¿Qué es una CMP (Consent Management Platform)?

João Bruno Soares

Google Consent Mode: Guía de principiante a avanzado.

"¿Mi web necesita un aviso de cookies?" es una de las preguntas que más dudas genera entre quienes gestionan un sitio pequeño, un blog personal o una landing page sencilla, porque la respuesta correcta es "depende", y ese "depende" tiene una regla clara detrás que pocas guías explican bien. La obligación no nace de tener una web, nace de qué cookies esa web instala realmente.

Este artículo explica exactamente cuándo la ley exige un aviso de cookies, cuándo no es obligatorio, qué pasa con los casos límite (Google Analytics, redes sociales incrustadas, formularios de contacto), y las consecuencias reales de omitirlo cuando sí correspondía tenerlo.

## La regla que decide todo: no es la web, son las cookies que usa

La Ley de Servicios de la Sociedad de la Información (LSSI), que transpone la Directiva ePrivacy en España, exige consentimiento previo para instalar o acceder a información en el dispositivo del usuario, salvo dos excepciones: que sea estrictamente necesario para la transmisión de una comunicación, o estrictamente necesario para prestar el servicio expresamente solicitado por el usuario.

Esto significa que una web que solo usa cookies estrictamente necesarias (por ejemplo, una landing estática sin analítica, sin redes sociales incrustadas y sin ningún script de terceros) no está obligada a mostrar un banner de consentimiento, aunque sí debe informar de forma básica sobre las cookies técnicas que usa.

En cuanto esa misma web añade Google Analytics, un píxel de Meta, un botón de "compartir en redes sociales" con seguimiento, o un vídeo de YouTube incrustado en su modo estándar, la obligación de mostrar un aviso con opción real de rechazo entra en vigor de inmediato.

## Casos que sí requieren aviso, casi siempre

- **Cualquier herramienta de analítica** (Google Analytics, Matomo sin configuración de anonimización estricta, Hotjar, Clarity).
- **Cualquier píxel publicitario o de remarketing** (Meta, Google Ads, TikTok, LinkedIn Insight Tag).
- **Botones de redes sociales con seguimiento activo**, no solo enlaces simples a un perfil.
- **Vídeos incrustados en modo estándar** (YouTube, Vimeo) que cargan cookies del proveedor antes de que el usuario interactúe con el reproductor.
- **Chats en vivo de terceros** que identifican al visitante entre sesiones.
- **Formularios que envían datos a un CRM externo con cookies de seguimiento** asociadas al envío.

## Casos donde, en principio, no es obligatorio

- **Cookies de sesión estrictamente necesarias** para mantener el carrito de compra o la sesión iniciada.
- **Cookies de seguridad** (protección contra ataques, balanceo de carga).
- **Cookies que solo recuerdan la elección hecha en el propio banner de cookies** (aceptar o rechazar), que son ellas mismas técnicas.
- **Formularios de contacto simples sin envío a herramientas de terceros con seguimiento propio.**

## El error más común: confundir "informar" con "pedir consentimiento"

Muchos sitios cumplen la parte de informar (tienen una [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/) enlazada en el pie de página) pero no cumplen la parte de pedir consentimiento antes de activar las cookies que lo requieren. Informar sin pedir consentimiento previo no es suficiente cuando la cookie en cuestión no es estrictamente necesaria: la ley exige ambas cosas, y solo una de ellas (informar) no exime de la otra (obtener consentimiento antes de activar).

## Qué pasa si debía tener aviso y no lo tenía

La AEPD puede sancionar la instalación de cookies no esenciales sin consentimiento previo como una infracción del RGPD y de la LSSI, con multas que dependen de la gravedad, el alcance y la reincidencia.

Más allá de la sanción económica, cualquier dato recogido por esas cookies antes del consentimiento se considera obtenido sin base jurídica válida, lo que también expone a la empresa frente a reclamaciones de los propios usuarios. Consulta nuestro análisis de [multas y sanciones de la AEPD](https://goadopt.io/es/blog/aepd-multas-sanciones-incumplimiento-rgpd/) para ver casos reales.

## Cookie wall: ¿puedo simplemente bloquear el acceso si no acepta?

Como explicamos en detalle en nuestra guía sobre el [banner de cookies conforme al RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/), la AEPD permite condicionar el acceso siempre que exista una alternativa real de acceso al servicio sin necesidad de aceptar, alternativa que no tiene que ser gratuita. Un bloqueo total sin ninguna opción alternativa no cumple ese criterio.

## Cómo saber, en tu caso concreto, si necesitas aviso

La forma más fiable no es leer una lista genérica de ejemplos, sino escanear técnicamente tu propio sitio para ver qué cookies y scripts están realmente activos, porque es habitual que una web "simple" tenga más rastreadores de los que su propietario cree, instalados por plugins, integraciones o campañas antiguas que nadie desactivó.

Una [CMP como AdOpt](https://goadopt.io/es/blog/que-es-una-cmp/) hace este escaneo automáticamente y te dice, con datos reales de tu sitio, si necesitas o no un aviso, y de qué tipo.

## Preguntas frecuentes

### ¿Un blog personal sin publicidad necesita aviso de cookies?

Si el blog solo usa el hosting básico sin analítica ni redes sociales con seguimiento, probablemente no. En cuanto se añade Google Analytics o un botón de compartir con seguimiento, la obligación aparece.

### ¿Google Analytics siempre requiere consentimiento?

En su configuración estándar, sí, casi siempre, porque asigna un identificador persistente al visitante y, salvo configuración específica, comparte datos con el ecosistema publicitario de Google.

### ¿Basta con poner "Este sitio usa cookies" sin botón de rechazar?

No. Si el sitio usa cookies no esenciales, la ley exige una opción de rechazo tan accesible como la de aceptar, no solo un aviso informativo.

### ¿El aviso de cookies es lo mismo que la política de privacidad?

No. La política de cookies detalla específicamente qué cookies usa el sitio; la política de privacidad cubre el tratamiento de datos personales en general. Ambas son documentos distintos, aunque relacionados.

### ¿Qué hago si no estoy seguro de qué cookies tiene mi sitio?

Escanéalo técnicamente antes de decidir si necesitas o no un aviso: adivinar basándote en lo que "crees" que instalaste es la causa más común de incumplimientos accidentales.

### ¿Aplica esta regla también a apps móviles?

El principio es el mismo (consentimiento previo salvo estricta necesidad), aunque la implementación técnica en apps usa identificadores de dispositivo en lugar de cookies de navegador; los criterios de la AEPD sobre consentimiento aplican igualmente.

## Continúa aprendiendo sobre cookies

- [¿Qué es una cookie en internet? Guía completa](https://goadopt.io/es/blog/que-es-una-cookie-en-internet/)
- [Banner de cookies RGPD: qué debe tener para cumplir con la AEPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/)

Escanea tu sitio ahora mismo y descubre si necesitas un aviso de cookies y de qué tipo. [Prueba AdOpt gratis](https://goadopt.io/).


¿Es obligatorio el aviso de cookies en una página web? Cuándo sí y cuándo no

La mayoría de los bancos de cookies que ves cada día en internet parecen correctos a simple vista: tienen un botón para aceptar, un texto explicando que el sitio usa cookies, y quizás un enlace a "más información". El problema es que la apariencia correcta no equivale a cumplimiento real, y la Agencia Española de Protección de Datos (AEPD) ha sido explícita sobre qué elementos concretos separan un banner conforme de uno que solo lo parece.

Esta guía explica, punto por punto, qué debe tener un banner de cookies para cumplir con el RGPD y con la Guía sobre el uso de las cookies de la AEPD, cuáles son los errores más comunes que provocan sanciones, y cómo verificar si tu propio banner está realmente bloqueando lo que dice bloquear.

## El requisito que más sanciones genera: rechazar tan fácil como aceptar

La AEPD es explícita en este punto: ambas acciones deben estar al mismo nivel, sin que sea más complicado rechazar las cookies que aceptarlas. Esto significa, en la práctica, que si tu banner muestra un botón grande y de color llamativo para "Aceptar todo" en la primera capa, y para rechazar obliga al usuario a hacer clic en un enlace pequeño, entrar a un submenú y desmarcar categorías una por una, tu banner no cumple, sin importar qué diga el texto legal que lo acompaña.

El patrón que sí cumple ofrece, en el primer nivel de información, tres opciones igualmente visibles y accesibles: aceptar todo, rechazar todo, y configurar preferencias. Ninguna de las tres debe requerir más pasos que las otras para completarse.

## El requisito técnico que nadie ve pero que decide todo: el bloqueo previo real

Un banner puede tener el diseño perfecto y seguir siendo ilegal si, detrás de la interfaz, los scripts de analítica y publicidad ya se cargaron antes de que el usuario tomara cualquier decisión. Este es el error más costoso y el más difícil de detectar sin herramientas técnicas, porque el banner se ve bien, pero el rastreo ya empezó.

El bloqueo debe ser efectivo antes del consentimiento, no solo una promesa en el texto: ningún cookie que no sea estrictamente necesario debería instalarse hasta que el usuario haga clic explícitamente en aceptar esa categoría específica. Esto requiere control técnico real sobre la ejecución de scripts, no solo un mensaje informativo superpuesto a un sitio que ya está funcionando con normalidad por debajo.

## Cómo verificar si tu banner tiene este problema, en tres pasos

1. Abre tu sitio en una ventana de navegación privada, sin cookies previas.
2. Abre las herramientas de desarrollador de tu navegador, pestaña "Red" (Network), antes de interactuar con el banner.
3. Observa si ya aparecen peticiones hacia dominios como `google-analytics.com`, `googletagmanager.com`, `facebook.com/tr` o similares, antes de haber hecho clic en cualquier botón.

Si esas peticiones ya aparecen, tu banner tiene exactamente el problema descrito arriba, sin importar qué tan bien diseñado esté visualmente.

## Elección granular por finalidad, no solo un interruptor global

La guía de la AEPD, alineada con las directrices del Comité Europeo de Protección de Datos, exige que el usuario pueda elegir por categoría de finalidad (analítica, publicidad, redes sociales) y no solo un aceptar/rechazar indiferenciado de todo el sitio. Cada categoría debe explicarse en lenguaje comprensible, sin depender de que el usuario entienda jerga técnica para saber qué está aceptando.

## Información que debe estar visible antes de decidir, no escondida en un enlace

El primer nivel del banner debe informar, como mínimo: qué tipos de cookies usa el sitio, con qué finalidad general, y dónde encontrar la información completa (la [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/)). No es necesario listar cada cookie individual en el primer nivel, pero sí debe quedar claro que existe esa información detallada y cómo acceder a ella con un solo clic.

## Los "patrones engañosos" que el Comité Europeo ya ha señalado

Las Directrices 03/2022 sobre patrones engañosos ("dark patterns"), incorporadas a la práctica de la AEPD, identifican como problemáticos varios diseños que técnicamente ofrecen las tres opciones pero las hacen desiguales en la práctica: usar colores de alto contraste solo en el botón de aceptar, hacer el botón de rechazar visualmente similar al fondo para que pase desapercibido, o requerir un scroll adicional para encontrar el botón de rechazar que no es necesario para encontrar el de aceptar.

## Cookie wall: ¿puedo bloquear el acceso si el usuario rechaza?

La AEPD permite condicionar el acceso al sitio al consentimiento de cookies, pero con una condición explícita: el editor del sitio debe ofrecer una alternativa de acceso al servicio sin necesidad de aceptar, y esa alternativa no tiene que ser necesariamente gratuita.

Es decir, un cookie wall puro que no ofrezca ninguna alternativa (ni de pago ni de acceso limitado) no cumple con este criterio. Profundizamos en este tema en nuestra guía sobre si el [aviso de cookies es obligatorio en toda página web](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/).

## Cómo una CMP resuelve esto de raíz

Una [plataforma de gestión del consentimiento](https://goadopt.io/es/blog/que-es-una-cmp/) como AdOpt no deja esta implementación al criterio de quien diseñó el banner: aplica el bloqueo técnico real antes del consentimiento, muestra las tres opciones al mismo nivel visual por diseño (no como una elección que cada cliente puede desconfigurar sin darse cuenta), permite configuración granular por categoría, y guarda un registro verificable de cada elección, con fecha, hora y versión del banner mostrada en ese momento.

## Preguntas frecuentes

### ¿Es obligatorio ofrecer el botón "rechazar todo" en la primera capa?

Sí. La AEPD y las directrices europeas son claras: el rechazo debe ser tan accesible como la aceptación, en el mismo nivel de la interfaz, no escondido en un submenú.

### ¿Puedo usar cookies preseleccionadas por defecto para simplificar la experiencia del usuario?

No. El consentimiento debe nacer de una acción positiva del usuario; casillas premarcadas o cualquier configuración que asuma consentimiento sin una acción explícita no es válida ante el RGPD.

### ¿Qué pasa si mi banner cumple visualmente pero los scripts ya se cargan antes?

Es exactamente la violación más común y más sancionada: el diseño correcto no sustituye el bloqueo técnico real. Verifica con el método de las herramientas de desarrollador descrito en este artículo.

### ¿Necesito el mismo banner para todos los países donde opera mi web?

El estándar de la AEPD aplica al tráfico dirigido a España, pero replicar las mismas buenas prácticas (rechazo igual de fácil, bloqueo real) es también la base exigida por el RGPD en el resto de la Unión Europea, así que en la práctica un banner bien construido cumple en ambos casos.

### ¿Cuánto tiempo dura el consentimiento antes de tener que volver a preguntar?

Consulta nuestra guía específica sobre la [duración del consentimiento a las cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/), que trata este punto en detalle.

### ¿Un cookie wall es siempre ilegal en España?

No siempre, pero solo es aceptable si el sitio ofrece una alternativa real de acceso sin necesidad de aceptar las cookies, aunque esa alternativa implique un coste. Un cookie wall sin ninguna alternativa no cumple el criterio de la AEPD.

## Continúa aprendiendo sobre cookies

- [¿Qué es una cookie en internet? Guía completa](https://goadopt.io/es/blog/que-es-una-cookie-en-internet/)
- [¿Es obligatorio el aviso de cookies en una página web?](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/)

Comprueba en minutos si tu banner está bloqueando de verdad lo que dice bloquear. [Prueba AdOpt gratis](https://goadopt.io/).


Banner de cookies RGPD: qué debe tener para cumplir con la AEPD

Casi todo el mundo ha aceptado o rechazado cookies cientos de veces sin saber exactamente qué está aceptando o rechazando. Una cookie es, en su forma más simple, un pequeño archivo de texto que un sitio web guarda en tu navegador para recordar información entre visitas: que iniciaste sesión, qué había en tu carrito, en qué idioma prefieres ver la página o qué anuncios ya viste.

No es un programa, no puede ejecutar código por sí sola y no puede, por sí misma, robar información de tu ordenador. Pero sí puede usarse para seguir tu comportamiento a través de múltiples sitios, y ahí es donde empieza a importar la ley.

Esta guía explica qué es técnicamente una cookie, los tipos que existen, por qué algunas requieren tu consentimiento explícito y otras no, y qué controla realmente una web sobre ellas cuando usa una plataforma de gestión del consentimiento.

## Cómo funciona una cookie, técnicamente

Cuando visitas un sitio web, el servidor puede enviar a tu navegador una pequeña instrucción para guardar un fragmento de información con un nombre y un valor, junto con un dominio y una fecha de caducidad.

La próxima vez que tu navegador se conecte a ese mismo dominio, envía de vuelta esa información automáticamente. Así es como un sitio "recuerda" que ya iniciaste sesión sin pedirte la contraseña en cada página, o que ya elegiste ver los precios en euros y no en dólares.

La cookie en sí misma no sabe quién eres: solo contiene el dato que el sitio decidió guardar. El problema de privacidad no nace de la tecnología, nace del uso: si ese dato es un identificador único que permite reconstruir tu comportamiento a lo largo del tiempo y a través de distintos sitios, entonces esa cookie está construyendo un perfil sobre ti, aunque nunca haya recogido tu nombre real.

## Los tipos de cookies que existen

### Por quién las instala

**Cookies propias (first-party).** Las instala el mismo dominio que estás visitando. Sirven típicamente para funciones del propio sitio: sesión, carrito, preferencias de idioma.

**Cookies de terceros (third-party).** Las instala un dominio distinto al que visitas, normalmente porque la página carga un recurso externo (un pixel publicitario, un vídeo incrustado, un widget de chat). Casi siempre existen para construir perfiles de comportamiento a través de múltiples sitios.

### Por su duración

**Cookies de sesión.** Se borran automáticamente cuando cierras el navegador. Duran solo mientras navegas.

**Cookies persistentes.** Permanecen guardadas durante un plazo definido, que puede ir de unos días a varios años, según lo que el sitio configure.

### Por su finalidad (la distinción que de verdad importa ante la ley)

**Cookies técnicas o estrictamente necesarias.** Sin ellas, el servicio que pediste no funcionaría: mantener tu sesión iniciada, recordar el contenido del carrito, garantizar la seguridad de la conexión. No requieren tu consentimiento previo, solo información.

**Cookies de preferencias o funcionales.** Recuerdan configuraciones que mejoran tu experiencia (idioma, región) pero que no son estrictamente indispensables para que el servicio exista. En la mayoría de los casos requieren consentimiento.

**Cookies analíticas.** Miden cómo usas el sitio: qué páginas visitas, cuánto tiempo permaneces, de dónde vienes. Requieren consentimiento salvo que el sitio aplique una anonimización estricta reconocida por la autoridad de control, un caso poco común en la práctica comercial.

**Cookies publicitarias o de perfilado.** Construyen un perfil de tus intereses para mostrarte publicidad dirigida, a menudo siguiéndote a través de múltiples sitios. Siempre requieren tu consentimiento explícito.

## Por qué algunas cookies necesitan consentimiento y otras no

La normativa europea (la Directiva ePrivacy, transpuesta en España a través de la Ley de Servicios de la Sociedad de la Información, LSSI) establece que instalar o acceder a información en tu dispositivo requiere tu consentimiento previo, salvo dos excepciones: que sea estrictamente necesaria para la transmisión de una comunicación, o que sea estrictamente necesaria para prestar el servicio que tú mismo has solicitado expresamente.

Todo lo que no encaja en esas dos excepciones estrechas necesita consentimiento, y el propio [Reglamento General de Protección de Datos (RGPD)](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/) exige que ese consentimiento sea libre, específico, informado e inequívoco.

Esto significa, en la práctica, que la mayoría de las cookies que hacen que un negocio funcione desde el punto de vista comercial (medir el tráfico, mostrar publicidad relevante, integrar redes sociales) no son técnicas en sentido estricto, aunque a veces se las presente así para simplificar la comunicación con el usuario.

## Qué controla realmente un banner de cookies

Un banner de cookies bien construido no es solo un mensaje informativo: es la interfaz de un sistema técnico que decide, en tiempo real, qué scripts pueden ejecutarse en tu navegador antes de que tú elijas.

Un banner que solo informa pero no bloquea nada por detrás no cumple la normativa, aunque parezca correcto visualmente, porque las cookies no esenciales ya se han instalado antes de que decidas. Explicamos esto con más detalle en nuestra guía sobre [qué debe tener un banner de cookies conforme al RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

## Cómo ver qué cookies tiene un sitio en este momento

Puedes comprobarlo tú mismo sin herramientas avanzadas: abre las herramientas de desarrollador de tu navegador (F12 en la mayoría), ve a la pestaña "Aplicación" o "Almacenamiento" y busca la sección de cookies. Verás el nombre, el dominio, la fecha de caducidad y, con algo de investigación del nombre del dominio, a qué proveedor pertenece cada una. Es una forma rápida de entender qué tan transparente es realmente un sitio sobre lo que declara en su [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

## El papel de una plataforma de gestión del consentimiento (CMP)

Gestionar manualmente esta clasificación cookie por cookie, y mantenerla actualizada cada vez que marketing añade una nueva herramienta, no es viable a escala. Una [CMP como AdOpt](https://goadopt.io/es/blog/que-es-una-cmp/) escanea automáticamente el sitio, detecta cada cookie y script realmente activo, lo clasifica por categoría y proveedor, bloquea la ejecución de lo que no es esencial hasta que el usuario da su consentimiento específico, y guarda un registro verificable de esa decisión.

## Preguntas frecuentes

### ¿Una cookie puede robar mi contraseña o mis datos bancarios?

No directamente. Una cookie es un fragmento de texto, no un programa ejecutable; no puede leer archivos de tu ordenador ni robar contraseñas guardadas en otro sitio. El riesgo de privacidad viene de la construcción de perfiles de comportamiento, no del robo de datos técnicos.

### ¿Si borro las cookies de mi navegador, dejo de ser rastreado?

Borrar las cookies elimina el identificador que un sitio había guardado hasta ese momento, pero no impide que el sitio te asigne uno nuevo en tu próxima visita, ni te protege de técnicas alternativas de seguimiento que algunos proveedores usan cuando las cookies están bloqueadas.

### ¿Todas las cookies necesitan aparecer en un banner?

Todas las cookies deben estar documentadas en la [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/), pero solo las que no son estrictamente necesarias requieren que el usuario dé su consentimiento explícito antes de activarse.

### ¿Qué diferencia hay entre una cookie y el "local storage" del navegador?

Ambos son formas de almacenamiento en el dispositivo del usuario y están sujetos a las mismas reglas de consentimiento cuando se usan con fines no estrictamente necesarios, aunque técnicamente el local storage no se envía automáticamente al servidor en cada petición como sí hace una cookie.

