¿Qué es una CMP (Consent Management Platform)?

João Bruno Soares

Google Consent Mode: Guía de principiante a avanzado.

La mayoría de los bancos de cookies que ves cada día en internet parecen correctos a simple vista: tienen un botón para aceptar, un texto explicando que el sitio usa cookies, y quizás un enlace a "más información". El problema es que la apariencia correcta no equivale a cumplimiento real, y la Agencia Española de Protección de Datos (AEPD) ha sido explícita sobre qué elementos concretos separan un banner conforme de uno que solo lo parece.

Esta guía explica, punto por punto, qué debe tener un banner de cookies para cumplir con el RGPD y con la Guía sobre el uso de las cookies de la AEPD, cuáles son los errores más comunes que provocan sanciones, y cómo verificar si tu propio banner está realmente bloqueando lo que dice bloquear.

## El requisito que más sanciones genera: rechazar tan fácil como aceptar

La AEPD es explícita en este punto: ambas acciones deben estar al mismo nivel, sin que sea más complicado rechazar las cookies que aceptarlas. Esto significa, en la práctica, que si tu banner muestra un botón grande y de color llamativo para "Aceptar todo" en la primera capa, y para rechazar obliga al usuario a hacer clic en un enlace pequeño, entrar a un submenú y desmarcar categorías una por una, tu banner no cumple, sin importar qué diga el texto legal que lo acompaña.

El patrón que sí cumple ofrece, en el primer nivel de información, tres opciones igualmente visibles y accesibles: aceptar todo, rechazar todo, y configurar preferencias. Ninguna de las tres debe requerir más pasos que las otras para completarse.

## El requisito técnico que nadie ve pero que decide todo: el bloqueo previo real

Un banner puede tener el diseño perfecto y seguir siendo ilegal si, detrás de la interfaz, los scripts de analítica y publicidad ya se cargaron antes de que el usuario tomara cualquier decisión. Este es el error más costoso y el más difícil de detectar sin herramientas técnicas, porque el banner se ve bien, pero el rastreo ya empezó.

El bloqueo debe ser efectivo antes del consentimiento, no solo una promesa en el texto: ningún cookie que no sea estrictamente necesario debería instalarse hasta que el usuario haga clic explícitamente en aceptar esa categoría específica. Esto requiere control técnico real sobre la ejecución de scripts, no solo un mensaje informativo superpuesto a un sitio que ya está funcionando con normalidad por debajo.

## Cómo verificar si tu banner tiene este problema, en tres pasos

1. Abre tu sitio en una ventana de navegación privada, sin cookies previas.
2. Abre las herramientas de desarrollador de tu navegador, pestaña "Red" (Network), antes de interactuar con el banner.
3. Observa si ya aparecen peticiones hacia dominios como `google-analytics.com`, `googletagmanager.com`, `facebook.com/tr` o similares, antes de haber hecho clic en cualquier botón.

Si esas peticiones ya aparecen, tu banner tiene exactamente el problema descrito arriba, sin importar qué tan bien diseñado esté visualmente.

## Elección granular por finalidad, no solo un interruptor global

La guía de la AEPD, alineada con las directrices del Comité Europeo de Protección de Datos, exige que el usuario pueda elegir por categoría de finalidad (analítica, publicidad, redes sociales) y no solo un aceptar/rechazar indiferenciado de todo el sitio. Cada categoría debe explicarse en lenguaje comprensible, sin depender de que el usuario entienda jerga técnica para saber qué está aceptando.

## Información que debe estar visible antes de decidir, no escondida en un enlace

El primer nivel del banner debe informar, como mínimo: qué tipos de cookies usa el sitio, con qué finalidad general, y dónde encontrar la información completa (la [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/)). No es necesario listar cada cookie individual en el primer nivel, pero sí debe quedar claro que existe esa información detallada y cómo acceder a ella con un solo clic.

## Los "patrones engañosos" que el Comité Europeo ya ha señalado

Las Directrices 03/2022 sobre patrones engañosos ("dark patterns"), incorporadas a la práctica de la AEPD, identifican como problemáticos varios diseños que técnicamente ofrecen las tres opciones pero las hacen desiguales en la práctica: usar colores de alto contraste solo en el botón de aceptar, hacer el botón de rechazar visualmente similar al fondo para que pase desapercibido, o requerir un scroll adicional para encontrar el botón de rechazar que no es necesario para encontrar el de aceptar.

## Cookie wall: ¿puedo bloquear el acceso si el usuario rechaza?

La AEPD permite condicionar el acceso al sitio al consentimiento de cookies, pero con una condición explícita: el editor del sitio debe ofrecer una alternativa de acceso al servicio sin necesidad de aceptar, y esa alternativa no tiene que ser necesariamente gratuita.

Es decir, un cookie wall puro que no ofrezca ninguna alternativa (ni de pago ni de acceso limitado) no cumple con este criterio. Profundizamos en este tema en nuestra guía sobre si el [aviso de cookies es obligatorio en toda página web](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/).

## Cómo una CMP resuelve esto de raíz

Una [plataforma de gestión del consentimiento](https://goadopt.io/es/blog/que-es-una-cmp/) como AdOpt no deja esta implementación al criterio de quien diseñó el banner: aplica el bloqueo técnico real antes del consentimiento, muestra las tres opciones al mismo nivel visual por diseño (no como una elección que cada cliente puede desconfigurar sin darse cuenta), permite configuración granular por categoría, y guarda un registro verificable de cada elección, con fecha, hora y versión del banner mostrada en ese momento.

## Preguntas frecuentes

### ¿Es obligatorio ofrecer el botón "rechazar todo" en la primera capa?

Sí. La AEPD y las directrices europeas son claras: el rechazo debe ser tan accesible como la aceptación, en el mismo nivel de la interfaz, no escondido en un submenú.

### ¿Puedo usar cookies preseleccionadas por defecto para simplificar la experiencia del usuario?

No. El consentimiento debe nacer de una acción positiva del usuario; casillas premarcadas o cualquier configuración que asuma consentimiento sin una acción explícita no es válida ante el RGPD.

### ¿Qué pasa si mi banner cumple visualmente pero los scripts ya se cargan antes?

Es exactamente la violación más común y más sancionada: el diseño correcto no sustituye el bloqueo técnico real. Verifica con el método de las herramientas de desarrollador descrito en este artículo.

### ¿Necesito el mismo banner para todos los países donde opera mi web?

El estándar de la AEPD aplica al tráfico dirigido a España, pero replicar las mismas buenas prácticas (rechazo igual de fácil, bloqueo real) es también la base exigida por el RGPD en el resto de la Unión Europea, así que en la práctica un banner bien construido cumple en ambos casos.

### ¿Cuánto tiempo dura el consentimiento antes de tener que volver a preguntar?

Consulta nuestra guía específica sobre la [duración del consentimiento a las cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/), que trata este punto en detalle.

### ¿Un cookie wall es siempre ilegal en España?

No siempre, pero solo es aceptable si el sitio ofrece una alternativa real de acceso sin necesidad de aceptar las cookies, aunque esa alternativa implique un coste. Un cookie wall sin ninguna alternativa no cumple el criterio de la AEPD.

## Continúa aprendiendo sobre cookies

- [¿Qué es una cookie en internet? Guía completa](https://goadopt.io/es/blog/que-es-una-cookie-en-internet/)
- [¿Es obligatorio el aviso de cookies en una página web?](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/)

Comprueba en minutos si tu banner está bloqueando de verdad lo que dice bloquear. [Prueba AdOpt gratis](https://goadopt.io/).


Banner de cookies RGPD: qué debe tener para cumplir con la AEPD

Casi todo el mundo ha aceptado o rechazado cookies cientos de veces sin saber exactamente qué está aceptando o rechazando. Una cookie es, en su forma más simple, un pequeño archivo de texto que un sitio web guarda en tu navegador para recordar información entre visitas: que iniciaste sesión, qué había en tu carrito, en qué idioma prefieres ver la página o qué anuncios ya viste.

No es un programa, no puede ejecutar código por sí sola y no puede, por sí misma, robar información de tu ordenador. Pero sí puede usarse para seguir tu comportamiento a través de múltiples sitios, y ahí es donde empieza a importar la ley.

Esta guía explica qué es técnicamente una cookie, los tipos que existen, por qué algunas requieren tu consentimiento explícito y otras no, y qué controla realmente una web sobre ellas cuando usa una plataforma de gestión del consentimiento.

## Cómo funciona una cookie, técnicamente

Cuando visitas un sitio web, el servidor puede enviar a tu navegador una pequeña instrucción para guardar un fragmento de información con un nombre y un valor, junto con un dominio y una fecha de caducidad.

La próxima vez que tu navegador se conecte a ese mismo dominio, envía de vuelta esa información automáticamente. Así es como un sitio "recuerda" que ya iniciaste sesión sin pedirte la contraseña en cada página, o que ya elegiste ver los precios en euros y no en dólares.

La cookie en sí misma no sabe quién eres: solo contiene el dato que el sitio decidió guardar. El problema de privacidad no nace de la tecnología, nace del uso: si ese dato es un identificador único que permite reconstruir tu comportamiento a lo largo del tiempo y a través de distintos sitios, entonces esa cookie está construyendo un perfil sobre ti, aunque nunca haya recogido tu nombre real.

## Los tipos de cookies que existen

### Por quién las instala

**Cookies propias (first-party).** Las instala el mismo dominio que estás visitando. Sirven típicamente para funciones del propio sitio: sesión, carrito, preferencias de idioma.

**Cookies de terceros (third-party).** Las instala un dominio distinto al que visitas, normalmente porque la página carga un recurso externo (un pixel publicitario, un vídeo incrustado, un widget de chat). Casi siempre existen para construir perfiles de comportamiento a través de múltiples sitios.

### Por su duración

**Cookies de sesión.** Se borran automáticamente cuando cierras el navegador. Duran solo mientras navegas.

**Cookies persistentes.** Permanecen guardadas durante un plazo definido, que puede ir de unos días a varios años, según lo que el sitio configure.

### Por su finalidad (la distinción que de verdad importa ante la ley)

**Cookies técnicas o estrictamente necesarias.** Sin ellas, el servicio que pediste no funcionaría: mantener tu sesión iniciada, recordar el contenido del carrito, garantizar la seguridad de la conexión. No requieren tu consentimiento previo, solo información.

**Cookies de preferencias o funcionales.** Recuerdan configuraciones que mejoran tu experiencia (idioma, región) pero que no son estrictamente indispensables para que el servicio exista. En la mayoría de los casos requieren consentimiento.

**Cookies analíticas.** Miden cómo usas el sitio: qué páginas visitas, cuánto tiempo permaneces, de dónde vienes. Requieren consentimiento salvo que el sitio aplique una anonimización estricta reconocida por la autoridad de control, un caso poco común en la práctica comercial.

**Cookies publicitarias o de perfilado.** Construyen un perfil de tus intereses para mostrarte publicidad dirigida, a menudo siguiéndote a través de múltiples sitios. Siempre requieren tu consentimiento explícito.

## Por qué algunas cookies necesitan consentimiento y otras no

La normativa europea (la Directiva ePrivacy, transpuesta en España a través de la Ley de Servicios de la Sociedad de la Información, LSSI) establece que instalar o acceder a información en tu dispositivo requiere tu consentimiento previo, salvo dos excepciones: que sea estrictamente necesaria para la transmisión de una comunicación, o que sea estrictamente necesaria para prestar el servicio que tú mismo has solicitado expresamente.

