En septiembre de 2025, la CNIL, la autoridad francesa de protección de datos, marcó un récord en un solo día: una multa de 325 millones € a Google y otra de 150 millones € a Shein — ambas por infracciones del consentimiento de cookies. ¿La infracción concreta de Google? Hacer más difícil rechazar las cookies que aceptarlas.

Esa asimetría es uno de los errores más comunes en las webs europeas. Y está ahora mismo en millones de sitios de pymes, invisible para sus dueños, perfectamente visible para los reguladores.

Los banners de cookies no son un trámite de casilla. Son un mecanismo legal para obtener un consentimiento válido bajo el RGPD y la directiva ePrivacy — y la mayoría de los que auditamos fallan en al menos dos o tres requisitos. Este artículo repasa las cinco infracciones más frecuentes, lo que la ley exige realmente y cómo corregir cada una.

Antes de llegar a los errores, conviene entender qué se exige realmente.

El consentimiento de cookies en la UE se rige por dos normas que funcionan juntas:

La directiva ePrivacy (2002/58/CE) — también llamada «ley de cookies» — exige que no se instale ninguna cookie no esencial en el dispositivo del usuario hasta que haya dado su consentimiento previo e informado.

El RGPD — establece cómo debe obtenerse ese consentimiento: libre, específico, informado e inequívoco (artículo 4.11). El silencio, la inactividad o las casillas premarcadas no cuentan (considerando 32).

El caso de referencia que definió qué significa esto en la práctica fue Planet49 (asunto C-673/17), una sentencia del Tribunal de Justicia de la UE de 2019. Planet49, una empresa alemana de juegos, usó una casilla premarcada en el registro de una lotería online para obtener consentimiento de cookies. El TJUE lo declaró inválido — se requiere un consentimiento activo y afirmativo. Esa sentencia se convirtió en la referencia de todas las acciones sancionadoras posteriores.

En febrero de 2025 se retiró formalmente el proyecto de reglamento ePrivacy — que habría sustituido a la directiva. Eso significa que la directiva y el RGPD siguen rigiendo las cookies en la UE, con cada Estado miembro aplicándolas de forma ligeramente distinta. La armonización no llegará. La aplicación, en cambio, se intensifica.

Error 1: hacer más difícil rechazar que aceptar

Es la infracción más común que vemos — y la que le costó a Google la multa de 325 millones € en 2025.

El error: El botón «Aceptar todo» es grande, prominente y de color. La opción «Rechazar» está enterrada — en un menú de ajustes, en texto gris pequeño, o requiere varios clics.

Por qué es ilegal: El artículo 7 del RGPD exige que el consentimiento sea «libre». El grupo de trabajo de banners de cookies del CEPD (creado en 2021, conclusiones publicadas en 2023) fue explícito: un botón Rechazar todo debe ser tan visible y requerir tan pocos clics como el de Aceptar todo. Un diseño asimétrico donde rechazar es más difícil que aceptar hace el consentimiento inherentemente no libre.

Cómo corregirlo: Su banner de primera capa — el que aparece al llegar al sitio — debe tener una opción Rechazar todo claramente visible, con el mismo peso visual que Aceptar todo. No en letra más pequeña. No en gris mientras Aceptar es rojo o verde. Sin tener que pulsar «Ajustes» antes de poder rechazar.

El error: Su web carga scripts de análisis, píxeles publicitarios o widgets de redes sociales en cuanto se abre la página — antes de que el visitante haya interactuado con el banner.

Por qué es ilegal: La directiva ePrivacy exige consentimiento previo . «Previo» significa antes de instalar la cookie. Si Google Analytics se dispara en cuanto alguien llega a su página, ha infringido la ley diga lo que diga su banner. Es un fallo de implementación técnica, y es extremadamente común. Muchos creadores de webs y temas de WordPress tienen este problema por defecto.

Cómo corregirlo: Su implementación de gestión del consentimiento debe bloquear todos los scripts no esenciales hasta que el usuario elija activamente. Se llama «bloqueo previo» o carga condicionada al consentimiento. La mayoría de las plataformas de gestión de cookies (CookieYes, Cookiebot, Osano, etc.) lo implementan si se configuran bien. Instalar un plugin de banner no basta — debe verificar que los scripts realmente se bloquean.

Puede probarlo usted mismo con las herramientas de desarrollo del navegador. Abra la pestaña Red, límpiela y cargue su web. Antes de pulsar nada en el banner, busque llamadas a google-analytics.com, facebook.com/tr o dominios similares. Si las ve — su banner es decorativo, no funcional.

Error 3: descripciones de finalidades vagas o ausentes

El error: El banner dice algo como «Usamos cookies para mejorar su experiencia» o «Usamos cookies para análisis y personalización» sin especificar qué significa eso en realidad.

