Casi todo el mundo ha aceptado o rechazado cookies cientos de veces sin saber exactamente qué está aceptando o rechazando. Una cookie es, en su forma más simple, un pequeño archivo de texto que un sitio web guarda en tu navegador para recordar información entre visitas: que iniciaste sesión, qué había en tu carrito, en qué idioma prefieres ver la página o qué anuncios ya viste.

No es un programa, no puede ejecutar código por sí sola y no puede, por sí misma, robar información de tu ordenador. Pero sí puede usarse para seguir tu comportamiento a través de múltiples sitios, y ahí es donde empieza a importar la ley.

Esta guía explica qué es técnicamente una cookie, los tipos que existen, por qué algunas requieren tu consentimiento explícito y otras no, y qué controla realmente una web sobre ellas cuando usa una plataforma de gestión del consentimiento.

Cuando visitas un sitio web, el servidor puede enviar a tu navegador una pequeña instrucción para guardar un fragmento de información con un nombre y un valor, junto con un dominio y una fecha de caducidad.

La próxima vez que tu navegador se conecte a ese mismo dominio, envía de vuelta esa información automáticamente. Así es como un sitio "recuerda" que ya iniciaste sesión sin pedirte la contraseña en cada página, o que ya elegiste ver los precios en euros y no en dólares.

La cookie en sí misma no sabe quién eres: solo contiene el dato que el sitio decidió guardar. El problema de privacidad no nace de la tecnología, nace del uso: si ese dato es un identificador único que permite reconstruir tu comportamiento a lo largo del tiempo y a través de distintos sitios, entonces esa cookie está construyendo un perfil sobre ti, aunque nunca haya recogido tu nombre real.

Cookies propias (first-party). Las instala el mismo dominio que estás visitando. Sirven típicamente para funciones del propio sitio: sesión, carrito, preferencias de idioma.

Cookies de terceros (third-party). Las instala un dominio distinto al que visitas, normalmente porque la página carga un recurso externo (un pixel publicitario, un vídeo incrustado, un widget de chat). Casi siempre existen para construir perfiles de comportamiento a través de múltiples sitios.

Cookies de sesión. Se borran automáticamente cuando cierras el navegador. Duran solo mientras navegas.

Cookies persistentes. Permanecen guardadas durante un plazo definido, que puede ir de unos días a varios años, según lo que el sitio configure.

Cookies técnicas o estrictamente necesarias. Sin ellas, el servicio que pediste no funcionaría: mantener tu sesión iniciada, recordar el contenido del carrito, garantizar la seguridad de la conexión. No requieren tu consentimiento previo, solo información.

Cookies de preferencias o funcionales. Recuerdan configuraciones que mejoran tu experiencia (idioma, región) pero que no son estrictamente indispensables para que el servicio exista. En la mayoría de los casos requieren consentimiento.

Cookies analíticas. Miden cómo usas el sitio: qué páginas visitas, cuánto tiempo permaneces, de dónde vienes. Requieren consentimiento salvo que el sitio aplique una anonimización estricta reconocida por la autoridad de control, un caso poco común en la práctica comercial.

Cookies publicitarias o de perfilado. Construyen un perfil de tus intereses para mostrarte publicidad dirigida, a menudo siguiéndote a través de múltiples sitios. Siempre requieren tu consentimiento explícito.

La normativa europea (la Directiva ePrivacy, transpuesta en España a través de la Ley de Servicios de la Sociedad de la Información, LSSI) establece que instalar o acceder a información en tu dispositivo requiere tu consentimiento previo, salvo dos excepciones: que sea estrictamente necesaria para la transmisión de una comunicación, o que sea estrictamente necesaria para prestar el servicio que tú mismo has solicitado expresamente.

Todo lo que no encaja en esas dos excepciones estrechas necesita consentimiento, y el propio Reglamento General de Protección de Datos (RGPD) exige que ese consentimiento sea libre, específico, informado e inequívoco.

Esto significa, en la práctica, que la mayoría de las cookies que hacen que un negocio funcione desde el punto de vista comercial (medir el tráfico, mostrar publicidad relevante, integrar redes sociales) no son técnicas en sentido estricto, aunque a veces se las presente así para simplificar la comunicación con el usuario.

Un banner de cookies bien construido no es solo un mensaje informativo: es la interfaz de un sistema técnico que decide, en tiempo real, qué scripts pueden ejecutarse en tu navegador antes de que tú elijas.

Un banner que solo informa pero no bloquea nada por detrás no cumple la normativa, aunque parezca correcto visualmente, porque las cookies no esenciales ya se han instalado antes de que decidas. Explicamos esto con más detalle en nuestra guía sobre qué debe tener un banner de cookies conforme al RGPD.

Puedes comprobarlo tú mismo sin herramientas avanzadas: abre las herramientas de desarrollador de tu navegador (F12 en la mayoría), ve a la pestaña "Aplicación" o "Almacenamiento" y busca la sección de cookies. Verás el nombre, el dominio, la fecha de caducidad y, con algo de investigación del nombre del dominio, a qué proveedor pertenece cada una. Es una forma rápida de entender qué tan transparente es realmente un sitio sobre lo que declara en su política de cookies.

Gestionar manualmente esta clasificación cookie por cookie, y mantenerla actualizada cada vez que marketing añade una nueva herramienta, no es viable a escala. Una CMP como AdOpt escanea automáticamente el sitio, detecta cada cookie y script realmente activo, lo clasifica por categoría y proveedor, bloquea la ejecución de lo que no es esencial hasta que el usuario da su consentimiento específico, y guarda un registro verificable de esa decisión.

No directamente. Una cookie es un fragmento de texto, no un programa ejecutable; no puede leer archivos de tu ordenador ni robar contraseñas guardadas en otro sitio. El riesgo de privacidad viene de la construcción de perfiles de comportamiento, no del robo de datos técnicos.

Borrar las cookies elimina el identificador que un sitio había guardado hasta ese momento, pero no impide que el sitio te asigne uno nuevo en tu próxima visita, ni te protege de técnicas alternativas de seguimiento que algunos proveedores usan cuando las cookies están bloqueadas.

Todas las cookies deben estar documentadas en la política de cookies, pero solo las que no son estrictamente necesarias requieren que el usuario dé su consentimiento explícito antes de activarse.

Ambos son formas de almacenamiento en el dispositivo del usuario y están sujetos a las mismas reglas de consentimiento cuando se usan con fines no estrictamente necesarios, aunque técnicamente el local storage no se envía automáticamente al servidor en cada petición como sí hace una cookie.

No hay un límite técnico estricto, pero las autoridades europeas de protección de datos recomiendan plazos razonables acordes a la finalidad, y consideran una mala práctica una duración desproporcionadamente larga para lo que la cookie realmente necesita hacer. Consulta nuestra guía sobre la duración del consentimiento a las cookies.

Puedes hacerlo, pero rompe funcionalidades legítimas (sesión iniciada, carrito de compra) además de que muchos sitios ofrecen alternativas de seguimiento que no dependen de cookies tradicionales, así que no es una solución completa de privacidad.

• Banner de cookies RGPD: qué debe tener para cumplir con la AEPD
• ¿Es obligatorio el aviso de cookies en una página web?

Descubre exactamente qué cookies está instalando tu sitio ahora mismo. Prueba AdOpt gratis y obtén el mapa completo en minutos.