Todo lo que no encaja en esas dos excepciones estrechas necesita consentimiento, y el propio [Reglamento General de Protección de Datos (RGPD)](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/) exige que ese consentimiento sea libre, específico, informado e inequívoco.

Esto significa, en la práctica, que la mayoría de las cookies que hacen que un negocio funcione desde el punto de vista comercial (medir el tráfico, mostrar publicidad relevante, integrar redes sociales) no son técnicas en sentido estricto, aunque a veces se las presente así para simplificar la comunicación con el usuario.

## Qué controla realmente un banner de cookies

Un banner de cookies bien construido no es solo un mensaje informativo: es la interfaz de un sistema técnico que decide, en tiempo real, qué scripts pueden ejecutarse en tu navegador antes de que tú elijas.

Un banner que solo informa pero no bloquea nada por detrás no cumple la normativa, aunque parezca correcto visualmente, porque las cookies no esenciales ya se han instalado antes de que decidas. Explicamos esto con más detalle en nuestra guía sobre [qué debe tener un banner de cookies conforme al RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

## Cómo ver qué cookies tiene un sitio en este momento

Puedes comprobarlo tú mismo sin herramientas avanzadas: abre las herramientas de desarrollador de tu navegador (F12 en la mayoría), ve a la pestaña "Aplicación" o "Almacenamiento" y busca la sección de cookies. Verás el nombre, el dominio, la fecha de caducidad y, con algo de investigación del nombre del dominio, a qué proveedor pertenece cada una. Es una forma rápida de entender qué tan transparente es realmente un sitio sobre lo que declara en su [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

## El papel de una plataforma de gestión del consentimiento (CMP)

Gestionar manualmente esta clasificación cookie por cookie, y mantenerla actualizada cada vez que marketing añade una nueva herramienta, no es viable a escala. Una [CMP como AdOpt](https://goadopt.io/es/blog/que-es-una-cmp/) escanea automáticamente el sitio, detecta cada cookie y script realmente activo, lo clasifica por categoría y proveedor, bloquea la ejecución de lo que no es esencial hasta que el usuario da su consentimiento específico, y guarda un registro verificable de esa decisión.

## Preguntas frecuentes

### ¿Una cookie puede robar mi contraseña o mis datos bancarios?

No directamente. Una cookie es un fragmento de texto, no un programa ejecutable; no puede leer archivos de tu ordenador ni robar contraseñas guardadas en otro sitio. El riesgo de privacidad viene de la construcción de perfiles de comportamiento, no del robo de datos técnicos.

### ¿Si borro las cookies de mi navegador, dejo de ser rastreado?

Borrar las cookies elimina el identificador que un sitio había guardado hasta ese momento, pero no impide que el sitio te asigne uno nuevo en tu próxima visita, ni te protege de técnicas alternativas de seguimiento que algunos proveedores usan cuando las cookies están bloqueadas.

### ¿Todas las cookies necesitan aparecer en un banner?

Todas las cookies deben estar documentadas en la [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/), pero solo las que no son estrictamente necesarias requieren que el usuario dé su consentimiento explícito antes de activarse.

### ¿Qué diferencia hay entre una cookie y el "local storage" del navegador?

Ambos son formas de almacenamiento en el dispositivo del usuario y están sujetos a las mismas reglas de consentimiento cuando se usan con fines no estrictamente necesarios, aunque técnicamente el local storage no se envía automáticamente al servidor en cada petición como sí hace una cookie.

### ¿Cuánto tiempo puede durar una cookie?

No hay un límite técnico estricto, pero las autoridades europeas de protección de datos recomiendan plazos razonables acordes a la finalidad, y consideran una mala práctica una duración desproporcionadamente larga para lo que la cookie realmente necesita hacer. Consulta nuestra guía sobre la [duración del consentimiento a las cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

### ¿Puedo simplemente bloquear todas las cookies en mi navegador y olvidarme del tema?

Puedes hacerlo, pero rompe funcionalidades legítimas (sesión iniciada, carrito de compra) además de que muchos sitios ofrecen alternativas de seguimiento que no dependen de cookies tradicionales, así que no es una solución completa de privacidad.

## Continúa aprendiendo sobre cookies

- [Banner de cookies RGPD: qué debe tener para cumplir con la AEPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/)
- [¿Es obligatorio el aviso de cookies en una página web?](https://goadopt.io/es/blog/aviso-de-cookies-obligatorio-pagina-web/)

Descubre exactamente qué cookies está instalando tu sitio ahora mismo. [Prueba AdOpt gratis](https://goadopt.io/) y obtén el mapa completo en minutos.


¿Qué es una cookie en internet? Guía completa para 2026

Para el RGPD, un consentimiento válido es una manifestación de voluntad libre, específica, informada e inequívoca, dada mediante una declaración o una clara acción afirmativa. Si falta una de esas notas, el consentimiento no vale, y lo que hagas con esos datos queda sin base legal.

Este artículo recorre los requisitos uno a uno, explica las condiciones del artículo 7 y los aplica a las situaciones reales de una web: cookies, formularios, altas y correos comerciales. Para el caso concreto de las cookies, el detalle está en [consentimiento de cookies](https://goadopt.io/es/blog/consentimiento-de-cookies/), y la plataforma que lo gestiona se explica en [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/).

## Qué es el consentimiento según el RGPD

La definición está en el artículo 4.11 del [texto del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf): "toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen".

El considerando 32 completa la idea con un ejemplo muy útil: el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. Y añade que, cuando el tratamiento tiene varios fines, el consentimiento debe darse para todos ellos.

El consentimiento es una de las bases legales del artículo 6, no la única. Hay tratamientos que se apoyan en el contrato, en una obligación legal o en el interés legítimo. Pero cuando eliges el consentimiento como base, tienes que cumplir todas sus condiciones.

## Los cuatro adjetivos, aplicados a tu web

### Libre

La persona debe poder elegir sin presión ni perjuicio. El artículo 7.4 pide tener en cuenta, al evaluar si es libre, si la ejecución de un contrato se supedita a un consentimiento para tratamientos que no son necesarios para ese contrato.

En la web, esto afecta a los muros de cookies. La Guía de la AEPD (apartado 3.2.10, p. 29) recuerda que el acceso al servicio no debe supeditarse a aceptar las cookies. Admite que haya casos en que la no aceptación limite el acceso, siempre que se informe y se ofrezca una alternativa genuinamente equivalente, no necesariamente gratuita, y que la ofrezca el propio editor.

### Específico

Cada finalidad necesita su propio consentimiento. Un "acepto todo" que mezcla analítica, publicidad y cesión a terceros en una sola casilla no permite elegir por finalidad. Por eso los avisos serios ofrecen una segunda capa con categorías, como explicamos en [el banner de cookies que exige el RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

### Informado

Antes de dar su consentimiento, la persona debe ser informada (art. 7.3). En una web, eso significa saber quién trata los datos, para qué y cómo retirar el consentimiento, con un lenguaje claro y de fácil acceso. Cuando el consentimiento se pide dentro de un texto más largo, la solicitud debe distinguirse claramente de los demás asuntos (art. 7.2).

### Inequívoco

Tiene que haber una clara acción afirmativa. La Guía de la AEPD (p. 23) lo traduce así para cookies: el usuario debe realizar una acción afirmativa evidente y seguir navegando no es una conducta de la que pueda derivarse la aceptación. Tampoco valen las opciones premarcadas a favor de aceptar (p. 22).

## Las condiciones del artículo 7

Además de la definición, el artículo 7 impone cuatro condiciones que afectan directamente a lo que implementas:

1. **Demostrar (7.1).** El responsable debe ser capaz de demostrar que el interesado consintió. Es la base del [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).
2. **Distinguir la solicitud (7.2).** Si el consentimiento va en una declaración que trata otros asuntos, se presenta de forma que se distinga claramente, con lenguaje claro y sencillo.
3. **Poder retirarlo (7.3).** La persona puede retirar su consentimiento en cualquier momento, y será tan fácil retirarlo como darlo. La retirada no afecta a la licitud del tratamiento anterior.
4. **No condicionar (7.4).** Se tiene en cuenta si el contrato o el servicio se supedita al consentimiento para datos que no son necesarios.

> ¿Quieres comprobar si tu aviso cumple estas condiciones? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y revisa tu web con la lista de este artículo.

## Por qué importa cumplirlos

El RGPD agrupa las condiciones del consentimiento (arts. 5, 6, 7 y 9) entre las infracciones que se pueden sancionar con multas de hasta 20 millones de euros o, para una empresa, el 4 % del volumen de negocio total anual global, optando por la cuantía mayor (art. 83.5). Son los máximos del Reglamento, no la multa habitual, y no deben leerse como una predicción.

La LOPDGDD, por su parte, califica como infracción muy grave el incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento (art. 72.1.c), con un plazo de prescripción de tres años. Puedes ver cómo actúa la autoridad en [multas y sanciones de la AEPD](https://goadopt.io/es/blog/aepd-multas-sanciones-incumplimiento-rgpd/).

## El consentimiento en cada situación de tu web

Los requisitos son los mismos, pero se aplican de forma distinta en cada punto de contacto.

| Situación | Cuenta como consentimiento | No cuenta |
|---|---|---|
| Cookies de analítica o publicidad | Pulsar "Aceptar" o guardar una selección, con un botón de rechazar al mismo nivel | Seguir navegando, hacer scroll o cerrar el aviso |
| Casilla de newsletter en un formulario | Una casilla vacía que la persona marca, con un texto específico | Una casilla premarcada o unida a los términos de uso |
| Alta en un servicio | Un consentimiento separado de los términos y condiciones | Un único "acepto" que lo junta todo |
| Correo comercial | Autorización expresa previa, salvo la excepción del cliente actual | Enviar sin que se haya solicitado ni autorizado |
| Menores de 14 años | El consentimiento de quien ejerza la patria potestad o tutela | El del propio menor |

Dos matices sobre esta tabla. Para las altas, la Guía de la AEPD (p. 24) admite pedir el consentimiento de las cookies en el alta, pero separado de la aceptación de los términos y condiciones de uso. Para los menores, la LOPDGDD (art. 7) establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años.

### El correo comercial tiene su propia norma

Para el correo electrónico publicitario, además del RGPD, aplica el artículo 21 de la LSSI: queda prohibido enviar comunicaciones publicitarias por correo electrónico u otro medio equivalente que no hubieran sido solicitadas o expresamente autorizadas por los destinatarios.

El apartado 2 recoge una excepción: cuando hay una relación contractual previa, el prestador obtuvo lícitamente los datos y los usa para comunicaciones sobre productos o servicios similares a los contratados, y ofrece un procedimiento sencillo y gratuito para oponerse. Esa excepción es de la LSSI y se refiere al envío. Cómo encaja con el RGPD en cada caso conviene validarlo con el delegado de protección de datos o con asesoría jurídica.

### Las cookies exentas no necesitan consentimiento

El artículo 22.2 de la [LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) condiciona el uso de dispositivos de almacenamiento y recuperación de datos al consentimiento, tras información clara y completa, y exceptúa el acceso o almacenamiento técnico necesarios para transmitir una comunicación o, si es estrictamente necesario, para prestar un servicio que el usuario ha solicitado expresamente.

