El consentimiento bajo el RGPD exige una decisión libre, específica, informada e inequívoca. Esta guía muestra cómo diseñar el formulario, registrar la elección y ejecutar su retirada. Los ejemplos son puntos de partida que deben adaptarse a la finalidad, al canal y a la información real ofrecida.
Puntos Clave
- El consentimiento RGPD debe ser libre, específico, informado e inequívoco, manifestado mediante una acción afirmativa clara (Art. 4(11) y Art. 7 RGPD).
- Las casillas premarcadas no constituyen una acción afirmativa. Los consentimientos agrupados y las condiciones de acceso deben evaluarse según si existe una elección real por finalidad y un rechazo sin perjuicio.
- Cada finalidad de tratamiento requiere un consentimiento separado: no es conforme una única casilla que cubra múltiples usos.
- El interesado debe poder retirar el consentimiento con la misma facilidad con que lo otorgó.
- El responsable del tratamiento debe poder demostrar que obtuvo el consentimiento (principio de responsabilidad proactiva, Art. 5(2)).
Los seis requisitos del consentimiento RGPD
El Art. 7 del RGPD, interpretado a la luz del Art. 4(11) y las Directrices del CEPD 05/2020 sobre consentimiento, establece seis requisitos acumulativos que toda solicitud de consentimiento debe satisfacer.
Libre
El consentimiento es libre cuando el interesado tiene una opción genuina, sin coerción ni influencia indebida. El CEPD y la AEPD han señalado que el consentimiento no es libre cuando existe un desequilibrio de poder (relación laboral, relación con una administración pública) o cuando el servicio se condiciona a un tratamiento no necesario sin una alternativa real. Los muros de cookies requieren una evaluación específica de la libertad del consentimiento y de las alternativas, según las orientaciones aplicables.
Ejemplo: condicionar el Wi-Fi ofrecido a un cliente al marketing exige analizar si el segundo tratamiento es necesario para prestar el primero. No se debe suponer que lo es solo porque se pidieron ambos en la misma pantalla.
Específico
Cada finalidad de tratamiento debe tener su propia solicitud de consentimiento. Un consentimiento genérico para “tratamiento de datos” sin especificar las finalidades es nulo. El interesado debe poder consentir a la analítica web sin consentir a la publicidad comportamental.
Informado
El interesado debe conocer, como mínimo: la identidad del responsable del tratamiento, las finalidades específicas del tratamiento, los tipos de datos recogidos, la existencia del derecho a retirar el consentimiento y de los demás derechos ARCO del interesado y, si procede, la existencia de transferencias internacionales.
Inequívoco mediante acción afirmativa
El silencio, la inacción o las casillas premarcadas no constituyen consentimiento. El TJUE lo confirmó en la sentencia Planet49 (C-673/17, octubre 2019): una casilla premarcada que el usuario debe desmarcar para rechazar las cookies no es una acción afirmativa clara.
Fácil de retirar
El Art. 7(3) RGPD exige que la retirada del consentimiento sea tan fácil como su otorgamiento. Si el consentimiento se otorga en una interfaz sencilla, la retirada debe ofrecer una facilidad comparable, sin pasos desproporcionados ni canales innecesariamente difíciles. Exigir un correo o una llamada cuando el alta se hizo con un clic puede incumplir esa exigencia; valore el recorrido completo y su efecto real.
Demostrable
El Art. 7(1) RGPD establece que el responsable del tratamiento debe poder demostrar que el interesado consintió. Esto exige un registro que incluya quién consintió, cuándo, cómo, a qué finalidades y qué versión de la política de privacidad se le presentó.
Ejemplos de consentimiento conforme por escenario
Suscripción a newsletter
<form action="/suscripcion" method="post">
<label for="email">Dirección de correo electrónico</label>
<input type="email" id="email" name="email" required>
<label>
<input type="checkbox" name="consentimiento_newsletter" required>
Sí, deseo recibir el boletín semanal sobre cumplimiento RGPD.
Puedo <a href="/baja">darme de baja en cualquier momento</a>.
