Banner de cookies conforme a la AEPD 2026

Tienes un banner de cookies puesto desde hace años, alguien te ha dicho que ya no vale, y tu miedo real es sencillo: que al arreglarlo se te caiga la analítica y te quedes sin saber de dónde vienen tus clientes. Es un miedo razonable, pero la solución no es no tocarlo. En este artículo tienes qué debe tener un banner válido según la guía de la Agencia Española de Protección de Datos, cómo comprobar tú mismo si tu web carga cookies antes del consentimiento (es el fallo que invalida todo lo demás) y qué guardar como prueba.

Y una cosa por delante, porque cambia la conversación: un banner bien hecho no te deja sin datos. Te deja sin los datos de quien ha dicho que no, que es exactamente lo que la norma quiere. Con el resto sigues midiendo, y hay formas de medir lo básico sin cookies.

Aviso: guía práctica, no asesoramiento jurídico.

Qué cambió con la guía de la AEPD y por qué tu banner antiguo ya no vale

La obligación de fondo no es nueva: viene del artículo 22.2 de la LSSI-CE, que exige consentimiento informado antes de instalar cookies que no sean estrictamente necesarias. Lo que ha ido cambiando es qué se considera consentimiento válido, a medida que la AEPD ha actualizado su guía sobre cookies alineándola con los criterios europeos.

Los cambios que dejan obsoletos la mayoría de banners viejos:

Seguir navegando ya no es aceptar. El clásico «al continuar navegando aceptas el uso de cookies» dejó de ser válido. Hace falta un acto afirmativo claro.
Cerrar el banner con la X no es aceptar. Si el usuario cierra el aviso sin pronunciarse, no hay consentimiento y no puedes instalar nada.
Rechazar tiene que ser igual de fácil que aceptar, en la misma capa y con el mismo esfuerzo. Un botón «Aceptar todo» grande y verde frente a un enlace pequeño y gris que abre un panel con veinte interruptores no cumple: eso es un patrón engañoso.
Sin acción, no hay cookies. Mientras el usuario no decida, tu web solo puede cargar lo estrictamente necesario.
Retirar el consentimiento tiene que ser tan fácil como darlo, con un acceso permanente en la web.

Si tu banner solo tiene un botón de «Aceptar» y un enlace a la política, está desactualizado por definición. Y si además la analítica arranca antes de pulsar nada, el banner es decorativo.

Primera capa: información mínima y botones de aceptar, rechazar y configurar

La primera capa es la ventana que ve el visitante al entrar. Tiene que caber en ella, sin obligar a leer la política entera:

Quién es el responsable de la web y que se usan cookies.
Para qué se usan, por categorías comprensibles: técnicas, de preferencias, de análisis, de publicidad y personalización.
Si hay terceros instalando cookies y quiénes son (al menos las categorías o los principales).
Si va a haber elaboración de perfiles.
Cómo aceptar, cómo rechazar y cómo configurar.
Un enlace visible a la política de cookies completa, que es uno de los textos legales obligatorios, con el detalle cookie por cookie.

Los tres botones

La configuración que funciona y no da problemas es la de tres acciones al mismo nivel: Aceptar todas, Rechazar todas y Configurar. Los dos primeros deben tener el mismo peso visual: mismo tamaño, mismo tipo de elemento, contraste comparable. No hace falta que sean idénticos en color, pero sí que un usuario con prisa vea las dos opciones a la vez.

La segunda capa

Es el panel de configuración granular. Ahí van los interruptores por categoría, con las categorías no necesarias desactivadas por defecto. Si abres el panel y la analítica ya viene marcada, no estás pidiendo consentimiento: estás pidiendo que te lo quiten.

Muros de cookies: cuándo son admisibles y cuándo no

Un muro de cookies es bloquear el acceso a la web a quien no acepte. La postura actual es que no está prohibido de forma absoluta, pero solo se sostiene si el usuario tiene una alternativa real y equivalente: por ejemplo, acceder al mismo contenido mediante un pago razonable y proporcionado, o mediante un registro con datos mínimos.

Traducido a una pyme española: si tienes una web corporativa, una tienda o un blog de empresa, el muro de cookies no es para ti. No tienes alternativa equivalente que ofrecer, y sin alternativa el consentimiento no es libre. Ese modelo tiene sentido en medios de comunicación con suscripción, y aun así está bajo escrutinio. Si alguien te lo propone como solución rápida, te está metiendo en un problema mayor del que resuelve.

Cookies exentas de consentimiento: cuáles lo están de verdad

Solo están exentas las cookies estrictamente necesarias para la comunicación o para prestar un servicio que el usuario ha solicitado expresamente. En la práctica, eso incluye:

Cookies de sesión y autenticación: en WordPress, las wordpress_logged_in_* y wp-settings-* de un usuario que ha iniciado sesión.
Cookies de seguridad para detectar intentos de acceso fallidos o proteger formularios.
El carrito de la compra: en WooCommerce, woocommerce_cart_hash, woocommerce_items_in_cart y la cookie de sesión.
Preferencias de interfaz que el usuario ha elegido: idioma, moneda, modo oscuro.
Reparto de carga entre servidores.
La propia cookie que guarda tu elección sobre cookies.

Y lo que no está exento, por mucho que se repita lo contrario:

La analítica no está exenta. Ni Google Analytics, ni las alternativas con cookies, ni el mapa de calor. Es la confusión más extendida. Merece su propio artículo: cómo queda Google Analytics frente al RGPD en España.
Los píxeles publicitarios y las cookies de remarketing.
Los vídeos incrustados de YouTube o Vimeo, que instalan cookies al cargar el reproductor. Para YouTube existe la opción de dominio sin cookies, que reduce el problema pero no lo elimina del todo.
Los mapas incrustados, los widgets de reseñas y los botones sociales.
El chat de soporte de terceros.