### ¿Cuánto tiempo puede durar una cookie?

No hay un límite técnico estricto, pero las autoridades europeas de protección de datos recomiendan plazos razonables acordes a la finalidad, y consideran una mala práctica una duración desproporcionadamente larga para lo que la cookie realmente necesita hacer. Consulta nuestra guía sobre la [duración del consentimiento a las cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

### ¿Puedo simplemente bloquear todas las cookies en mi navegador y olvidarme del tema?

Puedes hacerlo, pero rompe funcionalidades legítimas (sesión iniciada, carrito de compra) además de que muchos sitios ofrecen alternativas de seguimiento que no dependen de cookies tradicionales, así que no es una solución completa de privacidad.

## Continúa aprendiendo sobre cookies

- [Banner de cookies RGPD: qué debe tener para cumplir con la AEPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/)
- [¿Es obligatorio el aviso de cookies en una página web?](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/)

Descubre exactamente qué cookies está instalando tu sitio ahora mismo. [Prueba AdOpt gratis](https://goadopt.io/) y obtén el mapa completo en minutos.


¿Qué es una cookie en internet? Guía completa para 2026

Seguridad de Datos en el Consentimiento: Cómo Proteger la Información del Usuario Desde la Recolección hasta la Activación

Para el RGPD, un consentimiento válido es una manifestación de voluntad libre, específica, informada e inequívoca, dada mediante una declaración o una clara acción afirmativa. Si falta una de esas notas, el consentimiento no vale, y lo que hagas con esos datos queda sin base legal.

Este artículo recorre los requisitos uno a uno, explica las condiciones del artículo 7 y los aplica a las situaciones reales de una web: cookies, formularios, altas y correos comerciales. Para el caso concreto de las cookies, el detalle está en [consentimiento de cookies](https://goadopt.io/es/blog/consentimiento-de-cookies/), y la plataforma que lo gestiona se explica en [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/).

## Qué es el consentimiento según el RGPD

La definición está en el artículo 4.11 del [texto del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf): "toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen".

El considerando 32 completa la idea con un ejemplo muy útil: el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. Y añade que, cuando el tratamiento tiene varios fines, el consentimiento debe darse para todos ellos.

El consentimiento es una de las bases legales del artículo 6, no la única. Hay tratamientos que se apoyan en el contrato, en una obligación legal o en el interés legítimo. Pero cuando eliges el consentimiento como base, tienes que cumplir todas sus condiciones.

## Los cuatro adjetivos, aplicados a tu web

### Libre

La persona debe poder elegir sin presión ni perjuicio. El artículo 7.4 pide tener en cuenta, al evaluar si es libre, si la ejecución de un contrato se supedita a un consentimiento para tratamientos que no son necesarios para ese contrato.

En la web, esto afecta a los muros de cookies. La Guía de la AEPD (apartado 3.2.10, p. 29) recuerda que el acceso al servicio no debe supeditarse a aceptar las cookies. Admite que haya casos en que la no aceptación limite el acceso, siempre que se informe y se ofrezca una alternativa genuinamente equivalente, no necesariamente gratuita, y que la ofrezca el propio editor.

### Específico

Cada finalidad necesita su propio consentimiento. Un "acepto todo" que mezcla analítica, publicidad y cesión a terceros en una sola casilla no permite elegir por finalidad. Por eso los avisos serios ofrecen una segunda capa con categorías, como explicamos en [el banner de cookies que exige el RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

### Informado

Antes de dar su consentimiento, la persona debe ser informada (art. 7.3). En una web, eso significa saber quién trata los datos, para qué y cómo retirar el consentimiento, con un lenguaje claro y de fácil acceso. Cuando el consentimiento se pide dentro de un texto más largo, la solicitud debe distinguirse claramente de los demás asuntos (art. 7.2).

### Inequívoco

Tiene que haber una clara acción afirmativa. La Guía de la AEPD (p. 23) lo traduce así para cookies: el usuario debe realizar una acción afirmativa evidente y seguir navegando no es una conducta de la que pueda derivarse la aceptación. Tampoco valen las opciones premarcadas a favor de aceptar (p. 22).

## Las condiciones del artículo 7

Además de la definición, el artículo 7 impone cuatro condiciones que afectan directamente a lo que implementas:

1. **Demostrar (7.1).** El responsable debe ser capaz de demostrar que el interesado consintió. Es la base del [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).
2. **Distinguir la solicitud (7.2).** Si el consentimiento va en una declaración que trata otros asuntos, se presenta de forma que se distinga claramente, con lenguaje claro y sencillo.
3. **Poder retirarlo (7.3).** La persona puede retirar su consentimiento en cualquier momento, y será tan fácil retirarlo como darlo. La retirada no afecta a la licitud del tratamiento anterior.
4. **No condicionar (7.4).** Se tiene en cuenta si el contrato o el servicio se supedita al consentimiento para datos que no son necesarios.

> ¿Quieres comprobar si tu aviso cumple estas condiciones? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y revisa tu web con la lista de este artículo.

## Por qué importa cumplirlos

El RGPD agrupa las condiciones del consentimiento (arts. 5, 6, 7 y 9) entre las infracciones que se pueden sancionar con multas de hasta 20 millones de euros o, para una empresa, el 4 % del volumen de negocio total anual global, optando por la cuantía mayor (art. 83.5). Son los máximos del Reglamento, no la multa habitual, y no deben leerse como una predicción.

La LOPDGDD, por su parte, califica como infracción muy grave el incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento (art. 72.1.c), con un plazo de prescripción de tres años. Puedes ver cómo actúa la autoridad en [multas y sanciones de la AEPD](https://goadopt.io/es/blog/aepd-multas-sanciones-incumplimiento-rgpd/).

## El consentimiento en cada situación de tu web

Los requisitos son los mismos, pero se aplican de forma distinta en cada punto de contacto.

| Situación | Cuenta como consentimiento | No cuenta |
|---|---|---|
| Cookies de analítica o publicidad | Pulsar "Aceptar" o guardar una selección, con un botón de rechazar al mismo nivel | Seguir navegando, hacer scroll o cerrar el aviso |
| Casilla de newsletter en un formulario | Una casilla vacía que la persona marca, con un texto específico | Una casilla premarcada o unida a los términos de uso |
| Alta en un servicio | Un consentimiento separado de los términos y condiciones | Un único "acepto" que lo junta todo |
| Correo comercial | Autorización expresa previa, salvo la excepción del cliente actual | Enviar sin que se haya solicitado ni autorizado |
| Menores de 14 años | El consentimiento de quien ejerza la patria potestad o tutela | El del propio menor |

Dos matices sobre esta tabla. Para las altas, la Guía de la AEPD (p. 24) admite pedir el consentimiento de las cookies en el alta, pero separado de la aceptación de los términos y condiciones de uso. Para los menores, la LOPDGDD (art. 7) establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años.

### El correo comercial tiene su propia norma

Para el correo electrónico publicitario, además del RGPD, aplica el artículo 21 de la LSSI: queda prohibido enviar comunicaciones publicitarias por correo electrónico u otro medio equivalente que no hubieran sido solicitadas o expresamente autorizadas por los destinatarios.

El apartado 2 recoge una excepción: cuando hay una relación contractual previa, el prestador obtuvo lícitamente los datos y los usa para comunicaciones sobre productos o servicios similares a los contratados, y ofrece un procedimiento sencillo y gratuito para oponerse. Esa excepción es de la LSSI y se refiere al envío. Cómo encaja con el RGPD en cada caso conviene validarlo con el delegado de protección de datos o con asesoría jurídica.

### Las cookies exentas no necesitan consentimiento

El artículo 22.2 de la [LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) condiciona el uso de dispositivos de almacenamiento y recuperación de datos al consentimiento, tras información clara y completa, y exceptúa el acceso o almacenamiento técnico necesarios para transmitir una comunicación o, si es estrictamente necesario, para prestar un servicio que el usuario ha solicitado expresamente.

## Cómo hacerlo bien en la práctica

Un consentimiento válido es el resultado de una cadena de decisiones, no de una pantalla. Esto es lo que suele marcar la diferencia:

- **Una finalidad, una elección.** Separa analítica, publicidad y cesión a terceros.
- **Nada premarcado.** Todo lo opcional empieza desactivado.
- **Rechazar tan fácil como aceptar.** Mismo nivel, mismo peso, misma capa.
- **Retirada permanente.** Un acceso visible en cualquier página para cambiar la elección.
- **Información antes de decidir.** Quién, para qué y cómo retirar, en lenguaje llano.
- **Prueba guardada.** Un registro individual con fecha, hora, versión del aviso y elección.

Una [CMP](https://goadopt.io/es/blog/que-es-una-cmp/) como AdOpt ayuda a ejecutar esa cadena, pero la base legal de cada tratamiento y la redacción de los textos siguen siendo decisiones del responsable.

## Errores que debilitan el consentimiento

1. **Tratar el scroll o seguir navegando como aceptación.**
2. **Una única casilla "acepto todo"** para finalidades distintas.
3. **Agrupar el consentimiento con los términos de uso.**
4. **Dificultar el rechazo**, con más clics o menos visibilidad que el aceptar.
5. **No poder demostrarlo**, por no guardar un registro individual con fecha y versión.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres comprobar cómo queda en tu web, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre consentimiento

- [Plataforma de gestión del consentimiento (CMP): qué debe cumplir](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/)
- [Consentimiento de cookies: qué exige la ley en España](https://goadopt.io/es/blog/consentimiento-de-cookies/)

## Preguntas frecuentes

### ¿Cuáles son los requisitos de un consentimiento válido según el RGPD?

El artículo 4.11 exige una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. A eso se suman las condiciones del artículo 7: poder demostrarlo, distinguirlo de otros asuntos, poder retirarlo tan fácilmente como se dio y no condicionar un contrato a un consentimiento innecesario.

### ¿Vale el consentimiento si la persona sigue navegando?

No. El considerando 32 del RGPD dice que el silencio, las casillas premarcadas o la inacción no constituyen consentimiento, y la Guía de cookies de la AEPD indica que seguir navegando no es una conducta de la que pueda derivarse la aceptación de cookies. Hace falta una acción afirmativa clara, como pulsar un botón de aceptar.

### ¿Hay que pedir consentimiento para todos los tratamientos de datos?

No. El consentimiento es una de las bases legales del artículo 6 del RGPD, junto con el contrato, la obligación legal o el interés legítimo, entre otras. Cada tratamiento necesita la base que le corresponda. Si eliges el consentimiento, deben cumplirse todas sus condiciones. La elección de la base conviene validarla con el delegado de protección de datos.

### ¿A partir de qué edad pueden consentir los menores en España?

La LOPDGDD, en su artículo 7, establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años. Para los menores de esa edad, el tratamiento basado en consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

### ¿Cómo demuestro que una persona consintió?

Con un registro individual: identificador de la persona, fecha y hora, qué se aceptó o rechazó por finalidad y la versión de los textos que se mostraron. El artículo 7.1 del RGPD obliga al responsable a poder demostrarlo, y una captura del banner o una estadística de aceptaciones no basta como prueba individual.

[¿Quieres revisar si tu consentimiento cumple estos requisitos? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Consentimiento RGPD: requisitos de validez y cómo cumplirlos

Una plataforma de gestión del consentimiento (CMP, por sus siglas en inglés) es la herramienta que instalas en tu web para informar a las personas, recoger su elección sobre las cookies y respetarla después. La AEPD la reconoce como una forma válida de obtener el consentimiento, pero solo si cumple unos requisitos concretos.

Este artículo se centra en eso: qué exige la Guía de cookies de la AEPD a una CMP, cómo comprobar que la tuya lo cumple y cómo ponerla en marcha sin romper nada. Si lo que buscas es la explicación general, empieza por [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) y vuelve aquí cuando vayas a elegir o a instalar una.

## Qué dice la AEPD de una CMP

La [Guía sobre el uso de las cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf), en su edición de mayo de 2024, menciona las CMP en tres sitios, y conviene leerlos juntos.

En el apartado sobre información (p. 16), dice que las CMP que cumplan los requisitos y garantías del Anexo pueden ser una solución para dar la información sobre las cookies de terceros. En el apartado sobre cómo obtener el consentimiento (p. 25), las incluye entre los métodos apropiados, "en la medida en que" cumplan esos mismos requisitos.

El Anexo (apartado V.a, pp. 36 y 37) define la CMP como una herramienta que se instala en el soporte del editor y que permite a cualquier responsable del uso de cookies cumplir sus deberes de información y de recogida del consentimiento. Para que sea válida, debe permitir a quienes la utilizan cumplir la normativa: ser transparente, obtener un consentimiento válido y respetar después las opciones elegidas, incluida su revocación.

### Lo que la Guía pide, y lo que no dice

La Guía añade que estas plataformas deberán someterse a auditorías o revisiones que validen el cumplimiento de esos requisitos. Hay una consecuencia práctica: instalar una CMP no te exime de comprobarla. Tampoco la Guía te dice qué producto elegir, y ninguna herramienta cumple por el simple hecho de llamarse CMP.

Lo que sí hace la Guía es fijar el listón con el que medir cualquier plataforma. Ese listón es la lista de la siguiente sección.

## Los requisitos que debe cumplir una CMP

La tabla recoge los criterios que la Guía de la AEPD y el RGPD fijan para el aviso y para el mecanismo de consentimiento. Sirve para evaluar una plataforma antes de contratarla y para revisarla después.

| Requisito | De dónde sale | Cómo comprobarlo |
|---|---|---|
| Información clara antes de decidir, con enlace a una segunda capa | Guía, apartado 3.1 (p. 20) | La primera capa dice qué cookies y para qué, y enlaza a la política |
| Rechazar en la misma capa y al mismo nivel que aceptar | Guía, apartado 3.2 (pp. 23 y 24) | Mismo sitio, mismo tamaño y misma visibilidad, sin ir a otra capa |
| Colores y contraste no engañosos | Guía (p. 21) | El botón de rechazar se lee tan bien como el de aceptar |
| Sin casillas premarcadas a favor de aceptar | Guía (p. 22) | En la segunda capa, todo lo opcional empieza desactivado |
| Seguir navegando no es consentimiento | Guía (p. 23), citando al CEPD | Nada se activa por hacer scroll ni por cambiar de página |
| Consentimiento previo a la instalación de cookies no exceptuadas | LSSI, art. 22.2, y Guía 3.2.5 (p. 28) | Con la ventana limpia, no hay cookies publicitarias ni analíticas antes de decidir |
| Retirar el consentimiento tan fácil como darlo | RGPD, art. 7.3, y Guía 3.2.9 (p. 29) | Hay un acceso permanente para cambiar la elección |
| Poder demostrar que se consintió | RGPD, art. 7.1 | Puedes encontrar tu propia elección en el registro |
| Conservar la elección y no preguntar en cada visita | Guía 3.2.8 (p. 29) | La elección se recuerda y caduca en un plazo razonable |

Sobre este último punto, la Guía recomienda como buena práctica que la validez del consentimiento para una cookie no supere los 24 meses y que, durante ese tiempo, se conserve la selección sin pedir un nuevo consentimiento en cada visita. Lo desarrollamos en [cuánto dura el consentimiento de cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

> ¿Quieres ver cómo se comporta una CMP real en tu web? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y haz las pruebas de este artículo.

## Cómo implementar una CMP en cinco pasos

El orden importa más que la herramienta. Estos son los cinco pasos que ponen a una CMP en producción con garantías.

### 1. Inventario antes de instalar

La CMP solo puede pedir permiso por lo que sabe que existe. Escanea las páginas principales de tu web y anota cada cookie y cada tag, con quién la puso y para qué. El [escáner de cookies](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/) es la base, y la Guía de la AEPD recomienda repetir esa revisión de forma periódica.

### 2. Decisiones que la plataforma no toma por ti

Cada cookie necesita una finalidad y una categoría. La Guía distingue entre cookies técnicas (que no requieren consentimiento si son estrictamente necesarias para un servicio que el usuario ha pedido) y las de preferencias, análisis y publicidad comportamental. Clasificar por conveniencia, no por finalidad real, es el error que más pesa después.

Antes de instalar, revisa también tu [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/): lo que declara debe coincidir con lo que el escáner encontró.

### 3. Instalación en el orden correcto

La CMP debe cargarse antes que las tags que dependen de la elección. La documentación de Google lo explica para el Consent Mode: el orden del código es decisivo y, si el código de consentimiento se llama fuera de orden, los valores por defecto no funcionan. En Google Tag Manager, el activador "Consent Initialization - All Pages" se dispara antes que cualquier otra tag.

Con AdOpt, la regla práctica es la misma: el script va en el `head`, antes del fragmento de Google Tag Manager. El comando `default` fija el estado inicial, el comando `update` informa de la elección en cuanto la persona interactúa y `wait_for_update` define cuánto esperan las tags a esa respuesta. Los detalles están en el [Consent Mode de principiante a avanzado](https://goadopt.io/es/blog/google-consent-mode-guia-de-principiante-a-avanzado/).

### 4. Configuración del aviso

Primera capa con tres salidas: aceptar, rechazar y configurar, con el mismo peso visual. Segunda capa con categorías claras, descripción de usos y todo lo opcional desactivado por defecto. Un acceso permanente para volver a las preferencias. Y una validez de la elección que no obligue a preguntar en cada visita. En AdOpt puedes ajustar la validez de la cookie de consentimiento para forzar una nueva elección pasados unos días.

Para el desglose de cada decisión de diseño, consulta [el banner de cookies que exige el RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

### 5. Pruebas antes de publicar

Las pruebas son lo que convierte una instalación en un cumplimiento verificable. La siguiente sección las detalla.

## Las pruebas que deberías hacer antes de publicar

Un aviso que aparece y cuyos botones responden demuestra que existe, no que cumple lo que promete. Estas pruebas comprueban el comportamiento. Haz cada una en una ventana de incógnito, con el panel de red del navegador abierto.

| Prueba | Cómo hacerla | La pasas si |
|---|---|---|
| Ventana limpia | Abrir la web sin pulsar nada | No hay cookies analíticas ni publicitarias de terceros antes de decidir |
| Rechazo respetado | Rechazar todo y navegar por tres páginas | Solo quedan las cookies necesarias y la de la propia CMP |
| Aceptación parcial | Aceptar solo una categoría | Solo aparecen las cookies de esa categoría |
| Revocación | Aceptar, abrir las preferencias y rechazar | Esas cookies dejan de grabarse |
| Nueva visita | Cerrar y reabrir el navegador | La elección se recuerda y el aviso no reaparece |
| Teclado y móvil | Recorrer el aviso con Tab y en el móvil | Todos los botones se alcanzan y se leen bien |
| Registro | Buscar tu propia elección en el panel | Fecha, hora, lo aceptado o rechazado y las versiones de los documentos |

Una precisión sobre el Consent Mode avanzado: tras rechazar es normal ver peticiones a las tags de Google, porque en ese modo cargan con el consentimiento denegado y sin guardar cookies, como explica la [documentación de Google Analytics](https://support.google.com/analytics/answer/9976101). No significa que el bloqueo haya fallado.

## Lo que ninguna CMP hace por ti

Una CMP ejecuta las decisiones que tomes. Tres cosas siguen siendo tuyas.

- **La clasificación de cada cookie.** El escáner sugiere, pero la finalidad real la conoce quien conoce el negocio.
- **Los documentos.** La política de cookies y la de privacidad deben decir lo mismo que hace la web, y actualizarse cuando cambie.
- **Los terceros.** La Guía recuerda que, cuando hay cookies de terceros, el editor y esos terceros pueden ser corresponsables. El editor debe asegurarse de que se da la información y de que existen mecanismos para gestionar el consentimiento, ya sea por contrato o mediante una CMP.

A cambio, una CMP bien configurada ahorra el trabajo repetitivo: bloquea antes de la elección, aplica la decisión, guarda la prueba y te avisa de lo nuevo. Esa es la diferencia con un banner suelto, que explica [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) con más detalle.

## Mantenimiento: lo que viene después

Una web cambia, y la CMP tiene que cambiar con ella. La Guía (apartado 3.2.7) indica que, si cambian las finalidades de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo.

Cuando se instala una tag nueva con una finalidad distinta, el consentimiento anterior ya no cubre esa tag. Reescanea con la frecuencia que decidas y después de cada campaña, cambio de plantilla o nueva integración, como explicamos en [por qué escanear y volver a escanear tu web](https://goadopt.io/es/blog/por-que-escanear-cookies-sitio-web-rgpd/).

El consentimiento puede ser sencillo. Lo difícil es lo que no se ve, y para eso sirve una CMP bien instalada. Si quieres revisarlo con el equipo de AdOpt a tu lado, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días y recorre estas pruebas en tu web.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento RGPD: requisitos de validez y cómo cumplirlos](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/)
- [Registro de consentimientos: cómo probar el consentimiento](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/)

## Preguntas frecuentes

### ¿Es obligatorio usar una CMP en España?

No hay una obligación de usar una CMP concreta. La obligación es obtener un consentimiento válido antes de instalar cookies no exceptuadas, y poder demostrarlo. La Guía de la AEPD reconoce las CMP como un método apropiado siempre que cumplan sus requisitos, así que es una forma práctica de cumplir, no la única posible.

### ¿Una CMP certificada garantiza el cumplimiento?

No por sí sola. La Guía de la AEPD pide que las CMP se sometan a auditorías o revisiones que validen sus requisitos, pero la configuración sigue siendo tuya: categorías, documentos, bloqueo previo y pruebas. Por eso conviene comprobar el comportamiento con la ventana limpia y los demás tests antes de publicar.

### ¿Qué diferencia hay entre un banner de cookies y una CMP?

El banner es la parte visible: informa y ofrece opciones. La CMP es la infraestructura que lo hace funcionar: escanea las cookies, bloquea lo que no se ha aceptado, aplica la elección y guarda la prueba. Un banner sin esa infraestructura puede parecer correcto y dejar que las tags se disparen antes de la decisión.