</label>
<p class="info-consentimiento">
Su correo electrónico será tratado por [Nombre del responsable]
exclusivamente para el envío del boletín. Consulte nuestra
<a href="/politica-privacidad">política de privacidad</a>.
</p>
<button type="submit">Suscribirme</button>
</form>
Elementos conformes: casilla desmarcada por defecto, finalidad específica, mecanismo de baja enlazado, identificación del responsable.
Banner de cookies
<div id="banner-cookies" role="dialog" aria-label="Consentimiento de cookies">
<p>Utilizamos cookies para el funcionamiento del sitio y para analítica.
Puede aceptar todas, rechazar todas o configurar sus preferencias.</p>
<div class="opciones-cookies">
<label>
<input type="checkbox" name="cookies_necesarias" checked disabled>
Necesarias (siempre activas)
</label>
<label>
<input type="checkbox" name="cookies_analitica">
Analítica
</label>
<label>
<input type="checkbox" name="cookies_marketing">
Marketing
</label>
</div>
<div class="acciones-cookies">
<button id="aceptar-todas">Aceptar todas</button>
<button id="rechazar-todas">Rechazar todas</button>
<button id="guardar-preferencias">Guardar preferencias</button>
</div>
</div>
Elementos conformes: opciones granulares por categoría, botón “Rechazar todas” ofrecido al mismo nivel y con la misma visibilidad que “Aceptar todas”, de acuerdo con la guía de cookies de la AEPD, cookies necesarias claramente separadas.
Opt-in de marketing en checkout
<fieldset>
<legend>Mantenerse informado (opcional)</legend>
<label>
<input type="checkbox" name="consentimiento_email_promo">
Enviarme ofertas y novedades por correo electrónico.
</label>
<label>
<input type="checkbox" name="consentimiento_sms_promo">
Enviarme ofertas por SMS.
</label>
<p class="info-consentimiento">
Puede retirar su consentimiento en cualquier momento desde su
<a href="/cuenta/preferencias">configuración de cuenta</a>.
Esto no afecta a su pedido.
</p>
</fieldset>
Elementos conformes: consentimiento de marketing separado de la transacción de compra, canal separado (email vs SMS), indicación clara de que el rechazo no afecta al servicio.
Errores frecuentes a evitar
Casillas premarcadas
Una casilla premarcada no expresa la acción afirmativa de la persona. El TJUE lo confirmó en Planet49 (C-673/17); el resultado debe comprobarse en cada formulario y banner.
Consentimiento agrupado
Agrupar múltiples finalidades en una única casilla (por ejemplo, “Acepto recibir comunicaciones comerciales y que mis datos se compartan con terceros”) invalida el consentimiento por falta de especificidad. Cada finalidad requiere una opción separada.
Muros de consentimiento (cookie walls)
Condicionar el acceso a la aceptación de cookies no necesarias exige una evaluación específica de la libertad del consentimiento y de la alternativa ofrecida; no existe una conclusión automática para todas las modalidades de acceso. El CEPD abordó esta cuestión en las Directrices 05/2020, y la AEPD la ha recogido en sus orientaciones sobre cookies. Para el diseño concreto del banner, consulte nuestra guía sobre el banner de cookies conforme a la AEPD.
Lenguaje ambiguo
Expresiones como “podemos utilizar sus datos” o “al continuar navegando acepta nuestras cookies” no cumplen el requisito de acción afirmativa clara. El lenguaje debe ser directo, en primera persona y sin dobles negaciones.
Gestión y registro del consentimiento
El principio de responsabilidad proactiva (Art. 5(2) RGPD) exige que el responsable del tratamiento pueda demostrar que obtuvo un consentimiento válido. El registro debe documentar la identidad del interesado, la fecha y hora exactas del consentimiento, el método utilizado (clic en casilla, doble opt-in, etc.), las finalidades concretas a las que consintió y la versión de la política de privacidad presentada.
