La ley de cookies mira lo que se carga, no lo que dice el banner. Vigila qué se activa antes de elegir.
En la UE y el Reino Unido, una web tiene que preguntar antes de guardar o leer en el dispositivo del visitante cualquier cosa que no necesite estrictamente: cookies publicitarias, analítica de terceros, píxeles de seguimiento. Aquí tienes qué exige la ley de cookies a una web, qué cuenta como consentimiento válido, cómo se hace cumplir y dónde encaja la monitorización. Un banner puede parecer correcto y aun así dejar pasar un rastreador; lo que cuenta es lo que se carga de verdad antes de elegir y después de rechazar.
Las reglas del consentimiento en seis puntos
Resumido a partir de la Directiva sobre la privacidad electrónica, el RGPD, la jurisprudencia de la UE y las guías de las autoridades. Cada país las aplica con su propia ley, así que los detalles varían; esto no es asesoramiento jurídico.
Preguntar antes de guardar o leer
El artículo 5, apartado 3, de la Directiva sobre la privacidad electrónica (2002/58/CE, modificada en 2009) solo permite guardar información en el dispositivo del visitante, o acceder a ella, con su consentimiento y tras darle información clara y completa. La excepción es lo estrictamente necesario para prestar un servicio que el visitante ha pedido expresamente: un carrito, un inicio de sesión, recordar la propia elección de consentimiento.
No solo cookies
La regla se refiere a cualquier información del dispositivo, sea cual sea la técnica. Los considerandos de la directiva ya mencionan los «web bugs» y los identificadores ocultos, y las Directrices 2/2023 del CEPD, adoptadas en su versión final el 7 de octubre de 2024, confirman que puede aplicarse a píxeles de seguimiento, enlaces de seguimiento y técnicas similares: un píxel publicitario que se carga antes del consentimiento también está cubierto.
El consentimiento sigue el estándar del RGPD
El consentimiento tiene el significado del RGPD (artículos 4.11 y 7): libre, específico, informado e inequívoco, mediante una acción activa. Debe ser tan fácil retirarlo como darlo, y la web tiene que poder demostrar que se dio.
Las casillas premarcadas no son consentimiento
En la sentencia Planet49 (C-673/17, 1 de octubre de 2019), el Tribunal de Justicia de la UE resolvió que una casilla premarcada que el usuario debe desmarcar no es un consentimiento válido para las cookies, se trate o no de datos personales. Además, hay que informar al visitante de cuánto duran las cookies y de si terceros pueden acceder a ellas.
Rechazar tan fácil como aceptar
El grupo de trabajo del CEPD sobre banners de cookies (informe adoptado el 17 de enero de 2023) constató que la mayoría de las autoridades de la UE consideran una infracción un banner con botón de aceptar pero sin opción de rechazo en la misma capa. La CNIL francesa pide un botón «Rechazar todo» al mismo nivel y con el mismo formato que «Aceptar todo», u otra forma de rechazar igual de sencilla.
Alemania, Francia y el Reino Unido
Alemania lo recoge en el § 25 de la TDDDG (llamada TTDSG hasta el 14 de mayo de 2024); Francia lo aplica mediante el artículo 82 de su ley de protección de datos y las directrices de la CNIL de 2020. En el Reino Unido rige la regulación 6 de PECR, y desde el 5 de febrero de 2026 la Data (Use and Access) Act permite algunos usos de bajo riesgo sin consentimiento: seguridad y prevención del fraude, y estadísticas o preferencias de visualización de las que se informa al visitante y a las que puede oponerse. Las cookies publicitarias siguen necesitando consentimiento.
Prueba ya tu banner de cookies, gratis
Escribe una página: Relvato la visita desde Europa y muestra lo que se carga antes de elegir y tras «Rechazar». Comprobador de consentimiento de cookies de Relvato →
Cómo se hace cumplir
Las normas sobre cookies las aplican las autoridades nacionales —la CNIL en Francia, las autoridades de protección de datos de los Länder en Alemania, la ICO en el Reino Unido— y las multas han crecido. Tres ejemplos:
Shein: 150 millones de euros
El 1 de septiembre de 2025 la CNIL multó con 150 millones de euros a Infinite Styles Services, la filial irlandesa de Shein. Se instalaban cookies publicitarias en cuanto el visitante llegaba a shein.com, antes de cualquier elección, y se seguían instalando cookies nuevas después de hacer clic en «Rechazar todo» o de retirar el consentimiento.
Google: 325 millones de euros
Ese mismo día la CNIL multó a Google LLC y Google Ireland con 325 millones de euros en total, por mostrar anuncios entre los correos de Gmail sin consentimiento y por instalar cookies publicitarias al crear una cuenta de Google sin un consentimiento válido, ya que no se informaba con claridad de que aceptarlas era condición para usar el servicio.
Reino Unido: hasta 17,5 millones de libras o el 4 %
Desde el 5 de febrero de 2026 la ICO puede multar una infracción grave de PECR —cookies incluidas— con hasta 17,5 millones de libras o el 4 % de la facturación anual mundial, en lugar del tope anterior de 500.000 libras. El nuevo máximo se aplica a infracciones desde esa fecha.
Un banner se configura una vez. Lo que se carga detrás cambia con cada actualización.