### ¿Qué hago si cambio de plataforma?

Antes de cambiar, comprueba si puedes exportar el historial de consentimientos y en qué formato, porque sin él pierdes la prueba de las elecciones anteriores. Después, repite el inventario y las pruebas con la nueva herramienta, porque cada plataforma se instala y se comporta a su manera.

### ¿Cada cuánto debo revisar la configuración de la CMP?

No hay un plazo legal fijo. La Guía de la AEPD recomienda revisar las cookies periódicamente para mantener la información actualizada. Una regla práctica es reescanear a intervalos fijos y siempre que cambie algo: una campaña, un plugin o la plantilla. Cada tag nueva con otra finalidad exige revisar categorías y política.

[¿Quieres poner tu CMP en marcha con estas pruebas? Habla con el equipo de AdOpt](https://goadopt.io/) y vemos juntos qué necesita tu web.


Plataforma de gestión del consentimiento (CMP): qué debe cumplir

El registro de consentimientos es el historial individual de cada elección que hace una persona en tu aviso de cookies: quién la hizo, cuándo, qué texto vio y qué aceptó o rechazó. El RGPD obliga al responsable a ser capaz de demostrar que el interesado consintió, y ese registro es la forma de hacerlo.

Un banner en la web no es una prueba. Tampoco lo es una captura de pantalla. Una [CMP](https://goadopt.io/es/blog/que-es-una-cmp/) existe, entre otras cosas, para guardar esa evidencia. Aquí verás qué dice la norma, qué campos debe tener un buen registro, qué no vale como prueba y cómo decidir cuánto tiempo conservarlo, sin inventar plazos que la ley no fija.

## Qué dice la norma sobre demostrar el consentimiento

Todo parte de dos artículos del [texto del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf):

- **Artículo 7.1:** cuando el tratamiento se base en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales.
- **Artículo 5.2:** el responsable cumple los principios y debe ser capaz de demostrarlo, lo que se conoce como responsabilidad proactiva.

El considerando 42 repite la idea: el responsable debe poder demostrar que el interesado ha dado su consentimiento a la operación de tratamiento. En la práctica, si alguien afirma que nunca aceptó, quien debe demostrar lo contrario es tu empresa.

La [Guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (edición de mayo de 2024) añade un matiz útil en su apartado 3.2 (p. 23): obtener el consentimiento con un clic u otra conducta similar facilita la prueba de que se ha obtenido. Y exige una clara acción afirmativa, algo que un registro debe reflejar.

## Qué debe demostrar un registro

Cada rasgo del consentimiento válido se convierte en una pregunta que el registro tiene que poder responder. La tabla relaciona la exigencia con lo que conviene guardar.

| Exigencia | Fuente | Qué debe mostrar el registro |
|---|---|---|
| Acción afirmativa | RGPD, art. 4.11 y considerando 32 | Que hubo una elección activa, no silencio ni seguir navegando |
| Informado | RGPD, art. 7.3 | Qué versión del aviso y de la política se mostró en ese momento |
| Específico | RGPD, considerando 32 | Qué se aceptó y qué se rechazó, por categoría o finalidad |
| Quién y cuándo | RGPD, art. 7.1 | Un identificador y la fecha y la hora de la elección |
| Retirable | RGPD, art. 7.3 | Cada cambio posterior, incluida la retirada |
| Cambios en el uso de cookies | Guía de la AEPD, 3.2.7 | Cuándo cambiaron finalidades o terceros y si se pidió una nueva elección |

La Guía (3.2.7) indica que, si cambian los fines de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo. Un buen registro deja constancia de cada una de esas decisiones.

## Los campos de un buen registro

No existe un formato oficial único. Este conjunto suele bastar para responder a las seis preguntas anteriores:

- **Identificador** que vincule la elección a un navegador o a una cuenta, sin exponer más dato personal del necesario.
- **Fecha y hora** de la elección y de cada modificación.
- **Elecciones por categoría o finalidad**, con lo aceptado y lo rechazado.
- **Versión del aviso** mostrado y **versiones de la política de cookies y de la política de privacidad** vigentes en ese momento.
- **Histórico**, de modo que una retirada o una actualización se añadan como eventos y no sobrescriban lo anterior.

En AdOpt, el Consent Log guarda la elección de la persona con fecha y hora, las tags y las cookies aceptadas o rechazadas y las versiones de los documentos. El vínculo con el visitante se hace mediante un CookieID único en el navegador. El CookieID une la elección con el registro, y la prueba es el registro.

### Guarda lo necesario y protégelo

El propio registro es un dato personal y le aplican los principios de minimización y de seguridad. El artículo 5 del RGPD pide que los datos sean adecuados, pertinentes y limitados a lo necesario, y que se traten con una seguridad adecuada, incluida la protección frente al tratamiento no autorizado.

Por eso conviene preguntar a cualquier proveedor dónde y cómo se almacenan los registros. AdOpt indica que los consentimientos se guardan en una base de datos cifrada, con infraestructura replicada. Para el marco general, consulta [seguridad de datos en el consentimiento](https://goadopt.io/es/blog/seguridad-de-datos-en-el-consentimiento/).

> ¿Quieres ver cómo queda el registro de una elección real? [Empieza gratis](https://goadopt.io/) y consulta el Consent Log durante la prueba de 30 días de AdOpt.

## Lo que no sirve como prueba

Hay evidencias que parecen buenas y no aguantan una pregunta firme:

- **La captura del banner.** Muestra cómo era el aviso un día, no que una persona concreta lo viera y aceptara.
- **El número agregado de aceptaciones.** Es una estadística útil para medir, pero no identifica la elección de nadie.
- **La configuración actual del panel.** Dice cómo está el aviso hoy, y la pregunta casi siempre es cómo estaba entonces.
- **La cookie del navegador de la persona.** Está en su dispositivo, puede borrarse y no la controlas tú.
- **El registro de acciones de los administradores.** Sirve para auditar quién cambió qué en la plataforma, pero no recoge la elección de ningún visitante.

La pregunta que separa una prueba de un adorno es sencilla: con esto en la mano, ¿puedes mostrar la elección de una persona concreta, en una fecha concreta, ante un texto concreto?

## Cuánto tiempo conservar el registro

Ni el RGPD ni la Guía de la AEPD fijan un plazo para conservar el registro de consentimientos. Lo que sí establece el RGPD, en su artículo 5, es el principio de limitación del plazo de conservación: los datos no deben mantenerse más tiempo del necesario para los fines del tratamiento.

No confundas dos plazos distintos. La Guía recomienda como buena práctica que el consentimiento para una cookie no tenga una validez superior a 24 meses (apartado 3.2.8, p. 29). Eso habla de cuándo volver a preguntar a la persona, no de cuánto tiempo guardar la prueba.

Para fijar el tuyo, hay un criterio que muchas empresas valoran: los plazos de prescripción de las infracciones de la LOPDGDD, que son de tres años para las muy graves (art. 72), dos para las graves (art. 73) y uno para las leves (art. 74). El incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento figura entre las muy graves. Es un criterio a valorar, no una obligación de conservar durante ese plazo.

Decide el plazo con tu delegado de protección de datos o con asesoría jurídica, anota el criterio y regístralo junto con el resto de plazos de conservación.

## Para qué se usa el registro

El registro solo vale si se puede recuperar cuando hace falta. Tres situaciones lo ponen a prueba.

### Cuando alguien cuestiona su consentimiento

Localiza la elección, comprueba la fecha y la versión de los documentos y responde con esos datos. Hay un límite que conviene reconocer: si la persona no estaba identificada, el registro se asocia al navegador y quizá no puedas saber cuál es "el suyo" sin información adicional. Acuerda con tu delegado de protección de datos cómo se gestionará ese caso antes de que ocurra.

### Cuando te lo pide la autoridad

Si la AEPD o cualquier otro interesado te pide justificar el consentimiento, el conjunto útil tiene cuatro piezas: el registro de la elección, la versión de los documentos que estaba vigente, el inventario de cookies de aquella fecha y la configuración de bloqueo. El registro responde a la mitad de la pregunta, y la otra mitad es demostrar que el aviso y la web eran coherentes. Ahí ayuda [reescanear la web periódicamente](https://goadopt.io/es/blog/por-que-escanear-cookies-sitio-web-rgpd/) y guardar la fecha de cada resultado.

### Cuando cambias de proveedor

Cambiar de CMP sin llevarte el historial borra tu capacidad de probar las elecciones anteriores. Antes de contratar, pregunta si puedes exportar los registros y en qué formato.

## Cómo comprobar que tu registro funciona

Las pruebas básicas de una CMP, entre ellas la del registro, están en [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/). Para el registro en concreto, añade tres comprobaciones:

1. **La elección propia.** Acepta una categoría, rechaza otra y busca tu consentimiento en el panel. Deben estar la fecha, la hora, las categorías y las versiones.
2. **La versión.** Cambia un texto de la política, publica, acepta de nuevo y comprueba que el registro nuevo apunta a la versión nueva y el antiguo sigue apuntando a la anterior.
3. **La retirada.** Abre las preferencias, rechaza lo que habías aceptado y comprueba que el cambio aparece como un evento nuevo, con fecha y hora, sin borrar la aceptación anterior.

Si alguna falla, lo que tienes es un contador de aceptaciones, no una prueba.

## Cinco errores que debilitan la prueba

1. **Guardar solo el recuento** y perder la elección individual.
2. **No versionar los documentos**, y no poder decir qué vio la persona.
3. **Sobrescribir la elección anterior** en lugar de añadir un evento.
4. **Guardar o borrar sin criterio**, en lugar de fijar un plazo justificado.
5. **Ignorar la retirada**, que también necesita registro y un procedimiento tan fácil como el de aceptar.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres un registro que responda a estas preguntas sin trabajo manual, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento RGPD: requisitos de validez y cómo cumplirlos](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/)
- [Plataforma de gestión del consentimiento (CMP): qué debe cumplir](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/)

## Preguntas frecuentes

### ¿Qué es un registro de consentimientos?

Es el historial individual de cada elección en el aviso de cookies: identificador, fecha y hora, qué se aceptó o rechazó y la versión del aviso y de los documentos. Permite al responsable demostrar, si se le pide, que el interesado consintió, como exige el artículo 7.1 del RGPD.

### ¿Quién tiene que demostrar que se dio el consentimiento?

El responsable del tratamiento. El artículo 7.1 del RGPD dice que debe ser capaz de demostrar que el interesado consintió, y el artículo 5.2 recoge la responsabilidad proactiva. Si una persona afirma que no aceptó, tu empresa necesita un registro individual con fecha y versión de los textos.

### ¿Sirve una captura de pantalla del banner como prueba?

No como prueba principal. Muestra cómo era el aviso en un momento, pero no que una persona concreta lo viera y aceptara. Lo que sustenta la prueba es el registro individual de cada elección, con fecha, hora, categorías aceptadas o rechazadas y la versión de los documentos mostrados.

### ¿Cuánto tiempo hay que conservar el registro de consentimientos?

El RGPD y la Guía de la AEPD no fijan un plazo concreto. Rige el principio de limitación del plazo de conservación. Los 24 meses de la Guía son la validez recomendada del consentimiento de una cookie, no un plazo de conservación. Fija el tuyo con el delegado de protección de datos y documenta el criterio.

### ¿Hay que registrar también la retirada del consentimiento?

Sí. La persona puede retirar su consentimiento en cualquier momento y debe ser tan fácil como darlo (art. 7.3 del RGPD). La retirada debe quedar en el historial como un evento con fecha y hora, sin borrar la aceptación anterior, para que el registro muestre qué estaba vigente en cada periodo.

[¿Necesitas un registro de consentimientos que sirva como prueba? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Registro de consentimientos: cómo probar el consentimiento

Adecuar una página web al RGPD consiste en saber qué datos recoge, justificar por qué los trata, informar a las personas, darles medios para ejercer sus derechos y poder demostrarlo. No hay un trámite único ni un certificado: es un conjunto de decisiones que se ordenan en una lista y se repiten con el tiempo.

Esta guía te da esa lista en ocho pasos. En cada paso marcamos qué viene de la ley y qué es una recomendación práctica, porque no todo lo útil es obligatorio y conviene no confundirlo. Si prefieres entender primero las normas, empieza por [qué es la LOPDGDD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/).

## Antes de empezar: qué es ley y qué es recomendación

Cada paso de la lista lleva una etiqueta:

- **Ley:** deriva de un artículo del [RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf), de la [LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673) o de la LSSI, y se cita.
- **Recomendación:** es una práctica que facilita cumplir y demostrar, pero la norma no la impone tal cual.

El principio de fondo es la responsabilidad proactiva. El artículo 5.2 del RGPD dice que el responsable debe cumplir los principios y ser capaz de demostrarlo. Cada paso de abajo te ayuda a que esa demostración sea posible.

## Paso 1. Haz el inventario de datos y de cookies

**Recomendación**, con una base legal clara: la [Guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (p. 15) recomienda revisar las cookies que usas, ya sea internamente o con ayuda especializada, e identificar si son propias o de terceros, de sesión o persistentes, y cuál es su función. También recomienda repetir esa revisión periódicamente.

Haz dos listas:

1. **Datos que recoges:** formularios de contacto, registros, newsletter, pedidos, comentarios.
2. **Cookies y tecnologías similares:** las que instala tu web y las de terceros (analítica, publicidad, vídeo, mapas, chat).

Para la segunda, un [escáner de cookies](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/) te da el inventario real, que casi nunca coincide con el que recuerdas.

## Paso 2. Asigna una base legal a cada tratamiento

**Ley.** El artículo 6.1 del RGPD exige que cada tratamiento se apoye en al menos una de las seis bases legales. Para cada fila de tu inventario, anota cuál aplica: consentimiento, contrato, obligación legal, interés legítimo u otra.

Dos reglas te ahorran dudas. Si instalas cookies no exceptuadas, la base es el consentimiento por el artículo 22.2 de la LSSI. Y si usas el interés legítimo, necesitas una evaluación y debes informar de él. Te lo explicamos en [interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).

## Paso 3. Informa por capas

**Ley.** El artículo 13 del RGPD exige facilitar la información cuando recoges datos de la persona. La LOPDGDD (art. 11) permite hacerlo por capas: una información básica y un medio para acceder de forma sencilla e inmediata al resto.

La información básica debe incluir, como mínimo, la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. Si elaboras perfiles, hay que indicarlo.

En una web esto se traduce en:

- Un texto breve junto a cada formulario, con esos tres elementos y un enlace.
- Una política de privacidad completa, accesible desde el pie de todas las páginas.
- Un aviso de cookies que cumpla lo mismo para las cookies, con enlace a la política de cookies.

Para esta última, tienes un modelo en [política de cookies: ejemplo](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

> ¿Quieres que el aviso de cookies y su segunda capa estén siempre al día con lo que instala tu web? [Empieza gratis](https://goadopt.io/) y prueba AdOpt durante 30 días.

## Paso 4. Configura el aviso y el consentimiento de cookies

**Ley**, en lo esencial: el artículo 22.2 de la LSSI y el RGPD exigen consentimiento informado para las cookies no exceptuadas. La guía de la AEPD (p. 23) precisa que hace falta una clara acción afirmativa, que rechazar debe poder hacerse en la misma capa y al mismo nivel que aceptar y que seguir navegando no vale.

**Recomendación**, para comprobarlo: antes de publicar, abre tu web en una ventana privada y verifica que no se instala ninguna cookie no exceptuada antes de elegir. El detalle de cada requisito está en [guía de cookies de la AEPD](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/).

## Paso 5. Prepara el ejercicio de derechos

**Ley.** El artículo 12 de la LOPDGDD establece cuatro cosas que afectan a tu web:

- Debes informar de los medios disponibles para ejercer los derechos.
- Esos medios deben ser fácilmente accesibles.
- No puedes denegar el ejercicio por el solo motivo de que la persona haya elegido otro medio.
- La prueba de haber cumplido el deber de responder recae sobre ti.

También dice que las actuaciones para atender las solicitudes son gratuitas, con las excepciones previstas en el RGPD y en el artículo 13 de la propia ley.

**Recomendación:** publica una dirección de contacto o un formulario específico, nombra a la persona o al equipo que lo atiende y anota la fecha de cada solicitud y de cada respuesta. Si no puedes demostrar cuándo contestaste, el reparto de la prueba juega en tu contra.

## Paso 6. Revisa los contratos con terceros

**Ley**, en parte: cada responsable responde del tratamiento en el que interviene. La Guía de la AEPD (pp. 31 a 33) explica que, cuando usas cookies de terceros, editor y terceros tienen que garantizar que se informa y se obtiene el consentimiento, y añade que la responsabilidad administrativa no se puede desplazar por contrato.

**Recomendación:** la guía aconseja incluir en los contratos con terceros cláusulas que aseguren la información a los usuarios, la forma de obtener un consentimiento válido y de revocarlo, y las consecuencias de la revocación. El artículo 28 de la LOPDGDD, además, pide a responsables y encargados determinar las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento cumple la norma, y valorar si procede una evaluación de impacto.

Haz una lista de los proveedores que reciben datos de tu web (analítica, correo, publicidad, alojamiento) y comprueba que tienes el contrato o las condiciones de cada uno.

## Paso 7. Ten en cuenta a los menores

**Ley.** El artículo 7 de la LOPDGDD fija en 14 años la edad desde la que un menor puede consentir el tratamiento de sus datos. Por debajo, el tratamiento fundado en consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

Si tu web no está dirigida a menores ni permite registros, anota que has valorado el punto y por qué no aplica. Si lo está, diseña el alta para pedir ese consentimiento.

## Paso 8. Guarda las pruebas y revisa periódicamente

**Ley.** El artículo 7.1 del RGPD obliga a poder demostrar que la persona consintió, y el 5.2 recoge la responsabilidad proactiva. Para las cookies, eso significa un registro individual de cada elección. Cómo montarlo está en [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).

**Recomendación:** fija una fecha de revisión. La Guía de la AEPD (p. 15) recomienda revisar las cookies periódicamente, porque la gestión y el uso cambian. Una buena regla es repetir la revisión cada vez que añadas una herramienta, cambies un proveedor o modifiques un formulario.

## Resumen en una tabla

| Paso | Qué haces | Tipo | Dónde se apoya |
|---|---|---|---|
| 1 | Inventario de datos y cookies | Recomendación | Guía AEPD, p. 15 |
| 2 | Base legal de cada tratamiento | Ley | RGPD, art. 6.1 |
| 3 | Información por capas | Ley | RGPD, art. 13; LOPDGDD, art. 11 |
| 4 | Aviso y consentimiento de cookies | Ley | LSSI, art. 22.2; Guía AEPD, p. 23 |
| 5 | Ejercicio de derechos | Ley | LOPDGDD, art. 12 |
| 6 | Contratos con terceros | Ley y recomendación | Guía AEPD, pp. 31 a 33; LOPDGDD, art. 28 |
| 7 | Menores | Ley | LOPDGDD, art. 7 |
| 8 | Pruebas y revisión periódica | Ley y recomendación | RGPD, arts. 5.2 y 7.1; Guía AEPD, p. 15 |

## Por dónde empezar si tienes poco tiempo

Si solo puedes hacer tres cosas esta semana, haz estas:

1. **Escanea tu web** y comprueba qué cookies instala de verdad.
2. **Revisa el aviso de cookies** con la lista del paso 4 y corrige lo que falle.
3. **Publica o actualiza tu política de privacidad** con la información básica del paso 3 y un medio claro para ejercer derechos.

Con eso cubres lo que más se ve desde fuera. El resto lo irás ordenando.

## Errores frecuentes

1. **Copiar una política de otra web.** Describe lo que hace la tuya, no la de otro.
2. **Hacer la adecuación una vez y olvidarla.** El inventario cambia cada vez que se añade una herramienta.
3. **Dar por buena la configuración sin probarla.** Comprueba en una ventana privada qué se carga antes de elegir.
4. **No guardar pruebas.** Sin registro, la responsabilidad proactiva se queda en una frase.

En AdOpt puedes hacer los pasos 1, 4 y 8 en un mismo sitio: la prueba de 30 días incluye el análisis de cookies de tu web y el Consent Log, donde ves cada elección con fecha, hora y versión de los documentos. [Prueba AdOpt gratis](https://goadopt.io/) y empieza por el escáner.

## Sigue aprendiendo sobre ley local

- [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/)
- [Base legal del RGPD: interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/)

## Preguntas frecuentes

### ¿Qué hay que hacer para adecuar una web al RGPD?

Inventariar los datos y las cookies, asignar una base legal a cada tratamiento, informar por capas, configurar el consentimiento de cookies, facilitar el ejercicio de derechos, revisar los contratos con terceros, tener en cuenta a los menores y guardar pruebas. Después, revisar todo periódicamente.

### ¿Es obligatorio tener política de privacidad en una web?

Si tu web recoge datos personales, debes informar a las personas conforme al artículo 13 del RGPD. La LOPDGDD (art. 11) permite hacerlo por capas, con una información básica y un acceso sencillo al resto. En la práctica, eso se materializa en una política de privacidad accesible desde todas las páginas.

### ¿Hay que registrar el consentimiento de las cookies?

El artículo 7.1 del RGPD obliga a poder demostrar que la persona consintió. La norma no impone un formato, pero un registro individual de cada elección, con fecha, hora, categorías y versión de los documentos, es la forma habitual de poder demostrarlo.

### ¿Cada cuánto hay que revisar la adecuación?

La ley no fija una periodicidad. La Guía de cookies de la AEPD recomienda revisar las cookies periódicamente porque su gestión y su uso cambian. Una buena práctica es repetir la revisión cada vez que añadas una herramienta, cambies de proveedor o modifiques un formulario de tu web.