## Cómo hacerlo bien en la práctica

Un consentimiento válido es el resultado de una cadena de decisiones, no de una pantalla. Esto es lo que suele marcar la diferencia:

- **Una finalidad, una elección.** Separa analítica, publicidad y cesión a terceros.
- **Nada premarcado.** Todo lo opcional empieza desactivado.
- **Rechazar tan fácil como aceptar.** Mismo nivel, mismo peso, misma capa.
- **Retirada permanente.** Un acceso visible en cualquier página para cambiar la elección.
- **Información antes de decidir.** Quién, para qué y cómo retirar, en lenguaje llano.
- **Prueba guardada.** Un registro individual con fecha, hora, versión del aviso y elección.

Una [CMP](https://goadopt.io/es/blog/que-es-una-cmp/) como AdOpt ayuda a ejecutar esa cadena, pero la base legal de cada tratamiento y la redacción de los textos siguen siendo decisiones del responsable.

## Errores que debilitan el consentimiento

1. **Tratar el scroll o seguir navegando como aceptación.**
2. **Una única casilla "acepto todo"** para finalidades distintas.
3. **Agrupar el consentimiento con los términos de uso.**
4. **Dificultar el rechazo**, con más clics o menos visibilidad que el aceptar.
5. **No poder demostrarlo**, por no guardar un registro individual con fecha y versión.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres comprobar cómo queda en tu web, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre consentimiento

- [Plataforma de gestión del consentimiento (CMP): qué debe cumplir](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/)
- [Consentimiento de cookies: qué exige la ley en España](https://goadopt.io/es/blog/consentimiento-de-cookies/)

## Preguntas frecuentes

### ¿Cuáles son los requisitos de un consentimiento válido según el RGPD?

El artículo 4.11 exige una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. A eso se suman las condiciones del artículo 7: poder demostrarlo, distinguirlo de otros asuntos, poder retirarlo tan fácilmente como se dio y no condicionar un contrato a un consentimiento innecesario.

### ¿Vale el consentimiento si la persona sigue navegando?

No. El considerando 32 del RGPD dice que el silencio, las casillas premarcadas o la inacción no constituyen consentimiento, y la Guía de cookies de la AEPD indica que seguir navegando no es una conducta de la que pueda derivarse la aceptación de cookies. Hace falta una acción afirmativa clara, como pulsar un botón de aceptar.

### ¿Hay que pedir consentimiento para todos los tratamientos de datos?

No. El consentimiento es una de las bases legales del artículo 6 del RGPD, junto con el contrato, la obligación legal o el interés legítimo, entre otras. Cada tratamiento necesita la base que le corresponda. Si eliges el consentimiento, deben cumplirse todas sus condiciones. La elección de la base conviene validarla con el delegado de protección de datos.

### ¿A partir de qué edad pueden consentir los menores en España?

La LOPDGDD, en su artículo 7, establece que el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años. Para los menores de esa edad, el tratamiento basado en consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

### ¿Cómo demuestro que una persona consintió?

Con un registro individual: identificador de la persona, fecha y hora, qué se aceptó o rechazó por finalidad y la versión de los textos que se mostraron. El artículo 7.1 del RGPD obliga al responsable a poder demostrarlo, y una captura del banner o una estadística de aceptaciones no basta como prueba individual.

[¿Quieres revisar si tu consentimiento cumple estos requisitos? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Consentimiento RGPD: requisitos de validez y cómo cumplirlos

Una plataforma de gestión del consentimiento (CMP, por sus siglas en inglés) es la herramienta que instalas en tu web para informar a las personas, recoger su elección sobre las cookies y respetarla después. La AEPD la reconoce como una forma válida de obtener el consentimiento, pero solo si cumple unos requisitos concretos.

Este artículo se centra en eso: qué exige la Guía de cookies de la AEPD a una CMP, cómo comprobar que la tuya lo cumple y cómo ponerla en marcha sin romper nada. Si lo que buscas es la explicación general, empieza por [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) y vuelve aquí cuando vayas a elegir o a instalar una.

## Qué dice la AEPD de una CMP

La [Guía sobre el uso de las cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf), en su edición de mayo de 2024, menciona las CMP en tres sitios, y conviene leerlos juntos.

En el apartado sobre información (p. 16), dice que las CMP que cumplan los requisitos y garantías del Anexo pueden ser una solución para dar la información sobre las cookies de terceros. En el apartado sobre cómo obtener el consentimiento (p. 25), las incluye entre los métodos apropiados, "en la medida en que" cumplan esos mismos requisitos.

El Anexo (apartado V.a, pp. 36 y 37) define la CMP como una herramienta que se instala en el soporte del editor y que permite a cualquier responsable del uso de cookies cumplir sus deberes de información y de recogida del consentimiento. Para que sea válida, debe permitir a quienes la utilizan cumplir la normativa: ser transparente, obtener un consentimiento válido y respetar después las opciones elegidas, incluida su revocación.

### Lo que la Guía pide, y lo que no dice

La Guía añade que estas plataformas deberán someterse a auditorías o revisiones que validen el cumplimiento de esos requisitos. Hay una consecuencia práctica: instalar una CMP no te exime de comprobarla. Tampoco la Guía te dice qué producto elegir, y ninguna herramienta cumple por el simple hecho de llamarse CMP.

Lo que sí hace la Guía es fijar el listón con el que medir cualquier plataforma. Ese listón es la lista de la siguiente sección.

## Los requisitos que debe cumplir una CMP

La tabla recoge los criterios que la Guía de la AEPD y el RGPD fijan para el aviso y para el mecanismo de consentimiento. Sirve para evaluar una plataforma antes de contratarla y para revisarla después.

| Requisito | De dónde sale | Cómo comprobarlo |
|---|---|---|
| Información clara antes de decidir, con enlace a una segunda capa | Guía, apartado 3.1 (p. 20) | La primera capa dice qué cookies y para qué, y enlaza a la política |
| Rechazar en la misma capa y al mismo nivel que aceptar | Guía, apartado 3.2 (pp. 23 y 24) | Mismo sitio, mismo tamaño y misma visibilidad, sin ir a otra capa |
| Colores y contraste no engañosos | Guía (p. 21) | El botón de rechazar se lee tan bien como el de aceptar |
| Sin casillas premarcadas a favor de aceptar | Guía (p. 22) | En la segunda capa, todo lo opcional empieza desactivado |
| Seguir navegando no es consentimiento | Guía (p. 23), citando al CEPD | Nada se activa por hacer scroll ni por cambiar de página |
| Consentimiento previo a la instalación de cookies no exceptuadas | LSSI, art. 22.2, y Guía 3.2.5 (p. 28) | Con la ventana limpia, no hay cookies publicitarias ni analíticas antes de decidir |
| Retirar el consentimiento tan fácil como darlo | RGPD, art. 7.3, y Guía 3.2.9 (p. 29) | Hay un acceso permanente para cambiar la elección |
| Poder demostrar que se consintió | RGPD, art. 7.1 | Puedes encontrar tu propia elección en el registro |
| Conservar la elección y no preguntar en cada visita | Guía 3.2.8 (p. 29) | La elección se recuerda y caduca en un plazo razonable |

Sobre este último punto, la Guía recomienda como buena práctica que la validez del consentimiento para una cookie no supere los 24 meses y que, durante ese tiempo, se conserve la selección sin pedir un nuevo consentimiento en cada visita. Lo desarrollamos en [cuánto dura el consentimiento de cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

> ¿Quieres ver cómo se comporta una CMP real en tu web? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y haz las pruebas de este artículo.

## Cómo implementar una CMP en cinco pasos

El orden importa más que la herramienta. Estos son los cinco pasos que ponen a una CMP en producción con garantías.

### 1. Inventario antes de instalar

La CMP solo puede pedir permiso por lo que sabe que existe. Escanea las páginas principales de tu web y anota cada cookie y cada tag, con quién la puso y para qué. El [escáner de cookies](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/) es la base, y la Guía de la AEPD recomienda repetir esa revisión de forma periódica.

### 2. Decisiones que la plataforma no toma por ti

Cada cookie necesita una finalidad y una categoría. La Guía distingue entre cookies técnicas (que no requieren consentimiento si son estrictamente necesarias para un servicio que el usuario ha pedido) y las de preferencias, análisis y publicidad comportamental. Clasificar por conveniencia, no por finalidad real, es el error que más pesa después.

Antes de instalar, revisa también tu [política de cookies](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/): lo que declara debe coincidir con lo que el escáner encontró.

### 3. Instalación en el orden correcto

La CMP debe cargarse antes que las tags que dependen de la elección. La documentación de Google lo explica para el Consent Mode: el orden del código es decisivo y, si el código de consentimiento se llama fuera de orden, los valores por defecto no funcionan. En Google Tag Manager, el activador "Consent Initialization - All Pages" se dispara antes que cualquier otra tag.

Con AdOpt, la regla práctica es la misma: el script va en el `head`, antes del fragmento de Google Tag Manager. El comando `default` fija el estado inicial, el comando `update` informa de la elección en cuanto la persona interactúa y `wait_for_update` define cuánto esperan las tags a esa respuesta. Los detalles están en el [Consent Mode de principiante a avanzado](https://goadopt.io/es/blog/google-consent-mode-guia-de-principiante-a-avanzado/).

### 4. Configuración del aviso

Primera capa con tres salidas: aceptar, rechazar y configurar, con el mismo peso visual. Segunda capa con categorías claras, descripción de usos y todo lo opcional desactivado por defecto. Un acceso permanente para volver a las preferencias. Y una validez de la elección que no obligue a preguntar en cada visita. En AdOpt puedes ajustar la validez de la cookie de consentimiento para forzar una nueva elección pasados unos días.

Para el desglose de cada decisión de diseño, consulta [el banner de cookies que exige el RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/).

### 5. Pruebas antes de publicar

Las pruebas son lo que convierte una instalación en un cumplimiento verificable. La siguiente sección las detalla.

## Las pruebas que deberías hacer antes de publicar

Un aviso que aparece y cuyos botones responden demuestra que existe, no que cumple lo que promete. Estas pruebas comprueban el comportamiento. Haz cada una en una ventana de incógnito, con el panel de red del navegador abierto.

| Prueba | Cómo hacerla | La pasas si |
|---|---|---|
| Ventana limpia | Abrir la web sin pulsar nada | No hay cookies analíticas ni publicitarias de terceros antes de decidir |
| Rechazo respetado | Rechazar todo y navegar por tres páginas | Solo quedan las cookies necesarias y la de la propia CMP |
| Aceptación parcial | Aceptar solo una categoría | Solo aparecen las cookies de esa categoría |
| Revocación | Aceptar, abrir las preferencias y rechazar | Esas cookies dejan de grabarse |
| Nueva visita | Cerrar y reabrir el navegador | La elección se recuerda y el aviso no reaparece |
| Teclado y móvil | Recorrer el aviso con Tab y en el móvil | Todos los botones se alcanzan y se leen bien |
| Registro | Buscar tu propia elección en el panel | Fecha, hora, lo aceptado o rechazado y las versiones de los documentos |

Una precisión sobre el Consent Mode avanzado: tras rechazar es normal ver peticiones a las tags de Google, porque en ese modo cargan con el consentimiento denegado y sin guardar cookies, como explica la [documentación de Google Analytics](https://support.google.com/analytics/answer/9976101). No significa que el bloqueo haya fallado.

