En 2025, la gestión de cookies sigue siendo uno de los motivos más frecuentes de sanción por parte de la AEPD. Solo en el último año, la Agencia ha impuesto multas de hasta 90.000 euros por instalación de cookies sin consentimiento previo, y la tendencia sancionadora no hace más que intensificarse: las reclamaciones recibidas por la Agencia en 2025 superaron las 30.000, un 64% más que el año anterior. Muchas empresas en Valencia y en toda España siguen operando con banners de cookies incorrectos —sin botón de rechazo visible, con casillas premarcadas o sin información clara sobre los tipos de cookies— sin ser conscientes de que están expuestas a multas. En este artículo explicamos qué exige exactamente la AEPD al banner de cookies y qué debe incluir para estar en regla con el RGPD y la LSSI.

¿Qué dice la normativa sobre cookies y consentimiento en España?

La regulación de cookies en España se rige por dos normas que deben cumplirse de forma simultánea: el Reglamento General de Protección de Datos (RGPD) y la Ley de Servicios de la Sociedad de la Información (LSSI), en concreto su artículo 22.2. Mientras la LSSI exige informar al usuario y obtener su consentimiento antes de instalar cookies no esenciales, el RGPD establece los requisitos que debe cumplir ese consentimiento: debe ser libre, específico, informado, inequívoco y revocable en cualquier momento.

La AEPD publicó su Guía sobre el uso de cookies, revisada en 2023 y vigente en 2025, que es el documento de referencia para cualquier web española. Esta guía aclara que seguir navegando o hacer scroll en una página no constituye un consentimiento válido, ya que no se trata de una acción afirmativa clara. El Comité Europeo de Protección de Datos (CEPD) exige además que las opciones de aceptar y rechazar cookies estén al mismo nivel de visibilidad y accesibilidad: no puede ser más fácil aceptar que rechazar.

Las cookies técnicas o estrictamente necesarias quedan exentas de consentimiento. Sin embargo, cualquier cookie analítica, publicitaria o de personalización —incluyendo Google Analytics, Meta Pixel o Google Ads— requiere autorización explícita del usuario antes de ser instalada.

Casos reales y resoluciones AEPD sobre cookies

La AEPD ha demostrado en los últimos años que las sanciones en materia de cookies son una realidad concreta y no una amenaza teórica. Algunos casos relevantes ilustran el tipo de infracciones que se sancionan:

Iberia fue sancionada con 30.000 euros por vulneración del artículo 22.2 de la LSSI al instalar cookies sin consentimiento previo. Vueling recibió igualmente una sanción de 30.000 euros, reducida a 18.000 tras reconocer su responsabilidad y abonarla voluntariamente. IKEA Ibérica fue multada con 10.000 euros por instalar cookies incluso después de que el usuario las rechazara explícitamente.

En 2024, la AEPD impuso una multa de 90.000 euros al responsable de tres dominios por múltiples incumplimientos en la gestión de cookies: ausencia de información clara, instalación de cookies previa al consentimiento e inexistencia de opción de rechazo. También se han sancionado medios digitales y portales de comercio electrónico por banners que no ofrecían la posibilidad de rechazar todas las cookies tan fácilmente como aceptarlas.

Lo que estos casos tienen en común es un patrón recurrente: diseño oscuro (dark patterns) en el banner, botón de aceptar prominente frente a un enlace de rechazo pequeño o enterrado en configuraciones avanzadas, o directamente la ausencia total de opción de rechazo.

Cómo debe ser el banner de cookies en tu empresa en 2025

Para que el banner de cookies de tu web cumpla con los requisitos de la AEPD y el RGPD en 2025, debe reunir estas características:

1. Información clara en el primer nivel. El banner debe indicar, en lenguaje sencillo, que se usan cookies, qué categorías existen (analíticas, publicitarias, de terceros), cuál es su finalidad y quién las instala. No es válido remitir al usuario únicamente a la política de cookies sin ofrecer información mínima en el propio banner.

2. Tres opciones visibles y equivalentes. El usuario debe poder elegir entre Aceptar todas, Rechazar todas y Configurar preferencias. Las opciones de aceptar y rechazar deben tener el mismo peso visual: mismo tamaño de botón, mismo contraste, misma posición. No se admiten diseños que dificulten el rechazo.

3. Sin casillas premarcadas. El consentimiento requiere una acción positiva del usuario. Las casillas de categorías de cookies no pueden venir activadas por defecto: el usuario debe marcarlas él mismo.

4. No instalar cookies antes del consentimiento. Salvo las cookies técnicas, ninguna cookie debe cargarse hasta que el usuario haya aceptado expresamente esa categoría concreta. Muchas webs instalan scripts de terceros al cargar la página, antes de que el usuario haya tomado ninguna decisión: esto es ilegal.

5. Registro de consentimientos. Debes poder demostrar que obtuviste el consentimiento de manera válida: qué versión del banner vio el usuario, cuándo interactuó con él y qué eligió. Este registro es imprescindible ante una posible inspección o reclamación ante la AEPD.

6. Renovación cada 24 meses. La AEPD recomienda solicitar de nuevo el consentimiento al usuario si han transcurrido más de dos años desde la última aceptación, o cuando cambien de forma significativa las cookies utilizadas.

Preguntas frecuentes sobre cookies y RGPD en España

¿Puedo usar una solución gratuita de banner de cookies?
Existen herramientas gratuitas que generan banners básicos, pero muchas no cumplen todos los requisitos actuales de la AEPD, especialmente en lo relativo al registro de consentimientos y al bloqueo previo de scripts de terceros. Si tu web tiene tráfico considerable o utiliza cookies publicitarias, es recomendable optar por una Consent Management Platform (CMP) profesional con capacidad de auditoría y registro.

¿Qué ocurre si el usuario no interactúa con el banner?
Si el usuario abandona la web sin tomar ninguna decisión, no se considera que haya dado su consentimiento. No puedes instalar cookies no esenciales en esa visita, y el banner debe seguir apareciendo en visitas posteriores hasta que el usuario tome una decisión activa.

¿También están obligados los autónomos y las pymes?
Sí, sin excepción. La obligación aplica a cualquier sitio web que instale cookies no esenciales, con independencia del tamaño de la empresa o el volumen de negocio. Un autónomo con una pequeña web de servicios que integre Google Analytics está obligado a tener un banner de cookies correcto y a respetar la decisión del usuario.

Conclusión

El banner de cookies es una de las obligaciones más visibles del RGPD y, al mismo tiempo, una de las que más sanciones genera en España. Si tu web sigue usando un banner incompleto, sin botón de rechazo o instalando cookies antes del consentimiento, estás asumiendo un riesgo real de multa por parte de la AEPD. Desde nuestra consultoría protección de datos Valencia ayudamos a empresas de todos los tamaños a revisar y adecuar su configuración de cookies de forma rápida y sin complicaciones técnicas. Contáctanos y te ayudamos a estar en regla.