Las plataformas de gestión del consentimiento (CMP) automatizan esta recopilación y facilitan la demostración del cumplimiento ante la AEPD u otras autoridades de control. Una CMP no sustituye la comprobación de la configuración, los terceros y el comportamiento real del sitio.
La gestión a escala puede apoyarse en herramientas, pero el responsable debe comprobar la exportación y trazabilidad de cada finalidad y relacionarla con el registro de actividades de tratamiento.
Véase también: modelo de formulario de consentimiento.
Ejemplo completo: dos finalidades en una compra
Una tienda necesita correo y dirección para confirmar y entregar el pedido. Además quiere enviar ofertas por correo y SMS. La pantalla debe separar la información necesaria para ejecutar la compra de las dos elecciones comerciales facultativas. Ninguna de las casillas de marketing debe estar premarcada; rechazar ambas no puede impedir pagar. El responsable identifica quién enviará cada comunicación, la finalidad y el modo de retirar el permiso. Si la publicidad se personalizará con historial de compras, esa finalidad se explica por separado en lugar de esconderla en «recibir novedades».
El registro de la elección podría contener el identificador del cliente, versión de la interfaz, fecha, finalidades email_promocional y sms_promocional, y estado de cada una. La prueba no debe depender solo del campo actual: después de una retirada es necesario poder explicar que hubo una autorización anterior y cuándo dejó de surtir efecto. Tampoco hay que conservar indefinidamente datos del registro sin justificar su finalidad y duración. El modelo de formulario ayuda a visualizar la separación, pero la compañía debe adaptar el texto a su propio tratamiento.
Si el comercio cambia de boletín de productos propios a ofertas de socios independientes, no basta con reutilizar la antigua casilla. Hay que revisar la identidad de los responsables, los destinatarios y la expectativa razonable del cliente. Una nueva finalidad puede requerir una nueva elección. El equipo de marketing no debe importar la lista previa hasta documentar esa decisión y comprobar que puede suprimir los contactos que no acepten.
Cómo auditar un banner de cookies sin confiar en su aspecto
La primera prueba se hace en un navegador limpio. Antes de pulsar un botón, observe las solicitudes de red y el almacenamiento local: los identificadores no necesarios no deben aparecer por el mero hecho de cargar la página. Después pulse «Rechazar todas» y repita la prueba. Revise asimismo que el rechazo y la aceptación estén al mismo nivel y tengan una visibilidad equivalente, como explica la AEPD en su guía de cookies. Un diseño puede parecer equilibrado y aun así cargar un proveedor de publicidad antes de la decisión.
La segunda prueba consiste en aceptar solo analítica. Debe activarse únicamente esa finalidad; marketing continúa apagado. Si la herramienta convierte «guardar preferencias» en una aceptación global, el registro no refleja la voluntad expresada. La tercera prueba se realiza días después: localice el acceso a las preferencias desde el sitio, retire una finalidad y verifique que el cambio surte efecto en las siguientes visitas. Conserve el resultado de estas pruebas al publicar una nueva versión de la web o cambiar de proveedor de etiquetas. La política de cookies debe describir las finalidades y actores que efectivamente se observan en ese ensayo.
El código HTML de ejemplo anterior es deliberadamente incompleto como producto final: muestra opciones y textos, pero por sí solo no bloquea scripts, no genera la prueba ni comunica preferencias a los terceros. El desarrollo debe impedir la carga anticipada y permitir revisar la elección. También conviene integrar esta decisión en un examen de privacidad desde el diseño antes de añadir nuevos proveedores. Esa advertencia evita confundir una maqueta visible con una implementación conforme.
Prueba y retirada en una lista de suscripción
Cuando una persona se suscribe, la evidencia útil incluye el momento, el texto exacto aceptado, el canal, la finalidad y la fuente. El doble opt-in puede ayudar a confirmar la titularidad del correo, pero no sustituye una explicación clara de la finalidad ni es un requisito único impuesto por el RGPD. Si la organización usa una plataforma de envíos, necesita saber si la baja registrada allí se refleja también en sus otras listas y exportaciones.