## Lo que ninguna CMP hace por ti

Una CMP ejecuta las decisiones que tomes. Tres cosas siguen siendo tuyas.

- **La clasificación de cada cookie.** El escáner sugiere, pero la finalidad real la conoce quien conoce el negocio.
- **Los documentos.** La política de cookies y la de privacidad deben decir lo mismo que hace la web, y actualizarse cuando cambie.
- **Los terceros.** La Guía recuerda que, cuando hay cookies de terceros, el editor y esos terceros pueden ser corresponsables. El editor debe asegurarse de que se da la información y de que existen mecanismos para gestionar el consentimiento, ya sea por contrato o mediante una CMP.

A cambio, una CMP bien configurada ahorra el trabajo repetitivo: bloquea antes de la elección, aplica la decisión, guarda la prueba y te avisa de lo nuevo. Esa es la diferencia con un banner suelto, que explica [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/) con más detalle.

## Mantenimiento: lo que viene después

Una web cambia, y la CMP tiene que cambiar con ella. La Guía (apartado 3.2.7) indica que, si cambian las finalidades de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo.

Cuando se instala una tag nueva con una finalidad distinta, el consentimiento anterior ya no cubre esa tag. Reescanea con la frecuencia que decidas y después de cada campaña, cambio de plantilla o nueva integración, como explicamos en [por qué escanear y volver a escanear tu web](https://goadopt.io/es/blog/por-que-escanear-cookies-sitio-web-rgpd/).

El consentimiento puede ser sencillo. Lo difícil es lo que no se ve, y para eso sirve una CMP bien instalada. Si quieres revisarlo con el equipo de AdOpt a tu lado, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días y recorre estas pruebas en tu web.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento RGPD: requisitos de validez y cómo cumplirlos](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/)
- [Registro de consentimientos: cómo probar el consentimiento](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/)

## Preguntas frecuentes

### ¿Es obligatorio usar una CMP en España?

No hay una obligación de usar una CMP concreta. La obligación es obtener un consentimiento válido antes de instalar cookies no exceptuadas, y poder demostrarlo. La Guía de la AEPD reconoce las CMP como un método apropiado siempre que cumplan sus requisitos, así que es una forma práctica de cumplir, no la única posible.

### ¿Una CMP certificada garantiza el cumplimiento?

No por sí sola. La Guía de la AEPD pide que las CMP se sometan a auditorías o revisiones que validen sus requisitos, pero la configuración sigue siendo tuya: categorías, documentos, bloqueo previo y pruebas. Por eso conviene comprobar el comportamiento con la ventana limpia y los demás tests antes de publicar.

### ¿Qué diferencia hay entre un banner de cookies y una CMP?

El banner es la parte visible: informa y ofrece opciones. La CMP es la infraestructura que lo hace funcionar: escanea las cookies, bloquea lo que no se ha aceptado, aplica la elección y guarda la prueba. Un banner sin esa infraestructura puede parecer correcto y dejar que las tags se disparen antes de la decisión.

### ¿Qué hago si cambio de plataforma?

Antes de cambiar, comprueba si puedes exportar el historial de consentimientos y en qué formato, porque sin él pierdes la prueba de las elecciones anteriores. Después, repite el inventario y las pruebas con la nueva herramienta, porque cada plataforma se instala y se comporta a su manera.

### ¿Cada cuánto debo revisar la configuración de la CMP?

No hay un plazo legal fijo. La Guía de la AEPD recomienda revisar las cookies periódicamente para mantener la información actualizada. Una regla práctica es reescanear a intervalos fijos y siempre que cambie algo: una campaña, un plugin o la plantilla. Cada tag nueva con otra finalidad exige revisar categorías y política.

[¿Quieres poner tu CMP en marcha con estas pruebas? Habla con el equipo de AdOpt](https://goadopt.io/) y vemos juntos qué necesita tu web.


Plataforma de gestión del consentimiento (CMP): qué debe cumplir

El registro de consentimientos es el historial individual de cada elección que hace una persona en tu aviso de cookies: quién la hizo, cuándo, qué texto vio y qué aceptó o rechazó. El RGPD obliga al responsable a ser capaz de demostrar que el interesado consintió, y ese registro es la forma de hacerlo.

Un banner en la web no es una prueba. Tampoco lo es una captura de pantalla. Una [CMP](https://goadopt.io/es/blog/que-es-una-cmp/) existe, entre otras cosas, para guardar esa evidencia. Aquí verás qué dice la norma, qué campos debe tener un buen registro, qué no vale como prueba y cómo decidir cuánto tiempo conservarlo, sin inventar plazos que la ley no fija.

## Qué dice la norma sobre demostrar el consentimiento

Todo parte de dos artículos del [texto del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf):

- **Artículo 7.1:** cuando el tratamiento se base en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales.
- **Artículo 5.2:** el responsable cumple los principios y debe ser capaz de demostrarlo, lo que se conoce como responsabilidad proactiva.

El considerando 42 repite la idea: el responsable debe poder demostrar que el interesado ha dado su consentimiento a la operación de tratamiento. En la práctica, si alguien afirma que nunca aceptó, quien debe demostrar lo contrario es tu empresa.

La [Guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (edición de mayo de 2024) añade un matiz útil en su apartado 3.2 (p. 23): obtener el consentimiento con un clic u otra conducta similar facilita la prueba de que se ha obtenido. Y exige una clara acción afirmativa, algo que un registro debe reflejar.

## Qué debe demostrar un registro

Cada rasgo del consentimiento válido se convierte en una pregunta que el registro tiene que poder responder. La tabla relaciona la exigencia con lo que conviene guardar.

| Exigencia | Fuente | Qué debe mostrar el registro |
|---|---|---|
| Acción afirmativa | RGPD, art. 4.11 y considerando 32 | Que hubo una elección activa, no silencio ni seguir navegando |
| Informado | RGPD, art. 7.3 | Qué versión del aviso y de la política se mostró en ese momento |
| Específico | RGPD, considerando 32 | Qué se aceptó y qué se rechazó, por categoría o finalidad |
| Quién y cuándo | RGPD, art. 7.1 | Un identificador y la fecha y la hora de la elección |
| Retirable | RGPD, art. 7.3 | Cada cambio posterior, incluida la retirada |
| Cambios en el uso de cookies | Guía de la AEPD, 3.2.7 | Cuándo cambiaron finalidades o terceros y si se pidió una nueva elección |

La Guía (3.2.7) indica que, si cambian los fines de las cookies o los terceros después de haber obtenido el consentimiento, hay que actualizar la información y permitir que la persona decida de nuevo. Un buen registro deja constancia de cada una de esas decisiones.

## Los campos de un buen registro

No existe un formato oficial único. Este conjunto suele bastar para responder a las seis preguntas anteriores:

- **Identificador** que vincule la elección a un navegador o a una cuenta, sin exponer más dato personal del necesario.
- **Fecha y hora** de la elección y de cada modificación.
- **Elecciones por categoría o finalidad**, con lo aceptado y lo rechazado.
- **Versión del aviso** mostrado y **versiones de la política de cookies y de la política de privacidad** vigentes en ese momento.
- **Histórico**, de modo que una retirada o una actualización se añadan como eventos y no sobrescriban lo anterior.

En AdOpt, el Consent Log guarda la elección de la persona con fecha y hora, las tags y las cookies aceptadas o rechazadas y las versiones de los documentos. El vínculo con el visitante se hace mediante un CookieID único en el navegador. El CookieID une la elección con el registro, y la prueba es el registro.

### Guarda lo necesario y protégelo

El propio registro es un dato personal y le aplican los principios de minimización y de seguridad. El artículo 5 del RGPD pide que los datos sean adecuados, pertinentes y limitados a lo necesario, y que se traten con una seguridad adecuada, incluida la protección frente al tratamiento no autorizado.

Por eso conviene preguntar a cualquier proveedor dónde y cómo se almacenan los registros. AdOpt indica que los consentimientos se guardan en una base de datos cifrada, con infraestructura replicada. Para el marco general, consulta [seguridad de datos en el consentimiento](https://goadopt.io/es/blog/seguridad-de-datos-en-el-consentimiento/).

> ¿Quieres ver cómo queda el registro de una elección real? [Empieza gratis](https://goadopt.io/) y consulta el Consent Log durante la prueba de 30 días de AdOpt.

## Lo que no sirve como prueba

Hay evidencias que parecen buenas y no aguantan una pregunta firme:

- **La captura del banner.** Muestra cómo era el aviso un día, no que una persona concreta lo viera y aceptara.
- **El número agregado de aceptaciones.** Es una estadística útil para medir, pero no identifica la elección de nadie.
- **La configuración actual del panel.** Dice cómo está el aviso hoy, y la pregunta casi siempre es cómo estaba entonces.
- **La cookie del navegador de la persona.** Está en su dispositivo, puede borrarse y no la controlas tú.
- **El registro de acciones de los administradores.** Sirve para auditar quién cambió qué en la plataforma, pero no recoge la elección de ningún visitante.

La pregunta que separa una prueba de un adorno es sencilla: con esto en la mano, ¿puedes mostrar la elección de una persona concreta, en una fecha concreta, ante un texto concreto?

## Cuánto tiempo conservar el registro

Ni el RGPD ni la Guía de la AEPD fijan un plazo para conservar el registro de consentimientos. Lo que sí establece el RGPD, en su artículo 5, es el principio de limitación del plazo de conservación: los datos no deben mantenerse más tiempo del necesario para los fines del tratamiento.

No confundas dos plazos distintos. La Guía recomienda como buena práctica que el consentimiento para una cookie no tenga una validez superior a 24 meses (apartado 3.2.8, p. 29). Eso habla de cuándo volver a preguntar a la persona, no de cuánto tiempo guardar la prueba.

Para fijar el tuyo, hay un criterio que muchas empresas valoran: los plazos de prescripción de las infracciones de la LOPDGDD, que son de tres años para las muy graves (art. 72), dos para las graves (art. 73) y uno para las leves (art. 74). El incumplimiento de los requisitos del artículo 7 del RGPD para la validez del consentimiento figura entre las muy graves. Es un criterio a valorar, no una obligación de conservar durante ese plazo.

Decide el plazo con tu delegado de protección de datos o con asesoría jurídica, anota el criterio y regístralo junto con el resto de plazos de conservación.

## Para qué se usa el registro

El registro solo vale si se puede recuperar cuando hace falta. Tres situaciones lo ponen a prueba.

### Cuando alguien cuestiona su consentimiento

Localiza la elección, comprueba la fecha y la versión de los documentos y responde con esos datos. Hay un límite que conviene reconocer: si la persona no estaba identificada, el registro se asocia al navegador y quizá no puedas saber cuál es "el suyo" sin información adicional. Acuerda con tu delegado de protección de datos cómo se gestionará ese caso antes de que ocurra.

### Cuando te lo pide la autoridad

Si la AEPD o cualquier otro interesado te pide justificar el consentimiento, el conjunto útil tiene cuatro piezas: el registro de la elección, la versión de los documentos que estaba vigente, el inventario de cookies de aquella fecha y la configuración de bloqueo. El registro responde a la mitad de la pregunta, y la otra mitad es demostrar que el aviso y la web eran coherentes. Ahí ayuda [reescanear la web periódicamente](https://goadopt.io/es/blog/por-que-escanear-cookies-sitio-web-rgpd/) y guardar la fecha de cada resultado.