### ¿Quién responde si un tercero instala cookies en mi web?

Cada parte responde de los tratamientos en los que interviene, y el editor debe asegurar que se informa y se pide el consentimiento sobre las cookies de terceros que incluye. La responsabilidad administrativa no se puede desplazar por contrato, aunque este sirva para repartir las tareas.

[¿Quieres ayuda para ordenar la adecuación de tu web? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Adecuación al RGPD de una página web: lista de comprobación paso a paso

El RGPD solo permite tratar datos personales si se cumple al menos una de seis condiciones, las bases legales del artículo 6.1. Para una web, las dos que más se discuten son el consentimiento y el interés legítimo. La diferencia práctica es esta: el consentimiento lo da la persona y puede retirarlo, mientras que el interés legítimo lo valora el responsable, con una evaluación que debe poder justificar.

Y hay una regla que decide el caso más habitual. Para las cookies que no son estrictamente necesarias, la LSSI exige consentimiento, así que el interés legítimo no sustituye al banner. Aquí verás las seis bases, cuándo encaja cada una, qué obligaciones acompañan al interés legítimo y cómo decidir sin inventar atajos.

## Las seis bases legales del artículo 6.1

El [artículo 6.1 del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf) dice que el tratamiento solo es lícito si se cumple al menos una de estas condiciones:

| Letra | Base legal | En una web, por ejemplo |
|---|---|---|
| a | Consentimiento del interesado para uno o varios fines específicos | Suscripción a una newsletter, cookies de publicidad |
| b | Ejecución de un contrato o medidas precontractuales a petición del interesado | Datos de envío de un pedido |
| c | Cumplimiento de una obligación legal aplicable al responsable | Conservar datos de facturación |
| d | Protección de intereses vitales | Poco habitual en una web |
| e | Misión de interés público o ejercicio de poderes públicos | Propia de administraciones |
| f | Intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos del interesado | Prevención del fraude, algunos usos de datos de clientes |

No hay una base "preferida". El consentimiento no es más válido que las demás, ni el interés legítimo es un cajón de sastre. Cada tratamiento se apoya en la base que le corresponde, y debes poder explicar cuál es y por qué. Para el marco general, consulta la [guía completa del RGPD en España](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/).

## Qué es el interés legítimo

La letra f) permite el tratamiento cuando es necesario para satisfacer intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. El propio artículo añade una cautela: hay que tener especial cuidado cuando el interesado es un niño.

El considerando 47 del RGPD explica cómo se valora. El interés legítimo puede ser base jurídica siempre que no prevalezcan los derechos del interesado, teniendo en cuenta las expectativas razonables de las personas basadas en su relación con el responsable. Pone como ejemplo una relación pertinente y apropiada, como cuando el interesado es cliente del responsable.

El mismo considerando dice que la existencia de un interés legítimo requeriría "una evaluación meticulosa", y que hay que analizar si la persona puede prever razonablemente, en el momento y en el contexto de la recogida, que se hará ese tratamiento. Si no lo espera, sus derechos pueden prevalecer.

En la práctica, esa evaluación se suele resumir en tres preguntas:

1. ¿Qué interés persigues y es legítimo?
2. ¿Es necesario tratar esos datos para conseguirlo, o hay una forma menos intrusiva?
3. ¿Qué espera razonablemente la persona y qué impacto tiene en ella?

No existe un formulario oficial único que sustituya a tu análisis. Lo importante es que lo hagas antes de empezar y que quede por escrito.

## Qué es el consentimiento y qué lo distingue

El consentimiento (art. 6.1.a) es una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. La LOPDGDD lo repite en su artículo 6 y añade que, si cubre varias finalidades, debe constar de forma específica e inequívoca que se otorga para todas ellas. Los requisitos completos están en [consentimiento RGPD: requisitos de validez](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/).

Con el consentimiento, la decisión es de la persona. Con el interés legítimo, la valoración es tuya. Eso cambia tres cosas:

| | Consentimiento | Interés legítimo |
|---|---|---|
| Quién decide | La persona | El responsable, tras una evaluación |
| Se puede retirar | Sí, en cualquier momento | No existe "retirada", pero sí derecho de oposición |
| Qué debes poder demostrar | Que la persona consintió (art. 7.1) | Que el interés es legítimo, necesario y no prevalece |

## Qué obligaciones acompañan al interés legítimo

Elegir el interés legítimo no te libera de obligaciones. Te trae otras.

- **Informar.** Cuando recoges los datos de la persona y te apoyas en la letra f), el artículo 13.1.d del RGPD exige informar de cuáles son esos intereses legítimos del responsable o del tercero.
- **Atender la oposición.** El artículo 21.1 da derecho a oponerse en cualquier momento, por motivos relacionados con la situación particular, a un tratamiento basado en el interés legítimo. El responsable deja de tratar los datos, salvo que acredite motivos legítimos imperiosos que prevalezcan o que necesite los datos para reclamaciones.
- **Tratar la mercadotecnia directa de forma distinta.** Según el artículo 21.2 y 21.3, cuando el tratamiento tiene por objeto la mercadotecnia directa, la persona puede oponerse en todo momento y, si se opone, los datos dejan de tratarse para esos fines.
- **Avisar del derecho.** El artículo 21.4 pide mencionar explícitamente ese derecho, a más tardar en la primera comunicación, y presentarlo claramente y al margen de otra información.

Esto es lo contrario de "hacemos esto por interés legítimo y ya está". La base se elige y luego se sostiene, con transparencia y con un procedimiento para atender la oposición.

### Datos de contacto profesional

La LOPDGDD concreta un caso. Su artículo 19 presume, salvo prueba en contrario, que el tratamiento de los datos de contacto de las personas que prestan servicios en una persona jurídica se ampara en el interés legítimo. Solo opera si se tratan datos necesarios para la localización profesional y con la finalidad de mantener relaciones con esa persona jurídica. La misma presunción se aplica a empresarios individuales y profesionales liberales en esa condición.

Es una presunción, y con condiciones. No equivale a una autorización general para enviar publicidad. Más detalle en [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/).

> ¿Quieres registrar cada elección de tus usuarios para poder demostrarla? [Empieza gratis](https://goadopt.io/) y prueba AdOpt durante 30 días.

## El caso que más importa en una web: las cookies

Aquí se acaba la discusión teórica. El artículo 22.2 de la LSSI condiciona el uso de dispositivos de almacenamiento y recuperación de datos, como las cookies, al consentimiento del usuario tras recibir información clara y completa. Las únicas excepciones son el acceso técnico para transmitir una comunicación y lo estrictamente necesario para prestar un servicio expresamente solicitado.

La [Guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) lo traduce así (p. 23): para las cookies no exceptuadas es necesario "en todo caso" obtener el consentimiento. Dicho de otro modo, no puedes decidir que tus cookies de analítica o de publicidad se amparan en el interés legítimo y saltarte el aviso. Para esas cookies, la base es el consentimiento y se pide antes de instalarlas.

La guía no trata el interés legítimo (no aparece en su texto), así que no hay una posición de la AEPD en ese documento que podamos citar sobre el tema. Lo que sí dice con claridad es lo que hace falta para el consentimiento: clara acción afirmativa, rechazar al mismo nivel que aceptar y que seguir navegando no vale. Todo esto lo ves resumido en la [guía de cookies de la AEPD](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/).

Hay un matiz que conviene separar. La LSSI regula el acceso al dispositivo, y el RGPD regula el tratamiento posterior de los datos. Una cookie exceptuada no necesita consentimiento para instalarse, pero si luego se tratan datos personales, hace falta una base del artículo 6 para ese tratamiento.

## Y el correo comercial

El correo electrónico publicitario tiene su propia regla. El artículo 21 de la LSSI prohíbe enviar comunicaciones comerciales por correo electrónico o medios equivalentes sin solicitud o autorización expresa. Hay una excepción cuando existe una relación contractual previa, los datos se obtuvieron de forma lícita y los productos o servicios son similares, siempre con un procedimiento sencillo y gratuito para oponerse, en la recogida y en cada comunicación.

Por eso no basta con que el considerando 47 diga que la mercadotecnia directa puede considerarse realizada por interés legítimo. Para el correo electrónico, la LSSI añade su propio requisito.

## Cómo decidir: un recorrido en cuatro preguntas

1. **¿Lo exige una ley o un contrato?** Si el tratamiento es necesario para ejecutar un contrato (b) o cumplir una obligación legal (c), usa esa base.
2. **¿Instalas o lees algo en el dispositivo de la persona?** Si es una cookie no exceptuada, la base es el consentimiento, por la LSSI.
3. **¿Puedes defender que el tratamiento es necesario, esperable y poco intrusivo?** Si es así y no hay una norma que exija consentimiento, el interés legítimo es una opción, con su evaluación por escrito.
4. **¿La persona no lo esperaría, o es un menor, o es un perfilado intenso?** Entonces el consentimiento suele ser la vía más segura.

Recuerda que la LOPDGDD fija en 14 años la edad desde la que un menor puede consentir (art. 7). Si trabajas con menores, esa es una razón más para ser prudente con el interés legítimo.

Documenta la decisión, aplícala de forma coherente y refléjala en tu política de privacidad. Para organizar todo el trabajo, sigue la [lista de adecuación al RGPD de una web](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/).

## Cuatro errores frecuentes

1. **Usar el interés legítimo para saltarse el banner de cookies.** La LSSI exige consentimiento.
2. **No informar del interés legítimo.** El artículo 13.1.d lo exige.
3. **Ignorar la oposición.** Debes poder atenderla en cualquier momento.
4. **Cambiar de base legal a mitad de camino sin documentarlo.** La base se elige al inicio del tratamiento y se explica.

Una CMP puede ayudarte con la parte de cookies, que es donde el consentimiento es obligatorio. [Prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre ley local

- [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/)
- [Adecuación al RGPD de una página web: lista de comprobación](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/)

## Preguntas frecuentes

### ¿Cuáles son las bases legales del RGPD?

Son seis y están en el artículo 6.1: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público o ejercicio de poderes públicos, e intereses legítimos. El tratamiento solo es lícito si se cumple al menos una, y debes saber cuál aplica a cada tratamiento.

### ¿Qué es el interés legítimo en el RGPD?

Es la base de la letra f) del artículo 6.1: el tratamiento necesario para satisfacer intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos y libertades del interesado. El considerando 47 pide una evaluación meticulosa, que tenga en cuenta las expectativas razonables de la persona.

### ¿Puedo usar interés legítimo en lugar del consentimiento para las cookies?

No para las cookies que no son estrictamente necesarias. El artículo 22.2 de la LSSI exige consentimiento, y la Guía de cookies de la AEPD lo recoge: para las cookies no exceptuadas es necesario obtenerlo "en todo caso". El interés legítimo no sustituye al banner.

### ¿Qué obligaciones tengo si me baso en el interés legítimo?

Informar de cuáles son esos intereses (art. 13.1.d del RGPD), atender el derecho de oposición (art. 21.1) y, si es mercadotecnia directa, dejar de tratar los datos cuando la persona se oponga (art. 21.2 y 21.3). También debes hacer y documentar la evaluación de si tu interés prevalece.

### ¿Puedo enviar correos comerciales por interés legítimo?

Depende de la LSSI. Su artículo 21 prohíbe el correo comercial sin autorización expresa, salvo la excepción de la relación contractual previa para productos similares y con opción sencilla y gratuita de oposición. El considerando 47 del RGPD no elimina ese requisito de la ley española.

[¿Dudas sobre qué base aplicar en tu web? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Base legal del RGPD: interés legítimo o consentimiento, cómo elegir

La Guía de cookies de la AEPD, en su edición de mayo de 2024, resume lo que exige la autoridad española a quien usa cookies en una web: informar con claridad y obtener el consentimiento antes de usar las que no son estrictamente necesarias. Esas son las dos obligaciones legales que fija, la de transparencia y la de consentimiento, y todo el resto de la guía explica cómo cumplirlas.

La guía tiene 40 páginas y no es una ley, pero es la referencia que la propia agencia ofrece para aplicar el artículo 22.2 de la LSSI. Este artículo la recorre en el orden en el que tomas decisiones sobre tu web, con una lista de comprobación en cada paso. Puedes consultar el [texto completo en la web de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf).

## A qué se aplica la guía

La Guía parte del artículo 22.2 de la [LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758): los prestadores de servicios solo pueden usar dispositivos de almacenamiento y recuperación de datos en los equipos de los usuarios si estos han dado su consentimiento después de recibir información clara y completa. Es decir, la norma no habla solo de "cookies" en sentido estricto.

Según la guía (p. 8), el artículo 22 y sus orientaciones se refieren a cookies y a tecnologías similares, como los local shared objects o flash cookies y los web beacons. También se aplican a las técnicas de fingerprinting, la toma de la huella digital del dispositivo.

Hay un matiz importante para tu proyecto. Si una cookie no trata datos personales, sigue estando dentro del artículo 22.2. Pero si lo hace, por ejemplo porque el usuario está identificado o porque se usa un identificador único que permite seguirlo de forma individualizada, el responsable debe cumplir además las exigencias de la normativa de protección de datos (p. 9). Aquí es donde entran el [RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf) y la [LOPDGDD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/).

## Qué cookies quedan fuera del consentimiento

No todas las cookies necesitan consentimiento. La guía (p. 10) exceptúa las que se usan solo para dos finalidades: permitir la comunicación entre el equipo del usuario y la red, o prestar estrictamente un servicio expresamente solicitado por el usuario.

Citando el Dictamen 4/2012 del Grupo de Trabajo del Artículo 29, la guía enumera como ejemplos de cookies exceptuadas:

- Cookies de entrada del usuario, como las de un formulario o una cesta de la compra.
- Cookies de autenticación o identificación de usuario, solo de sesión.
- Cookies de seguridad del usuario.
- Cookies de sesión de reproductor multimedia.
- Cookies de sesión para equilibrar la carga.
- Cookies de personalización de la interfaz de usuario.
- Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales.

Cualquier otro tipo de cookie, propia o de terceros, de sesión o persistente, exige información y consentimiento. Hay dos matices que se pasan por alto. El primero: la guía recomienda, por transparencia, informar al menos de forma genérica de las cookies exceptuadas, en la política de cookies o en la de privacidad. El segundo: una misma cookie puede tener varias finalidades, y si solo una está exceptuada, las demás siguen sujetas al artículo 22.2.

Si no sabes cuáles usa tu web, el primer paso es [escanearla](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/).

## Primera obligación: transparencia

La guía (p. 15) recomienda revisar las cookies que usas, ya sea internamente o con ayuda especializada, para identificar si son propias o de terceros, de sesión o persistentes, y cuál es su función. Esa revisión debe repetirse periódicamente, porque la gestión y el uso de las cookies cambian.

Sobre la información que debe darse, la guía distingue dos niveles. En la política de cookies (segunda capa) debe constar:

- Qué son las cookies y su función genérica.
- Qué tipos se usan y para qué.
- Quién las usa, es decir, si solo el editor o también terceros, con identificación de estos.
- Cómo aceptar, denegar o revocar el consentimiento.

La primera capa, la que ve el usuario antes de decidir, debe contener (p. 20) la información básica: si las cookies son propias o también de terceros, información genérica sobre los datos que se recopilan si se elaboran perfiles, y cómo aceptar, configurar y rechazar. Debe incluir también un enlace visible a la segunda capa. Esa información se facilita antes de usar las cookies y debe mantenerse visible hasta que el usuario acepte o rechace.

Para escribir la segunda capa tienes un ejemplo completo en [política de cookies: ejemplo](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

### Lista de comprobación de transparencia

- Tienes un inventario actualizado de tus cookies con finalidad, titular y duración.
- La primera capa se muestra antes de instalar cualquier cookie no exceptuada.
- La primera capa enlaza de forma visible a la política de cookies.
- La política identifica a los terceros, aunque sea con un desplegable.
- Revisas el inventario cada cierto tiempo, y no solo al lanzar la web.

## Segunda obligación: consentimiento

La guía (p. 23) es tajante: para las cookies no exceptuadas es necesario "en todo caso" obtener el consentimiento del usuario. Eso significa que ninguna otra base jurídica sustituye al consentimiento para esas cookies. Lo desarrollamos al comparar [interés legítimo y consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).

Los puntos que la guía fija en esa página y en las siguientes son estos:

- **Acción clara y afirmativa.** Un clic u otra conducta similar facilita la prueba. La mera inactividad no es consentimiento.
- **Seguir navegando no vale.** La guía recuerda que el CEPD ha establecido que seguir navegando no es una forma válida de consentir. Tampoco lo es consultar la segunda capa o navegar para gestionar las preferencias.
- **Rechazar, al mismo nivel que aceptar.** La opción de rechazar debe ofrecerse en la misma capa y al mismo nivel que la de aceptar, con un mecanismo similar.
- **Información separada.** La información para consentir no se mezcla con otros asuntos, y aceptar los términos de uso se separa de aceptar la política de privacidad o de cookies.

La guía exige además (p. 20) que, si usas un botón para aceptar, uses otro para rechazar, y un tercer mecanismo para configurar por finalidades. Y avisa de que el color, el contraste y el diseño no pueden ser obviamente engañosos. El detalle de cada requisito está en [banner de cookies RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/) y en [consentimiento de cookies](https://goadopt.io/es/blog/consentimiento-de-cookies/), y aquí no lo repetimos.

> ¿Quieres comprobar si tu banner cumple estos puntos? [Prueba AdOpt gratis](https://goadopt.io/) durante 30 días y compáralo con la lista.

### Lista de comprobación de consentimiento

- No se instala ninguna cookie no exceptuada antes de la elección del usuario.
- Aceptar y rechazar están en la misma capa y con el mismo nivel de destaque.
- Seguir navegando o cerrar el aviso no cuenta como aceptación.
- No hay casillas premarcadas a favor de aceptar.
- La retirada del consentimiento es tan fácil como darlo, con acceso permanente.

## Cuánto tiempo vale la elección

La guía propone como buena práctica (apartado 3.2.8) que el consentimiento para una cookie no tenga una validez superior a 24 meses, y que se guarde la selección para no preguntar en cada visita. No es un plazo legal, es una recomendación sobre cuándo volver a preguntar.

También pide (3.2.7) que, si cambian los fines de las cookies o los terceros, se actualice la información y se permita decidir de nuevo. Cómo ajustar este plazo está en [duración del consentimiento de cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

## Quién responde: editor y terceros

El capítulo 4 de la guía (pp. 31 a 33) reparte la responsabilidad entre quien edita la web y quien pone las cookies de terceros.

- **Cookies exceptuadas.** Si todas las cookies de la web son exceptuadas, no hace falta informar ni obtener consentimiento. Aun así, si usas cookies de terceros para ese servicio, la guía pide que contractualmente esos terceros no traten los datos con otra finalidad.
- **Cookies no exceptuadas.** Cuando intervienen terceros, editor y terceros tienen la responsabilidad de garantizar que los usuarios están informados y de obtener el consentimiento. Si el editor usa una CMP que crea un entorno en el que los terceros pueden cumplir esos deberes, estos son individual y directamente responsables de su cumplimiento.
- **Contratos.** Cuando uses cookies de terceros, la guía recomienda incluir cláusulas que aseguren la información, la forma de obtener el consentimiento y su revocación.
- **Límite.** La responsabilidad del editor se circunscribe a los tratamientos de los que es responsable. No se extiende a las fases posteriores en las que no interviene, que son responsabilidad exclusiva del tercero.

La guía añade (p. 33) que la responsabilidad administrativa ante las autoridades corresponde a cada parte obligada y no se puede desplazar por contrato. Un contrato ordena el reparto, pero no te libera frente a la agencia.

## Qué dice la guía de las CMP

El anexo de la guía (apartado V.a, pp. 36 y 37) define la CMP como una herramienta instalada en el soporte del editor que permite a cualquier responsable cumplir sus deberes de información y de recogida del consentimiento. Para que sea válida debe permitir:

- Cumplir los requisitos de transparencia ante los usuarios.
- Obtener un consentimiento válido.
- Respetar después las opciones elegidas y gestionar los consentimientos, incluida su revocación.

La guía añade que estas plataformas "deberán estar sometidas a auditorías o revisiones" que validen el cumplimiento. Ten en cuenta que la guía no habla de certificar un producto: pide que alguien compruebe que la herramienta cumple.

Una nota sobre la propia guía: en la p. 16 remite a un "apartado v.d) del Anexo", mientras que la p. 25 y el propio anexo se refieren al apartado V.a. Nosotros usamos V.a, porque es el apartado del anexo donde se define la CMP.

Para saber qué debe cumplir una herramienta en concreto, consulta [plataforma de gestión del consentimiento](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/). Y para probar lo que elige cada persona, [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).

## Cuatro errores frecuentes al leer la guía

1. **Tratarla como una ley.** Es una guía de la AEPD. Orienta cómo aplicar la LSSI y el RGPD, y no crea obligaciones nuevas por sí misma.
2. **Olvidar las cookies exceptuadas en la información.** La guía recomienda mencionarlas, al menos de forma genérica.
3. **Pensar que un contrato con el tercero te protege.** La responsabilidad administrativa no es desplazable por contrato.
4. **Revisar la web una sola vez.** La propia guía recomienda repetir la revisión de las cookies periódicamente.

Si quieres ver el conjunto aplicado a un sitio web concreto, sigue la [adecuación al RGPD de una página web](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/). Y si quieres una CMP que te ayude con la parte técnica, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre ley local

- [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/)
- [Base legal del RGPD: interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/)

## Preguntas frecuentes

### ¿Qué es la Guía de cookies de la AEPD?

Es el documento con el que la Agencia Española de Protección de Datos orienta sobre cómo aplicar el artículo 22.2 de la LSSI. La edición de mayo de 2024 tiene 40 páginas y recoge las dos obligaciones legales: informar a los usuarios y obtener su consentimiento para las cookies no exceptuadas.

