El banner de cookies no es obligatorio por sí mismo. Lo obligatorio, según el artículo 22.2 de la LSSI, es no usar cookies que no sean imprescindibles hasta que el visitante, informado, las acepte. Con solo cookies técnicas, no hay nada que pedir. Si tu web lleva un píxel publicitario o una analítica que hace más que contar visitas, sí, y el banner es cómo se pide.
Quizá alguien de tu equipo quiera quitar el aviso porque estorba, o un proveedor te ofrezca uno «que cumple». Para decidir, separa lo que dice la ley de lo que añade la Agencia Española de Protección de Datos (AEPD). Como en nuestra serie sobre normativa web en España, de la accesibilidad a la web corporativa, cada afirmación va con su fuente.
La ley no habla de banners
El artículo 22.2 de la Ley de Servicios de la Sociedad de la Información (LSSI) permite usar cookies «a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización». Dos requisitos, en ese orden. Ni una palabra sobre avisos o botones.
El mismo apartado fija las excepciones: lo anterior «no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario».
En llano: queda fuera lo que hace falta para que la página llegue a la pantalla y lo imprescindible para algo que el visitante ha pedido. La Guía sobre el uso de las cookies de la AEPD pone ejemplos: recordar lo que lleva un pedido, gestionar el pago o guardar el idioma elegido al pulsar una bandera. Si todas tus cookies son de ese tipo, concluye, «no será necesario que informe de su utilización ni que obtenga el consentimiento».
Esa es la web que puede prescindir del banner, aunque la guía recomienda mencionarlas, al menos de forma genérica, en la política de cookies o en la de privacidad.
Dos matices. La norma no dice «cookies», sino «dispositivos de almacenamiento y recuperación de datos», y la guía incluye los píxeles invisibles y la huella digital del dispositivo: cambiar la cookie por un píxel no te saca de la ley. Y si vendes a empresas, también te aplica: la LSSI llama destinatario a la «persona física o jurídica que utiliza, sea o no por motivos profesionales» el servicio (anexo).
La guía no es ley, pero la escribe quien sanciona
La guía se presenta como «orientaciones sobre cómo cumplir» el artículo 22.2. No es una norma, pero es el criterio de quien, según el artículo 43, sanciona estas infracciones. Su versión vigente es de mayo de 2024, pero el cambio que más afecta al banner es de 2023.
El 11 de julio de 2023, la AEPD anunció que aceptar y rechazar «deben estar al mismo nivel, sin que sea más complicado rechazarlas que aceptarlas», con plazo hasta el 11 de enero de 2024 (nota de la AEPD). La guía actual lo concreta: la opción de rechazar debe ofrecerse «al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptarlas, sin remitirle a otra capa». Un «Aceptar» grande junto a un «Configurar» que esconde el rechazo dentro no pasa ese criterio.
Seguir navegando no es aceptar: si el visitante no pulsa el botón, «no está legitimado el uso de cookies». Y el aviso tiene que decir para qué son. Para describir cookies de publicidad comportamental, la guía cita como no válidas «usamos cookies para personalizar su contenido y crear una mejor experiencia para usted» y «para mejorar su navegación». Si tu banner dice eso, la AEPD ya lo ha puesto de ejemplo de lo que no vale.
Cambiar de opinión también debe ser fácil: el Reglamento General de Protección de Datos (artículo 7.3) dice que «será tan fácil retirar el consentimiento como darlo».
La analítica puede quedar fuera, por una puerta estrecha
La guía recoge que las cookies de análisis «no están exentas del deber de obtener un consentimiento informado». Pero en enero de 2024 la AEPD publicó aparte Uso de cookies para herramientas de medición de audiencia, que abre una excepción: podrían quedar exentas si miden solo la audiencia de tu web, «en nombre exclusivo del editor», para «producir datos estadísticos anónimos únicamente», sin pasar datos a terceros ni seguir al visitante por otros sitios.
Las condiciones no acaban ahí: solo las mediciones de una lista cerrada, en datos agregados; informando de ellas, por ejemplo en la política de privacidad; con cookies de vida limitada (el documento pone de ejemplo trece meses) y datos conservados veinticinco meses como máximo.
El documento avisa de que «varias ofertas de medición de audiencia disponibles en el mercado» no entran, porque declaran que reutilizan los datos, y exige un contrato que lo prohíba y una evaluación documentada. Nuestro criterio: no preguntes a tu proveedor qué herramienta usa, sino si hace algo con tus datos además de contarte las visitas. Si la respuesta es «sí» o «no lo sé», hay que pedir permiso.
Pedir permiso tiene un coste: lo que el visitante rechaza no se mide con esas cookies. Tenlo presente al juzgar si una campaña funciona.
Qué te juegas
Usar cookies sin informar o sin consentimiento «en los términos exigidos por el artículo 22.2» es infracción leve (artículo 38.4.g), con multa de hasta 30.000 euros (artículo 39). Con una resolución firme por lo mismo en los tres años anteriores, la reincidencia es grave (artículo 38.3.i): de 30.001 a 150.000 euros. Para graduar la multa cuentan, entre otros, la intencionalidad, la duración y la facturación afectada (artículo 40).
Un caso real: en el procedimiento PS/00524/2023, la inspección de la AEPD abrió las webs de una empresa «después de haber limpiado la memoria caché del navegador web y sus cookies». Había banner, y permitía rechazar. Pero tras pulsar «rechazar todas» se usaban dos cookies de terceros, una para publicidad dirigida, y la herramienta para retirar el consentimiento «no era operativa». Sanción: 30.000 euros por cada una de tres webs, con dos agravantes del artículo 40, intencionalidad y reincidencia, aunque la infracción se calificó como leve.
La lección: no basta con mirar el banner; se inspecciona lo que hace la web antes y después del clic.
La responsabilidad no se subcontrata
Tu empresa responde como titular de la web, también por las cookies de terceros que cargue: la guía le pide asegurar «que están habilitados los mecanismos que permitan su consentimiento», y la responsabilidad ante la autoridad «no es desplazable contractualmente». Qué pedir a quien mantiene tu web:
- Un inventario de cada cookie y cada servicio de terceros que carga la web, con su finalidad, revisado «periódicamente», como recomienda la AEPD.
- La prueba de la inspección: en un navegador limpio, antes de pulsar nada, solo cookies técnicas; y tras «Rechazar», ninguna más.
- Rechazar junto a aceptar, en la primera capa y con el mismo peso visual, y un enlace permanente para cambiar de opinión que funcione.
- Si la analítica va sin consentimiento, la prueba de que cumple cada condición de la AEPD: solo las mediciones de su lista, el aviso en la política de privacidad, los plazos de vida y conservación, y el contrato y la evaluación documentada si hay proveedor.
- Todas tus webs, no solo la principal: la de cada marca, país o campaña.
¿Y si cambian las reglas? En noviembre de 2025, la Comisión Europea propuso llevar las de cookies al RGPD (el llamado Digital Omnibus), según el seguimiento del Parlamento Europeo. El 21 de octubre de 2026, el Consejo de la UE fijó su posición para negociar con el Parlamento: deja las cookies en la directiva de privacidad electrónica, no en el RGPD, y con el consentimiento como regla. Es una posición de negociación, no una norma: mientras no entre en vigor un cambio, manda la LSSI.
El banner es la parte visible de una obligación que se cumple, o no, en lo que tu web carga sin que nadie lo vea. Si no sabes qué instala la tuya antes del primer clic, hablemos.
Actualizado el 12 de noviembre de 2026.