### Cuando cambias de proveedor

Cambiar de CMP sin llevarte el historial borra tu capacidad de probar las elecciones anteriores. Antes de contratar, pregunta si puedes exportar los registros y en qué formato.

## Cómo comprobar que tu registro funciona

Las pruebas básicas de una CMP, entre ellas la del registro, están en [qué es una CMP](https://goadopt.io/es/blog/que-es-una-cmp/). Para el registro en concreto, añade tres comprobaciones:

1. **La elección propia.** Acepta una categoría, rechaza otra y busca tu consentimiento en el panel. Deben estar la fecha, la hora, las categorías y las versiones.
2. **La versión.** Cambia un texto de la política, publica, acepta de nuevo y comprueba que el registro nuevo apunta a la versión nueva y el antiguo sigue apuntando a la anterior.
3. **La retirada.** Abre las preferencias, rechaza lo que habías aceptado y comprueba que el cambio aparece como un evento nuevo, con fecha y hora, sin borrar la aceptación anterior.

Si alguna falla, lo que tienes es un contador de aceptaciones, no una prueba.

## Cinco errores que debilitan la prueba

1. **Guardar solo el recuento** y perder la elección individual.
2. **No versionar los documentos**, y no poder decir qué vio la persona.
3. **Sobrescribir la elección anterior** en lugar de añadir un evento.
4. **Guardar o borrar sin criterio**, en lugar de fijar un plazo justificado.
5. **Ignorar la retirada**, que también necesita registro y un procedimiento tan fácil como el de aceptar.

El consentimiento puede ser sencillo de pedir y sencillo de probar. Si quieres un registro que responda a estas preguntas sin trabajo manual, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento RGPD: requisitos de validez y cómo cumplirlos](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/)
- [Plataforma de gestión del consentimiento (CMP): qué debe cumplir](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/)

## Preguntas frecuentes

### ¿Qué es un registro de consentimientos?

Es el historial individual de cada elección en el aviso de cookies: identificador, fecha y hora, qué se aceptó o rechazó y la versión del aviso y de los documentos. Permite al responsable demostrar, si se le pide, que el interesado consintió, como exige el artículo 7.1 del RGPD.

### ¿Quién tiene que demostrar que se dio el consentimiento?

El responsable del tratamiento. El artículo 7.1 del RGPD dice que debe ser capaz de demostrar que el interesado consintió, y el artículo 5.2 recoge la responsabilidad proactiva. Si una persona afirma que no aceptó, tu empresa necesita un registro individual con fecha y versión de los textos.

### ¿Sirve una captura de pantalla del banner como prueba?

No como prueba principal. Muestra cómo era el aviso en un momento, pero no que una persona concreta lo viera y aceptara. Lo que sustenta la prueba es el registro individual de cada elección, con fecha, hora, categorías aceptadas o rechazadas y la versión de los documentos mostrados.

### ¿Cuánto tiempo hay que conservar el registro de consentimientos?

El RGPD y la Guía de la AEPD no fijan un plazo concreto. Rige el principio de limitación del plazo de conservación. Los 24 meses de la Guía son la validez recomendada del consentimiento de una cookie, no un plazo de conservación. Fija el tuyo con el delegado de protección de datos y documenta el criterio.

### ¿Hay que registrar también la retirada del consentimiento?

Sí. La persona puede retirar su consentimiento en cualquier momento y debe ser tan fácil como darlo (art. 7.3 del RGPD). La retirada debe quedar en el historial como un evento con fecha y hora, sin borrar la aceptación anterior, para que el registro muestre qué estaba vigente en cada periodo.

[¿Necesitas un registro de consentimientos que sirva como prueba? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Registro de consentimientos: cómo probar el consentimiento

Adecuar una página web al RGPD consiste en saber qué datos recoge, justificar por qué los trata, informar a las personas, darles medios para ejercer sus derechos y poder demostrarlo. No hay un trámite único ni un certificado: es un conjunto de decisiones que se ordenan en una lista y se repiten con el tiempo.

Esta guía te da esa lista en ocho pasos. En cada paso marcamos qué viene de la ley y qué es una recomendación práctica, porque no todo lo útil es obligatorio y conviene no confundirlo. Si prefieres entender primero las normas, empieza por [qué es la LOPDGDD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/).

## Antes de empezar: qué es ley y qué es recomendación

Cada paso de la lista lleva una etiqueta:

- **Ley:** deriva de un artículo del [RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf), de la [LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673) o de la LSSI, y se cita.
- **Recomendación:** es una práctica que facilita cumplir y demostrar, pero la norma no la impone tal cual.

El principio de fondo es la responsabilidad proactiva. El artículo 5.2 del RGPD dice que el responsable debe cumplir los principios y ser capaz de demostrarlo. Cada paso de abajo te ayuda a que esa demostración sea posible.

## Paso 1. Haz el inventario de datos y de cookies

**Recomendación**, con una base legal clara: la [Guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (p. 15) recomienda revisar las cookies que usas, ya sea internamente o con ayuda especializada, e identificar si son propias o de terceros, de sesión o persistentes, y cuál es su función. También recomienda repetir esa revisión periódicamente.

Haz dos listas:

1. **Datos que recoges:** formularios de contacto, registros, newsletter, pedidos, comentarios.
2. **Cookies y tecnologías similares:** las que instala tu web y las de terceros (analítica, publicidad, vídeo, mapas, chat).

Para la segunda, un [escáner de cookies](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/) te da el inventario real, que casi nunca coincide con el que recuerdas.

## Paso 2. Asigna una base legal a cada tratamiento

**Ley.** El artículo 6.1 del RGPD exige que cada tratamiento se apoye en al menos una de las seis bases legales. Para cada fila de tu inventario, anota cuál aplica: consentimiento, contrato, obligación legal, interés legítimo u otra.

Dos reglas te ahorran dudas. Si instalas cookies no exceptuadas, la base es el consentimiento por el artículo 22.2 de la LSSI. Y si usas el interés legítimo, necesitas una evaluación y debes informar de él. Te lo explicamos en [interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).

## Paso 3. Informa por capas

**Ley.** El artículo 13 del RGPD exige facilitar la información cuando recoges datos de la persona. La LOPDGDD (art. 11) permite hacerlo por capas: una información básica y un medio para acceder de forma sencilla e inmediata al resto.

La información básica debe incluir, como mínimo, la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. Si elaboras perfiles, hay que indicarlo.

En una web esto se traduce en:

- Un texto breve junto a cada formulario, con esos tres elementos y un enlace.
- Una política de privacidad completa, accesible desde el pie de todas las páginas.
- Un aviso de cookies que cumpla lo mismo para las cookies, con enlace a la política de cookies.

Para esta última, tienes un modelo en [política de cookies: ejemplo](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

> ¿Quieres que el aviso de cookies y su segunda capa estén siempre al día con lo que instala tu web? [Empieza gratis](https://goadopt.io/) y prueba AdOpt durante 30 días.

## Paso 4. Configura el aviso y el consentimiento de cookies

**Ley**, en lo esencial: el artículo 22.2 de la LSSI y el RGPD exigen consentimiento informado para las cookies no exceptuadas. La guía de la AEPD (p. 23) precisa que hace falta una clara acción afirmativa, que rechazar debe poder hacerse en la misma capa y al mismo nivel que aceptar y que seguir navegando no vale.

**Recomendación**, para comprobarlo: antes de publicar, abre tu web en una ventana privada y verifica que no se instala ninguna cookie no exceptuada antes de elegir. El detalle de cada requisito está en [guía de cookies de la AEPD](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/).

## Paso 5. Prepara el ejercicio de derechos

**Ley.** El artículo 12 de la LOPDGDD establece cuatro cosas que afectan a tu web:

- Debes informar de los medios disponibles para ejercer los derechos.
- Esos medios deben ser fácilmente accesibles.
- No puedes denegar el ejercicio por el solo motivo de que la persona haya elegido otro medio.
- La prueba de haber cumplido el deber de responder recae sobre ti.

También dice que las actuaciones para atender las solicitudes son gratuitas, con las excepciones previstas en el RGPD y en el artículo 13 de la propia ley.

**Recomendación:** publica una dirección de contacto o un formulario específico, nombra a la persona o al equipo que lo atiende y anota la fecha de cada solicitud y de cada respuesta. Si no puedes demostrar cuándo contestaste, el reparto de la prueba juega en tu contra.

## Paso 6. Revisa los contratos con terceros

**Ley**, en parte: cada responsable responde del tratamiento en el que interviene. La Guía de la AEPD (pp. 31 a 33) explica que, cuando usas cookies de terceros, editor y terceros tienen que garantizar que se informa y se obtiene el consentimiento, y añade que la responsabilidad administrativa no se puede desplazar por contrato.

**Recomendación:** la guía aconseja incluir en los contratos con terceros cláusulas que aseguren la información a los usuarios, la forma de obtener un consentimiento válido y de revocarlo, y las consecuencias de la revocación. El artículo 28 de la LOPDGDD, además, pide a responsables y encargados determinar las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento cumple la norma, y valorar si procede una evaluación de impacto.

Haz una lista de los proveedores que reciben datos de tu web (analítica, correo, publicidad, alojamiento) y comprueba que tienes el contrato o las condiciones de cada uno.

## Paso 7. Ten en cuenta a los menores

**Ley.** El artículo 7 de la LOPDGDD fija en 14 años la edad desde la que un menor puede consentir el tratamiento de sus datos. Por debajo, el tratamiento fundado en consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

Si tu web no está dirigida a menores ni permite registros, anota que has valorado el punto y por qué no aplica. Si lo está, diseña el alta para pedir ese consentimiento.

## Paso 8. Guarda las pruebas y revisa periódicamente

**Ley.** El artículo 7.1 del RGPD obliga a poder demostrar que la persona consintió, y el 5.2 recoge la responsabilidad proactiva. Para las cookies, eso significa un registro individual de cada elección. Cómo montarlo está en [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).

**Recomendación:** fija una fecha de revisión. La Guía de la AEPD (p. 15) recomienda revisar las cookies periódicamente, porque la gestión y el uso cambian. Una buena regla es repetir la revisión cada vez que añadas una herramienta, cambies un proveedor o modifiques un formulario.

## Resumen en una tabla

| Paso | Qué haces | Tipo | Dónde se apoya |
|---|---|---|---|
| 1 | Inventario de datos y cookies | Recomendación | Guía AEPD, p. 15 |
| 2 | Base legal de cada tratamiento | Ley | RGPD, art. 6.1 |
| 3 | Información por capas | Ley | RGPD, art. 13; LOPDGDD, art. 11 |
| 4 | Aviso y consentimiento de cookies | Ley | LSSI, art. 22.2; Guía AEPD, p. 23 |
| 5 | Ejercicio de derechos | Ley | LOPDGDD, art. 12 |
| 6 | Contratos con terceros | Ley y recomendación | Guía AEPD, pp. 31 a 33; LOPDGDD, art. 28 |
| 7 | Menores | Ley | LOPDGDD, art. 7 |
| 8 | Pruebas y revisión periódica | Ley y recomendación | RGPD, arts. 5.2 y 7.1; Guía AEPD, p. 15 |

## Por dónde empezar si tienes poco tiempo

Si solo puedes hacer tres cosas esta semana, haz estas:

1. **Escanea tu web** y comprueba qué cookies instala de verdad.
2. **Revisa el aviso de cookies** con la lista del paso 4 y corrige lo que falle.
3. **Publica o actualiza tu política de privacidad** con la información básica del paso 3 y un medio claro para ejercer derechos.