### ¿Es obligatorio cumplir la Guía de cookies?

La guía es una orientación de la AEPD, no una ley. Lo que obliga es la LSSI, el RGPD y la LOPDGDD. La guía explica cómo la agencia interpreta esas normas, por lo que conviene seguirla al diseñar tu aviso y tu política de cookies.

### ¿Qué cookies no necesitan consentimiento según la AEPD?

Las que solo permiten la comunicación entre el equipo del usuario y la red, o prestan estrictamente un servicio expresamente solicitado. La guía cita ejemplos del GT29, como las de autenticación de sesión, de seguridad, de carrito o de equilibrio de carga. Si una cookie tiene otra finalidad, ya requiere consentimiento.

### ¿Seguir navegando cuenta como aceptar cookies?

No. La guía recuerda que el CEPD ha establecido que seguir navegando no es una forma válida de prestar el consentimiento. Tampoco lo es consultar la segunda capa o navegar para configurar las preferencias. Hace falta una acción clara y afirmativa del usuario.

### ¿Quién es responsable de las cookies de terceros en mi web?

Cada parte responde de los tratamientos en los que interviene. El editor debe asegurar que se informa y se pide el consentimiento sobre las cookies de terceros que incluye, y la responsabilidad administrativa no se puede desplazar por contrato. La guía no extiende la responsabilidad del editor a las fases posteriores en las que no participa.

[¿Quieres revisar tu aviso de cookies con la guía en la mano? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Guía de cookies de la AEPD (2024): qué exige para tu web

La LOPDGDD es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Adapta el ordenamiento jurídico español al RGPD y completa sus disposiciones, y además garantiza los derechos digitales de la ciudadanía. Es la ley española de protección de datos vigente.

La antigua LOPD, la Ley Orgánica 15/1999, ya no existe: la LOPDGDD la derogó. Hoy no se aplica la LOPD ni la LOPDGDD en lugar del RGPD, sino las dos juntas, el reglamento europeo como norma principal y la ley española como complemento. Aquí verás qué regula cada una, qué cambió respecto a la LOPD y qué artículos de la LOPDGDD afectan a quien tiene una web.

## Qué es la LOPDGDD

El artículo 1 de la [LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673) fija dos objetivos. El primero, adaptar el ordenamiento español al [RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf) y completar sus disposiciones. El segundo, garantizar los derechos digitales de la ciudadanía conforme al artículo 18.4 de la Constitución.

Esa doble función explica su nombre. La primera parte, protección de datos personales, desarrolla el RGPD. La segunda, garantía de los derechos digitales, es contenido propio de la ley española y se concentra en el Título X.

El mismo artículo 1 deja claro cómo se ejerce el derecho fundamental a la protección de datos: con arreglo al RGPD y a esta ley orgánica. No hay una jerarquía en la que una sustituya a la otra, sino un reparto de papeles. Para una visión de conjunto del marco aplicable a una empresa, tienes la [guía completa del RGPD en España](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/).

## LOPD y LOPDGDD: la ley antigua y la nueva

Mucha gente sigue buscando "LOPD" por costumbre. Conviene separar los dos términos, porque no son sinónimos.

| | LOPD | LOPDGDD |
|---|---|---|
| Nombre | Ley Orgánica 15/1999 | Ley Orgánica 3/2018 |
| Qué regulaba | Protección de datos de carácter personal | Protección de datos y derechos digitales, adaptando el RGPD |
| Estado | Derogada | Vigente |
| Fecha clave | Aprobada el 13 de diciembre de 1999 | Publicada el 6 de diciembre de 2018, en vigor desde el 7 de diciembre de 2018 |

La disposición derogatoria única de la LOPDGDD deroga la Ley Orgánica 15/1999 (con dos salvedades que la propia disposición menciona, la disposición adicional decimocuarta y la disposición transitoria cuarta). Deroga también el Real Decreto-ley 5/2018, de medidas urgentes para adaptar el derecho español a la normativa europea de protección de datos, y cuantas disposiciones de igual o inferior rango se opongan al RGPD o a la propia LOPDGDD.

Por eso, cuando un documento antiguo habla de "cumplir la LOPD", hoy hay que leerlo como "cumplir el RGPD y la LOPDGDD". La Guía de cookies de la AEPD hace exactamente esa lectura: señala que las remisiones de la LSSI a la Ley Orgánica 15/1999 se interpretan hechas al RGPD y a la LOPDGDD.

## RGPD y LOPDGDD: qué aporta cada una

El RGPD es un reglamento europeo. Se aplica directamente y su texto es el mismo en todos los Estados miembros. La LOPDGDD no repite el RGPD: lo ajusta en los puntos que el propio reglamento deja a cada país y añade lo que es específicamente español.

| | RGPD | LOPDGDD |
|---|---|---|
| Origen | Unión Europea (Reglamento 2016/679) | España (Ley Orgánica 3/2018) |
| Aplicación | Directa en todos los Estados miembros | Solo en España |
| Contenido | Principios, bases legales, derechos, obligaciones, tope de sanciones | Concreciones nacionales, régimen sancionador español y derechos digitales |
| Se consulta para | Saber qué debes hacer | Saber cómo se concreta en España |

Una regla práctica para orientarte: si dudas de si algo es obligatorio, empieza por el RGPD. Si necesitas saber una edad mínima, un plazo de prescripción o cómo se informa por capas, busca el artículo equivalente de la LOPDGDD.

## Lo que la LOPDGDD concreta para quien tiene una web

No hace falta leerse la ley entera. Estos son los que más suelen afectar a un sitio web.

### Consentimiento (art. 6)

La LOPDGDD repite la definición del RGPD: manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. Añade dos precisiones. Si el consentimiento cubre varias finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas. Y no se puede supeditar la ejecución de un contrato a que la persona consienta tratamientos que no tengan relación con ese contrato.

Para el detalle de los requisitos aplicados a cookies, formularios y altas, consulta [consentimiento RGPD: requisitos de validez](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/).

### Menores de 14 años (art. 7)

El tratamiento de datos de un menor solo puede basarse en su consentimiento cuando es mayor de 14 años. Por debajo de esa edad, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela. Si tu web se dirige a un público joven o permite registros, este umbral es un dato que debes tener presente al diseñar el alta.

### Información por capas (art. 11)

Aquí la LOPDGDD ofrece una vía práctica para cumplir el deber de información del artículo 13 del RGPD cuando los datos se obtienen de la propia persona. El responsable puede dar una información básica y señalar una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata al resto.

La información básica debe incluir, como mínimo, la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. Si se van a elaborar perfiles, hay que indicarlo, y informar del derecho a oponerse a las decisiones individuales automatizadas cuando proceda.

Es la base del aviso de dos niveles que ves en formularios y banners: un resumen visible y un enlace a la política completa.

> ¿Quieres que tu aviso de cookies cumpla esa estructura de dos niveles sin montarla a mano? [Empieza gratis](https://goadopt.io/) y prueba AdOpt durante 30 días.

### Ejercicio de derechos (art. 12)

El responsable debe informar sobre los medios disponibles para ejercer los derechos, y esos medios deben ser fácilmente accesibles. No se puede denegar el ejercicio de un derecho por el solo motivo de que la persona haya elegido otro medio. La prueba de haber cumplido el deber de responder a la solicitud recae sobre el responsable, y las actuaciones para atender las solicitudes son gratuitas, salvo las excepciones del RGPD y del artículo 13 de la propia ley.

### Datos de contacto profesional (art. 19)

Este artículo presume, salvo prueba en contrario, que el tratamiento de los datos de contacto de personas que prestan servicios en una persona jurídica se ampara en el interés legítimo (art. 6.1.f del RGPD). La presunción solo opera si se tratan únicamente los datos necesarios para la localización profesional y la finalidad es mantener relaciones con esa persona jurídica. Funciona igual para empresarios individuales y profesionales liberales cuando se trata de ellos únicamente en esa condición.

Es una presunción con condiciones, no un permiso general para enviar comunicaciones comerciales. Eso lo ves en el artículo sobre [interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).

### Sistemas de exclusión publicitaria (art. 23)

Quien quiera hacer mercadotecnia directa debe consultar previamente los sistemas de exclusión publicitaria que puedan afectar a su actuación y excluir a quienes se hayan opuesto. Esa consulta no es necesaria cuando la persona ha dado su consentimiento para recibir esa comunicación. Cuando alguien te diga que no quiere recibir comunicaciones comerciales, también debes informarle de los sistemas de exclusión existentes.

## Sanciones y prescripción: solo la estructura

La LOPDGDD organiza las infracciones en tres niveles. Las muy graves (art. 72) prescriben a los tres años, las graves (art. 73) a los dos y las leves (art. 74) al año. Entre las muy graves figura, en el artículo 72.1.c, incumplir los requisitos del artículo 7 del RGPD para la validez del consentimiento.

Los importes máximos vienen del RGPD, no de la ley española, y la LOPDGDD define cuándo se considera cada tipo de infracción y cuánto tarda en prescribir. Cómo se calcula una multa y cómo actúa la agencia es un tema aparte, que desarrollamos en [multas y sanciones de la AEPD](https://goadopt.io/es/blog/aepd-multas-sanciones-incumplimiento-rgpd/).

## Derechos digitales: el Título X

La segunda mitad del nombre de la ley, "garantía de los derechos digitales", se desarrolla en el Título X (arts. 79 a 97). Reconoce los derechos en la era digital, la neutralidad de Internet y el acceso universal a Internet, y regula la seguridad digital, la educación digital y la protección de los menores en Internet.

Incluye también derechos laborales, como la intimidad y el uso de dispositivos digitales en el ámbito laboral y la desconexión digital, y derechos como el olvido en búsquedas de Internet y en redes sociales, la portabilidad en redes sociales y el testamento digital. Para una web corporativa, la mayoría de estos artículos no cambian la operativa diaria, pero conviene saber que existen.

## Otros artículos que quizá te tocan

Dos artículos más aparecen a menudo en conversaciones sobre la LOPDGDD, aunque van más allá de este texto:

- **Artículo 28:** obligaciones generales del responsable y del encargado. Les pide determinar las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento cumple la normativa, y valorar si procede una evaluación de impacto.
- **Artículo 34:** designación del delegado de protección de datos. Además de los supuestos del RGPD, enumera entidades obligadas. Entre ellas, el apartado 1.d incluye a los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.

Si tu web mide el comportamiento de los usuarios o hace publicidad personalizada, vale la pena revisar si encajas en alguno de esos supuestos con tu asesoría.

## Cómo aterrizar esto en tu web

Un sitio web cumple a la vez con el RGPD, la LOPDGDD y la LSSI, la ley que regula las cookies. Cada norma responde a una pregunta distinta.

1. **LSSI, art. 22.2:** necesitas consentimiento para las cookies no exceptuadas. Lo detalla la [guía de cookies de la AEPD](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/).
2. **RGPD:** necesitas una base legal para cada tratamiento y debes informar. Lo ves en [base legal del RGPD](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).
3. **LOPDGDD:** concreta la información por capas, la edad de consentimiento de los menores y el ejercicio de derechos.
4. **Plan de adecuación:** reúne todo en una lista de pasos con la [adecuación al RGPD de una página web](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/).

Esta guía describe la ley, no sustituye el asesoramiento jurídico de tu caso. Si tienes dudas sobre un tratamiento concreto, consúltalo con tu delegado de protección de datos o con asesoría jurídica.

## Sigue aprendiendo sobre ley local

- [Guía de cookies de la AEPD: qué exige para tu web](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/)
- [Adecuación al RGPD de una página web: lista de comprobación](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/)

## Preguntas frecuentes

### ¿Qué es la LOPDGDD?

Es la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. Adapta el ordenamiento español al RGPD, completa sus disposiciones y garantiza los derechos digitales de la ciudadanía. Se aplica junto al RGPD, no en su lugar.

### ¿La LOPD sigue vigente?

No. La Ley Orgánica 15/1999 (la LOPD) fue derogada por la disposición derogatoria única de la LOPDGDD, que entró en vigor el 7 de diciembre de 2018. Si un documento menciona la LOPD, hoy debe leerse como el RGPD y la LOPDGDD.

### ¿Cuál es la diferencia entre el RGPD y la LOPDGDD?

El RGPD es un reglamento europeo, de aplicación directa en todos los Estados miembros. La LOPDGDD es la ley española que lo adapta y completa: concreta puntos como la información por capas, la edad de consentimiento de los menores, el régimen sancionador y los derechos digitales.

### ¿A partir de qué edad pueden consentir los menores en España?

A partir de los 14 años. El artículo 7 de la LOPDGDD dice que el tratamiento de datos de un menor solo puede basarse en su consentimiento si es mayor de 14. Por debajo, solo es lícito si consta el consentimiento del titular de la patria potestad o tutela.

### ¿La LOPDGDD afecta a las cookies de mi web?

Indirectamente. Las cookies se regulan sobre todo en el artículo 22.2 de la LSSI y en el RGPD, y la LOPDGDD aporta definiciones y reglas que se aplican al tratamiento: consentimiento, información por capas, menores y ejercicio de derechos. La Guía de cookies de la AEPD cita también la LOPDGDD.

[¿Necesitas ayuda para aplicar estas reglas en tu web? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


LOPDGDD: qué es, qué regula y en qué se diferencia del RGPD (la antigua LOPD)

Sí, puedes pedir el consentimiento de cookies una sola vez y que valga en varios dominios. La Guía de cookies de la AEPD lo admite cuando los dominios son de tu titularidad y ofrecen contenidos o características similares, siempre que informes de cuáles son, qué cookies envían y para qué.

Lo que no ocurre solo es la parte técnica. Una [plataforma de gestión del consentimiento (CMP)](https://goadopt.io/es/blog/que-es-una-cmp/) guarda la elección de la persona en un dominio concreto, y otro dominio no la ve por defecto. Este artículo explica qué permite la norma, cómo se comparte la elección y qué comprobar para que llegue íntegra hasta las tags que se activan.

## Qué dice la AEPD sobre un solo consentimiento para varios dominios

La [Guía sobre el uso de las cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (edición de mayo de 2024) lo trata en el apartado 3.2.6, en la página 28. Dice que un mismo editor que presta servicios a través de diferentes dominios puede informar y obtener el consentimiento desde una sola página para las cookies que se envíen desde los demás dominios de su titularidad.

Para eso pone tres condiciones:

- Los dominios son de tu titularidad.
- Ofrecen contenidos o tienen características similares, con motivo de los servicios que la persona ha solicitado.
- Informas de cuáles son esas páginas o dominios, del tipo de cookies y de las finalidades para las que se tratan.

Si las páginas no son similares, la Guía pide adoptar "cautelas adicionales" y pone un ejemplo: que algunas contengan contenidos para adultos. No define qué cautelas, así que la prudencia es no compartir el consentimiento entre sitios con públicos o usos muy distintos.

## Por qué la elección no viaja sola de un dominio a otro

Una cookie pertenece al dominio que la crea. Si tu CMP guarda la elección en una cookie de `tienda.es`, la web `blog.es` no puede leerla, aunque las dos sean tuyas. Entre subdominios la solución habitual es guardar la cookie en el dominio principal, de modo que lo lean todos. Entre dominios distintos hace falta un mecanismo que consulte o replique la elección.

La tabla resume las tres situaciones más comunes y qué conviene cuidar en cada una.

| Situación | ¿Se puede compartir? | Qué cuidar |
|---|---|---|
| Subdominios del mismo dominio (`www`, `tienda`, `blog`) | Sí, es el caso más sencillo | Que las finalidades y los terceros sean los mismos en todos |
| Dominios distintos de tu titularidad y contenidos similares | Sí, según el apartado 3.2.6 de la Guía | Listar los dominios en la información y mantener las mismas categorías |
| Dominios de titularidad distinta (otra sociedad, otro responsable) | La Guía no lo contempla | Lo prudente es que cada responsable recoja su propio consentimiento |

La última fila es una lectura prudente, no una cita: el apartado 3.2.6 habla solo de dominios "de su titularidad". Si tu caso es un grupo de empresas, conviene que lo revise quien se ocupe del asunto legal.

## Cómo conseguir un solo consentimiento sin perder validez

Compartir la elección es útil, pero la validez sigue dependiendo de lo de siempre: que el consentimiento sea [libre, específico, informado e inequívoco](https://www.boe.es/doue/2016/119/L00001-00088.pdf) (art. 4.11 del RGPD). Compartirlo no lo arregla si la información o las categorías no coinciden.

> ¿Quieres comprobar cómo se comporta tu aviso en más de un dominio? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y haz las pruebas de este artículo.

### 1. Informa de todos los dominios

La Guía exige indicar cuáles son los dominios desde los que se envían cookies. Pon la lista en la política de cookies y en la información del aviso. Si añades un dominio nuevo, actualiza la lista: la Guía recuerda en el apartado 3.2.7 que, si cambian las finalidades o los terceros, hay que actualizar la política y permitir que la persona decida de nuevo. Tienes un modelo en [política de cookies: ejemplo y plantilla](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

### 2. Usa las mismas categorías y finalidades

Un consentimiento por finalidad solo se puede compartir si la finalidad es la misma. Si un dominio usa publicidad comportamental y otro solo analítica, mezclar los avisos hace que la persona acepte algo que no ha visto. Un mismo aviso instalado en todos los sitios, con las mismas categorías, evita ese problema desde el origen.

### 3. Que retirar sea igual de fácil en todos

El art. 7.3 del RGPD exige que retirar el consentimiento sea tan fácil como darlo, y la Guía pide un acceso sencillo y permanente. En varios dominios significa que la persona pueda cambiar su elección desde cualquiera de ellos y que el cambio llegue a todos los demás. La duración de la elección también se comparte: la Guía considera buena práctica que no supere los 24 meses, algo que desarrollamos en [cuánto dura el consentimiento de cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

## Consent Mode en varios dominios: donde se rompe la cadena

Aquí es donde el consentimiento compartido gana o pierde valor. La documentación de Google indica que el Consent Mode no guarda las elecciones: tu solución debe persistirlas, por ejemplo en una cookie propia o en el almacenamiento local, y llamar al comando `update` en las páginas siguientes. Además, el comando `default` debe ejecutarse en cada página antes de cualquier medición.

Con varios dominios, esto significa que cada uno necesita su propio `default` y su propio `update` con la elección compartida. Si la elección no llega al segundo dominio, sus tags arrancan con los valores por defecto, normalmente denegados, hasta que la persona decida otra vez. Ocurre lo contrario con una elección mal replicada: tags de publicidad que se activan sin que esa persona haya aceptado nada en ese sitio.

Por eso la pregunta útil no es solo "¿se comparte la elección?", sino "¿llega la elección correcta a los cuatro parámetros (`ad_storage`, `analytics_storage`, `ad_user_data` y `ad_personalization`) en cada dominio?". Lo comprobamos en las pruebas de más abajo, y el [Consent Mode de Google](https://developers.google.com/tag-platform/security/guides/consent) lo explica con detalle.

## Cómo lo resuelve AdOpt

En AdOpt, cada aviso de cookies corresponde a una tag y puede instalarse en uno o más sitios. Con la función de múltiples URL, la elección de la persona se extiende a todas las páginas donde está instalado el mismo aviso. La disponibilidad de esta función depende del plan, así que confírmala al contratar.

Instalar el mismo aviso encaja con lo que pide la Guía: mismas categorías, misma información y una sola elección. Aun así, la lista de dominios en la política de cookies y la revisión de cada sitio siguen siendo tareas tuyas, porque ninguna herramienta decide por ti si dos sitios son "similares".

## Pruebas antes de publicar

Haz estas pruebas en una ventana de incógnito, con el panel de red del navegador abierto y los dos dominios a mano.

| Prueba | Cómo hacerla | La pasas si |
|---|---|---|
| Elección compartida | Aceptar solo analítica en el dominio A y abrir el B | El aviso no reaparece y solo se cargan las tags analíticas |
| Rechazo compartido | Rechazar todo en A y abrir B | B no instala cookies publicitarias ni analíticas |
| Retirada | Cambiar la elección desde B y volver a A | A respeta la nueva elección |
| Primera visita | Abrir directamente B, sin pasar por A | El aviso aparece con las mismas categorías que en A |
| Consent Mode | Mirar el `default` y el `update` en B | El `update` refleja la elección hecha en A |
| Registro | Buscar tu elección en el panel | Puedes ver la fecha, la hora y lo aceptado o rechazado |

Si usas AdOpt, comprueba también en el Consent Log que la elección queda registrada con su fecha y hora. El registro es lo que te permite demostrar el consentimiento, como exige el art. 7.1 del RGPD, y el CookieID solo liga esa elección con el registro.

Una vez superadas las pruebas, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días y repítelas con tus propios dominios.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento de cookies: qué exige la ley en España y cómo obtenerlo bien](https://goadopt.io/es/blog/consentimiento-de-cookies/)
- [RGPD en España: guía completa de cumplimiento en 2026](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/)

## Preguntas frecuentes

### ¿Puedo usar el mismo banner de cookies en varias webs?

Sí, si las webs son de tu titularidad y tienen contenidos o características similares. La Guía de la AEPD (apartado 3.2.6) lo permite siempre que informes de qué dominios envían cookies, de su tipo y de sus finalidades. Si las webs son muy distintas, la Guía pide cautelas adicionales y lo prudente es pedir un consentimiento propio para cada una.

