Una política de cookies útil explica qué tecnologías utiliza el sitio, para qué sirven, quién recibe la información y cómo puede decidir el visitante. Para redactarla hay que conocer antes el funcionamiento real de la web. Copiar una tabla de otro negocio puede introducir proveedores inexistentes, omitir herramientas activas y prometer controles que el sitio no ofrece.
El modelo de esta guía es una estructura para completar, no una certificación automática de conformidad. Se apoya en el artículo 22.2 de la LSSI y en las guías publicadas por la AEPD sobre cookies y medición de audiencia. La guía general disponible de la AEPD está actualizada en mayo de 2024; la fecha de revisión de esta página no convierte ese documento en una nueva versión de 2026.
Determinar si hace falta consentimiento
El artículo 22.2 de la LSSI regula el almacenamiento de información y el acceso a información almacenada en el terminal del usuario. Su alcance no se limita a archivos llamados cookies: puede comprender tecnologías similares. Si además se tratan datos personales, se aplican también las obligaciones correspondientes del RGPD. Son dos análisis relacionados, y no basta con afirmar que una herramienta «no recoge nombres» para excluir ambos.
La norma exceptúa el uso técnico destinado únicamente a transmitir una comunicación y el estrictamente necesario para prestar un servicio expresamente solicitado. La clasificación depende de la función y del uso efectivo. Una cookie que recuerda el carrito puede cumplir una finalidad necesaria; reutilizar su identificador para publicidad introduce otra finalidad que debe evaluarse por separado. Que sea propia, de un tercero o de sesión no determina por sí solo la exención.
Cuando el usuario selecciona un idioma, una preferencia destinada exclusivamente a recordar esa elección puede quedar exceptuada. Es distinto personalizar contenidos a partir de una observación del comportamiento decidida por el editor. Conviene documentar el razonamiento de cada categoría para no etiquetar todo como «técnico». La explicación general de la LSSI ayuda a situar esta obligación dentro del funcionamiento del servicio.
Si todas las tecnologías utilizadas están realmente exceptuadas, no hay que inventar una solicitud de consentimiento innecesaria. La AEPD recomienda informar genéricamente sobre esos usos por transparencia, sin perjuicio de otras obligaciones de información aplicables. Si existen finalidades no exentas, deben permanecer desactivadas hasta obtener una decisión válida. Un aviso visible que no controla lo que carga la página no resuelve este requisito.
La excepción de medición de audiencia no es automática
La guía específica de medición de audiencia de enero de 2024 contempla una exención bajo condiciones estrictas. La medición debe limitarse a la audiencia del sitio o aplicación, realizarse exclusivamente por cuenta del editor y producir estadísticas anónimas. No debe servir para cruzar esos datos con otros tratamientos, reutilizarlos con otros fines o seguir conjuntamente a una persona entre distintos sitios o aplicaciones.
Entre las mediciones contempladas figuran visitas por página, referencias de acceso, características técnicas del dispositivo y determinadas estadísticas de rendimiento o interacción con la agregación indicada en la guía. No se trata de una autorización general para construir perfiles de visitantes. Si se contrata un proveedor que trabaja para varios editores, debe garantizarse la independencia de la recogida, tratamiento y almacenamiento de cada uno y de sus identificadores.
La guía exige informar del uso, limitar la vida útil de las tecnologías y revisar su necesidad. Cita trece meses como ejemplo de duración que permite una comparación significativa, sin prórroga automática por nuevas visitas, y establece un máximo de veinticinco meses para conservar la información recogida. Son condiciones de este supuesto específico; no son plazos universales para cualquier cookie o cualquier dato obtenido en una web.
El proveedor debe asumir compromisos contractuales sobre ausencia de reutilización, finalidades permitidas, separación entre editores y transferencias. Además, el editor debe documentar si la herramienta puede configurarse y está efectivamente configurada para cumplir los requisitos. Por eso no conviene declarar exenta una marca comercial por su nombre: hay que comprobar la oferta, el contrato y la configuración concreta. Si no se cumplen las condiciones, la vía de consentimiento debe evaluarse y aplicarse antes del uso no exento.
Elaborar el inventario antes de escribir la tabla
El inventario debe cubrir las páginas y estados relevantes: entrada inicial, rechazo, aceptación parcial, sesión iniciada, compra y visualización de contenidos externos. Hay tecnologías que solo se activan al abrir un mapa, reproducir un vídeo o completar un formulario. Revisar únicamente la portada puede dejar fuera una parte importante del tratamiento.
Para cada elemento conviene registrar su nombre o identificador reconocible, dominio, entidad que lo utiliza, función, duración y momento de activación. También debe anotarse si un tercero recibe datos y para qué los utiliza. Un dominio propio puede actuar como intermediario hacia otros servidores; la apariencia del nombre no demuestra que todo el tratamiento permanezca bajo el control exclusivo del editor.
La duración de la cookie en el terminal debe distinguirse del plazo de conservación de la información extraída. Una cookie puede desaparecer al cerrar el navegador y haber enviado datos que permanecen durante más tiempo en un servidor. La política debe explicar los períodos o criterios pertinentes y no repetir una única duración para todos los proveedores por comodidad.
