Para el RGPD, un consentimiento válido es una manifestación de voluntad libre, específica, informada e inequívoca, dada mediante una declaración o una clara acción afirmativa. Si falta una de esas notas, el consentimiento no vale, y lo que hagas con esos datos queda sin base legal.

Este artículo recorre los requisitos uno a uno, explica las condiciones del artículo 7 y los aplica a las situaciones reales de una web: cookies, formularios, altas y correos comerciales. Para el caso concreto de las cookies, el detalle está en consentimiento de cookies, y la plataforma que lo gestiona se explica en qué es una CMP.

La definición está en el artículo 4.11 del texto del RGPD: "toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen".

El considerando 32 completa la idea con un ejemplo muy útil: el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. Y añade que, cuando el tratamiento tiene varios fines, el consentimiento debe darse para todos ellos.

El consentimiento es una de las bases legales del artículo 6, no la única. Hay tratamientos que se apoyan en el contrato, en una obligación legal o en el interés legítimo. Pero cuando eliges el consentimiento como base, tienes que cumplir todas sus condiciones.

La persona debe poder elegir sin presión ni perjuicio. El artículo 7.4 pide tener en cuenta, al evaluar si es libre, si la ejecución de un contrato se supedita a un consentimiento para tratamientos que no son necesarios para ese contrato.

En la web, esto afecta a los muros de cookies. La Guía de la AEPD (apartado 3.2.10, p. 29) recuerda que el acceso al servicio no debe supeditarse a aceptar las cookies. Admite que haya casos en que la no aceptación limite el acceso, siempre que se informe y se ofrezca una alternativa genuinamente equivalente, no necesariamente gratuita, y que la ofrezca el propio editor.

Cada finalidad necesita su propio consentimiento. Un "acepto todo" que mezcla analítica, publicidad y cesión a terceros en una sola casilla no permite elegir por finalidad. Por eso los avisos serios ofrecen una segunda capa con categorías, como explicamos en el banner de cookies que exige el RGPD.

Antes de dar su consentimiento, la persona debe ser informada (art. 7.3). En una web, eso significa saber quién trata los datos, para qué y cómo retirar el consentimiento, con un lenguaje claro y de fácil acceso. Cuando el consentimiento se pide dentro de un texto más largo, la solicitud debe distinguirse claramente de los demás asuntos (art. 7.2).

Tiene que haber una clara acción afirmativa. La Guía de la AEPD (p. 23) lo traduce así para cookies: el usuario debe realizar una acción afirmativa evidente y seguir navegando no es una conducta de la que pueda derivarse la aceptación. Tampoco valen las opciones premarcadas a favor de aceptar (p. 22).

Además de la definición, el artículo 7 impone cuatro condiciones que afectan directamente a lo que implementas:

1. Demostrar (7.1). El responsable debe ser capaz de demostrar que el interesado consintió. Es la base del registro de consentimientos.
2. Distinguir la solicitud (7.2). Si el consentimiento va en una declaración que trata otros asuntos, se presenta de forma que se distinga claramente, con lenguaje claro y sencillo.
3. Poder retirarlo (7.3). La persona puede retirar su consentimiento en cualquier momento, y será tan fácil retirarlo como darlo. La retirada no afecta a la licitud del tratamiento anterior.
4. No condicionar (7.4). Se tiene en cuenta si el contrato o el servicio se supedita al consentimiento para datos que no son necesarios.

El RGPD agrupa las condiciones del consentimiento (arts. 5, 6, 7 y 9) entre las infracciones que se pueden sancionar con multas de hasta 20 millones de euros o, para una empresa, el 4 % del volumen de negocio total anual global, optando por la cuantía mayor (art. 83.5). Son los máximos del Reglamento, no la multa habitual, y no deben leerse como una predicción.

La LOPDGDD, por su parte, califica como infracción muy grave el incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento (art. 72.1.c), con un plazo de prescripción de tres años. Puedes ver cómo actúa la autoridad en multas y sanciones de la AEPD.

Los requisitos son los mismos, pero se aplican de forma distinta en cada punto de contacto.