Por qué es ilegal: El artículo 4.11 del RGPD exige que el consentimiento sea específico y informado. La sentencia Planet49 estableció además que las webs deben divulgar cuánto dura cada cookie y si terceros pueden acceder a los datos que recopila. Un lenguaje genérico vago no constituye consentimiento informado.

Cómo corregirlo: Su banner y su política de cookies enlazada deben explicar, por cada categoría:

No hace falta que sea exhaustivo en el propio banner — pero debe ser claramente accesible mediante un enlace, y el lenguaje debe ser lo bastante claro para que una persona no técnica pueda elegir de forma genuinamente informada.

Error 4: sin controles granulares por categoría

El error: El banner solo ofrece dos opciones — Aceptar todo o Rechazar todo — sin posibilidad de elegir entre categorías (necesarias, análisis, marketing, funcionales).

Por qué es un problema: Aunque un Aceptar/Rechazar binario cumple técnicamente el mínimo, las orientaciones del CEPD recomiendan encarecidamente los controles granulares, y varias autoridades nacionales (la CNIL francesa, las alemanas) han publicado guías que lo convierten en expectativa de buena práctica. Y más importante: es malo para sus usuarios. Quien aceptaría análisis pero rechazaría cookies publicitarias no tiene forma de expresarlo.

Cómo corregirlo: Estructure su consentimiento de cookies en al menos tres categorías:

Cada categoría no esencial debe tener un interruptor independiente desactivado por defecto. Los usuarios deben poder aceptar unas categorías y rechazar otras.

El error: Una vez que el usuario acepta las cookies, no hay forma evidente de cambiar de opinión o retirar el consentimiento. El banner desaparece y los ajustes quedan inaccesibles.

Por qué es ilegal: El artículo 7.3 del RGPD establece que el interesado tiene derecho a retirar su consentimiento en cualquier momento, y retirarlo debe ser tan fácil como darlo. Si aceptar costó un clic en un banner, retirar debe ser accesible con un esfuerzo similar.

Cómo corregirlo: Necesita una vía permanente y siempre accesible para gestionar las preferencias de cookies. La implementación más común es un pequeño icono de «Ajustes de cookies» o «🍪» en el pie de página que reabre el panel de consentimiento en cualquier momento. Ese enlace debe verse en todas las páginas — no solo en la portada, y no escondido en la política de privacidad.

Extra: la falacia del «seguir navegando»

Muchas webs antiguas aún muestran: «Al continuar usando este sitio, consiente nuestro uso de cookies.»

Es definitivamente inválido. La sentencia Planet49 lo abordó explícitamente. El CEPD lo confirmó. El silencio, seguir navegando y hacer scroll no son consentimiento.

Si ese texto está en su web, elimínelo de inmediato y sustitúyalo por un mecanismo de consentimiento real.

Cómo revisar su propio banner en 5 minutos

Aquí tiene una autoauditoría rápida que puede hacer ahora mismo:

  1. Abra su web en una pestaña privada/incógnito (borra las decisiones de consentimiento previas)
  2. ¿Aparece un banner de cookies? Si no — probablemente no tiene ninguno
  3. ¿Hay una opción Rechazar visible en la primera pantalla? Si requiere pulsar Ajustes primero — ese es el error 1
  4. Abra las herramientas de desarrollo → pestaña Red → cargue la página antes de pulsar nada. ¿Aparecen scripts de análisis o publicidad? — Ese es el error 2
  5. Lea el texto del banner. ¿Nombra herramientas concretas (Google Analytics, Facebook Pixel)? ¿Dice cuánto duran las cookies? — ¿No? Ese es el error 3
  6. ¿Puede seleccionar categorías individuales? ¿Solo aceptar/rechazar binario? — Ese es el error 4
  7. Tras aceptar, ¿encuentra la forma de cambiar sus preferencias? Mire el pie de página. Si no hay nada — ese es el error 5

O ejecute nuestra herramienta gratuita de auditoría RGPD y obtenga una puntuación en menos de 30 segundos.

Lo que cuesta realmente arreglarlo

La buena noticia es que la conformidad de cookies es uno de los arreglos RGPD más baratos y rápidos. La mayoría de las implementaciones se completan en media jornada:

El coste de no arreglarlo es más difícil de predecir — pero 325 millones € es una cifra que tiende a concentrar la mente.

Este artículo es informativo y no constituye asesoramiento jurídico.

Lea también:

⚠️ Este artículo es solo informativo y no constituye asesoramiento jurídico. Para situaciones de cumplimiento complejas, consulte a un profesional cualificado de protección de datos. Los requisitos del RGPD y de la Ley de IA de la UE están sujetos a orientaciones regulatorias continuas — verifique sus obligaciones actuales con su asesor legal.