Cuando alguien me pregunta si su web cumple con la normativa de cookies y RGPD, casi siempre me enseña el banner de cookies. Es lo más visible, pero es solo una parte. Detrás hay tres normas que se solapan, varias obligaciones que dependen del tamaño y la actividad de tu empresa y un tema, el canal de denuncias, del que se habla poco y que obliga a más empresas de las que creen.
Te explico qué exigen las normas sobre cookies y RGPD, cómo se aplican a una web real y qué errores veo con más frecuencia. Este artículo es información técnica y práctica, no asesoramiento jurídico: para casos concretos, consúltalo con un abogado especializado.
Índice de contenidos
Qué norma regula las cookies y el RGPD
- RGPD (Reglamento (UE) 2016/679): regula cualquier tratamiento de datos personales: lo que recoges en un formulario, en una tienda online, en una analítica o en una lista de correo.
- LOPDGDD (Ley Orgánica 3/2018): adapta el RGPD en España. Concreta, por ejemplo, la información por capas (artículo 11) y regula el canal de denuncias internas en su artículo 24. Su título completo incluye la garantía de los derechos digitales.
- LSSI-CE (Ley 34/2002): regula los servicios de la sociedad de la información. Obliga a mostrar tus datos de identificación en la web (artículo 10), regula las comunicaciones comerciales por correo electrónico y, en su artículo 22.2, el uso de cookies y tecnologías similares.
- Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones: obliga a ciertas organizaciones a tener un canal interno de información, el conocido canal de denuncias.
La clave que se suele pasar por alto: la LSSI regula el acceso a tu dispositivo (la cookie en sí) y el RGPD regula lo que haces con los datos que se obtienen. Cumplir una no significa cumplir la otra, y por eso una revisión seria de cookies y RGPD se hace en paralelo.
Los textos legales mínimos de una web
Aviso legal
Según el artículo 10 de la LSSI, debe incluir tu denominación o nombre, domicilio, correo electrónico y otro dato de contacto, el NIF y, si procede, los datos de inscripción en el Registro Mercantil y las autorizaciones que tu actividad requiera.
Política de privacidad
El artículo 13 del RGPD exige informar de quién es el responsable, para qué usas los datos, con qué base legal, a quién los comunicas, si los envías fuera de la Unión Europea, durante cuánto tiempo los conservas, qué derechos tiene la persona y que puede reclamar ante la Agencia Española de Protección de Datos. La LOPDGDD permite hacerlo por capas: un resumen visible junto a cada formulario y el detalle completo en la política. Por eso en mis formularios aparece un acordeón con la información básica.
Política de cookies
Debe explicar qué cookies usas, para qué sirve cada una, quién las gestiona, cuánto duran y cómo puede el usuario aceptarlas, rechazarlas o retirar su consentimiento.
Cookies y RGPD en el banner: cómo hacerlo bien
La regla general de la LSSI es sencilla: para instalar o leer información en el dispositivo del usuario necesitas su consentimiento informado, salvo que sea estrictamente necesario para prestar el servicio que ha pedido. Eso deja exentas las cookies técnicas, como las de sesión, carrito, seguridad o preferencias de idioma. Necesitan consentimiento la analítica de terceros, la publicidad, los píxeles de redes sociales y los contenidos incrustados que instalan cookies.
Esto es lo que debe cumplir tu banner, según los criterios de la guía sobre el uso de las cookies de la AEPD:
- Nada se carga antes de aceptar. Los scripts de analítica y publicidad deben bloquearse hasta que el usuario consienta. Este es el fallo más habitual: el banner aparece, pero Google Analytics ya se ha cargado.
- Aceptar y rechazar, al mismo nivel. Un botón de «Aceptar» llamativo y un enlace de rechazo escondido en una segunda capa se considera un diseño engañoso.
- Seguir navegando o hacer scroll no es consentimiento. Se necesita una acción afirmativa clara.
- Consentimiento granular. El usuario debe poder elegir por finalidades y las casillas no pueden venir premarcadas.