### ¿El consentimiento se comparte entre subdominios?

Depende de cómo guarde la elección tu CMP. Si la cookie se crea en el dominio principal, los subdominios pueden leerla y la elección vale para todos. Si se crea en un subdominio concreto, no. Compruébalo con la prueba de elección compartida: acepta en un subdominio y abre otro desde una ventana de incógnito.

### ¿Qué pasa si mis webs pertenecen a empresas distintas?

La Guía de la AEPD solo habla de dominios "de su titularidad", así que no ofrece amparo para compartir el consentimiento entre responsables distintos. Lo prudente es que cada responsable recoja y registre el suyo, con su propia información. En un grupo de empresas, conviene revisar el caso con quien lleve lo jurídico.

### ¿Cuánto tiempo vale una elección compartida entre dominios?

La Guía considera buena práctica que el consentimiento para una cookie no dure más de 24 meses y que, durante ese tiempo, se conserve la selección sin pedirla en cada visita. No es un plazo legal fijo. Cualquier cambio de finalidades o de terceros en uno de los dominios obliga a actualizar la información y pedir de nuevo la decisión.

### ¿Tengo que volver a pedir el consentimiento si añado un dominio?

Sí, si el nuevo dominio cambia las finalidades de las cookies o introduce terceros distintos. Según el apartado 3.2.7 de la Guía, en ese caso hay que actualizar la política y permitir que la persona decida de nuevo. Si es un dominio con las mismas cookies y finalidades, basta con añadirlo a la lista de dominios de la información.

[¿Quieres que tu consentimiento llegue íntegro a todos tus dominios? Habla con el equipo de AdOpt](https://goadopt.io/) y lo revisamos con tu caso.


Consentimiento de cookies en varios dominios: cómo compartirlo bien

La Ley 25.326 de Protección de los Datos Personales es la norma argentina que regula las bases de datos con información de personas. Exige el consentimiento "libre, expreso e informado" del titular (art. 5), obliga a informar antes de recoger datos (art. 6) y la controla la Agencia de Acceso a la Información Pública (AAIP).

Si tienes un sitio web, una tienda online o campañas que llegan a Argentina, la pregunta práctica es qué cambia con las cookies. La ley no las menciona, y no encontré una guía de la AAIP dedicada a ellas, así que este artículo separa lo que dice el texto de lo que es una lectura razonable. Todo lo legal está contrastado con el [texto de la ley en Infoleg](https://servicios.infoleg.gob.ar/infolegInternet/anexos/60000-64999/64790/texact.htm), consultado el 30 de octubre de 2026.

## Qué es la Ley 25.326 y a quién alcanza

La ley fue sancionada el 4 de octubre de 2000 y promulgada parcialmente el 30 de octubre de 2000. Su objeto es la protección integral de los datos personales asentados en archivos, registros, bancos de datos u otros medios técnicos de tratamiento, públicos o privados destinados a dar informes (art. 1).

Tres rasgos la distinguen de otras leyes de la región:

- **Protege también a las personas jurídicas.** El art. 1 dice que sus disposiciones se aplican, en lo pertinente, a los datos de personas de existencia ideal, y el art. 2 incluye a las personas de existencia ideal en la definición de dato personal.
- **Define dato personal en sentido amplio:** información de cualquier tipo referida a personas "determinadas o determinables" (art. 2).
- **Habla de "archivo, registro, base o banco de datos".** No de "tratamiento" en abstracto: gran parte de sus obligaciones se organizan alrededor de la base de datos.

Su reglamentación es el [Decreto 1558/2001](https://servicios.infoleg.gob.ar/infolegInternet/anexos/70000-74999/70368/texact.htm). Según el texto vigente del art. 29 del decreto (sustituido por el Decreto 899/2017), el órgano de control es la AAIP.

## Qué datos y qué actividades cubre

El art. 2 distingue los datos personales de los datos sensibles: los que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, salud o vida sexual. Para estos últimos el art. 7 dispone que nadie puede ser obligado a proporcionarlos y que solo se tratan por razones de interés general autorizadas por ley, o con fines estadísticos o científicos cuando no se pueda identificar a los titulares.

El art. 2 define también el tratamiento de datos como las operaciones y procedimientos sistemáticos, electrónicos o no, que permiten recolectar, conservar, ordenar, almacenar, modificar, relacionar, evaluar, bloquear o destruir datos, y cederlos a terceros. Una tienda online que guarda nombre, domicilio y compras en su base está dentro de esa definición.

## Los principios que debes cumplir

Los principios básicos están en los arts. 3 a 10 de la ley:

- **Licitud (art. 3):** la base de datos debe estar inscripta y respetar los principios de la ley.
- **Calidad (art. 4):** datos ciertos, adecuados, pertinentes y no excesivos para su finalidad; recogidos sin medios desleales; no usados para fines incompatibles; exactos y actualizados; y destruidos cuando dejan de ser necesarios.
- **Seguridad (art. 9):** el responsable debe adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y la confidencialidad de los datos.
- **Confidencialidad (art. 10):** quienes intervienen en cualquier fase del tratamiento están obligados al secreto profesional, incluso después de terminar su relación con el titular.

La ley no define medidas de seguridad concretas. Lo que sí hace es prohibir registrar datos personales en bases que no reúnan condiciones técnicas de integridad y seguridad (art. 9, inciso 2).

## El consentimiento: libre, expreso e informado

El art. 5 es el centro de la ley. El tratamiento de datos personales es ilícito cuando el titular no prestó su consentimiento libre, expreso e informado. Debe constar por escrito o por otro medio que permita equipararlo, según las circunstancias. Si el consentimiento se presta junto con otras declaraciones, tiene que figurar de forma expresa y destacada.

Lo "informado" tiene un contenido concreto. El art. 6 obliga a informar antes de recoger los datos, de forma expresa y clara:

1. La finalidad y los destinatarios o clases de destinatarios.
2. La existencia de la base de datos y la identidad y el domicilio de su responsable.
3. El carácter obligatorio o facultativo de las respuestas.
4. Las consecuencias de dar los datos, de negarse o de que sean inexactos.
5. La posibilidad de ejercer los derechos de acceso, rectificación y supresión.

El Decreto 1558/2001 (art. 5) añade que el consentimiento informado es el que está precedido de una explicación, adecuada al nivel social y cultural del titular, de esa información. También prevé que el consentimiento puede revocarse en cualquier tiempo, sin efectos retroactivos.

> ¿Quieres ver qué cookies y scripts de terceros carga tu sitio antes de que nadie acepte nada? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y revisa tu sitio con datos reales.

### Cuándo no hace falta consentimiento

El art. 5, inciso 2, enumera excepciones: datos de fuentes de acceso público irrestricto, los recabados para funciones propias del Estado o por obligación legal, listados limitados a datos básicos de identificación, los que derivan de una relación contractual, científica o profesional y son necesarios para su desarrollo o cumplimiento, y las operaciones de las entidades financieras.

Para un comercio, la excepción útil es la contractual: los datos necesarios para completar una compra no dependen del consentimiento del cliente. Cualquier uso adicional, como perfilar para publicidad, sí necesita su propia base.

## Cesión y transferencia internacional

El art. 11 permite ceder datos solo para fines directamente relacionados con el interés legítimo del cedente y del cesionario y con el previo consentimiento del titular, que debe saber la finalidad e identificar al cesionario. Ese consentimiento es revocable. El cesionario queda sujeto a las mismas obligaciones que el cedente, y este responde solidariamente.

El art. 12 prohíbe transferir datos personales a países u organismos internacionales que no proporcionen niveles de protección adecuados, con excepciones. Según el art. 12 del decreto, la prohibición no rige cuando el titular consintió expresamente la cesión.

Si usas herramientas de analítica o publicidad con servidores fuera de Argentina, esta es la parte de la ley que lo toca. Para los mecanismos concretos (cláusulas modelo, autorizaciones), la [página de obligaciones de la AAIP](https://www.argentina.gob.ar/aaip/datospersonales/responsables/obligaciones) remite a la normativa de la agencia.

## Los derechos del titular y sus plazos

La ley reconoce estos derechos y fija plazos cortos:

| Derecho | Qué permite | Plazo del responsable |
|---|---|---|
| Acceso (art. 14) | Obtener información de los datos incluidos en bancos públicos o privados destinados a dar informes | 10 días corridos desde la intimación fehaciente |
| Rectificación, actualización o supresión (art. 16) | Corregir, actualizar o suprimir datos | 5 días hábiles desde el reclamo |

El acceso es gratuito a intervalos no inferiores a seis meses, salvo interés legítimo acreditado (art. 14, inciso 3), y la rectificación, actualización o supresión de datos inexactos o incompletos es sin cargo (art. 19). Si el plazo vence sin respuesta, queda abierta la acción de protección de los datos personales o de hábeas data.

El art. 27 trae una regla útil para marketing: quien trata datos para publicidad o venta directa debe permitir que el titular pida en cualquier momento el retiro o el bloqueo de su nombre de esas bases. Si envías comunicaciones comerciales, necesitas un canal para eso.

## Inscripción en el Registro Nacional de Bases de Datos

Los arts. 21 y 24 obligan a inscribir las bases de datos: las públicas y las privadas destinadas a proporcionar informes, y las de particulares que no sean de uso exclusivamente personal. La inscripción incluye datos del responsable, finalidad, naturaleza de los datos, destinatarios, medidas de seguridad y tiempo de conservación (art. 21, inciso 2).

Según la [AAIP](https://www.argentina.gob.ar/aaip/datospersonales/tramites), el trámite se hace por Trámites a Distancia (TAD), el responsable debe inscribirse antes de registrar una base, y también deben hacerlo quienes tratan datos de argentinos sin estar establecidos en el país. Si vendes a Argentina desde otro país, revisa con quien se ocupe de lo legal si esa obligación te alcanza.

## Sanciones

El art. 31 permite al organismo de control aplicar apercibimiento, suspensión, multa, clausura o cancelación de la base de datos. El decreto (art. 31) dice que la cuantía se gradúa según la naturaleza de los derechos afectados, el volumen de los tratamientos, los beneficios obtenidos, la intencionalidad, la reincidencia (tres años) y los daños causados.

No cito la escala de multas: el texto de la ley la expresa en pesos de 2000 y no he contrastado una actualización oficial. El art. 32 incorpora además dos delitos al Código Penal, el art. 117 bis (insertar o proporcionar datos falsos en un archivo de datos personales) y el art. 157 bis (acceder ilegítimamente a un banco de datos personales o revelar información registrada cuyo secreto se debe guardar).

## Qué significa para las cookies de tu sitio

La Ley 25.326 no usa la palabra "cookies", y la AAIP no tiene, que yo haya podido encontrar, una guía propia sobre ellas. Su [página de recomendaciones](https://www.argentina.gob.ar/noticias/recomendaciones-de-la-aaip-para-proteger-datos-personales-en-internet) (enero de 2024) habla de leer la política de privacidad, y de que los sitios deben ofrecer un canal para ejercer los derechos. No de cookies.

Esto es una lectura, no una cita: una cookie o un identificador que permite reconocer a un visitante y seguir su comportamiento puede hacerlo "determinable" en el sentido del art. 2. Si es así, su uso para analítica o publicidad es un tratamiento que pide consentimiento libre, expreso e informado (art. 5), con la información previa del art. 6. La prudencia práctica para un sitio con visitantes argentinos es:

- No activar las cookies no esenciales hasta que la persona acepte de forma activa.
- Explicar finalidades y terceros antes de pedir el consentimiento, con un ejemplo en [la política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).
- Permitir cambiar la decisión cuando se quiera, como exige la revocabilidad del decreto.
- Conservar una prueba de lo que cada persona decidió, tema que desarrolla [el registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).

Una [plataforma de gestión del consentimiento (CMP)](https://goadopt.io/es/blog/que-es-una-cmp/) cubre esos cuatro puntos. En AdOpt, la prueba del consentimiento es el Consent Log, que guarda la fecha y la hora, y lo que cada persona aceptó o rechazó; el CookieID solo liga esa elección con el registro.

Si tu sitio tiene visitantes en otros países, no copies el aviso de uno en otro. Compara con [Colombia (Ley 1581)](https://goadopt.io/es/blog/habeas-data-colombia-ley-1581/), [Perú (Ley 29733)](https://goadopt.io/es/blog/ley-29733-peru-guia-proteccion-datos/) y [México (LFPDPPP)](https://goadopt.io/es/blog/lfpdppp-mexico-guia-proteccion-datos/). Para Chile hay una ley nueva con fecha de entrada en vigor en discusión, explicada en [esta guía](https://goadopt.io/es/blog/ley-proteccion-de-datos-chile-2026/). Y si vendes con Tiendanube, mira [cómo funciona su aviso de cookies](https://goadopt.io/es/blog/tiendanube-cookies-latam/).

## Una reforma en debate

Desde hace años se discute en Argentina una reforma integral de la ley. En el texto consolidado de Infoleg consultado el 30 de octubre de 2026, la Ley 25.326 sigue vigente en su versión original con las normas que la completan. Antes de tomar una decisión importante, mira el estado de la ley en Infoleg y en la página de la AAIP.

## Checklist para empezar

- Identifica qué bases de datos tienes y si están inscriptas (arts. 3, 21 y 24).
- Revisa que cada formulario informe lo que pide el art. 6.
- Define cómo recoges y pruebas el consentimiento (art. 5).
- Prepara un canal y un procedimiento para acceso, rectificación y supresión, con los plazos de 10 días corridos y 5 días hábiles.
- Revisa los proveedores con servidores en el exterior (art. 12).
- Escanea tu sitio para saber qué cookies y scripts hay antes del consentimiento. Con la [prueba de 30 días de AdOpt](https://goadopt.io/) puedes hacerlo hoy.

Este artículo describe la ley y no sustituye el asesoramiento legal para tu caso.

## Sigue aprendiendo sobre protección de datos

- [Consentimiento de cookies: qué exige la ley en España y cómo obtenerlo bien](https://goadopt.io/es/blog/consentimiento-de-cookies/)
- [Habeas Data en Colombia: cómo cumplir la Ley 1581](https://goadopt.io/es/blog/habeas-data-colombia-ley-1581/)

## Preguntas frecuentes

### ¿Qué dice la Ley 25.326 sobre el consentimiento?

El art. 5 dice que el tratamiento de datos personales es ilícito si el titular no dio su consentimiento libre, expreso e informado, que debe constar por escrito o por un medio equiparable. Hay excepciones, como los datos necesarios para una relación contractual o los de fuentes de acceso público irrestricto. El consentimiento puede revocarse en cualquier tiempo, sin efectos retroactivos.

### ¿La Ley 25.326 regula las cookies?

No las menciona. La AAIP tampoco tiene una guía propia sobre cookies que haya podido encontrar. Lo prudente es aplicar los arts. 2, 5 y 6 por analogía: si una cookie permite identificar o seguir a una persona, su uso para analítica o publicidad pide consentimiento previo e información clara. Es una lectura, y conviene confirmarla con asesoramiento legal.

### ¿Quién controla la Ley 25.326?

La Agencia de Acceso a la Información Pública (AAIP). El art. 29 del Decreto 1558/2001, en su texto sustituido por el Decreto 899/2017, la designa como órgano de control. Cualquier persona puede consultarla o presentar una denuncia gratuita por su sitio web.

### ¿En cuánto tiempo debo responder un pedido de acceso o de supresión?

Para el acceso, el art. 14 fija diez días corridos desde la intimación fehaciente. Para rectificación, actualización o supresión, el art. 16 fija cinco días hábiles desde el reclamo. Si no respondes en ese plazo, el titular puede iniciar la acción de protección de los datos personales o de hábeas data.

### ¿Tengo que inscribir mi base de datos si vendo online?

El art. 24 obliga a registrarse a los particulares que formen bases que no sean de uso exclusivamente personal. La AAIP indica que el trámite se hace por Trámites a Distancia y que también deben inscribirse quienes tratan datos de argentinos sin estar establecidos en el país. Confirma con quien lleve lo legal si tu caso lo exige.

[¿Quieres que tus visitantes de Argentina decidan sobre las cookies antes de que se activen? Habla con el equipo de AdOpt](https://goadopt.io/) y revisamos tu sitio juntos.


Ley 25.326 de Argentina: guía de protección de datos y cookies

La Ley 21.719 es la nueva ley de protección de datos personales de Chile. Fue publicada en el Diario Oficial el 13 de diciembre de 2024, modifica en profundidad la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales. Según su texto, entra en vigencia el 1 de diciembre de 2026.

Esa fecha puede moverse. El 28 de octubre de 2026 el Senado aprobó un proyecto que la posterga, y todavía falta el trámite en la Cámara de Diputados. Mientras ese proyecto no se publique en el Diario Oficial, la fecha vigente sigue siendo la de la ley. Abajo explico qué dice el texto, qué se sabe de la postergación y qué conviene hacer con el consentimiento y las cookies de tu sitio.

## Cuándo entra en vigencia la Ley 21.719

El artículo primero transitorio de la ley dice que las modificaciones a la Ley 19.628 entran en vigencia "el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial". Con la publicación del 13 de diciembre de 2024, el primer mes posterior es enero de 2025 y el vigésimo cuarto es diciembre de 2026: el **1 de diciembre de 2026**.

La [Biblioteca del Congreso Nacional (BCN)](https://www.bcn.cl/leychile/navegar?idNorma=1209272) publica el texto con esa regla. La versión que consulté el 30 de octubre de 2026 es la del 5 de febrero de 2026, anterior al proyecto de postergación.

### La postergación en trámite

Según la [ficha oficial del Senado](https://tramitacion.senado.cl/wspublico/tramitacion.php?boletin=18623), que consulté el 2 de noviembre de 2026, el Gobierno ingresó el 1 de septiembre de 2026 un mensaje (boletín 18.623-07) para postergar la entrada en vigencia. El mensaje proponía el 1 de diciembre de 2027. El informe de la Comisión de Constitución del Senado fija el 15 de octubre de 2027 como nueva fecha de vigencia.

El 28 de octubre de 2026 el Senado lo despachó como "Aprobado en general y particular a la vez" y el 29 de octubre lo envió a la Cámara de Diputados. Hoy está en segundo trámite constitucional, con urgencia "discusión inmediata", sin número de ley ni publicación en el Diario Oficial.

El resultado de la votación, 33 votos a favor y 6 en contra, lo informó el [Diario Financiero](https://www.df.cl/senado-aprueba-modificaciones-al-proyecto-que-posterga-la-entrada-en); la ficha del Senado no lo muestra. Lo seguro es la regla: una ley solo cambia cuando la modificación se publica. Mientras eso no ocurra, la fecha de la ley es el 1 de diciembre de 2026. Antes de decidir un calendario, revisa el estado del boletín en la ficha del Senado.

La postergación, tal como la presenta el proyecto, no cambia las obligaciones de fondo. Por eso conviene preparar el sitio ahora: la ley no desaparece, se mueve su fecha.

## Qué es la Ley 21.719

La ley modifica la Ley 19.628, que pasa a llamarse "sobre protección de los datos personales". El art. 1 define su objeto: regular la forma y las condiciones del tratamiento y la protección de los datos personales de las personas naturales. A diferencia de la ley argentina, solo protege datos de personas naturales.

Todo tratamiento de datos que haga una persona natural o jurídica, incluidos los órganos públicos, queda sujeto a ella. No se aplica al tratamiento que hacen las personas naturales en sus actividades personales ni, con matices, al ejercicio de las libertades de opinión e información.

### A quién alcanza fuera de Chile

El art. 1 bis fija el alcance territorial. La ley se aplica, entre otros casos, cuando el responsable o el encargado están establecidos en Chile, y también cuando no lo están pero su tratamiento está destinado a ofrecer bienes o servicios a titulares que se encuentran en Chile, se cobre o no, o a monitorear el comportamiento de titulares en Chile, "incluyendo su análisis, rastreo, perfilamiento o predicción de comportamiento".

Para un sitio o una tienda online esto es lo más relevante. Si vendes a Chile o rastreas a visitantes chilenos desde otro país, la ley te alcanza aunque no tengas oficina allí. El art. 14 añade que el responsable sin domicilio en Chile debe mantener un correo u otro medio de contacto operativo para recibir comunicaciones de los titulares y de la Agencia.

## Las definiciones que importan

El art. 2 define dato personal como cualquier información vinculada o referida a una persona natural identificada o identificable. Es identificable la persona cuya identidad puede determinarse, directa o indirectamente, mediante identificadores como el nombre o el número de cédula, y para decidirlo se consideran los medios y factores objetivos que razonablemente se podrían usar en el momento del tratamiento.

La misma norma define el **consentimiento** como toda manifestación de voluntad libre, específica, inequívoca e informada, otorgada mediante una declaración o una clara acción afirmativa. Esa definición es muy parecida a la del RGPD europeo, y la comparación es útil: sirve [lo que ya sabes del consentimiento válido](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/), aunque cada ley tiene su propio texto.

## Los principios del tratamiento

El art. 3 enumera ocho principios: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Dos de ellos tienen efecto directo en un sitio web.

- **Licitud:** el responsable debe ser capaz de acreditar la licitud del tratamiento que realiza.
- **Proporcionalidad:** los datos se conservan solo el tiempo necesario para cumplir los fines; después deben suprimirse o anonimizarse, salvo excepciones legales. Un plazo mayor requiere autorización legal o consentimiento.

El principio de transparencia exige que las políticas y prácticas sobre el tratamiento estén permanentemente accesibles de manera precisa, clara, inequívoca y gratuita. El art. 14 ter lo concreta: el responsable debe tener a disposición del público, en su sitio web, su política de tratamiento con fecha y versión, los datos de contacto para las solicitudes de los titulares, las categorías de datos, las finalidades, la base de licitud, los destinatarios, el plazo de conservación y los derechos del titular, entre otros.

