La mayoría de los bancos de cookies que ves cada día en internet parecen correctos a simple vista: tienen un botón para aceptar, un texto explicando que el sitio usa cookies, y quizás un enlace a "más información". El problema es que la apariencia correcta no equivale a cumplimiento real, y la Agencia Española de Protección de Datos (AEPD) ha sido explícita sobre qué elementos concretos separan un banner conforme de uno que solo lo parece.

Esta guía explica, punto por punto, qué debe tener un banner de cookies para cumplir con el RGPD y con la Guía sobre el uso de las cookies de la AEPD, cuáles son los errores más comunes que provocan sanciones, y cómo verificar si tu propio banner está realmente bloqueando lo que dice bloquear.

La AEPD es explícita en este punto: ambas acciones deben estar al mismo nivel, sin que sea más complicado rechazar las cookies que aceptarlas. Esto significa, en la práctica, que si tu banner muestra un botón grande y de color llamativo para "Aceptar todo" en la primera capa, y para rechazar obliga al usuario a hacer clic en un enlace pequeño, entrar a un submenú y desmarcar categorías una por una, tu banner no cumple, sin importar qué diga el texto legal que lo acompaña.

El patrón que sí cumple ofrece, en el primer nivel de información, tres opciones igualmente visibles y accesibles: aceptar todo, rechazar todo, y configurar preferencias. Ninguna de las tres debe requerir más pasos que las otras para completarse.

Un banner puede tener el diseño perfecto y seguir siendo ilegal si, detrás de la interfaz, los scripts de analítica y publicidad ya se cargaron antes de que el usuario tomara cualquier decisión. Este es el error más costoso y el más difícil de detectar sin herramientas técnicas, porque el banner se ve bien, pero el rastreo ya empezó.

El bloqueo debe ser efectivo antes del consentimiento, no solo una promesa en el texto: ningún cookie que no sea estrictamente necesario debería instalarse hasta que el usuario haga clic explícitamente en aceptar esa categoría específica. Esto requiere control técnico real sobre la ejecución de scripts, no solo un mensaje informativo superpuesto a un sitio que ya está funcionando con normalidad por debajo.

1. Abre tu sitio en una ventana de navegación privada, sin cookies previas.
2. Abre las herramientas de desarrollador de tu navegador, pestaña "Red" (Network), antes de interactuar con el banner.
3. Observa si ya aparecen peticiones hacia dominios como google-analytics.com, googletagmanager.com, facebook.com/tr o similares, antes de haber hecho clic en cualquier botón.

Si esas peticiones ya aparecen, tu banner tiene exactamente el problema descrito arriba, sin importar qué tan bien diseñado esté visualmente.

La guía de la AEPD, alineada con las directrices del Comité Europeo de Protección de Datos, exige que el usuario pueda elegir por categoría de finalidad (analítica, publicidad, redes sociales) y no solo un aceptar/rechazar indiferenciado de todo el sitio. Cada categoría debe explicarse en lenguaje comprensible, sin depender de que el usuario entienda jerga técnica para saber qué está aceptando.

El primer nivel del banner debe informar, como mínimo: qué tipos de cookies usa el sitio, con qué finalidad general, y dónde encontrar la información completa (la política de cookies). No es necesario listar cada cookie individual en el primer nivel, pero sí debe quedar claro que existe esa información detallada y cómo acceder a ella con un solo clic.

Las Directrices 03/2022 sobre patrones engañosos ("dark patterns"), incorporadas a la práctica de la AEPD, identifican como problemáticos varios diseños que técnicamente ofrecen las tres opciones pero las hacen desiguales en la práctica: usar colores de alto contraste solo en el botón de aceptar, hacer el botón de rechazar visualmente similar al fondo para que pase desapercibido, o requerir un scroll adicional para encontrar el botón de rechazar que no es necesario para encontrar el de aceptar.

La AEPD permite condicionar el acceso al sitio al consentimiento de cookies, pero con una condición explícita: el editor del sitio debe ofrecer una alternativa de acceso al servicio sin necesidad de aceptar, y esa alternativa no tiene que ser necesariamente gratuita.

Es decir, un cookie wall puro que no ofrezca ninguna alternativa (ni de pago ni de acceso limitado) no cumple con este criterio. Profundizamos en este tema en nuestra guía sobre si el aviso de cookies es obligatorio en toda página web.

Una plataforma de gestión del consentimiento como AdOpt no deja esta implementación al criterio de quien diseñó el banner: aplica el bloqueo técnico real antes del consentimiento, muestra las tres opciones al mismo nivel visual por diseño (no como una elección que cada cliente puede desconfigurar sin darse cuenta), permite configuración granular por categoría, y guarda un registro verificable de cada elección, con fecha, hora y versión del banner mostrada en ese momento.

Sí. La AEPD y las directrices europeas son claras: el rechazo debe ser tan accesible como la aceptación, en el mismo nivel de la interfaz, no escondido en un submenú.

No. El consentimiento debe nacer de una acción positiva del usuario; casillas premarcadas o cualquier configuración que asuma consentimiento sin una acción explícita no es válida ante el RGPD.

Es exactamente la violación más común y más sancionada: el diseño correcto no sustituye el bloqueo técnico real. Verifica con el método de las herramientas de desarrollador descrito en este artículo.

El estándar de la AEPD aplica al tráfico dirigido a España, pero replicar las mismas buenas prácticas (rechazo igual de fácil, bloqueo real) es también la base exigida por el RGPD en el resto de la Unión Europea, así que en la práctica un banner bien construido cumple en ambos casos.

Consulta nuestra guía específica sobre la duración del consentimiento a las cookies, que trata este punto en detalle.

No siempre, pero solo es aceptable si el sitio ofrece una alternativa real de acceso sin necesidad de aceptar las cookies, aunque esa alternativa implique un coste. Un cookie wall sin ninguna alternativa no cumple el criterio de la AEPD.

• ¿Qué es una cookie en internet? Guía completa
• ¿Es obligatorio el aviso de cookies en una página web?

Comprueba en minutos si tu banner está bloqueando de verdad lo que dice bloquear. Prueba AdOpt gratis.