Banner de cookies: cómo debe ser según la AEPD (2026)
El banner de cookies debe aparecer antes de instalar cualquier cookie que no sea técnica, explicar para qué se usan y ofrecer en la primera pantalla un botón para rechazar tan visible y fácil como el de aceptar. No valen casillas premarcadas ni «si sigues navegando, aceptas». Si tu web solo usa cookies técnicas, no necesitas banner.
El banner de cookies es la pieza legal que más se ve y la que más webs hacen mal. La AEPD actualizó su guía en 2023 para alinearla con el Comité Europeo de Protección de Datos, y desde entonces lo que antes se toleraba —un «Aceptar» enorme y un «Configurar» escondido— ya no vale. Esto es lo que tiene que tener, lo que no y cómo comprobar el tuyo en dos minutos.
Cuándo necesitas banner (y cuándo no)
Las cookies técnicas no necesitan consentimiento: las de sesión, el carrito, la seguridad, el equilibrio de carga o la que recuerda si alguien aceptó o rechazó. Sí lo necesitan la analítica (Google Analytics, por ejemplo), la publicidad, los vídeos de YouTube o las publicaciones de redes incrustadas, y los mapas o chats de terceros que instalen las suyas.
Si mides las visitas sin cookies y cargas los vídeos y mapas solo cuando alguien los pide, puedes quedarte sin banner o con uno mucho más sencillo. Es lo que hacemos en nuestra propia web.
La primera capa: lo que se ve nada más entrar
- Quién usa las cookies: si son propias o de terceros.
- Para qué: analítica, publicidad, personalización. En lenguaje normal, no en jerga.
- Un botón para aceptar y otro para rechazar, al mismo nivel y con el mismo peso visual.
- Un acceso a configurar por finalidades.
- Un enlace a la política de cookies completa.
Rechazar tan fácil como aceptar
Es la regla que más cambió. Rechazar tiene que costar el mismo número de clics que aceptar y verse igual: mismo tamaño, un color que no lo esconda, mismo sitio. Un botón azul brillante para aceptar y un enlace gris diminuto para rechazar es exactamente lo que la AEPD considera un patrón engañoso. Cerrar el banner con la X tampoco equivale a aceptar.
Lo que no vale
- Casillas de finalidades marcadas de antemano.
- «Si sigues navegando, entendemos que aceptas».
- Instalar la analítica o la publicidad antes de que la persona decida.
- Bloquear el acceso a la web a quien no acepta sin ofrecerle una alternativa real.
- Volver a preguntar en cada página a quien ya ha rechazado.
Retirar el consentimiento
Quien aceptó tiene que poder cambiar de opinión con la misma facilidad: un enlace permanente tipo «Preferencias de cookies», normalmente en el pie, que vuelva a abrir el panel. La AEPD recomienda además no conservar un consentimiento más de 24 meses sin volver a pedirlo.
Cómo comprobar tu banner en dos minutos
- 1Abre tu web en una ventana de incógnito.
- 2Antes de pulsar nada, abre las herramientas del navegador (F12) y mira en Aplicación → Cookies. Si ya hay cookies de analítica, como _ga, se están instalando sin permiso.
- 3Pulsa «Rechazar» y recarga la página. No debería aparecer ninguna cookie de analítica ni de publicidad.
- 4Busca el enlace para cambiar tu elección. Si no existe, falta.
Qué multa hay
Las cookies se rigen por la LSSI: las infracciones leves llegan a 30.000 € y las graves a 150.000 €. La AEPD publica cada año sanciones por banners sin botón de rechazo o que instalan cookies antes de preguntar, también a empresas pequeñas. El resto de piezas legales que debe tener tu web están en requisitos legales de una página web.
Nuestro banner rechaza con un clic, no instala nada antes de que decidas y deja cambiar de opinión desde el pie. Viene de serie en todas las webs que hacemos: mira qué incluye una página web para autónomos.
Preguntas frecuentes
- ¿Es obligatorio el botón de rechazar cookies?
- Sí. Según la guía de la AEPD, rechazar tiene que ser tan fácil como aceptar, y eso en la práctica significa un botón de rechazo en la primera capa del banner, al mismo nivel y con el mismo peso visual que el de aceptar.
- ¿Google Analytics necesita consentimiento?
- Sí. Sus cookies son de analítica, no técnicas, así que no pueden instalarse hasta que la persona acepte. Si quieres medir sin pedir permiso, tienes que usar un sistema de medición que no use cookies ni identifique a nadie.
- ¿Necesito banner si solo tengo cookies técnicas?
- No necesitas pedir consentimiento para las cookies técnicas, así que tampoco banner. Sí conviene informar de cuáles usas en la política de cookies o en la de privacidad.
- ¿Cada cuánto hay que volver a pedir el consentimiento de cookies?
- La AEPD recomienda renovarlo como máximo cada 24 meses. Y si alguien rechaza, no se le debe volver a preguntar en cada visita, porque eso es presionar para que acabe aceptando.
- ¿Un mapa de Google Maps incrustado instala cookies?
- Puede hacerlo, porque carga contenido de Google que usa sus propias cookies. La solución más sencilla es mostrar una imagen del mapa con un enlace, o cargar el mapa solo cuando la persona lo pide.