Un plugin de marketing nuevo, un cambio de tema o una actualización de la herramienta de consentimiento pueden poner un rastreador por delante del banner sin que nadie lo note. El monitor Consentimiento de cookies de Relvato vigila eso:
Visita como un visitante nuevo de la UE
Un navegador nuevo en Europa, sin cookies y sin hacer clic, en tu página de inicio y, si es una tienda, en una página de producto. Registra cada cookie instalada y cada petición a servicios de publicidad y analítica antes de cualquier elección.
Encuentra el banner
Reconoce las herramientas de consentimiento habituales —Cookiebot, OneTrust, Complianz, CookieYes, Borlabs, Usercentrics y otras— y comprueba si la opción «Rechazar» o «Solo necesarias» está en la primera capa.
Hace clic en «Rechazar» y vuelve a registrar
En un segundo navegador nuevo hace clic en «Rechazar» y registra lo que sigue cargándose. No marca las cookies estrictamente necesarias ni tu propia analítica de primera parte.
Se vuelve a probar tras cada actualización
Cada semana y tras las actualizaciones de WordPress, temas, plugins y WooCommerce. Los rastreadores antes de elegir, sin banner o tras rechazar se notifican como problemas y te avisan; que falte «Rechazar» en la primera capa es una advertencia.
Lo que un monitor no puede decirte
Ninguna herramienta puede certificar que tu consentimiento es válido. Relvato ve lo que se carga en un navegador antes de elegir y después de rechazar; no puede juzgar si tu banner explica bien las finalidades, si tus categorías de cookies son correctas, qué base jurídica se aplica ni qué hacen tus proveedores con los datos. No marca tu propia analítica de primera parte ni decide si necesita consentimiento allí donde operas. Visita desde Europa, así que ve la versión de la UE de un banner que cambia según la ubicación, y prueba las páginas que visita, no todas. Úsalo para que una configuración que ha revisado una persona no se estropee sin que te enteres.
Preguntas sobre la ley de cookies
¿Necesito consentimiento si solo uso analítica?
En la UE, normalmente sí para la analítica de terceros como Google Analytics: no es estrictamente necesaria, así que debe esperar al consentimiento. Algunas autoridades eximen la medición de audiencia configurada de forma muy limitada —la CNIL francesa lo hace, con condiciones— y en el Reino Unido, desde el 5 de febrero de 2026, la analítica que solo produce estadísticas sobre tu propia web ya no necesita consentimiento si se informa al visitante y puede oponerse. Consulta las normas del lugar donde están tus visitantes.
¿Está permitido un muro de cookies?
En principio, no. Las directrices del CEPD sobre el consentimiento dicen que el acceso a una web no debe depender de aceptar cookies, así que un banner que bloquea el contenido hasta que aceptas no produce un consentimiento libre. Algunas autoridades, entre ellas la CNIL, valoran caso por caso las alternativas de «aceptar o pagar», y es un terreno que todavía se mueve.
¿Hay normas parecidas fuera de la UE y el Reino Unido?
Sí, existen en otros lugares. La autoridad brasileña de protección de datos (ANPD) publicó en octubre de 2022 una guía sobre cookies conforme a la LGPD; la Ley 25 de Quebec exige desde el 22 de septiembre de 2023 que las funciones capaces de identificar, localizar o perfilar a una persona estén desactivadas por defecto; Suiza exige sobre todo información y una forma de rechazar. Estados Unidos funciona al revés —el seguimiento está permitido hasta que el visitante se opone—, y lo tratamos por separado.
¿Puede Relvato hacer que mi web cumpla la ley?
Ninguna herramienta puede, y no lo afirmamos. Un consentimiento válido depende de la redacción de tu banner, de tus proveedores, de tu base jurídica y de tus registros, y eso lo tiene que revisar una persona. La parte de Relvato es más concreta y continua: tras las actualizaciones prueba si se cargan rastreadores antes de elegir o después de rechazar, para que una regresión no pase desapercibida hasta que la encuentre un visitante o una autoridad.
¿Cuánto cuesta?
El monitor Consentimiento de cookies está en todos los planes, incluido Free. En Free lo ejecutas tú o cada semana; Pro además lo repite tras las actualizaciones.
Fuentes
Esta página resume la ley para propietarios de webs; no es asesoramiento jurídico. Las leyes nacionales y las guías de las autoridades difieren en los detalles, así que consulta las normas que se aplican donde están tus visitantes.
- Directiva 2002/58/CE — Directiva sobre la privacidad electrónica, consolidada, artículo 5.3 (EUR-Lex, en inglés)
- Reglamento (UE) 2016/679 — RGPD, artículos 4.11 y 7 (EUR-Lex)
- Tribunal de Justicia de la UE — Planet49 (C-673/17), comunicado de prensa del 1 de octubre de 2019 (en inglés)
- CEPD — Informe del grupo de trabajo sobre banners de cookies (2023, en inglés)
- Alemania — § 25 TDDDG (gesetze-im-internet.de, en alemán)
- CNIL — multas a SHEIN y GOOGLE por cookies (septiembre de 2025, en inglés)
- ICO — Guía sobre tecnologías de almacenamiento y acceso: las excepciones (en inglés)
- ICO — Declaración sobre la entrada en vigor de la Data (Use and Access) Act (en inglés)
Mira qué carga tu web antes de elegir
Añade tu web y ejecuta el monitor Consentimiento de cookies. En todos los planes, incluido Free.