookies “esenciales”?
Las cookies estrictamente necesarias para un servicio solicitado por el usuario (por ejemplo, un carrito de la compra o una sesión de inicio de sesión) están exentas de consentimiento según el artículo 5, apartado 3, de la Directiva ePrivacy. Las cookies de analítica y publicidad no suelen considerarse estrictamente necesarias.
¿Basta con “Aceptar” más “Configuración”?
Por lo general, no. Según el informe del Grupo de Trabajo del CEPD sobre banners de cookies, la mayoría de las autoridades europeas consideran que la primera capa debe ofrecer una forma de rechazar tan accesible como la de aceptar.
¿Puedo usar un “muro de cookies” que bloquee el sitio hasta que la gente acepte?
Las Directrices 05/2020 del CEPD establecen que condicionar el acceso a un contenido a la aceptación de cookies no produce un consentimiento libre. Las normas y orientaciones nacionales pueden diferir en los detalles, así que consulta al regulador de tu país.
¿Se aplica la norma de consentimiento de cookies aunque las cookies no contengan datos personales?
Sí. En Planet49, el Tribunal de Justicia declaró que el requisito de consentimiento del artículo 5, apartado 3, se aplica a la información almacenada en el dispositivo del usuario, sean o no datos personales.
¿Cada cuánto debo revisar mi banner?
Revísalo siempre que añadas una nueva herramienta, plugin o etiqueta de seguimiento, y tras las actualizaciones de tu plataforma de consentimiento. Las comprobaciones periódicas también ayudan.
Fuentes
- GDPR, Regulation (EU) 2016/679, Articles 4(11), 7 and Recital 32, EUR-Lex
- ePrivacy Directive 2002/58/EC, Article 5(3), as amended by Directive 2009/136/EC, EUR-Lex
- CJEU, Case C-673/17, Planet49, Grand Chamber judgment of 1 October 2019, CURIA
- CJEU, Case C-673/17, Planet49, EUR-Lex
- EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 (adopted 4 May 2020)
- EDPB, Report of the work undertaken by the Cookie Banner Taskforce (adopted 17 January 2023)
- EDPB, Guidelines 03/2022 on deceptive design patterns in social media platform interfaces (v2.0, 14 February 2023)
- CNIL: EDPB adopts final report of outcome of the cookie banner task force (18 January 2023)
Este artículo es solo informativo y no constituye asesoramiento jurídico. Las normas nacionales que transponen la Directiva ePrivacy varían entre los Estados miembros de la UE, así que consulta las orientaciones de tu regulador local o habla con un profesional cualificado sobre tu situación concreta.
Lee también:
- ¿Está mi pequeña empresa obligada a cumplir el RGPD?
- Multa de 403 M€ a Google: los datos de ubicación de tu app son los siguientes
- El CEPD acaba de estandarizar cómo cada autoridad calcula su multa