Banner de cookies y RGPD: el que cumple y el que te multa (2026)

La respuesta corta: un banner de cookies que cumple deja rechazar tan fácil como aceptar. Tiene que haber un botón de "Rechazar todo" en la primera pantalla, igual de visible que el de "Aceptar", no instalar cookies no esenciales hasta que el usuario diga que sí, y permitir elegir por categorías. El banner que te multa es justo el contrario: el que solo tiene "Aceptar", el que esconde el rechazo en un segundo clic, o el que ya te ha metido las cookies antes de que toques nada. Aquí te explico cómo tiene que ser según la AEPD, qué errores se sancionan y cuánto dura el consentimiento.

Un aviso: esto es información de un emprendedor a otro, no asesoramiento legal. Los criterios sobre cookies los fija la AEPD y se actualizan (su guía se revisó en 2024, con criterios posteriores en línea con las autoridades europeas), así que revisa la versión vigente o consúltalo con un profesional.

¿Cómo tiene que ser el banner de cookies?

La regla de oro de la AEPD es la simetría: rechazar tiene que ser tan sencillo como aceptar. En la práctica, tu banner debe cumplir esto:

• Botón de "Rechazar todo" en la primera capa, con el mismo peso visual que "Aceptar todo". Nada de esconderlo en "más opciones" o en un color apagado.
• Nada de cookies no esenciales antes del consentimiento. Hasta que el usuario acepta, solo pueden cargarse las cookies técnicas imprescindibles. Las de análisis, marketing o terceros esperan.
• Elección por categorías, para que el usuario pueda aceptar unas (por ejemplo, las de medición) y rechazar otras (las de publicidad).
• Sin patrones engañosos (dark patterns): ni botones que confunden, ni "aceptar" gigante frente a un "rechazar" diminuto, ni casillas premarcadas.

La idea de fondo: el consentimiento tiene que ser libre e informado, y no lo es si el diseño empuja a aceptar.

El banner que te multa: los errores que sanciona la AEPD

Estos son los fallos que la AEPD sanciona una y otra vez, y que conviene que no tenga tu tienda:

• Solo botón de "Aceptar", sin una opción de rechazo igual de accesible.
• Rechazar escondido: cuando aceptar es un clic y rechazar te obliga a entrar en un menú y desactivar cosas una a una.
• Cookies instaladas antes de consentir: cargar analítica o píxeles de publicidad nada más entrar, sin permiso.
• Casillas premarcadas o un consentimiento "por seguir navegando", que ya no vale.

Y sí, esto se multa. Las sanciones por un mal uso de las cookies suelen moverse entre unos 10.000 y 150.000 € según la gravedad, y la AEPD ha sancionado a webs por justo estos fallos. No es lo más caro del catálogo de multas, pero es un riesgo tonto de asumir cuando arreglarlo es fácil.

El muro de cookies: cuándo es legal

El "muro de cookies" (cookie wall) es bloquear el acceso a tu web si el usuario no acepta las cookies. Por defecto, forzar la aceptación como única vía para entrar no es válido, porque el consentimiento dejaría de ser libre.

La AEPD lo admite solo con una condición: que ofrezcas una alternativa real para quien no acepta. Es decir, puede existir un modelo tipo "acepta cookies o accede de otra forma" (por ejemplo, una opción alternativa de acceso), pero no un "o aceptas o no entras" a secas. Si no das esa alternativa, el muro no cumple.

¿Cuánto dura el consentimiento de cookies?

El consentimiento no es para siempre. La AEPD recomienda renovarlo de forma periódica, y como referencia orientativa se maneja un máximo del orden de los 24 meses. Pasado ese tiempo, conviene volver a pedirlo. Y hay que renovarlo antes si cambian las cosas: si añades cookies nuevas, cambias sus finalidades o los terceros con los que trabajas, el consentimiento anterior ya no cubre eso y toca pedirlo otra vez.

También tienes que ponérselo fácil al usuario para retirar el consentimiento cuando quiera, tan fácil como lo dio, normalmente con un enlace permanente para gestionar las cookies.

Cómo poner un banner de cookies bien

No tienes que programarlo a mano. Lo práctico es usar una plataforma de gestión de consentimiento (CMP), como iubenda, Cookiebot u otras, que te generan el banner con el "Rechazar todo" en la primera capa, bloquean las cookies hasta el consentimiento y te llevan el registro. Configúrala bien (que el rechazo sea de verdad de un clic) y tendrás la mayor parte hecha.

El banner es solo una pieza de tus textos legales: va acompañado de una política de cookies que explica cuáles usas, para qué y de quién son. Y como el resto del cumplimiento (el aviso legal, la política de privacidad, el derecho de desistimiento, las condiciones), conviene revisarlo de vez en cuando, porque los criterios cambian.

El banner de cookies, en resumen

Un buen banner de cookies se resume en una frase: rechazar tan fácil como aceptar. Botón de "Rechazar todo" en la primera capa e igual de visible, nada de cookies no esenciales antes del consentimiento, elección por categorías y cero patrones engañosos. Evita el muro de cookies sin alternativa, renueva el consentimiento cada cierto tiempo (orientativamente hasta 24 meses) y deja retirarlo fácil. Con una CMP bien configurada lo tienes casi resuelto, y te ahorras una sanción que va de los 10.000 a los 150.000 € por un fallo que se arregla en un rato.

Preguntas frecuentes

¿Cómo tiene que ser un banner de cookies para cumplir el RGPD?

Debe permitir rechazar tan fácil como aceptar: un botón de "Rechazar todo" en la primera capa, igual de visible que "Aceptar". No puede instalar cookies no esenciales antes del consentimiento, tiene que dejar elegir por categorías y no usar patrones engañosos. Un banner con solo "Aceptar" o con el rechazo escondido no cumple.

¿Es legal bloquear el acceso si no acepto las cookies?

El muro de cookies solo es válido si ofreces una alternativa real de acceso a quien no acepta. Forzar la aceptación como única forma de entrar no cumple, porque el consentimiento dejaría de ser libre. Sin esa alternativa, el muro no es conforme.

¿Cuánto dura el consentimiento de cookies?

No es indefinido. La AEPD recomienda renovarlo periódicamente, con una referencia orientativa de hasta 24 meses. Además, hay que volver a pedirlo antes si cambias las cookies, sus finalidades o los terceros implicados. El usuario debe poder retirarlo con la misma facilidad con la que lo dio.

¿Qué multa hay por un banner de cookies mal hecho?

Las sanciones por incumplir la normativa de cookies suelen situarse entre unos 10.000 y 150.000 € según la gravedad, y la AEPD ha sancionado webs por errores como no dejar rechazar o instalar cookies sin consentimiento. Es un riesgo evitable, porque cumplir con un banner correcto es sencillo.