Cookies y consentimiento en una web profesional

Una web profesional necesita saber qué tecnologías utiliza antes de redactar su aviso de cookies. El cumplimiento no consiste solo en mostrar una ventana: los dispositivos que requieren consentimiento deben permanecer bloqueados hasta obtenerlo, y rechazar debe ser una opción real. Si el sitio utiliza únicamente tecnologías exentas en las condiciones legales, puede no necesitar un panel de aceptación, aunque sí información adecuada. 1 3

Inventariar lo que realmente carga la web

Revise páginas, formularios, vídeos incrustados, mapas, chats, analítica, publicidad y botones sociales. Un proveedor añadido por quien diseña la web puede incorporar tecnologías que el titular desconoce. Examine también almacenamiento local y mecanismos equivalentes: la regulación no se limita a archivos llamados literalmente cookies. 3 4

Para cada elemento identifique finalidad, proveedor, duración, datos tratados y momento de activación. Distinga una cookie necesaria para mantener una sesión solicitada de una herramienta para seguir visitas entre páginas o personalizar anuncios. Que resulte útil al negocio no la convierte en técnicamente imprescindible para el servicio pedido por el visitante.

No publique una lista copiada de otra web. Puede mencionar proveedores inexistentes y omitir los reales, haciendo imposible que el usuario entienda qué acepta.

Cuándo se necesita consentimiento

El artículo 22.2 de la LSSI exige información clara y consentimiento para almacenamiento o acceso en equipos, con excepciones técnicas y para lo estrictamente necesario para un servicio expresamente solicitado. Si además se tratan datos personales, el RGPD añade sus principios y obligaciones. 1 3

No toda analítica está exenta por ser “estadística” ni toda cookie propia es necesaria. Algunas configuraciones de medición pueden tener un tratamiento específico bajo condiciones estrictas; antes de excluirlas del consentimiento hay que comprobar su funcionamiento y los criterios aplicables. Una herramienta que comparte datos entre clientes del proveedor plantea cuestiones distintas de un recuento limitado del sitio.

El TJUE, en Planet49, C-673/17, de 1 de octubre de 2019, rechazó el consentimiento mediante casillas premarcadas y destacó la información sobre duración y acceso de terceros. La regla sobre acceso al terminal no depende de que la información almacenada sea siempre dato personal. 5

Diseñar una primera capa comprensible

Explique quién utiliza las tecnologías y para qué, con expresiones concretas. “Mejorar su experiencia” no describe por sí sola publicidad comportamental o elaboración de perfiles. Permita acceder a información detallada y a una configuración por finalidades cuando proceda. 4

La guía de la AEPD exige ofrecer aceptar y rechazar al mismo nivel y con visibilidad equivalente, evitando diseños que empujen al consentimiento. Si usa botones, la opción de rechazo no debe esconderse en un enlace casi invisible o tras varios pasos. Continuar navegando, cerrar el aviso o dejar casillas premarcadas no constituye una aceptación válida de las finalidades que la requieren. 4 5

No convierta la aceptación de publicidad en una condición automática para solicitar una cita o enviar una consulta. La libertad del consentimiento y las posibles alternativas deben examinarse; añadir una opción de pago no resuelve por sí solo cualquier configuración restrictiva.

La configuración técnica debe coincidir con el texto

Compruebe una visita nueva antes de aceptar, otra después de rechazar y otra tras elegir finalidades. Observe si los vídeos, píxeles o herramientas de terceros se activan antes de la decisión. Un panel correcto visualmente puede fallar si un gestor de etiquetas carga publicidad por otra vía.

La retirada del consentimiento debe ser tan fácil como prestarlo. Mantenga un acceso visible para cambiar preferencias y aplique el cambio técnicamente a los tratamientos correspondientes. No basta con volver a mostrar un formulario si las etiquetas siguen activas. 1

Registre la elección de forma proporcionada, con versión del aviso y finalidad, para poder demostrarla. Ese registro no debe transformarse en una nueva herramienta de seguimiento ajena al objetivo de cumplimiento.

Qué debe explicar la segunda capa

Incluya tipos y finalidades, identificación de proveedores, duración y cómo aceptar, retirar o modificar. Cuando haya tratamiento personal, conecte con la información de privacidad sobre responsables, bases, destinatarios, derechos y transferencias. Si un proveedor actúa para sus propias finalidades, no lo describa automáticamente como un simple encargado. 1 4

En una web de servicios jurídicos o sanitarios, piense qué puede revelar la página visitada. Enviar a una red publicitaria la URL de una consulta muy específica puede exponer intereses o circunstancias sensibles. Minimizar etiquetas y parámetros puede ser una decisión más adecuada que añadir textos cada vez más extensos.

Mantenimiento y prueba

Revise el inventario cuando cambie el diseño, se instale una extensión o se añada una campaña. No hay un plazo universal anual que permita ignorar modificaciones durante doce meses. Conserve evidencia de verificaciones y encargue al proveedor técnico que informe de nuevos servicios antes de activarlos.

Si recibe una reclamación, guarde la versión de la web y del panel que existía en la fecha discutida. Corregir el funcionamiento es útil, pero no debe destruir los elementos necesarios para comprender lo ocurrido. La responsabilidad se analiza según los roles y actuaciones de cada participante. 1

Ejemplo ficticio

Un despacho instala un vídeo informativo y una herramienta de reservas. Su aviso solo menciona una cookie de sesión, pero ambos servicios contactan con terceros antes de elegir. Tras inventariarlos, configura carga condicionada cuando procede, ofrece rechazo visible y actualiza información. La mejora decisiva está en que el comportamiento de la web coincide con lo explicado al visitante.

Preguntas frecuentes

¿Toda web necesita un botón de aceptar? No necesariamente. Depende de las tecnologías utilizadas y de si se cumple una exención; no se decide por tener pocas visitas o ser una empresa pequeña.

¿Las cookies propias están siempre exentas? No. Su finalidad y necesidad son determinantes, además de quién las instala.

¿Un complemento comercial garantiza cumplir? No por sí solo. Debe configurarse con el inventario real y comprobarse que bloquea y respeta las decisiones en todas las páginas.