La revisión combina observación del sitio y documentación del proveedor. Un listado automático ayuda a detectar elementos, pero puede desconocer finalidades o condiciones contractuales. Si el resultado técnico contradice la política del servicio, hay que resolver la discrepancia antes de publicar una afirmación. También deben identificarse herramientas antiguas que ya no son necesarias, cuya retirada puede simplificar tanto el aviso como la gestión posterior.
Diseñar la primera capa y el rechazo
La información por capas permite mostrar primero lo esencial y ofrecer después el detalle completo. Es una solución recomendada, no el único formato posible. En una primera capa deben quedar claros el editor, las finalidades, la intervención de terceros cuando exista y los mecanismos para aceptar, rechazar y configurar. Si se elaboran perfiles, debe explicarse de forma comprensible qué información se utiliza para ello.
La guía exige ofrecer rechazo y aceptación en la misma capa, al mismo nivel y con igual visibilidad, mediante mecanismos similares. Si aceptar se hace mediante un botón, rechazar también debe poder hacerse mediante un botón. No resulta adecuado ocultar la negativa tras varias pantallas ni reducir su contraste hasta hacerla difícil de leer. La opción de configuración debe ser claramente visible, aunque no tiene que presentar necesariamente la misma apariencia que las otras dos.
La función de cada control debe ser evidente. Continuar navegando, cerrar un aviso o consultar la política no constituyen una aceptación válida de cookies no exentas. Los ajustes no pueden aparecer premarcados a favor de aceptar. El consentimiento conforme al RGPD exige una acción afirmativa libre, específica e informada, que la organización pueda demostrar.
La configuración debe permitir decisiones por finalidades diferenciadas. No hace falta abrumar al visitante con un interruptor por cada archivo si varias cookies cumplen exactamente la misma finalidad. Si solo hay una finalidad no exenta, aceptar o rechazar puede resolver la decisión sin añadir un panel innecesariamente complejo. La guía sobre avisos de cookies y AEPD desarrolla la conexión entre mensaje y funcionamiento.
Un caso práctico permite detectar errores de configuración: el visitante acepta estadísticas y rechaza publicidad, pero una misma tecnología sirve para ambas finalidades. No debe activarse sin más bajo la categoría aceptada. Debe existir una separación efectiva que impida el uso rechazado o, si no es posible, mantenerse desactivada. La descripción comercial del componente no demuestra que esa separación técnica exista. Es necesario verificar también que los servicios conectados reciben y respetan la elección parcial, en lugar de interpretar cualquier interacción con el panel como una aceptación total.
La misma revisión debe incluir pantallas pequeñas y navegación mediante teclado. Los controles necesitan textos legibles y una acción de guardado comprensible; un botón que queda fuera de la zona accesible impide decidir en condiciones reales. Si el gestor falla al cargar, las tecnologías no exentas no deberían activarse como respuesta automática al error. El procedimiento de publicación debe asignar a alguien la comprobación de esos estados y la corrección de discrepancias.
Modelo adaptable de segunda capa
El siguiente bloque debe completarse tras el inventario. Los campos entre corchetes requieren datos reales, y los apartados que no correspondan deben eliminarse o reformularse. Una duración marcada como pendiente no puede quedar publicada como si fuera una respuesta. La tabla es una forma de organizar la información, sin sustituir una explicación comprensible de las finalidades.
Política de cookies de [editor o marca]
Tecnologías y usos. En [sitio o aplicación] utilizamos [cookies y tecnologías identificadas]. Sirven para [describir cada finalidad concreta]. Las tecnologías estrictamente necesarias permiten [funciones solicitadas]. Las demás solo se utilizan conforme a las elecciones indicadas a continuación.
Quién utiliza la información. [Identificar al editor y a los terceros pertinentes, explicar sus funciones y enlazar su información específica].
Identificador Entidad y dominio Finalidad concreta Duración en el terminal Régimen aplicable [elemento observado] [entidad y dominio] [función verificada] [duración real] [exento justificado o consentimiento] Conservación. Los datos obtenidos se conservan durante [períodos o criterios por finalidad]. [Explicar por separado la medición exenta, si existe].
Sus decisiones. Puede aceptar, rechazar las tecnologías no exentas o seleccionar finalidades mediante [control disponible]. Puede cambiar su elección o retirar el consentimiento en cualquier momento desde [enlace directo y permanente al mecanismo]. [Explicar las limitaciones reales para eliminar cookies de terceros y las herramientas disponibles].
Transferencias y derechos. [Precisar, cuando proceda, terceros países, mecanismo aplicable y acceso a garantías]. La información restante sobre el responsable y el ejercicio de derechos está en [enlace directo a la política de privacidad].
Actualización. Esta información fue revisada el [fecha real]. [Explicar cómo se informará de cambios pertinentes].