Con eso cubres lo que más se ve desde fuera. El resto lo irás ordenando.

## Errores frecuentes

1. **Copiar una política de otra web.** Describe lo que hace la tuya, no la de otro.
2. **Hacer la adecuación una vez y olvidarla.** El inventario cambia cada vez que se añade una herramienta.
3. **Dar por buena la configuración sin probarla.** Comprueba en una ventana privada qué se carga antes de elegir.
4. **No guardar pruebas.** Sin registro, la responsabilidad proactiva se queda en una frase.

En AdOpt puedes hacer los pasos 1, 4 y 8 en un mismo sitio: la prueba de 30 días incluye el análisis de cookies de tu web y el Consent Log, donde ves cada elección con fecha, hora y versión de los documentos. [Prueba AdOpt gratis](https://goadopt.io/) y empieza por el escáner.

## Sigue aprendiendo sobre ley local

- [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/)
- [Base legal del RGPD: interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/)

## Preguntas frecuentes

### ¿Qué hay que hacer para adecuar una web al RGPD?

Inventariar los datos y las cookies, asignar una base legal a cada tratamiento, informar por capas, configurar el consentimiento de cookies, facilitar el ejercicio de derechos, revisar los contratos con terceros, tener en cuenta a los menores y guardar pruebas. Después, revisar todo periódicamente.

### ¿Es obligatorio tener política de privacidad en una web?

Si tu web recoge datos personales, debes informar a las personas conforme al artículo 13 del RGPD. La LOPDGDD (art. 11) permite hacerlo por capas, con una información básica y un acceso sencillo al resto. En la práctica, eso se materializa en una política de privacidad accesible desde todas las páginas.

### ¿Hay que registrar el consentimiento de las cookies?

El artículo 7.1 del RGPD obliga a poder demostrar que la persona consintió. La norma no impone un formato, pero un registro individual de cada elección, con fecha, hora, categorías y versión de los documentos, es la forma habitual de poder demostrarlo.

### ¿Cada cuánto hay que revisar la adecuación?

La ley no fija una periodicidad. La Guía de cookies de la AEPD recomienda revisar las cookies periódicamente porque su gestión y su uso cambian. Una buena práctica es repetir la revisión cada vez que añadas una herramienta, cambies de proveedor o modifiques un formulario de tu web.

### ¿Quién responde si un tercero instala cookies en mi web?

Cada parte responde de los tratamientos en los que interviene, y el editor debe asegurar que se informa y se pide el consentimiento sobre las cookies de terceros que incluye. La responsabilidad administrativa no se puede desplazar por contrato, aunque este sirva para repartir las tareas.

[¿Quieres ayuda para ordenar la adecuación de tu web? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Adecuación al RGPD de una página web: lista de comprobación paso a paso

El RGPD solo permite tratar datos personales si se cumple al menos una de seis condiciones, las bases legales del artículo 6.1. Para una web, las dos que más se discuten son el consentimiento y el interés legítimo. La diferencia práctica es esta: el consentimiento lo da la persona y puede retirarlo, mientras que el interés legítimo lo valora el responsable, con una evaluación que debe poder justificar.

Y hay una regla que decide el caso más habitual. Para las cookies que no son estrictamente necesarias, la LSSI exige consentimiento, así que el interés legítimo no sustituye al banner. Aquí verás las seis bases, cuándo encaja cada una, qué obligaciones acompañan al interés legítimo y cómo decidir sin inventar atajos.

## Las seis bases legales del artículo 6.1

El [artículo 6.1 del RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf) dice que el tratamiento solo es lícito si se cumple al menos una de estas condiciones:

| Letra | Base legal | En una web, por ejemplo |
|---|---|---|
| a | Consentimiento del interesado para uno o varios fines específicos | Suscripción a una newsletter, cookies de publicidad |
| b | Ejecución de un contrato o medidas precontractuales a petición del interesado | Datos de envío de un pedido |
| c | Cumplimiento de una obligación legal aplicable al responsable | Conservar datos de facturación |
| d | Protección de intereses vitales | Poco habitual en una web |
| e | Misión de interés público o ejercicio de poderes públicos | Propia de administraciones |
| f | Intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos del interesado | Prevención del fraude, algunos usos de datos de clientes |

No hay una base "preferida". El consentimiento no es más válido que las demás, ni el interés legítimo es un cajón de sastre. Cada tratamiento se apoya en la base que le corresponde, y debes poder explicar cuál es y por qué. Para el marco general, consulta la [guía completa del RGPD en España](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/).

## Qué es el interés legítimo

La letra f) permite el tratamiento cuando es necesario para satisfacer intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. El propio artículo añade una cautela: hay que tener especial cuidado cuando el interesado es un niño.

El considerando 47 del RGPD explica cómo se valora. El interés legítimo puede ser base jurídica siempre que no prevalezcan los derechos del interesado, teniendo en cuenta las expectativas razonables de las personas basadas en su relación con el responsable. Pone como ejemplo una relación pertinente y apropiada, como cuando el interesado es cliente del responsable.

El mismo considerando dice que la existencia de un interés legítimo requeriría "una evaluación meticulosa", y que hay que analizar si la persona puede prever razonablemente, en el momento y en el contexto de la recogida, que se hará ese tratamiento. Si no lo espera, sus derechos pueden prevalecer.

En la práctica, esa evaluación se suele resumir en tres preguntas:

1. ¿Qué interés persigues y es legítimo?
2. ¿Es necesario tratar esos datos para conseguirlo, o hay una forma menos intrusiva?
3. ¿Qué espera razonablemente la persona y qué impacto tiene en ella?

No existe un formulario oficial único que sustituya a tu análisis. Lo importante es que lo hagas antes de empezar y que quede por escrito.

## Qué es el consentimiento y qué lo distingue

El consentimiento (art. 6.1.a) es una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. La LOPDGDD lo repite en su artículo 6 y añade que, si cubre varias finalidades, debe constar de forma específica e inequívoca que se otorga para todas ellas. Los requisitos completos están en [consentimiento RGPD: requisitos de validez](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/).

Con el consentimiento, la decisión es de la persona. Con el interés legítimo, la valoración es tuya. Eso cambia tres cosas:

| | Consentimiento | Interés legítimo |
|---|---|---|
| Quién decide | La persona | El responsable, tras una evaluación |
| Se puede retirar | Sí, en cualquier momento | No existe "retirada", pero sí derecho de oposición |
| Qué debes poder demostrar | Que la persona consintió (art. 7.1) | Que el interés es legítimo, necesario y no prevalece |

## Qué obligaciones acompañan al interés legítimo

Elegir el interés legítimo no te libera de obligaciones. Te trae otras.

- **Informar.** Cuando recoges los datos de la persona y te apoyas en la letra f), el artículo 13.1.d del RGPD exige informar de cuáles son esos intereses legítimos del responsable o del tercero.
- **Atender la oposición.** El artículo 21.1 da derecho a oponerse en cualquier momento, por motivos relacionados con la situación particular, a un tratamiento basado en el interés legítimo. El responsable deja de tratar los datos, salvo que acredite motivos legítimos imperiosos que prevalezcan o que necesite los datos para reclamaciones.
- **Tratar la mercadotecnia directa de forma distinta.** Según el artículo 21.2 y 21.3, cuando el tratamiento tiene por objeto la mercadotecnia directa, la persona puede oponerse en todo momento y, si se opone, los datos dejan de tratarse para esos fines.
- **Avisar del derecho.** El artículo 21.4 pide mencionar explícitamente ese derecho, a más tardar en la primera comunicación, y presentarlo claramente y al margen de otra información.

Esto es lo contrario de "hacemos esto por interés legítimo y ya está". La base se elige y luego se sostiene, con transparencia y con un procedimiento para atender la oposición.

### Datos de contacto profesional

La LOPDGDD concreta un caso. Su artículo 19 presume, salvo prueba en contrario, que el tratamiento de los datos de contacto de las personas que prestan servicios en una persona jurídica se ampara en el interés legítimo. Solo opera si se tratan datos necesarios para la localización profesional y con la finalidad de mantener relaciones con esa persona jurídica. La misma presunción se aplica a empresarios individuales y profesionales liberales en esa condición.

Es una presunción, y con condiciones. No equivale a una autorización general para enviar publicidad. Más detalle en [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/).

> ¿Quieres registrar cada elección de tus usuarios para poder demostrarla? [Empieza gratis](https://goadopt.io/) y prueba AdOpt durante 30 días.

## El caso que más importa en una web: las cookies

Aquí se acaba la discusión teórica. El artículo 22.2 de la LSSI condiciona el uso de dispositivos de almacenamiento y recuperación de datos, como las cookies, al consentimiento del usuario tras recibir información clara y completa. Las únicas excepciones son el acceso técnico para transmitir una comunicación y lo estrictamente necesario para prestar un servicio expresamente solicitado.

La [Guía de cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) lo traduce así (p. 23): para las cookies no exceptuadas es necesario "en todo caso" obtener el consentimiento. Dicho de otro modo, no puedes decidir que tus cookies de analítica o de publicidad se amparan en el interés legítimo y saltarte el aviso. Para esas cookies, la base es el consentimiento y se pide antes de instalarlas.

La guía no trata el interés legítimo (no aparece en su texto), así que no hay una posición de la AEPD en ese documento que podamos citar sobre el tema. Lo que sí dice con claridad es lo que hace falta para el consentimiento: clara acción afirmativa, rechazar al mismo nivel que aceptar y que seguir navegando no vale. Todo esto lo ves resumido en la [guía de cookies de la AEPD](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/).

Hay un matiz que conviene separar. La LSSI regula el acceso al dispositivo, y el RGPD regula el tratamiento posterior de los datos. Una cookie exceptuada no necesita consentimiento para instalarse, pero si luego se tratan datos personales, hace falta una base del artículo 6 para ese tratamiento.

## Y el correo comercial

El correo electrónico publicitario tiene su propia regla. El artículo 21 de la LSSI prohíbe enviar comunicaciones comerciales por correo electrónico o medios equivalentes sin solicitud o autorización expresa. Hay una excepción cuando existe una relación contractual previa, los datos se obtuvieron de forma lícita y los productos o servicios son similares, siempre con un procedimiento sencillo y gratuito para oponerse, en la recogida y en cada comunicación.

Por eso no basta con que el considerando 47 diga que la mercadotecnia directa puede considerarse realizada por interés legítimo. Para el correo electrónico, la LSSI añade su propio requisito.

## Cómo decidir: un recorrido en cuatro preguntas

1. **¿Lo exige una ley o un contrato?** Si el tratamiento es necesario para ejecutar un contrato (b) o cumplir una obligación legal (c), usa esa base.
2. **¿Instalas o lees algo en el dispositivo de la persona?** Si es una cookie no exceptuada, la base es el consentimiento, por la LSSI.
3. **¿Puedes defender que el tratamiento es necesario, esperable y poco intrusivo?** Si es así y no hay una norma que exija consentimiento, el interés legítimo es una opción, con su evaluación por escrito.
4. **¿La persona no lo esperaría, o es un menor, o es un perfilado intenso?** Entonces el consentimiento suele ser la vía más segura.