- Revocar debe ser tan fácil como aceptar, con un acceso permanente a la configuración, normalmente un icono en la esquina o un enlace en el pie.
- Registro del consentimiento. Tú tienes que poder demostrar quién consintió, cuándo y a qué.
- Caducidad. La AEPD recomienda no superar los 24 meses sin volver a pedirlo.
Cómo comprobar tus cookies y RGPD en cinco minutos
Abre tu web en una ventana de incógnito, abre las herramientas del navegador (F12), ve a la pestaña «Aplicación» o «Almacenamiento» y mira las cookies antes de pulsar nada. Si ves cookies de Google Analytics (_ga), Meta (_fbp) o similares, estás instalándolas sin consentimiento. Revisa también los vídeos de YouTube, los mapas y las fuentes cargadas desde servidores externos, porque suelen ser el origen de cookies o de transferencias de datos que no se tienen en cuenta.
Cookies y RGPD en la web: lo que va más allá del banner
Formularios
Pide solo los datos necesarios, informa en el propio formulario, incluye una casilla de consentimiento sin marcar cuando la base legal sea el consentimiento, y enlaza a la política de privacidad. Conserva los datos solo el tiempo necesario y no los uses para otra finalidad (por ejemplo, no suscribas al usuario a un boletín porque te escribió con una consulta).
Registro de actividades de tratamiento
El artículo 30 del RGPD obliga a llevar un registro con los tratamientos que haces. La excepción para empresas de menos de 250 empleados no sirve en la práctica casi nunca, porque se pierde cuando el tratamiento no es ocasional, algo habitual si tienes clientes o empleados. Tenlo documentado.
Proveedores que tratan datos por ti
Tu hosting, tu herramienta de correo, tu CRM o tu plataforma de newsletters son encargados del tratamiento. Necesitas un contrato de encargo (artículo 28) con cada uno. Si alguno trata datos fuera del Espacio Económico Europeo, comprueba qué garantía lo ampara, por ejemplo que esté adherido al Marco de Privacidad de Datos UE-EEUU o que use cláusulas contractuales tipo.
Seguridad y brechas
El artículo 32 exige medidas técnicas adecuadas al riesgo: cifrado, control de accesos, copias de seguridad y capacidad de recuperación. Si hay una brecha que suponga un riesgo para las personas, el artículo 33 te obliga a notificarla a la AEPD en un máximo de 72 horas desde que la conoces. Tener un procedimiento escrito antes de que ocurra marca la diferencia. Las copias de seguridad y el mantenimiento de la web forman parte de esas medidas.
Derechos de las personas
Acceso, rectificación, supresión, oposición, limitación y portabilidad: tienes un mes para responder. Define quién recibe la solicitud y cómo la registras.
Delegado de protección de datos y evaluación de impacto
El delegado solo es obligatorio en los supuestos del artículo 37 del RGPD y del artículo 34 de la LOPDGDD, y la evaluación de impacto cuando el riesgo es alto. En una pyme corriente suelen no aplicar, pero conviene confirmarlo y dejarlo por escrito.
El canal de denuncias: cuándo es obligatorio
La Ley 2/2023 transpone la Directiva europea de protección de los informantes. Obliga a tener un sistema interno de información a:
- Las empresas privadas con 50 o más trabajadores. Los plazos de implantación ya han vencido: junio de 2023 para las de 250 o más y diciembre de 2023 para las de 50 a 249.
- Las entidades de determinados sectores (servicios financieros, prevención del blanqueo de capitales, seguridad del transporte y protección del medio ambiente), con independencia del número de empleados.
- Todo el sector público, con algunas especialidades para los municipios pequeños.
Qué debe cumplir el canal:
- Permitir comunicaciones por escrito, verbales o ambas, y aceptar las anónimas.
- Garantizar la confidencialidad del informante y de las personas mencionadas, y prohibir las represalias.
- Tener un responsable del sistema designado por el órgano de administración, y una política y un procedimiento de gestión aprobados.
- Enviar acuse de recibo en 7 días naturales y responder en un máximo de 3 meses (ampliable a 6 en casos complejos).