Fuera del bloque, la plantilla de política de privacidad ayuda a completar los elementos del RGPD que no se desarrollan en la política de cookies. El modelo de aviso legal atiende a otra función informativa. No debe afirmarse que toda página, con independencia de su actividad y tecnologías, necesita exactamente tres documentos separados con el mismo contenido.
Proveedores, transferencias y responsabilidad
La empresa que publica la web debe conocer qué habilita al integrar una herramienta. El proveedor puede actuar como encargado para unas operaciones y decidir finalidades propias para otras. Si existe encargo, el contrato del artículo 28 debe corresponderse con las instrucciones y garantías reales. Si varias entidades deciden conjuntamente fines y medios, debe analizarse la corresponsabilidad y sus obligaciones, sin atribuir automáticamente al editor todas las operaciones posteriores del tercero.
La información sobre transferencias internacionales debe identificar el supuesto efectivo, los países y el mecanismo pertinente. Aceptar cookies no equivale automáticamente a consentir cualquier transferencia bajo el artículo 49. Puede existir una decisión de adecuación o un instrumento del artículo 46, que debe verificarse en su ámbito. El alojamiento declarado en Europa tampoco resuelve por sí solo todos los accesos de soporte desde fuera del EEE.
Una plataforma de gestión del consentimiento puede facilitar controles y registros, pero no es obligatoria por su nombre ni traslada toda responsabilidad al proveedor. Al comparar plataformas de consentimiento, conviene comprobar integración, granularidad, retirada, accesibilidad y conservación proporcionada de pruebas. Un software de cumplimiento puede valorarse para organizar documentación, verificando sus funciones reales; no sustituye la revisión de lo que instala la web.
Retirada, cambios y conservación de la elección
Retirar el consentimiento debe ser tan fácil como prestarlo. La persona necesita un acceso permanente y comprensible al mecanismo, sin buscar un correo de contacto ni justificar su decisión. La retirada debe detener los usos basados en ese consentimiento hacia el futuro; no altera la licitud de lo ocurrido antes de retirarlo. Hay que distinguir ese efecto de la eliminación técnica de elementos ya guardados en el navegador.
Si el editor no puede eliminar determinadas cookies de terceros, debe explicar las herramientas del navegador o del tercero disponibles, sin utilizar esa limitación como excusa para seguir activando tratamientos no consentidos. Enviar a la persona exclusivamente a una configuración compleja del navegador no sustituye el mecanismo de gestión que corresponde ofrecer en el sitio. Conviene comprobar que la elección se respeta después de recargar o visitar otra sección.
La AEPD considera buena práctica que la validez del consentimiento para una determinada cookie no supere veinticuatro meses, conservando durante ese tiempo la elección sin preguntar en cada visita. No es un plazo general fijado por el RGPD para todo consentimiento. Si cambian finalidades o terceros, hay que actualizar la información y permitir una nueva decisión pertinente antes de ampliar el uso. Renovar un registro no corrige un consentimiento que nunca fue válido.
Muros de cookies y alternativas de acceso
Bloquear el servicio hasta aceptar no garantiza libertad de elección. La guía de la AEPD contempla determinados supuestos con una alternativa verdaderamente equivalente ofrecida por el propio editor, que no tiene por qué ser gratuita. La existencia de un precio no valida por sí sola cualquier diseño: deben examinarse el contexto, el perjuicio para la persona y si puede decidir libremente. No sirve remitirla a un servicio ajeno que no ofrece una alternativa del mismo editor.
La propia guía recoge un análisis más exigente para modelos de consentimiento o pago de grandes plataformas en línea a partir del dictamen 8/2024 del CEPD. Por ello, un modelo genérico de política no debe declarar lícito un muro sin estudiar el caso. Especialmente, no puede bloquearse mediante cookies no necesarias el único canal disponible para ejercer un derecho reconocido legalmente.
Comprobar el resultado y mantenerlo actualizado
La comprobación final debe relacionar cada finalidad declarada con una acción observable: qué sucede antes de decidir, al rechazar, al aceptar solo una categoría y al retirar después. Los contenidos incrustados deben evaluarse individualmente. No todo vídeo o mapa de un tercero exige consentimiento para cualquier operación, pero las funciones no exentas deben quedar bloqueadas hasta que se acepten. Esta distinción evita tanto recoger datos prematuramente como impedir funciones necesarias sin motivo.
La revisión debe repetirse cuando se incorporen proveedores, campañas o componentes que alteren los tratamientos y con una periodicidad adecuada al sitio. La guía recomienda revisión periódica; no establece una auditoría anual universal para toda web. Debe guardarse evidencia suficiente de la versión informativa, configuración y decisión, sin recoger datos adicionales innecesarios para probar el consentimiento. El modelo de formulario de consentimiento ayuda a separar prueba, finalidad y revocación.
La política puede considerarse lista para publicar cuando identifica lo que sucede, explica decisiones reales y enlaza controles que funcionan. Si el inventario sigue sin aclarar para qué utiliza los datos un proveedor, la solución es resolver ese punto o retirar la herramienta, no cubrirlo con una frase genérica. La coherencia entre texto, contrato y comportamiento del sitio es lo que hace útil el modelo.