Recuerda que la LOPDGDD fija en 14 años la edad desde la que un menor puede consentir (art. 7). Si trabajas con menores, esa es una razón más para ser prudente con el interés legítimo.

Documenta la decisión, aplícala de forma coherente y refléjala en tu política de privacidad. Para organizar todo el trabajo, sigue la [lista de adecuación al RGPD de una web](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/).

## Cuatro errores frecuentes

1. **Usar el interés legítimo para saltarse el banner de cookies.** La LSSI exige consentimiento.
2. **No informar del interés legítimo.** El artículo 13.1.d lo exige.
3. **Ignorar la oposición.** Debes poder atenderla en cualquier momento.
4. **Cambiar de base legal a mitad de camino sin documentarlo.** La base se elige al inicio del tratamiento y se explica.

Una CMP puede ayudarte con la parte de cookies, que es donde el consentimiento es obligatorio. [Prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre ley local

- [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/)
- [Adecuación al RGPD de una página web: lista de comprobación](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/)

## Preguntas frecuentes

### ¿Cuáles son las bases legales del RGPD?

Son seis y están en el artículo 6.1: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público o ejercicio de poderes públicos, e intereses legítimos. El tratamiento solo es lícito si se cumple al menos una, y debes saber cuál aplica a cada tratamiento.

### ¿Qué es el interés legítimo en el RGPD?

Es la base de la letra f) del artículo 6.1: el tratamiento necesario para satisfacer intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos y libertades del interesado. El considerando 47 pide una evaluación meticulosa, que tenga en cuenta las expectativas razonables de la persona.

### ¿Puedo usar interés legítimo en lugar del consentimiento para las cookies?

No para las cookies que no son estrictamente necesarias. El artículo 22.2 de la LSSI exige consentimiento, y la Guía de cookies de la AEPD lo recoge: para las cookies no exceptuadas es necesario obtenerlo "en todo caso". El interés legítimo no sustituye al banner.

### ¿Qué obligaciones tengo si me baso en el interés legítimo?

Informar de cuáles son esos intereses (art. 13.1.d del RGPD), atender el derecho de oposición (art. 21.1) y, si es mercadotecnia directa, dejar de tratar los datos cuando la persona se oponga (art. 21.2 y 21.3). También debes hacer y documentar la evaluación de si tu interés prevalece.

### ¿Puedo enviar correos comerciales por interés legítimo?

Depende de la LSSI. Su artículo 21 prohíbe el correo comercial sin autorización expresa, salvo la excepción de la relación contractual previa para productos similares y con opción sencilla y gratuita de oposición. El considerando 47 del RGPD no elimina ese requisito de la ley española.

[¿Dudas sobre qué base aplicar en tu web? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Base legal del RGPD: interés legítimo o consentimiento, cómo elegir

La Guía de cookies de la AEPD, en su edición de mayo de 2024, resume lo que exige la autoridad española a quien usa cookies en una web: informar con claridad y obtener el consentimiento antes de usar las que no son estrictamente necesarias. Esas son las dos obligaciones legales que fija, la de transparencia y la de consentimiento, y todo el resto de la guía explica cómo cumplirlas.

La guía tiene 40 páginas y no es una ley, pero es la referencia que la propia agencia ofrece para aplicar el artículo 22.2 de la LSSI. Este artículo la recorre en el orden en el que tomas decisiones sobre tu web, con una lista de comprobación en cada paso. Puedes consultar el [texto completo en la web de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf).

## A qué se aplica la guía

La Guía parte del artículo 22.2 de la [LSSI](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758): los prestadores de servicios solo pueden usar dispositivos de almacenamiento y recuperación de datos en los equipos de los usuarios si estos han dado su consentimiento después de recibir información clara y completa. Es decir, la norma no habla solo de "cookies" en sentido estricto.

Según la guía (p. 8), el artículo 22 y sus orientaciones se refieren a cookies y a tecnologías similares, como los local shared objects o flash cookies y los web beacons. También se aplican a las técnicas de fingerprinting, la toma de la huella digital del dispositivo.

Hay un matiz importante para tu proyecto. Si una cookie no trata datos personales, sigue estando dentro del artículo 22.2. Pero si lo hace, por ejemplo porque el usuario está identificado o porque se usa un identificador único que permite seguirlo de forma individualizada, el responsable debe cumplir además las exigencias de la normativa de protección de datos (p. 9). Aquí es donde entran el [RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf) y la [LOPDGDD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/).

## Qué cookies quedan fuera del consentimiento

No todas las cookies necesitan consentimiento. La guía (p. 10) exceptúa las que se usan solo para dos finalidades: permitir la comunicación entre el equipo del usuario y la red, o prestar estrictamente un servicio expresamente solicitado por el usuario.

Citando el Dictamen 4/2012 del Grupo de Trabajo del Artículo 29, la guía enumera como ejemplos de cookies exceptuadas:

- Cookies de entrada del usuario, como las de un formulario o una cesta de la compra.
- Cookies de autenticación o identificación de usuario, solo de sesión.
- Cookies de seguridad del usuario.
- Cookies de sesión de reproductor multimedia.
- Cookies de sesión para equilibrar la carga.
- Cookies de personalización de la interfaz de usuario.
- Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales.

Cualquier otro tipo de cookie, propia o de terceros, de sesión o persistente, exige información y consentimiento. Hay dos matices que se pasan por alto. El primero: la guía recomienda, por transparencia, informar al menos de forma genérica de las cookies exceptuadas, en la política de cookies o en la de privacidad. El segundo: una misma cookie puede tener varias finalidades, y si solo una está exceptuada, las demás siguen sujetas al artículo 22.2.

Si no sabes cuáles usa tu web, el primer paso es [escanearla](https://goadopt.io/es/blog/escaner-de-cookies-que-es-y-como-funciona/).

## Primera obligación: transparencia

La guía (p. 15) recomienda revisar las cookies que usas, ya sea internamente o con ayuda especializada, para identificar si son propias o de terceros, de sesión o persistentes, y cuál es su función. Esa revisión debe repetirse periódicamente, porque la gestión y el uso de las cookies cambian.

Sobre la información que debe darse, la guía distingue dos niveles. En la política de cookies (segunda capa) debe constar:

- Qué son las cookies y su función genérica.
- Qué tipos se usan y para qué.
- Quién las usa, es decir, si solo el editor o también terceros, con identificación de estos.
- Cómo aceptar, denegar o revocar el consentimiento.

La primera capa, la que ve el usuario antes de decidir, debe contener (p. 20) la información básica: si las cookies son propias o también de terceros, información genérica sobre los datos que se recopilan si se elaboran perfiles, y cómo aceptar, configurar y rechazar. Debe incluir también un enlace visible a la segunda capa. Esa información se facilita antes de usar las cookies y debe mantenerse visible hasta que el usuario acepte o rechace.

Para escribir la segunda capa tienes un ejemplo completo en [política de cookies: ejemplo](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

### Lista de comprobación de transparencia

- Tienes un inventario actualizado de tus cookies con finalidad, titular y duración.
- La primera capa se muestra antes de instalar cualquier cookie no exceptuada.
- La primera capa enlaza de forma visible a la política de cookies.
- La política identifica a los terceros, aunque sea con un desplegable.
- Revisas el inventario cada cierto tiempo, y no solo al lanzar la web.

## Segunda obligación: consentimiento

La guía (p. 23) es tajante: para las cookies no exceptuadas es necesario "en todo caso" obtener el consentimiento del usuario. Eso significa que ninguna otra base jurídica sustituye al consentimiento para esas cookies. Lo desarrollamos al comparar [interés legítimo y consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).

Los puntos que la guía fija en esa página y en las siguientes son estos:

- **Acción clara y afirmativa.** Un clic u otra conducta similar facilita la prueba. La mera inactividad no es consentimiento.
- **Seguir navegando no vale.** La guía recuerda que el CEPD ha establecido que seguir navegando no es una forma válida de consentir. Tampoco lo es consultar la segunda capa o navegar para gestionar las preferencias.
- **Rechazar, al mismo nivel que aceptar.** La opción de rechazar debe ofrecerse en la misma capa y al mismo nivel que la de aceptar, con un mecanismo similar.
- **Información separada.** La información para consentir no se mezcla con otros asuntos, y aceptar los términos de uso se separa de aceptar la política de privacidad o de cookies.

La guía exige además (p. 20) que, si usas un botón para aceptar, uses otro para rechazar, y un tercer mecanismo para configurar por finalidades. Y avisa de que el color, el contraste y el diseño no pueden ser obviamente engañosos. El detalle de cada requisito está en [banner de cookies RGPD](https://goadopt.io/es/blog/banner-de-cookies-rgpd/) y en [consentimiento de cookies](https://goadopt.io/es/blog/consentimiento-de-cookies/), y aquí no lo repetimos.

> ¿Quieres comprobar si tu banner cumple estos puntos? [Prueba AdOpt gratis](https://goadopt.io/) durante 30 días y compáralo con la lista.

### Lista de comprobación de consentimiento

- No se instala ninguna cookie no exceptuada antes de la elección del usuario.
- Aceptar y rechazar están en la misma capa y con el mismo nivel de destaque.
- Seguir navegando o cerrar el aviso no cuenta como aceptación.
- No hay casillas premarcadas a favor de aceptar.
- La retirada del consentimiento es tan fácil como darlo, con acceso permanente.

## Cuánto tiempo vale la elección

La guía propone como buena práctica (apartado 3.2.8) que el consentimiento para una cookie no tenga una validez superior a 24 meses, y que se guarde la selección para no preguntar en cada visita. No es un plazo legal, es una recomendación sobre cuándo volver a preguntar.

También pide (3.2.7) que, si cambian los fines de las cookies o los terceros, se actualice la información y se permita decidir de nuevo. Cómo ajustar este plazo está en [duración del consentimiento de cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

## Quién responde: editor y terceros

El capítulo 4 de la guía (pp. 31 a 33) reparte la responsabilidad entre quien edita la web y quien pone las cookies de terceros.

- **Cookies exceptuadas.** Si todas las cookies de la web son exceptuadas, no hace falta informar ni obtener consentimiento. Aun así, si usas cookies de terceros para ese servicio, la guía pide que contractualmente esos terceros no traten los datos con otra finalidad.
- **Cookies no exceptuadas.** Cuando intervienen terceros, editor y terceros tienen la responsabilidad de garantizar que los usuarios están informados y de obtener el consentimiento. Si el editor usa una CMP que crea un entorno en el que los terceros pueden cumplir esos deberes, estos son individual y directamente responsables de su cumplimiento.
- **Contratos.** Cuando uses cookies de terceros, la guía recomienda incluir cláusulas que aseguren la información, la forma de obtener el consentimiento y su revocación.
- **Límite.** La responsabilidad del editor se circunscribe a los tratamientos de los que es responsable. No se extiende a las fases posteriores en las que no interviene, que son responsabilidad exclusiva del tercero.

La guía añade (p. 33) que la responsabilidad administrativa ante las autoridades corresponde a cada parte obligada y no se puede desplazar por contrato. Un contrato ordena el reparto, pero no te libera frente a la agencia.

## Qué dice la guía de las CMP

El anexo de la guía (apartado V.a, pp. 36 y 37) define la CMP como una herramienta instalada en el soporte del editor que permite a cualquier responsable cumplir sus deberes de información y de recogida del consentimiento. Para que sea válida debe permitir:

- Cumplir los requisitos de transparencia ante los usuarios.
- Obtener un consentimiento válido.
- Respetar después las opciones elegidas y gestionar los consentimientos, incluida su revocación.