- Llevar un libro-registro de las informaciones recibidas.
La LOPDGDD (artículo 24) añade requisitos de protección de datos: el acceso a los datos queda limitado a quien gestiona el canal y los datos no deben conservarse en el sistema más de tres meses, salvo que se abra una investigación. Las infracciones muy graves pueden alcanzar el millón de euros para las personas jurídicas, y la supervisión corresponde a la Autoridad Independiente de Protección del Informante o a las autoridades autonómicas.
Un buzón de correo normal no suele cumplir estas garantías. Si no estás obligado, un canal voluntario sigue siendo recomendable: protege a la empresa, demuestra diligencia y sirve de base para un plan de cumplimiento. Y no lo confundas con el protocolo de acoso laboral ni con el canal de un modelo de prevención de delitos: son figuras distintas, aunque algunas empresas las unifican.
Si vendes online: el aviso de garantía de la UE
Si tu web es una tienda, hay una obligación reciente que no depende de la protección de datos, pero sí de los textos de tu sitio. Desde el 27 de septiembre de 2026 se aplica el Reglamento de Ejecución (UE) 2025/1960, que desarrolla la Directiva (UE) 2024/825 y fija dos elementos:
- Aviso armonizado de la garantía legal. Es obligatorio para quien venda bienes de consumo, en tienda física o por internet. Informa de que todo producto tiene una garantía legal mínima de dos años en la UE (en España, tres años para los productos nuevos, según el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios) y de los derechos del consumidor: reparación o sustitución sin coste y, si no es posible o resulta desproporcionado, rebaja del precio o resolución del contrato con devolución del dinero. En una tienda online debe mostrarse de forma visible y en color, y no se pueden modificar ni el código QR ni los elementos fijos del modelo.
- Etiqueta EU GARAN. Se refiere a la garantía comercial de durabilidad que ofrece el fabricante. Solo puede usarse si esa garantía es gratuita para el consumidor, cubre todo el producto y supera el plazo legal mínimo.
La Comisión Europea publica los modelos oficiales y unas directrices prácticas para vendedores y productores. Tienes resúmenes en español en Tu Europa y en el portal del Centro Europeo del Consumidor. En la práctica, conviene mostrar el aviso en el pie de la web o junto al pago, y en las fichas de producto, y revisar qué garantías comerciales te ofrecen tus proveedores.
Qué te puede pasar si incumples con cookies y RGPD
- RGPD: multas de hasta 10 millones de euros o el 2 % de la facturación anual por infracciones formales y de hasta 20 millones o el 4 % por las más graves (artículo 83). En la práctica, a una pyme le llegan sanciones mucho menores, pero no despreciables.
- LSSI: hasta 30.000 euros por infracciones leves, 150.000 por las graves y 600.000 por las muy graves. Las sanciones por cookies las impone la AEPD.
- Ley 2/2023: hasta un millón de euros en las infracciones muy graves para personas jurídicas.
Lista de comprobación de cookies y RGPD
Esto es lo que revisaría en una auditoría rápida de cookies y RGPD:
- Aviso legal con los datos del artículo 10 de la LSSI.
- Política de privacidad actualizada y enlazada en todos los formularios, con información por capas.
- Banner de cookies que bloquee antes de consentir, con rechazo al mismo nivel y registro del consentimiento.
- Política de cookies con el inventario real.
- Registro de actividades de tratamiento y contratos con los encargados.
- Procedimiento para derechos y brechas.
- Canal de denuncias si superas los 50 trabajadores o estás en un sector obligado.
Cómo lo resuelvo yo
Para que tu web cumpla con cookies y RGPD, configuro el gestor de consentimiento para que bloquee de verdad los scripts hasta que se acepta, los formularios con su información por capas y la casilla de consentimiento, y los textos legales a través de una plataforma especializada que se actualiza cuando cambia la normativa, en lugar de dejar un texto copiado que caduca. Lo que requiere criterio jurídico lo coordino con tu abogado o asesor. Puedes ver cómo trabajo en el servicio de cumplimiento normativo o reservar una conversación sin compromiso para que revisemos tu web.