Dos matices sobre esta tabla. Para las altas, la Guía de la AEPD (p. 24) admite pedir el consentimiento de las cookies en el alta, pero separado de la aceptación de los términos y condiciones de uso. Para los menores, la LOPDGDD (art. 7) establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años.

Para el correo electrónico publicitario, además del RGPD, aplica el artículo 21 de la LSSI: queda prohibido enviar comunicaciones publicitarias por correo electrónico u otro medio equivalente que no hubieran sido solicitadas o expresamente autorizadas por los destinatarios.

El apartado 2 recoge una excepción: cuando hay una relación contractual previa, el prestador obtuvo lícitamente los datos y los usa para comunicaciones sobre productos o servicios similares a los contratados, y ofrece un procedimiento sencillo y gratuito para oponerse. Esa excepción es de la LSSI y se refiere al envío. Cómo encaja con el RGPD en cada caso conviene validarlo con el delegado de protección de datos o con asesoría jurídica.

El artículo 22.2 de la LSSI condiciona el uso de dispositivos de almacenamiento y recuperación de datos al consentimiento, tras información clara y completa, y exceptúa el acceso o almacenamiento técnico necesarios para transmitir una comunicación o, si es estrictamente necesario, para prestar un servicio que el usuario ha solicitado expresamente.

Un consentimiento válido es el resultado de una cadena de decisiones, no de una pantalla. Esto es lo que suele marcar la diferencia:

• Una finalidad, una elección. Separa analítica, publicidad y cesión a terceros.
• Nada premarcado. Todo lo opcional empieza desactivado.
• Rechazar tan fácil como aceptar. Mismo nivel, mismo peso, misma capa.
• Retirada permanente. Un acceso visible en cualquier página para cambiar la elección.
• Información antes de decidir. Quién, para qué y cómo retirar, en lenguaje llano.
• Prueba guardada. Un registro individual con fecha, hora, versión del aviso y elección.

Una CMP como AdOpt ayuda a ejecutar esa cadena, pero la base legal de cada tratamiento y la redacción de los textos siguen siendo decisiones del responsable.

1. Tratar el scroll o seguir navegando como aceptación.
2. Una única casilla "acepto todo" para finalidades distintas.
3. Agrupar el consentimiento con los términos de uso.
4. Dificultar el rechazo, con más clics o menos visibilidad que el aceptar.
5. No poder demostrarlo, por no guardar un registro individual con fecha y versión.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres comprobar cómo queda en tu web, prueba AdOpt gratis durante 30 días.

• Plataforma de gestión del consentimiento (CMP): qué debe cumplir
• Consentimiento de cookies: qué exige la ley en España

El artículo 4.11 exige una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. A eso se suman las condiciones del artículo 7: poder demostrarlo, distinguirlo de otros asuntos, poder retirarlo tan fácilmente como se dio y no condicionar un contrato a un consentimiento innecesario.

No. El considerando 32 del RGPD dice que el silencio, las casillas premarcadas o la inacción no constituyen consentimiento, y la Guía de cookies de la AEPD indica que seguir navegando no es una conducta de la que pueda derivarse la aceptación de cookies. Hace falta una acción afirmativa clara, como pulsar un botón de aceptar.

No. El consentimiento es una de las bases legales del artículo 6 del RGPD, junto con el contrato, la obligación legal o el interés legítimo, entre otras. Cada tratamiento necesita la base que le corresponda. Si eliges el consentimiento, deben cumplirse todas sus condiciones. La elección de la base conviene validarla con el delegado de protección de datos.

La LOPDGDD, en su artículo 7, establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años. Para los menores de esa edad, el tratamiento basado en consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

Con un registro individual: identificador de la persona, fecha y hora, qué se aceptó o rechazó por finalidad y la versión de los textos que se mostraron. El artículo 7.1 del RGPD obliga al responsable a poder demostrarlo, y una captura del banner o una estadística de aceptaciones no basta como prueba individual.

¿Quieres revisar si tu consentimiento cumple estos requisitos? Habla con el equipo de AdOpt y lo vemos juntos.