## El consentimiento en el art. 12

El art. 12 abre el régimen de licitud: el tratamiento es lícito cuando el titular otorga su consentimiento. Pide que sea libre, informado y específico en cuanto a su finalidad, que se manifieste de forma previa e inequívoca, y que conste en una declaración verbal, escrita, por un medio electrónico equivalente o por un acto afirmativo que dé cuenta con claridad de la voluntad del titular.

Otras reglas del artículo que conviene tener a mano:

- El titular puede **revocar** el consentimiento en cualquier momento y sin expresar causa, con medios similares o equivalentes a los usados para otorgarlo. La revocación no tiene efectos retroactivos.
- Los medios para otorgar o revocar deben ser "expeditos, fidedignos, gratuitos y estar permanentemente disponibles".
- Se presume que el consentimiento no fue libre cuando se pide en el marco de un contrato o servicio en que esa recolección no es necesaria.
- **Corresponde al responsable probar** que contó con el consentimiento y que el tratamiento fue lícito, leal y transparente.

La última regla es la que más pesa en un sitio web: no basta con mostrar un aviso, hay que poder demostrar qué decidió cada persona. Es el tema de [registrar los consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).

### Otras bases de licitud

El art. 13 permite tratar datos sin consentimiento en casos como obligaciones legales, ejecución de un contrato o medidas precontractuales a solicitud del titular, y satisfacción de intereses legítimos del responsable o de un tercero cuando no se afecten los derechos y libertades del titular. En este último caso el titular puede exigir ser informado del interés invocado, y el art. 8 le permite oponerse en cualquier momento.

> ¿Quieres saber si tu sitio activa cookies antes de que el visitante decida? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y míralo con datos reales.

## Los derechos del titular

El art. 4 reconoce seis derechos: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Son personales, intransferibles e irrenunciables. Para ejercerlos, el titular presenta una solicitud escrita ante el responsable, por correo electrónico, formulario de contacto o medio equivalente (art. 11).

El responsable debe acusar recibo y pronunciarse a más tardar dentro de **treinta días corridos** desde el ingreso de la solicitud, plazo que puede prorrogarse una sola vez hasta por treinta días corridos más. Si deniega total o parcialmente, debe fundar su decisión.

Dos derechos tocan el marketing. El art. 8 permite oponerse a un tratamiento hecho exclusivamente con fines de marketing directo, incluida la elaboración de perfiles. Y el art. 8 bis da derecho a oponerse a decisiones basadas únicamente en tratamiento automatizado, incluidos los perfiles, que produzcan efectos jurídicos o afecten significativamente, con excepciones, entre ellas el consentimiento previo y expreso del art. 12.

## Menores

El art. 16 quáter define como niños a los menores de catorce años y como adolescentes a los mayores de catorce y menores de dieciocho. Para tratar datos de niños se requiere el consentimiento de sus padres o representantes legales, salvo que la ley lo autorice.

Los datos de los adolescentes se pueden tratar con las reglas de los adultos, salvo los datos sensibles de menores de dieciséis años, que requieren consentimiento de sus padres o representantes. Si tu tienda o tu sitio se dirige a menores, esto cambia el diseño del consentimiento.

## La Agencia y las sanciones

La ley crea la Agencia de Protección de Datos Personales, mencionada en el art. 2, y el Registro Nacional de Sanciones y Cumplimiento, un registro público que administra la Agencia y que consigna los modelos de prevención certificados, los responsables que los adoptaron y las sanciones impuestas.

No pude abrir en la fuente oficial el detalle del régimen de infracciones y multas, así que no cito cifras ni artículos de ese apartado. Revísalo en la [BCN](https://www.bcn.cl/leychile/navegar?idNorma=1209272) antes de evaluar un riesgo concreto.

El artículo sexto transitorio establece una regla de transición: durante los primeros doce meses de vigencia, para las empresas de menor tamaño según la Ley 20.416, la Agencia podrá aplicar como sanción una amonestación por escrito en lugar de otras sanciones.

## Qué significa para las cookies

El texto de la ley que revisé no usa la palabra "cookies", y no encontré una guía de la Agencia sobre ellas. La lectura razonable, que conviene confirmar con asesoramiento legal, sale de tres piezas del texto:

1. El art. 1 bis incluye el "rastreo" y el "perfilamiento" de titulares que están en Chile como motivo de aplicación de la ley.
2. El dato personal incluye lo que hace identificable a una persona de forma indirecta, con los medios que razonablemente se podrían usar (art. 2).
3. El consentimiento debe ser previo, inequívoco y por acto afirmativo, revocable con medios equivalentes (art. 12).

De ahí se sigue una práctica prudente para tu sitio:

- **Bloquear las cookies no esenciales hasta que haya una acción afirmativa.** Seguir navegando no es una acción afirmativa clara.
- **Ofrecer la misma facilidad para retirar que para dar.** Un enlace permanente al panel de preferencias cumple el espíritu del art. 12.
- **Informar con el contenido del art. 14 ter:** política con fecha y versión, finalidades, terceros y contacto.
- **Guardar la prueba.** En AdOpt la prueba del consentimiento es el Consent Log (fecha y hora, qué se aceptó o rechazó y las versiones de los documentos); el CookieID solo liga la elección con ese registro. Cómo funciona un [CMP](https://goadopt.io/es/blog/que-es-una-cmp/) lo explica la guía de referencia.

Si ya cumples con el [consentimiento de cookies](https://goadopt.io/es/blog/consentimiento-de-cookies/) del RGPD, tienes una buena base, pero los textos legales difieren. Y si vendes en la región, compara con [México (LFPDPPP)](https://goadopt.io/es/blog/lfpdppp-mexico-guia-proteccion-datos/), [Argentina (Ley 25.326)](https://goadopt.io/es/blog/ley-25326-argentina-proteccion-de-datos/) y con [Tiendanube](https://goadopt.io/es/blog/tiendanube-cookies-latam/), una plataforma de comercio electrónico de la región.

## Qué hacer antes de la vigencia

- Mapea qué datos recoges, con qué finalidad y con qué base (arts. 12 y 13).
- Revisa tu política de privacidad contra el listado del art. 14 ter.
- Prepara el canal y el procedimiento de derechos, con los plazos de 30 días corridos.
- Escanea el sitio y clasifica cada cookie. La [prueba de 30 días de AdOpt](https://goadopt.io/) te permite empezar.
- Sigue el boletín 18.623-07 y la fecha: 1 de diciembre de 2026 o la que se publique.

Este artículo describe la ley y no sustituye el asesoramiento legal para tu caso.

## Sigue aprendiendo sobre protección de datos

- [Habeas Data en Colombia: cómo cumplir la Ley 1581](https://goadopt.io/es/blog/habeas-data-colombia-ley-1581/)
- [Ley 29733 en Perú: guía de protección de datos](https://goadopt.io/es/blog/ley-29733-peru-guia-proteccion-datos/)

## Preguntas frecuentes

### ¿Cuándo entra en vigencia la Ley 21.719?

Según su artículo primero transitorio, el 1 de diciembre de 2026. El Senado aprobó el 28 de octubre de 2026 un proyecto que la posterga, y falta la Cámara de Diputados. Mientras la modificación no se publique en el Diario Oficial, la fecha vigente es la de la ley. Consulta el estado del boletín 18.623-07 en la ficha del Senado antes de planificar.

### ¿Qué pasa con la Ley 19.628?

La Ley 21.719 la modifica y la renombra como ley "sobre protección de los datos personales". Hasta que las modificaciones entren en vigencia, sigue aplicándose su texto actual. Es la misma ley en dos momentos: la 19.628 con su texto actual hasta la vigencia, y la 19.628 modificada por la 21.719 después.

### ¿Se aplica a una tienda online que está fuera de Chile?

Puede aplicarse. El art. 1 bis alcanza a quien, sin estar establecido en Chile, ofrece bienes o servicios a personas en Chile o monitorea su comportamiento, incluido el rastreo y el perfilamiento. Confirma tu caso con asesoramiento legal, sobre todo si vendes de forma regular a ese mercado.

### ¿La ley exige un banner de cookies?

El texto no menciona las cookies. Exige consentimiento previo, inequívoco y por acto afirmativo cuando esa es la base del tratamiento (art. 12), y esa regla se aplica a las cookies que tratan datos personales. Lo prudente es bloquear las no esenciales hasta que la persona acepte y dejar un acceso permanente para cambiar la decisión.

### ¿Cuánto tengo para responder a un derecho de acceso?

El art. 11 fija un máximo de treinta días corridos desde el ingreso de la solicitud. Ese plazo puede prorrogarse por una sola vez hasta por treinta días corridos más. Debes acusar recibo y responder por escrito, y guardar los respaldos que acrediten fecha y contenido de la respuesta.

[¿Quieres preparar tu sitio para la nueva ley chilena? Habla con el equipo de AdOpt](https://goadopt.io/) y revisamos tus cookies y tu consentimiento.


Ley de protección de datos en Chile: Ley 21.719 y su vigencia en 2026

Tiendanube muestra un aviso de cookies propio en todas las tiendas, y su ayuda dice que no se puede quitar desde el administrador. Hasta que la persona hace clic en "Entendido", según esa ayuda, no se activan las cookies de seguimiento. Para muchas tiendas eso es un buen punto de partida, pero no responde por sí solo a lo que piden las leyes de cada país.

Este artículo resume qué documenta Tiendanube sobre cookies y Google Tag Manager, qué queda fuera de esa documentación y cómo comparar ese aviso con lo que exigen [Argentina](https://goadopt.io/es/blog/ley-25326-argentina-proteccion-de-datos/) y [Chile](https://goadopt.io/es/blog/ley-proteccion-de-datos-chile-2026/). Todo lo que atribuyo a Tiendanube viene de su [Centro de Atención](https://ayuda.tiendanube.com/es_AR/funcionamiento-de-la-tienda/para-que-sirve-el-cartel-de-uso-de-cookies-en-mi-tienda), consultado el 30 de octubre de 2026. Es documentación de un tercero y puede cambiar.

## Qué documenta Tiendanube sobre su aviso de cookies

La ayuda "¿Para qué sirve el cartel de uso de cookies en mi tienda?" describe el comportamiento así:

- **Cuándo aparece:** automáticamente la primera vez que un visitante entra a la tienda desde un navegador.
- **Bloqueo preventivo:** hasta que el cliente haga clic en el botón "Entendido", no se activan las cookies de seguimiento.
- **Persistencia:** una vez aceptado, el cartel desaparece y no vuelve a mostrarse en visitas futuras desde ese mismo dispositivo.
- **No se puede quitar** desde el administrador: Tiendanube dice que su presencia es obligatoria para que la tienda cumpla las normas vigentes de protección de datos personales.
- **Quitarlo con códigos externos o aplicaciones** puede traer, según la ayuda, problemas legales, fallos en las auditorías de plataformas como Google o Meta y daño de reputación.
- **Diseños personalizados (FTP abierto):** si el aviso no se ve, es probable que falte un fragmento de código en la plantilla, y Tiendanube sugiere hablar con el diseñador o desarrollador.

La ayuda también dice que, antes, este registro se hacía de forma automática, y que ahora se da al visitante el derecho de elegir si quiere o no ser rastreado.

## Lo que la ayuda no describe

La ayuda habla de un botón "Entendido". No describe una opción para rechazar, una elección por finalidades, un panel para cambiar la decisión más tarde ni un registro del consentimiento por visitante. Que no lo describa no prueba que no exista: significa que no puedo afirmarlo.

Esa diferencia importa porque las leyes de la región piden más que informar:

| Ley | Qué pide sobre el consentimiento | Qué conviene comprobar en el aviso |
|---|---|---|
| Argentina, Ley 25.326, art. 5 | Consentimiento libre, expreso e informado; la información previa del art. 6 | Que explique finalidades y responsable antes de activar nada, y que la aceptación sea una acción clara |
| Chile, Ley 21.719, art. 12 (en vigencia el 1 de diciembre de 2026, con una postergación en trámite) | Consentimiento previo, inequívoco, por acto afirmativo; revocable con medios equivalentes; el responsable debe poder probarlo | Que se pueda retirar con la misma facilidad con que se dio, y que puedas demostrar la decisión |

Ninguna de las dos leyes menciona las cookies de forma expresa. Lo que sigue es una lectura prudente, no una regla: si la cookie permite identificar o seguir a un visitante, se trata como dato personal. Si tu tienda vende a más de un país, el mínimo del aviso nativo puede quedarse corto en lo que se refiere a revocar y a probar. Eso se revisa con asesoramiento legal.

> ¿Quieres saber qué cookies y scripts activa tu tienda antes de que el visitante decida? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y revisa tu tienda con datos reales.

## Google Tag Manager en Tiendanube

La ayuda ["¿Cómo instalar Google Tag Manager en mi Tiendanube?"](https://ayuda.tiendanube.com/es_AR/google/como-instalar-google-tag-manager-en-mi-tiendanube) documenta lo siguiente:

- La integración está disponible solo en los planes pagos.
- Se conecta pegando el ID del contenedor en **Configuración > Códigos externos**, en el campo "Google GTM ID".
- Es una versión básica, que todavía no incluye el módulo de "Comercio electrónico mejorado".
- Tiendanube envía de forma nativa eventos como `view_item`, `add_to_cart`, `begin_checkout` y `purchase` a sus integraciones con Google Analytics y Google Ads, y **recomienda no medirlos con etiquetas de GTM** para evitar duplicados.
- Por seguridad, bloquea en el checkout las etiquetas de HTML personalizado y las variables de JavaScript personalizadas (`jsm`).

Para el consentimiento esto tiene dos consecuencias prácticas, que son deducciones y no texto de la ayuda:

1. **Una etiqueta de HTML personalizado no corre en el checkout.** Si tu plan era cargar un script de consentimiento o de medición así, no lo harás por GTM en esa parte del recorrido.
2. **Las integraciones nativas de Analytics y Ads también necesitan respetar la decisión.** Si el aviso nativo solo bloquea "cookies de seguimiento", comprueba en la práctica qué hacen esas integraciones antes y después de que la persona acepte. Cómo se transmite la decisión a Google lo explica la [guía de Google Consent Mode](https://goadopt.io/es/blog/google-consent-mode-guia-de-principiante-a-avanzado/).

### Cómo comprobarlo en tu tienda

1. Abre la tienda en una ventana de incógnito, con el panel de red del navegador abierto.
2. Antes de hacer clic en nada, anota qué cookies y qué peticiones a terceros aparecen.
3. Acepta y repite la lista. Lo que aparece solo después de aceptar es lo que el aviso bloquea.
4. Si tienes GTM o píxeles instalados, mira si algo se carga antes de la decisión.
5. Cambia de dispositivo o borra los datos del navegador y comprueba que el aviso vuelve a aparecer.

Para hacerlo de forma ordenada, un [escáner de cookies](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/) lista lo que carga tu sitio y por qué. Es más fiable que mirar a mano, aunque el paso manual sirve como contraste.

## Si necesitas más control que el aviso nativo

Tienes tres caminos, y no son excluyentes:

- **Quedarte con el aviso nativo** y documentar por escrito qué hace, qué no hace y qué decidiste. Es el camino más simple para una tienda pequeña que vende a un solo país.
- **Añadir una aplicación de consentimiento.** La Tienda de Aplicaciones de Tiendanube lista apps de terceros para barras de cookies; por ejemplo, una "Barra de Cookies GDPR" que, según su ficha, ofrece botones de aceptar y rechazar y un registro del consentimiento. Sobre apps y códigos externos, la propia ayuda de Tiendanube advierte de los problemas de quitar o duplicar el aviso, así que habla antes con su soporte.
- **Usar una [plataforma de gestión del consentimiento (CMP)](https://goadopt.io/es/blog/que-es-una-cmp/)** que bloquee los scripts hasta la decisión, permita cambiarla cuando se quiera y la registre. Si eliges AdOpt, la prueba del consentimiento es el Consent Log (fecha y hora, qué se aceptó o rechazó y versiones de los documentos) y el CookieID solo liga la elección a ese registro. Confirma con la documentación actual de AdOpt y de Tiendanube cómo se instala y si convive con el aviso nativo.

Un consejo común a los tres: no actives a la vez dos avisos que se pisen. Lo prudente es que haya uno, que sea el que decide, y que sea el mismo en todas las páginas.

> ¿Quieres comprobar cómo se comporta tu aviso en cada país donde vendes? [Prueba AdOpt gratis](https://goadopt.io/) durante 30 días y repite la prueba anterior.

## La política de privacidad en una tienda Tiendanube

Tiendanube permite crear "páginas de contenido", y su ayuda cita como ejemplos "Términos y condiciones", "Políticas de privacidad" y "Políticas de devolución y cambios". Es el lugar donde publicar la política y enlazarla desde el aviso.

El contenido depende de cada país. Chile, en su ley nueva, enumera lo que el responsable debe tener a disposición del público en su sitio (art. 14 ter), incluida la política con fecha y versión. En Argentina, el art. 6 de la ley dice qué hay que informar al recoger datos. Un modelo de partida está en [la política de cookies: ejemplo y plantilla](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/), que no es específico de Tiendanube y hay que adaptar.

## Checklist para tu tienda

- Lee la ayuda de Tiendanube sobre el aviso y anota qué cubre y qué no.
- Haz la prueba de incógnito antes y después de aceptar.
- Revisa qué hace GTM, el píxel de Meta y Google Analytics en cada fase.
- Publica una política de privacidad y de cookies adaptadas al país, en una página de contenido.
- Si vendes en varios países, compara con [Colombia](https://goadopt.io/es/blog/habeas-data-colombia-ley-1581/) y [México](https://goadopt.io/es/blog/lfpdppp-mexico-guia-proteccion-datos/) en lugar de copiar un texto único.
- Decide si necesitas rechazo, panel de preferencias y registro, y de dónde saldrán.

Este artículo describe documentación de terceros y no sustituye el asesoramiento legal para tu caso.

## Sigue aprendiendo sobre cookies

- [Consentimiento de cookies: qué exige la ley en España y cómo obtenerlo bien](https://goadopt.io/es/blog/consentimiento-de-cookies/)
- [Rechazar cookies: la obligación que casi nadie cumple bien](https://goadopt.io/es/blog/rechazar-cookies-obligacion/)

## Preguntas frecuentes

### ¿Tiendanube trae un aviso de cookies?

Sí. Según su ayuda, el aviso aparece la primera vez que un visitante entra desde un navegador, bloquea las cookies de seguimiento hasta que se hace clic en "Entendido" y no vuelve a mostrarse en ese dispositivo. No se puede quitar desde el administrador. En diseños personalizados puede faltar un fragmento de código y el aviso no verse.

### ¿Puedo quitar el aviso de cookies de Tiendanube?

No desde el administrador, dice la ayuda. Tampoco recomienda intentarlo con códigos externos o aplicaciones, porque puede causar problemas legales y fallos en las auditorías de Google o Meta. Si necesitas otro aviso, consulta antes con el soporte de Tiendanube y evita que haya dos avisos a la vez.

### ¿El aviso nativo basta para cumplir en Argentina o Chile?

La ayuda describe un botón "Entendido" y no menciona opción de rechazar ni registro. Las leyes de Argentina (art. 5) y Chile (art. 12) piden un consentimiento claro, informado y, en Chile, revocable con medios equivalentes y demostrable. Lo prudente es comprobar en tu tienda qué hace el aviso y completarlo si falta algo.

### ¿Puedo instalar Google Tag Manager en cualquier plan de Tiendanube?

No. Según la ayuda, la integración con Google Tag Manager está disponible solo en los planes pagos. Se conecta en Configuración > Códigos externos, pegando el ID del contenedor. Es una versión básica y Tiendanube no recomienda medir con GTM los eventos que ya envía a sus integraciones nativas, para evitar duplicados.

### ¿Dónde pongo la política de privacidad en Tiendanube?

En una página de contenido. La ayuda de Tiendanube menciona las "Políticas de privacidad" como ejemplo de página que puedes crear y que se agrega al menú de navegación cuando está publicada. Adapta el texto al país donde vendes: no sirve copiar el de otro.

[¿Quieres que tu tienda Tiendanube respete la decisión de cada visitante? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos con tu caso.


Cookies en Tiendanube: aviso nativo, Google Tag Manager y qué falta

La política de cookies de un sitio que llega a Chile debe decir qué cookies usa, para qué, quién las recibe y cómo se cambia la elección, y debe poder probarse con fecha y versión. La Ley 21.719 no menciona las cookies, pero sí regula el rastreo, el perfilamiento y el consentimiento, y de ahí sale una práctica prudente.

Según el texto de la ley, entra en vigencia el 1 de diciembre de 2026. Un proyecto que la posterga al 15 de octubre de 2027 sigue en trámite y todavía no es ley. Abajo explico qué informar, cómo separar lo esencial de lo no esencial y qué guardar como prueba, sin inventar exigencias que la ley no tiene.

## Qué dice la ley sobre cookies (y qué no)

El texto de la Ley 21.719 que revisé el 2 de noviembre de 2026 no contiene la palabra "cookies". Tampoco encontré una guía de la Agencia de Protección de Datos Personales sobre ellas. Cualquier afirmación del tipo "la Agencia exige un banner con tal botón" no tiene respaldo hoy.

Lo que sí hay es una **lectura prudente**, que conviene confirmar con asesoramiento legal, a partir de cuatro artículos:

- **Art. 1 bis:** la ley alcanza al tratamiento destinado a monitorear el comportamiento de personas que están en Chile, "incluyendo su análisis, rastreo, perfilamiento o predicción de comportamiento".
- **Art. 2:** es dato personal el que identifica a una persona de forma directa o indirecta. Un identificador de cookie ligado a un navegador puede entrar ahí.
- **Art. 12:** el consentimiento debe ser previo e inequívoco, revocable sin causa y sin efecto retroactivo, y el responsable debe poder probarlo.
- **Art. 14 ter:** la política de tratamiento de datos debe informar varios elementos, con fecha y versión.

