Cuándo es obligatorio el aviso de cookies

El aviso de cookies es obligatorio en cuanto la web guarda o lee en el dispositivo de quien la visita algo que no hace falta para que la web funcione. En la práctica, casi cualquier web de empresa que mide sus visitas o hace publicidad lo necesita. Una web que solo usa cookies técnicas, como la de la sesión o la del carrito, no tiene que pedir permiso.

La regla es española, del artículo 22.2 de la Ley de servicios de la sociedad de la información, y quien sanciona su incumplimiento es la Agencia Española de Protección de Datos (AEPD), que explica cómo aplicarla en su guía sobre cookies, actualizada en mayo de 2024. Las consultamos el 17 de octubre de 2026.

Depende de qué cookies use tu web

Tipos de cookies, con un ejemplo de cada uno y si necesitan el consentimiento de quien visita la web.
Tipo	Para qué sirve	¿Hay que pedir permiso?
Técnicas	Que la web funcione: la sesión, el carrito, la seguridad o el formulario que se está rellenando.	No
De preferencias elegidas por el usuario	Recordar algo que ha elegido quien visita, como el idioma, y solo para eso.	No
De análisis o medición	Contar visitas y saber qué páginas se ven, como Google Analytics.	Sí
De publicidad	Medir anuncios o mostrar anuncios según lo que se ha visto, como los píxeles de las plataformas.	Sí

Según el artículo 22.2 de la LSSI y la guía de la AEPD.¹²

La ley permite usar estos sistemas solo si quien visita la web da su consentimiento después de recibir información clara y completa sobre para qué se usan. La excepción es lo técnico: lo necesario para transmitir una comunicación o para prestar un servicio que el usuario ha pedido expresamente.¹

No es solo cosa de cookies. La AEPD aplica la misma regla a las tecnologías parecidas, como las balizas web (los píxeles que cargan las plataformas de anuncios), y también a la huella digital del navegador, que identifica a quien visita sin guardar nada en su equipo.²

Google Analytics también necesita permiso

Es el caso más habitual y el que más dudas da. Google Analytics 4 guarda en el navegador de quien visita la web dos cookies, _ga y otra que empieza igual, que duran dos años por defecto.³ La AEPD es clara: las cookies de análisis o medición no están exentas del deber de obtener un consentimiento informado.²

La guía recoge que las autoridades europeas ven poco riesgo en la medición cuando es de la propia web y con datos agregados, pero en España eso no la libra del permiso.² Si tu web tiene Google Analytics y no pide consentimiento, no cumple.

Cómo tiene que ser el aviso

Antes de nada. La información se da antes de usar las cookies, y eso incluye instalarlas. Cargar Google Analytics y luego enseñar el aviso no vale.²
Con un botón de rechazar en la primera capa, al mismo tiempo, al mismo nivel y con la misma visibilidad que el de aceptar, y otro para configurar.²
Sin dar por bueno el silencio. Seguir navegando o no hacer nada no es consentir.²
Con vuelta atrás. Retirar el consentimiento tiene que ser tan fácil como darlo, con un acceso sencillo y permanente a la configuración, por ejemplo un enlace en el pie de página.²
Sin muro sin salida. No se puede bloquear la web a quien rechaza si no se le ofrece una alternativa equivalente, que no tiene por qué ser gratuita.²
Con fecha de caducidad. La AEPD considera buena práctica que el consentimiento no dure más de 24 meses, y hay que volver a preguntar si cambian los fines o los terceros que usan las cookies.²

Qué pasa si no lo cumples

Si se vuelve a cometer después de una sanción firme en los tres años anteriores, la infracción pasa a ser grave, con una multa de 30.001 a 150.000 €.¹ Son máximos. Quien sanciona es la AEPD, y fija la cuantía según criterios como la intención, el tiempo que duró el incumplimiento, los beneficios obtenidos o la facturación afectada.¹

La responsabilidad tampoco se puede pasar a otro. Si una herramienta de un tercero instala cookies en tu web, la web y ese tercero responden cada uno de su parte, y un contrato no cambia eso ante la AEPD.²

Lo que puede cambiar en Europa

El 19 de noviembre de 2025, la Comisión Europea propuso un paquete de cambios en las normas digitales, el Digital Omnibus. Entre otras cosas, pasa las reglas de las cookies al Reglamento General de Protección de Datos, amplía los usos que no necesitan consentimiento, permite aceptar o rechazar con un clic que valga seis meses y que las preferencias se guarden en el navegador.⁴

El consentimiento seguiría siendo la regla principal para acceder a lo que hay en el dispositivo de quien visita.⁴ Y por ahora es solo una propuesta en tramitación en el Parlamento y en el Consejo. Hasta que se apruebe y se aplique, lo que vale en España es lo de arriba.

Qué no se puede saber

Qué cookies instala cada herramienta de terceros que pongas en tu web, como un mapa, un vídeo o un chat. Depende de cada proveedor y de cómo esté configurada, y la única forma de saberlo es mirarlo en tu web (abajo explicamos cómo).

Cuándo se aprobará el Digital Omnibus ni cómo quedará al final. El texto puede cambiar mucho en la negociación entre el Parlamento y el Consejo.

Qué multa pondría la AEPD en un caso concreto. La ley fija máximos, y la cuantía depende de las circunstancias de cada uno.

Si te afecta cuando tu web no tiene ninguna actividad económica. La guía aplica la regla a servicios que son una actividad económica para quien los ofrece, y la web de una empresa normalmente lo es; en un caso dudoso, mejor preguntar a un abogado.²

Comprueba tu aviso de cookies en 10 minutos

Abre tu web en una ventana privada del navegador y, sin tocar el aviso, abre las herramientas para desarrolladores (F12) y mira las cookies guardadas (en Chrome, Aplicación y luego Cookies).
Si ya aparecen cookies como _ga antes de aceptar, se están instalando antes del permiso. Eso hay que corregirlo.
Mira la primera capa del aviso: tiene que haber un botón de rechazar tan visible como el de aceptar, y uno para configurar.
Pulsa rechazar, recarga la página y vuelve a mirar las cookies: solo deberían quedar las técnicas.
Busca en el pie de página un enlace para cambiar la configuración de cookies más tarde. Si no está, añádelo.
Haz una lista de las herramientas de terceros que tiene tu web (analítica, píxeles, chat, mapas, vídeos) y comprueba que todas aparecen en tu política de cookies.

Fuentes

Si alguna cifra de este artículo cambia o resulta incorrecta, se corrige y se dice en esta misma página.