Hay un caso fronterizo que conviene conocer: las fuentes tipográficas cargadas desde un servidor externo no instalan cookies, pero sí envían la dirección IP del visitante a un tercero antes de que este acepte nada. La solución técnica es simple y no rompe nada: servir las fuentes desde tu propio dominio.

Bloqueo previo: el fallo técnico que invalida todo el banner

Este es el punto de todo el artículo. Puedes tener el banner más bonito del mercado, con sus tres botones y su segunda capa, y estar incumpliendo igual, porque la mayoría de los banners solo informan: no bloquean.

El bloqueo previo significa que los scripts que instalan cookies no se ejecutan hasta que el usuario acepta. No es lo mismo que «poner el banner encima». Si el código de analítica está pegado en el <head> del tema o metido a mano en header.php, se ejecuta con la página, banner o no banner.

Cómo suele estar mal montado en un WordPress típico:

El código de seguimiento va en Apariencia → Editor de temas → header.php, o en el campo de «scripts en la cabecera» de un plugin de SEO o del tema.
El plugin de cookies está en modo «solo aviso» porque el modo de bloqueo automático es de la versión de pago.
Se usa Google Tag Manager pero sin modo de consentimiento, así que las etiquetas disparan al cargar.
Los vídeos y mapas están incrustados directamente en el contenido, y ningún plugin de cookies los toca si no tiene bloqueo de iframes.

La forma correcta: que sea la herramienta de consentimiento la que dispare los scripts, marcando esos scripts como bloqueados hasta que la categoría correspondiente se acepte, y sustituyendo los vídeos y mapas por un marcador que solo carga el iframe tras el consentimiento.

Cómo comprobar tú mismo si tu web carga cookies antes del consentimiento

Esto lo puedes hacer en cinco minutos sin ser técnico, y es la comprobación que más te va a decir:

Abre una ventana de incógnito (Ctrl+Mayús+N en Chrome) para no arrastrar tu consentimiento anterior.
Entra en tu web y no toques el banner. Ni aceptar, ni rechazar, ni cerrar.
Pulsa F12 para abrir las herramientas de desarrollo.
Ve a la pestaña Application (o «Aplicación») y, en la columna izquierda, despliega Storage → Cookies y selecciona tu dominio.
Mira la lista. Si ves nombres como _ga, _ga_XXXX, _gid, _gcl_au, _fbp o _clck, tienes analítica o publicidad cargando sin consentimiento.
Ahora ve a la pestaña Network, recarga la página con el banner sin tocar y filtra por palabras como google-analytics, googletagmanager, facebook, doubleclick, youtube o fonts.googleapis. Cada resultado es una conexión que se está haciendo antes de que nadie diga que sí.

Repite la prueba pulsando Rechazar todas y vuelve a mirar: después de rechazar, la lista no debería crecer. Y repítela en una página interior y en una entrada del blog con un vídeo incrustado, que es donde suele aparecer lo que la portada no enseña.

Qué guardar como prueba del consentimiento y durante cuánto tiempo

El RGPD te obliga a poder demostrar que la persona consintió. Con las cookies eso se traduce en guardar, para cada consentimiento:

Un identificador de la persona o del navegador, sin necesidad de identificarla por nombre.
Fecha y hora del consentimiento.
Qué categorías aceptó y cuáles rechazó.
La versión del texto y del banner que se le mostró. Este es el campo que casi nadie guarda y el que de verdad prueba algo: sin él no puedes demostrar qué aceptó.
El método (botón de aceptar todo, configuración granular).

Sobre la duración: la normativa no fija un plazo cerrado, pero el criterio es que el consentimiento no puede ser eterno y debe renovarse con una periodicidad razonable. La referencia que se maneja habitualmente en el sector es no dejar pasar más de 24 meses sin volver a preguntar, y volver a preguntar siempre que cambies las finalidades o añadas un proveedor nuevo. Los registros de consentimiento conviene conservarlos mientras el consentimiento esté vigente y después durante los plazos de prescripción aplicables, por si tienes que acreditarlo.

Ten en cuenta también que las cookies son, con diferencia, el bloque donde más reclamaciones acaban en expediente contra webs pequeñas en España, precisamente porque cualquiera puede comprobarlo desde fuera sin acceso a nada. Si quieres ver los patrones que se repiten, los hemos recopilado en el repaso de sanciones de la AEPD a pymes y por qué se pusieron. Y el mapa completo de qué normas te aplican está en la guía de normativa de protección de datos y ciberseguridad para pymes.

Hasta dónde puedes llegar tú y cuándo conviene ayuda

Sé honesto contigo mismo con este reparto. Puedes hacerlo tú: configurar los tres botones, dejar las categorías desmarcadas por defecto, quitar el código de seguimiento del header.php y meterlo en la herramienta de consentimiento, servir las fuentes desde tu dominio y hacer la comprobación con F12. Son un par de horas.

Conviene ayuda si tienes tienda con varias pasarelas y píxeles de campaña, si dependes de Tag Manager con muchas etiquetas montadas por una agencia que ya no está, o si ya te ha llegado una reclamación. En ese último caso, además, no toques nada sin dejar constancia del estado anterior.

Lo que no tiene sentido es pagar una cuota mensual indefinida por un banner: se configura una vez, se revisa cuando cambias de herramientas y ya está.

Cuando lo hayas ajustado, vuelve a mirarlo desde fuera con ojos limpios, que es como lo verá quien reclame. Escanea tu web gratis y mira qué se carga antes del consentimiento: no hace falta registro y no se toca nada de tu web.

Seguir leyendo en esta sección

Ver todo en Cookies y textos legales → · Mapa completo del sitio