Eso es lo que la ley dice. Lo demás, como el diseño del banner, es práctica de mercado que se apoya en esos artículos. El [artículo sobre la Ley 21.719](https://goadopt.io/es/blog/ley-proteccion-de-datos-chile-2026/) explica la ley completa y su calendario.

## Política de cookies o política de privacidad

En Chile se busca más "política de privacidad", pero la ley habla de "política de tratamiento de datos personales". Para las cookies, lo más ordenado es una política de cookies propia, enlazada desde la política principal.

La política de privacidad responde a qué datos tratas y por qué. La política de cookies baja al detalle técnico: cada cookie, su finalidad, su duración y quién la coloca. Si prefieres una sola página, la sección de rastreadores debe contener el mismo detalle.

Cómo armar la política principal, ítem por ítem, se ve en la [política de privacidad con la Ley 21.719](https://goadopt.io/es/blog/politica-de-privacidad-chile-ley-21719/). Si buscas un modelo de redacción con base europea, mira el [ejemplo de política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/), que sigue el criterio de la AEPD y no el chileno.

## Qué informar en la política de cookies

El art. 14 ter pide que la política de tratamiento tenga fecha y versión, identifique al responsable, indique el canal para solicitudes y detalle categorías de datos, destinatarios, finalidades, base de licitud, medidas de seguridad, derechos, plazo de conservación y transferencias. La sección de cookies debe poder responder a esos mismos puntos.

En la práctica, para cada cookie o tecnología de rastreo conviene informar:

- **Nombre y tipo:** propia o de terceros, de sesión o persistente.
- **Finalidad:** qué hace y por qué se usa (funcionamiento, medición, publicidad).
- **Duración:** cuánto tiempo permanece en el navegador.
- **Quién la recibe:** el tercero que accede a los datos, con su nombre.
- **Base de licitud:** si se apoya en consentimiento o en otra base prevista por la ley.
- **Cómo cambiar la elección:** dónde se retira el consentimiento.

Lo importante es que la política tenga **fecha y versión visibles**. Si cambias una cookie o sumas un tercero, la versión cambia y queda un registro de qué decía cada una. El art. 14 ter pide esa fecha y esa versión para la política de tratamiento.

## Cookies esenciales y no esenciales

La ley no define "cookie esencial". Una forma prudente de separar es preguntar si el sitio puede prestar el servicio que la persona pidió sin esa cookie.

Suelen considerarse necesarias las que mantienen la sesión, el carrito de compra o la seguridad. Las de medición, publicidad, personalización y redes sociales no lo son, y para esas conviene apoyarse en el consentimiento del art. 12.

Dos cuidados al clasificar:

1. **No marques como esencial lo que mide o perfila.** Una cookie de analítica no es necesaria para mostrar una página.
2. **Revisa lo que traen los terceros.** Un vídeo incrustado o un botón social puede colocar cookies propias del tercero apenas carga la página.

Para saber qué cookies tiene realmente tu sitio, un [escáner de cookies](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/) lista y clasifica cada una. Sin ese inventario, la política describe lo que crees que usas y no lo que usas.

## Cómo pedir y recoger el consentimiento

El art. 2 define el consentimiento como libre, específico, inequívoco e informado, dado por una declaración o una clara acción afirmativa. El art. 12 añade que debe ser previo.

La práctica prudente que se sigue de esos dos artículos:

- **No cargar las cookies no esenciales antes de la elección.** El consentimiento es previo.
- **Pedir una acción afirmativa.** Seguir navegando o hacer scroll no es una acción afirmativa clara.
- **Dar opciones por finalidad.** Un solo "aceptar todo" mezcla finalidades que la persona puede querer separar.
- **Hacer el rechazo igual de fácil que la aceptación.** El art. 12 pide que el consentimiento pueda retirarse por medios expeditos, fidedignos, gratuitos y permanentemente disponibles.

La ley agrega una presunción: no se considera libre el consentimiento cuando la recolección no es necesaria para ejecutar el contrato. Por eso condicionar el acceso a todo el sitio a aceptar cookies de publicidad es un riesgo. En la regulación europea hay discusión sobre ese tema, que se resume en [si es obligatorio poder rechazar las cookies](https://goadopt.io/es/blog/rechazar-cookies-obligacion/), pero esa discusión no se traslada automáticamente a Chile.

Para entender qué hace falta para que un consentimiento sea válido en general, la referencia es el artículo sobre [los requisitos de validez del consentimiento](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/). Está escrito con el RGPD, así que úsalo como contraste y no como cita de la ley chilena. El [consentimiento de cookies](https://goadopt.io/es/blog/consentimiento-de-cookies/) lo complementa con el lado práctico.

## Cómo retirar el consentimiento

El art. 12 dice que el consentimiento es revocable sin expresión de causa y sin efecto retroactivo, y que los medios para retirarlo deben estar permanentemente disponibles. Para un sitio, esto se traduce en un acceso fijo al panel de preferencias, por ejemplo un enlace en el pie de página.

Al retirar el consentimiento, el sitio debe dejar de usar las cookies de esas finalidades y registrar el cambio. "Sin efecto retroactivo" significa que lo hecho antes de la revocación no se invalida; no que puedas seguir usando los datos después.

## Cómo probar la elección

El art. 12 pone la carga de la prueba en el responsable. Si una persona dice que nunca aceptó, tienes que poder mostrar qué aceptó o rechazó, cuándo y bajo qué textos.

Lo que conviene guardar para cada elección:

- La **fecha y la hora** de la decisión.
- Qué **finalidades** se aceptaron o rechazaron.
- La **versión de la política** y del banner vigentes en ese momento.
- Un **identificador** que ligue la elección a ese registro.

En AdOpt, la prueba es el Consent Log: guarda la fecha y la hora, lo que la persona aceptó o rechazó y las versiones de los documentos. El CookieID solo liga la elección del navegador con ese registro; no es la prueba por sí mismo. El artículo sobre [cómo probar el consentimiento](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/) detalla qué debe contener un registro y por qué.

Si quieres entender qué hace una plataforma de este tipo, la guía sobre [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) es el punto de partida. La prueba de 30 días de AdOpt sirve para escanear tu sitio y ver cómo queda el registro antes de decidir nada.

## Y si vendes en varios países

Si tu sitio llega a Chile y a México, no hace falta una política de cookies por país, pero sí que cada una describa bien lo que se aplica. Las leyes de los dos países tienen vocabulario, plazos y autoridades distintas. La [guía de la LFPDPPP en México](https://goadopt.io/es/blog/lfpdppp-mexico-guia-proteccion-datos/) sirve para comparar, sin copiar los plazos de un país al otro.

Los derechos de las personas también tienen su propio camino en Chile. El detalle de cómo montar el canal y respetar los plazos está en [derechos ARCOPOL y portal del titular](https://goadopt.io/es/blog/derechos-arcopol-chile-portal-del-titular/). Y para saber qué pasa con la ley anterior mientras tanto, mira [Ley 19.628 frente a la Ley 21.719](https://goadopt.io/es/blog/ley-19628-vs-ley-21719-chile-que-cambia/).

## Lista corta antes de la vigencia

- Escanea el sitio y clasifica cada cookie por finalidad.
- Redacta la sección de cookies con nombre, finalidad, duración y tercero.
- Pon fecha y versión visibles a la política.
- Bloquea las cookies no esenciales hasta que haya una acción afirmativa.
- Deja un acceso permanente para cambiar la elección.
- Guarda el registro de cada elección con fecha, finalidades y versión.
- Sigue el boletín 18.623-07 en la [ficha del Senado](https://tramitacion.senado.cl/wspublico/tramitacion.php?boletin=18623) antes de fijar un calendario.

Este artículo describe la ley y no sustituye el asesoramiento legal para tu caso.

## Preguntas frecuentes

### ¿La Ley 21.719 menciona las cookies?

No. El texto que revisé el 2 de noviembre de 2026 no contiene la palabra. La aplicación a las cookies es una lectura prudente a partir del rastreo y el perfilamiento (art. 1 bis), del dato personal indirecto (art. 2) y del consentimiento previo y que se pueda probar (art. 12). Confírmala con asesoramiento legal.

### ¿Es obligatorio un banner de cookies en Chile?

La ley no habla de banner. Exige que el consentimiento, cuando es la base del tratamiento, sea previo, inequívoco y por acción afirmativa, y que el responsable pueda probarlo. Un banner con preferencias es la forma habitual de lograrlo, pero no es un requisito que la ley nombre.

### ¿Cuándo debo tener lista la política de cookies?

Según la ley, la vigencia es el 1 de diciembre de 2026. Un proyecto que la mueve al 15 de octubre de 2027 sigue en trámite y no es ley. Mientras no se publique en el Diario Oficial, la fecha vigente es la de la ley. Prepararla antes te deja cubierto con cualquiera de las dos.

### ¿Qué diferencia hay entre la política de cookies y la de privacidad?

La de privacidad (política de tratamiento de datos, según la ley) explica qué datos tratas y por qué. La de cookies baja al detalle de cada cookie. Pueden ser dos páginas enlazadas o una sola con una sección completa de rastreadores.

### ¿Cómo pruebo que una persona aceptó las cookies?

Guardando, por cada elección, la fecha y la hora, las finalidades aceptadas o rechazadas y la versión de la política y del banner. En AdOpt ese registro es el Consent Log, y el CookieID solo liga la elección con él.

[¿Quieres revisar las cookies de tu sitio antes de la vigencia? Habla con el equipo de AdOpt](https://goadopt.io/) y empieza con la prueba de 30 días.


Política de cookies en Chile: qué informar y cómo probar el consentimiento con la Ley 21.719

En Chile, la Ley 21.719 le pone contenido mínimo a la política de privacidad de tu sitio. El art. 14 ter obliga al responsable a tener a disposición del público, en su sitio web, una política de tratamiento de datos personales con fecha y versión, y con una lista de información que va desde quién eres hasta cómo puede reclamar la persona ante la Agencia. Ya no se trata de una buena práctica: es una exigencia de la ley.

Aquí está la diferencia de nombre que confunde a casi todos. La ley habla de "política de tratamiento de datos personales", y el mercado busca "política de privacidad". Son el mismo documento. Abajo tienes el listado del art. 14 ter, cómo se arma una política que lo cubra y un ejemplo comentado, siempre con la advertencia de vigencia: la ley dice 1 de diciembre de 2026, y hay un proyecto en trámite que la mueve.

## Política de privacidad o política de tratamiento: el mismo documento

La Ley 21.719 modifica la Ley 19.628 y no usa la expresión "política de privacidad". El art. 14 ter habla de la **política de tratamiento de datos personales**. Quien busca en Google escribe "política de privacidad", "política de privacidad ejemplo" o "modelo de política de privacidad". Para tu sitio da igual cómo la llames en el pie de página, siempre que el contenido cumpla lo que la ley enumera.

Una recomendación práctica: usa en el enlace el término que tu visitante reconoce ("Política de privacidad") y, dentro del documento, menciona que es tu política de tratamiento de datos personales. Así el nombre de mercado y el nombre legal conviven sin confusión.

Es un texto distinto del aviso de privacidad mexicano. Si vendes también en México, la [guía del aviso de privacidad de México](https://goadopt.io/es/blog/aviso-de-privacidad-mexico-ejemplo/) muestra otra estructura, con otros momentos de entrega. En Chile el documento central es la política publicada en el sitio, con el contenido que fija la ley.

## Cuándo se exige: la fecha de vigencia

Según el artículo primero transitorio, la Ley 21.719 entra en vigencia el **1 de diciembre de 2026**. Hay un proyecto de postergación en trámite (boletín 18.623-07) que, en el texto propuesto por la Comisión de Constitución del Senado, la lleva al 15 de octubre de 2027. Ese proyecto todavía no es ley: mientras no se publique en el Diario Oficial, la fecha vigente es la de la ley.

El estado actual del trámite y su fuente están en la [guía de la Ley 21.719 en Chile](https://goadopt.io/es/blog/ley-proteccion-de-datos-chile-2026/). Antes de fijar un calendario interno, revisa ahí el boletín.

El proyecto de postergación mueve la fecha, y lo que leí en él no toca el contenido del art. 14 ter. Si preparas la política ahora, quedas listo para cualquiera de las dos fechas.

## Qué dice el art. 14 ter

El art. 14 ter es el artículo de la transparencia activa: el responsable debe tener a disposición permanente del público, en su sitio web, información sobre su tratamiento de datos. Según el texto que leí en la [Biblioteca del Congreso Nacional (BCN)](https://www.bcn.cl/leychile/navegar?idNorma=1209272), la política debe incluir, entre otros:

- **Fecha y versión** de la política.
- **Identificación del responsable**.
- **Canal de solicitudes**: los datos de contacto para que los titulares ejerzan sus derechos.
- **Categorías de datos** que se tratan.
- **Finalidades** del tratamiento.
- **Base de licitud**: con qué fundamento legal se trata cada dato, por ejemplo el consentimiento.
- **Destinatarios** o categorías de destinatarios a quienes se comunican los datos.
- **Plazo de conservación**.
- **Fuente** de los datos.
- **Medidas de seguridad** aplicadas.
- **Transferencias** de datos a terceros.
- **Derechos del titular**, incluido el de recurrir ante la Agencia, y el derecho a retirar el consentimiento.
- **Decisiones automatizadas**, incluida la elaboración de perfiles, cuando las hay.

El orden de esta lista es el mío, no necesariamente el del artículo. El art. 14 ter ordena sus exigencias con letras, de la a a la l. En el fragmento que consulté, el último punto (el l) aparece cortado al final del texto, y el artículo continúa. Antes de dar tu política por completa, abre el texto oficial en la BCN y recorre el artículo hasta el final: la lista de arriba es una guía de trabajo, no un sustituto de la ley.

## Un ejemplo de política, comentado

Lo que sigue es un **ejemplo ilustrativo, no un documento listo para publicar**. Sirve para ver cómo se traduce cada exigencia en texto. Los datos entre corchetes son tuyos, y el contenido real depende de lo que hace tu sitio. No lo copies sin revisarlo con asesoramiento legal.

### 1. Encabezado: quién y cuándo

> **Política de tratamiento de datos personales de [Nombre de la empresa]**
> Versión 1.0, vigente desde el [fecha].

Aquí vive lo que la ley llama fecha y versión. Cada vez que cambies el texto, sube la versión y guarda la anterior: te servirá para saber qué política estaba publicada cuando una persona hizo una elección.

### 2. Responsable y canal de solicitudes

> **Responsable:** [Razón social], [RUT], [domicilio].
> **Canal para ejercer tus derechos:** [correo o formulario].

El canal tiene que existir de verdad: es el mismo que usarás para responder las solicitudes del art. 11, con sus [plazos de respuesta](https://goadopt.io/es/blog/derechos-arcopol-chile-portal-del-titular/).

### 3. Qué datos, para qué y con qué base

> Tratamos [categorías: datos de contacto, datos de compra, datos de navegación] para [finalidad 1] y [finalidad 2]. La base es [tu consentimiento / la ejecución del contrato / otra base de licitud].

Un error habitual es escribir una finalidad genérica ("mejorar nuestros servicios") para cubrirlo todo. La ley pide finalidades y bases concretas. Si una finalidad se apoya en el consentimiento, el art. 12 exige que sea libre, informado, específico y previo.

### 4. A quién se comunican los datos y por cuánto tiempo

> Compartimos datos con [categorías de destinatarios: proveedores de pago, de analítica, de publicidad]. Conservamos [categoría] durante [plazo].

Los terceros de analítica y publicidad son los que más suelen quedar fuera de las políticas, y son los mismos que activan cookies en tu sitio. Un escaneo del sitio te dice quién está, y la [política de cookies bajo la Ley 21.719](https://goadopt.io/es/blog/politica-de-cookies-chile-ley-21719/) explica cómo llevarlo al documento.

### 5. Derechos, seguridad y reclamo

> Puedes pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo de tus datos. Puedes retirar tu consentimiento cuando quieras. Si no estás conforme con la respuesta, puedes recurrir a la Agencia de Protección de Datos Personales.

El art. 14 ter pide mencionar el derecho a recurrir a la Agencia. Añade aquí también las medidas de seguridad que aplicas, descritas a nivel general, sin exponer detalles que te dejen vulnerable.

## Cómo mantener la política al día

Una política no se publica una vez y se olvida. La ley exige que tenga fecha y versión precisamente porque se espera que cambie cuando cambie tu tratamiento. Algunas costumbres que lo hacen manejable:

1. **Revisa la política cuando cambies de proveedor o de finalidad.** Una nueva herramienta de analítica o de publicidad cambia la lista de destinatarios.
2. **Compara la política con lo que hace el sitio.** Lo que dice el texto y lo que ejecutan las cookies tienen que coincidir.
3. **Guarda las versiones anteriores.** Necesitas saber qué decía la política cuando una persona aceptó.
4. **Conserva la prueba del consentimiento.** El art. 12 pone en el responsable la carga de probar que contó con el consentimiento. En AdOpt esa prueba es el Consent Log (fecha y hora, qué se aceptó o rechazó y las versiones de los documentos); el CookieID solo liga la elección de cada persona con ese registro. La guía sobre el [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/) explica cómo funciona.

¿Quieres ver qué rastrea tu sitio antes de actualizar el texto? [Empieza con la prueba de 30 días de AdOpt](https://goadopt.io/) y revisa tus cookies con datos reales.

## Lo que este artículo no afirma

Para evitar confusiones, tres límites:

- **No hay un modelo oficial.** No encontré un modelo de política publicado por la Agencia. Por eso el ejemplo de arriba es ilustrativo y no un formato aprobado.
- **No cito sanciones.** No pude leer en la fuente oficial el detalle de infracciones y multas. Las cifras que circulan en blogs no están verificadas, y aquí no se usan.
- **Los ejemplos de otros países no son equivalentes.** El [modelo de política de cookies basado en el RGPD](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/) responde a la regulación europea y a su autoridad. Sirve para ver una estructura, no para dar por cumplida la ley chilena. Si quieres entender cómo se pide el consentimiento en el sistema europeo, [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) es un buen punto de partida.

Este artículo describe la ley y no sustituye el asesoramiento legal para tu caso. Antes de publicar tu política, pide a un abogado que la revise contra el texto oficial.

## Preguntas frecuentes

### ¿Es obligatorio tener una política de privacidad en Chile?

Según el art. 14 ter de la Ley 21.719, el responsable debe tener a disposición del público, en su sitio web, su política de tratamiento de datos personales con fecha y versión. La obligación rige cuando la ley entre en vigencia: el 1 de diciembre de 2026 según su texto, salvo que se publique la postergación en trámite.

### ¿"Política de privacidad" y "política de tratamiento de datos" son lo mismo?

En la práctica, sí. La ley usa "política de tratamiento de datos personales"; el mercado dice "política de privacidad". Lo que importa es que el documento contenga lo que enumera el art. 14 ter, sin importar el título.

### ¿Qué pasa si mi sitio usa cookies de analítica o publicidad?

Esos terceros son destinatarios de datos y deben aparecer en la política, con su finalidad. Además, el consentimiento previo del art. 12 se vuelve relevante para las cookies que tratan datos personales. La [guía de la política de cookies](https://goadopt.io/es/blog/politica-de-cookies-chile-ley-21719/) lo desarrolla.

### ¿La política debe llevar fecha y versión?

Sí. Es uno de los contenidos que el art. 14 ter exige expresamente. Guarda también las versiones anteriores para poder demostrar qué texto estaba publicado en cada momento.

### ¿Hay un modelo de la Agencia que pueda copiar?

No encontré un modelo publicado por la Agencia de Protección de Datos Personales. El ejemplo comentado de este artículo es ilustrativo, y la política final depende de lo que hace tu sitio y de la revisión de un profesional.

[¿Quieres preparar tu sitio para la nueva ley chilena? Habla con el equipo de AdOpt](https://goadopt.io/) y revisamos tus cookies, tu política y tu consentimiento.


Todos los artículos

¿Qué es una CMP (Consent Management Platform)?

Google Consent Mode: Guía de principiante a avanzado.

Google Consent Mode: Guía de principiante a avanzado.

¿Es obligatorio el aviso de cookies en una página web? Cuándo sí y cuándo no

Banner de cookies RGPD: qué debe tener para cumplir con la AEPD

¿Qué es una cookie en internet? Guía completa para 2026

Seguridad de Datos en el Consentimiento: Cómo Proteger la Información del Usuario Desde la Recolección hasta la Activación

Consentimiento RGPD: requisitos de validez y cómo cumplirlos

Plataforma de gestión del consentimiento (CMP): qué debe cumplir

Registro de consentimientos: cómo probar el consentimiento

Adecuación al RGPD de una página web: lista de comprobación paso a paso

Base legal del RGPD: interés legítimo o consentimiento, cómo elegir

Guía de cookies de la AEPD (2024): qué exige para tu web

LOPDGDD: qué es, qué regula y en qué se diferencia del RGPD (la antigua LOPD)

Consentimiento de cookies en varios dominios: cómo compartirlo bien

Ley 25.326 de Argentina: guía de protección de datos y cookies

Ley de protección de datos en Chile: Ley 21.719 y su vigencia en 2026

Cookies en Tiendanube: aviso nativo, Google Tag Manager y qué falta

Política de cookies en Chile: qué informar y cómo probar el consentimiento con la Ley 21.719

Política de privacidad en Chile: qué exige el art. 14 ter