Caso de prueba: una persona usa el enlace de baja, pero hay una campaña ya preparada para el día siguiente. El responsable debe comprobar cuándo la baja llegó al sistema de envío y si la campaña consulta la lista actual al salir. Si se limita a borrar el contacto del CRM mientras el proveedor conserva una audiencia antigua, el proceso falla. El registro de supresión puede contener el mínimo identificador necesario para evitar nuevas importaciones accidentales, con acceso restringido y plazo de revisión definido.
No se debe sustituir silenciosamente el consentimiento retirado por «interés legítimo» para mantener la misma campaña. Un cambio de base exige una evaluación auténtica de la operación y una información adecuada; usarlo como reacción automática al rechazo desvirtúa la libertad de la elección. Para distinguir supuestos, consulte la guía del interés legítimo bajo RGPD.
Personas menores y otras situaciones de desequilibrio
La regla del artículo 8 RGPD se refiere a servicios de la sociedad de la información ofrecidos directamente a menores cuando el tratamiento se basa en consentimiento. En España, el artículo 7 de la LOPDGDD según la AEPD permite fundar el tratamiento en el consentimiento propio del menor cuando sea mayor de catorce años; para menores de catorce se requiere el consentimiento del titular de la patria potestad o tutela. La AEPD recuerda que hay excepciones cuando otra ley exige asistencia para el acto o negocio jurídico en cuyo contexto se recaba el consentimiento. No toda actividad escolar o familiar se resuelve con un mismo checkbox. La prueba de la autorización, cuando sea necesaria, debe limitarse a datos pertinentes.
En relaciones laborales, pedir consentimiento para una tarea obligatoria como elaborar nóminas suele ser una mala base: el trabajador no tiene una opción libre real. La organización debe identificar la base que corresponda a cada tratamiento y reservar el consentimiento para usos verdaderamente opcionales. Una foto para una campaña voluntaria puede requerir un análisis distinto al de los datos necesarios para pagar salarios. Esta distinción es más útil que añadir una casilla genérica a todos los formularios internos.
FAQ
¿Es el consentimiento siempre obligatorio para tratar datos personales bajo el RGPD?
No. El consentimiento es una de las seis bases legales del Art. 6(1) RGPD. Otras bases incluyen la ejecución de un contrato, el cumplimiento de una obligación legal, los intereses vitales, el interés público y el interés legítimo. El consentimiento es inadecuado cuando existe un desequilibrio de poder (relación laboral) o cuando se condiciona la prestación del servicio al consentimiento. En estos casos, debe identificarse y documentarse una base legal alternativa.
¿Qué ocurre si una organización no puede demostrar que obtuvo el consentimiento?
Si el responsable no puede demostrar un consentimiento válido conforme al artículo 7(1) RGPD, no habrá acreditado la base jurídica que invoca para ese tratamiento. Debe revisar si el uso de datos puede continuar y qué acciones correctivas corresponden; una eventual sanción depende de los hechos y no puede inferirse del tipo de formulario.
¿Cuánto tiempo es válido un consentimiento RGPD?
El RGPD no establece un plazo de caducidad del consentimiento. El responsable debe comprobar que el consentimiento obtenido sigue cubriendo el tratamiento real. Un cambio material de finalidad, información o destinatarios puede exigir una nueva elección; la mera inactividad no crea por sí sola un plazo general de caducidad. Las reglas y orientaciones específicas sobre conservación de la elección en materia de cookies deben evaluarse por separado. El RGPD no fija un intervalo universal de 12 o 24 meses.
¿Cómo debe diseñarse un banner de cookies conforme al RGPD en España?
Un banner de cookies conforme debe ofrecer opciones granulares por categoría (necesarias, analítica, marketing), incluir botones “Aceptar todas” y “Rechazar todas” igualmente prominentes, no utilizar casillas premarcadas para cookies no necesarias, informar sobre la identidad del responsable y las finalidades y enlazar a la política de cookies completa. La guía de cookies de la AEPD, actualizada en 2024, es la referencia española para comprobar el diseño y la instalación de los rastreadores.