Aviso de cookies obligatorio en España: qué dice la ley

10 de agosto de 2026 · 7 min de lectura

Casi todas las webs pequeñas tienen un banner de cookies, y buena parte de ellos no cumple. Otras lo ponen sin necesitarlo. Esto es lo que exige realmente la norma española y cómo saber en qué caso estás.

Qué norma se aplica

En España la referencia es el artículo 22.2 de la LSSI (Ley de Servicios de la Sociedad de la Información), junto con el RGPD para el tratamiento de datos personales. La Agencia Española de Protección de Datos (AEPD) publica una guía sobre cookies que es la que usan en sus inspecciones.

Cuándo NO necesitas pedir consentimiento

Este es el punto que más se malinterpreta. Hay cookies exentas, y para ellas no hace falta banner. La propia AEPD desaconseja pedir permiso para estas, porque acostumbra a la gente a aceptar sin leer:

• Cookies de sesión: las que mantienen al usuario identificado.
• Cookies de seguridad: las que evitan ataques o fraude.
• Cookies de personalización cuando es el usuario quien elige: idioma, tema claro u oscuro.
• Reparto de carga entre servidores.

Si tu web solo usa cookies de este tipo, no necesitas banner. Sí tienes que informar en una página de política de cookies, pero no pedir permiso.

Cuándo SÍ es obligatorio

Necesitas consentimiento previo en cuanto aparece cualquiera de estas:

• Analítica que use cookies: Google Analytics es el caso más común.
• Publicidad: AdSense, píxel de Meta, remarketing.
• Redes sociales incrustadas: vídeos de YouTube, mapas con seguimiento, botones de compartir.
• Chats de terceros que guarden identificadores.

Los errores que más se repiten

Cargar las cookies antes de que acepten

El más frecuente y el más grave. Si tu web instala Google Analytics nada más abrirla y el banner solo sirve para que desaparezca el aviso, no cumple. El consentimiento tiene que ser previo: hasta que no acepten, no se carga nada.

No poder rechazar con la misma facilidad

Un banner con un botón grande de «Aceptar» y el de rechazar escondido tras dos clics no es válido. Rechazar tiene que ser tan fácil como aceptar: mismo nivel, misma visibilidad.

Los muros de cookies

Bloquear el acceso a quien no acepte solo se admite en casos muy concretos y con alternativa real. En una web de negocio corriente, no vale.

Seguir preguntando cada vez

Si el visitante rechaza, hay que respetarlo durante un tiempo razonable. Volver a preguntar en cada página es hostigar, y se interpreta como forzar el consentimiento.

Copiar la política de otra web

Se nota, y además suele quedar mal: acaba mencionando cookies que tu web no usa y omitiendo las que sí. Si listas cookies que no tienes, estás informando en falso.

Qué pasa si no cumples

La LSSI clasifica el incumplimiento del artículo 22.2 como infracción leve o grave según el caso, con sanciones que pueden llegar a 30.000 euros en las leves y bastante más en las graves. En la práctica, a un negocio pequeño rara vez le llega una inspección de oficio: lo habitual es que todo empiece con la denuncia de un particular.

Ese es el punto que conviene entender: no depende de tu tamaño, depende de que alguien se moleste en denunciarte.

Cómo comprobar tu web en dos minutos

1. Abre tu web en una ventana de incógnito.
2. Antes de tocar el banner, abre las herramientas del navegador (F12) y mira la pestaña de cookies o almacenamiento.
3. Si ya hay cookies de analítica o publicidad antes de aceptar, no cumples.
4. Comprueba que existe un botón de rechazar tan visible como el de aceptar.
5. Comprueba que la política de cookies enumera las que de verdad usas.

La solución más simple

Si tu web es de un negocio pequeño y solo necesita analítica, existe una salida limpia: usar una herramienta de medición que no utilice cookies. Las hay que cuentan visitas sin almacenar nada en el navegador del visitante, y entonces no hace falta banner en absoluto.

Menos fricción para quien te visita, una cosa menos que puede estar mal, y ningún banner tapando la pantalla.