La guía añade que estas plataformas "deberán estar sometidas a auditorías o revisiones" que validen el cumplimiento. Ten en cuenta que la guía no habla de certificar un producto: pide que alguien compruebe que la herramienta cumple.

Una nota sobre la propia guía: en la p. 16 remite a un "apartado v.d) del Anexo", mientras que la p. 25 y el propio anexo se refieren al apartado V.a. Nosotros usamos V.a, porque es el apartado del anexo donde se define la CMP.

Para saber qué debe cumplir una herramienta en concreto, consulta [plataforma de gestión del consentimiento](https://goadopt.io/es/blog/plataforma-de-gestion-del-consentimiento/). Y para probar lo que elige cada persona, [registro de consentimientos](https://goadopt.io/es/blog/registro-de-consentimientos-como-probarlo/).

## Cuatro errores frecuentes al leer la guía

1. **Tratarla como una ley.** Es una guía de la AEPD. Orienta cómo aplicar la LSSI y el RGPD, y no crea obligaciones nuevas por sí misma.
2. **Olvidar las cookies exceptuadas en la información.** La guía recomienda mencionarlas, al menos de forma genérica.
3. **Pensar que un contrato con el tercero te protege.** La responsabilidad administrativa no es desplazable por contrato.
4. **Revisar la web una sola vez.** La propia guía recomienda repetir la revisión de las cookies periódicamente.

Si quieres ver el conjunto aplicado a un sitio web concreto, sigue la [adecuación al RGPD de una página web](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/). Y si quieres una CMP que te ayude con la parte técnica, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días.

## Sigue aprendiendo sobre ley local

- [LOPDGDD: qué es y en qué se diferencia del RGPD](https://goadopt.io/es/blog/lopdgdd-que-es-diferencias-con-rgpd/)
- [Base legal del RGPD: interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/)

## Preguntas frecuentes

### ¿Qué es la Guía de cookies de la AEPD?

Es el documento con el que la Agencia Española de Protección de Datos orienta sobre cómo aplicar el artículo 22.2 de la LSSI. La edición de mayo de 2024 tiene 40 páginas y recoge las dos obligaciones legales: informar a los usuarios y obtener su consentimiento para las cookies no exceptuadas.

### ¿Es obligatorio cumplir la Guía de cookies?

La guía es una orientación de la AEPD, no una ley. Lo que obliga es la LSSI, el RGPD y la LOPDGDD. La guía explica cómo la agencia interpreta esas normas, por lo que conviene seguirla al diseñar tu aviso y tu política de cookies.

### ¿Qué cookies no necesitan consentimiento según la AEPD?

Las que solo permiten la comunicación entre el equipo del usuario y la red, o prestan estrictamente un servicio expresamente solicitado. La guía cita ejemplos del GT29, como las de autenticación de sesión, de seguridad, de carrito o de equilibrio de carga. Si una cookie tiene otra finalidad, ya requiere consentimiento.

### ¿Seguir navegando cuenta como aceptar cookies?

No. La guía recuerda que el CEPD ha establecido que seguir navegando no es una forma válida de prestar el consentimiento. Tampoco lo es consultar la segunda capa o navegar para configurar las preferencias. Hace falta una acción clara y afirmativa del usuario.

### ¿Quién es responsable de las cookies de terceros en mi web?

Cada parte responde de los tratamientos en los que interviene. El editor debe asegurar que se informa y se pide el consentimiento sobre las cookies de terceros que incluye, y la responsabilidad administrativa no se puede desplazar por contrato. La guía no extiende la responsabilidad del editor a las fases posteriores en las que no participa.

[¿Quieres revisar tu aviso de cookies con la guía en la mano? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


Guía de cookies de la AEPD (2024): qué exige para tu web

La LOPDGDD es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Adapta el ordenamiento jurídico español al RGPD y completa sus disposiciones, y además garantiza los derechos digitales de la ciudadanía. Es la ley española de protección de datos vigente.

La antigua LOPD, la Ley Orgánica 15/1999, ya no existe: la LOPDGDD la derogó. Hoy no se aplica la LOPD ni la LOPDGDD en lugar del RGPD, sino las dos juntas, el reglamento europeo como norma principal y la ley española como complemento. Aquí verás qué regula cada una, qué cambió respecto a la LOPD y qué artículos de la LOPDGDD afectan a quien tiene una web.

## Qué es la LOPDGDD

El artículo 1 de la [LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673) fija dos objetivos. El primero, adaptar el ordenamiento español al [RGPD](https://www.boe.es/doue/2016/119/L00001-00088.pdf) y completar sus disposiciones. El segundo, garantizar los derechos digitales de la ciudadanía conforme al artículo 18.4 de la Constitución.

Esa doble función explica su nombre. La primera parte, protección de datos personales, desarrolla el RGPD. La segunda, garantía de los derechos digitales, es contenido propio de la ley española y se concentra en el Título X.

El mismo artículo 1 deja claro cómo se ejerce el derecho fundamental a la protección de datos: con arreglo al RGPD y a esta ley orgánica. No hay una jerarquía en la que una sustituya a la otra, sino un reparto de papeles. Para una visión de conjunto del marco aplicable a una empresa, tienes la [guía completa del RGPD en España](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/).

## LOPD y LOPDGDD: la ley antigua y la nueva

Mucha gente sigue buscando "LOPD" por costumbre. Conviene separar los dos términos, porque no son sinónimos.

| | LOPD | LOPDGDD |
|---|---|---|
| Nombre | Ley Orgánica 15/1999 | Ley Orgánica 3/2018 |
| Qué regulaba | Protección de datos de carácter personal | Protección de datos y derechos digitales, adaptando el RGPD |
| Estado | Derogada | Vigente |
| Fecha clave | Aprobada el 13 de diciembre de 1999 | Publicada el 6 de diciembre de 2018, en vigor desde el 7 de diciembre de 2018 |

La disposición derogatoria única de la LOPDGDD deroga la Ley Orgánica 15/1999 (con dos salvedades que la propia disposición menciona, la disposición adicional decimocuarta y la disposición transitoria cuarta). Deroga también el Real Decreto-ley 5/2018, de medidas urgentes para adaptar el derecho español a la normativa europea de protección de datos, y cuantas disposiciones de igual o inferior rango se opongan al RGPD o a la propia LOPDGDD.

Por eso, cuando un documento antiguo habla de "cumplir la LOPD", hoy hay que leerlo como "cumplir el RGPD y la LOPDGDD". La Guía de cookies de la AEPD hace exactamente esa lectura: señala que las remisiones de la LSSI a la Ley Orgánica 15/1999 se interpretan hechas al RGPD y a la LOPDGDD.

## RGPD y LOPDGDD: qué aporta cada una

El RGPD es un reglamento europeo. Se aplica directamente y su texto es el mismo en todos los Estados miembros. La LOPDGDD no repite el RGPD: lo ajusta en los puntos que el propio reglamento deja a cada país y añade lo que es específicamente español.

| | RGPD | LOPDGDD |
|---|---|---|
| Origen | Unión Europea (Reglamento 2016/679) | España (Ley Orgánica 3/2018) |
| Aplicación | Directa en todos los Estados miembros | Solo en España |
| Contenido | Principios, bases legales, derechos, obligaciones, tope de sanciones | Concreciones nacionales, régimen sancionador español y derechos digitales |
| Se consulta para | Saber qué debes hacer | Saber cómo se concreta en España |

Una regla práctica para orientarte: si dudas de si algo es obligatorio, empieza por el RGPD. Si necesitas saber una edad mínima, un plazo de prescripción o cómo se informa por capas, busca el artículo equivalente de la LOPDGDD.

## Lo que la LOPDGDD concreta para quien tiene una web

No hace falta leerse la ley entera. Estos son los que más suelen afectar a un sitio web.

### Consentimiento (art. 6)

La LOPDGDD repite la definición del RGPD: manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. Añade dos precisiones. Si el consentimiento cubre varias finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas. Y no se puede supeditar la ejecución de un contrato a que la persona consienta tratamientos que no tengan relación con ese contrato.

Para el detalle de los requisitos aplicados a cookies, formularios y altas, consulta [consentimiento RGPD: requisitos de validez](https://goadopt.io/es/blog/consentimiento-rgpd-requisitos-de-validez/).

### Menores de 14 años (art. 7)

El tratamiento de datos de un menor solo puede basarse en su consentimiento cuando es mayor de 14 años. Por debajo de esa edad, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela. Si tu web se dirige a un público joven o permite registros, este umbral es un dato que debes tener presente al diseñar el alta.

### Información por capas (art. 11)

Aquí la LOPDGDD ofrece una vía práctica para cumplir el deber de información del artículo 13 del RGPD cuando los datos se obtienen de la propia persona. El responsable puede dar una información básica y señalar una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata al resto.

La información básica debe incluir, como mínimo, la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. Si se van a elaborar perfiles, hay que indicarlo, y informar del derecho a oponerse a las decisiones individuales automatizadas cuando proceda.

Es la base del aviso de dos niveles que ves en formularios y banners: un resumen visible y un enlace a la política completa.

> ¿Quieres que tu aviso de cookies cumpla esa estructura de dos niveles sin montarla a mano? [Empieza gratis](https://goadopt.io/) y prueba AdOpt durante 30 días.

### Ejercicio de derechos (art. 12)

El responsable debe informar sobre los medios disponibles para ejercer los derechos, y esos medios deben ser fácilmente accesibles. No se puede denegar el ejercicio de un derecho por el solo motivo de que la persona haya elegido otro medio. La prueba de haber cumplido el deber de responder a la solicitud recae sobre el responsable, y las actuaciones para atender las solicitudes son gratuitas, salvo las excepciones del RGPD y del artículo 13 de la propia ley.

### Datos de contacto profesional (art. 19)

Este artículo presume, salvo prueba en contrario, que el tratamiento de los datos de contacto de personas que prestan servicios en una persona jurídica se ampara en el interés legítimo (art. 6.1.f del RGPD). La presunción solo opera si se tratan únicamente los datos necesarios para la localización profesional y la finalidad es mantener relaciones con esa persona jurídica. Funciona igual para empresarios individuales y profesionales liberales cuando se trata de ellos únicamente en esa condición.

Es una presunción con condiciones, no un permiso general para enviar comunicaciones comerciales. Eso lo ves en el artículo sobre [interés legítimo o consentimiento](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).

### Sistemas de exclusión publicitaria (art. 23)

Quien quiera hacer mercadotecnia directa debe consultar previamente los sistemas de exclusión publicitaria que puedan afectar a su actuación y excluir a quienes se hayan opuesto. Esa consulta no es necesaria cuando la persona ha dado su consentimiento para recibir esa comunicación. Cuando alguien te diga que no quiere recibir comunicaciones comerciales, también debes informarle de los sistemas de exclusión existentes.

## Sanciones y prescripción: solo la estructura

La LOPDGDD organiza las infracciones en tres niveles. Las muy graves (art. 72) prescriben a los tres años, las graves (art. 73) a los dos y las leves (art. 74) al año. Entre las muy graves figura, en el artículo 72.1.c, incumplir los requisitos del artículo 7 del RGPD para la validez del consentimiento.

Los importes máximos vienen del RGPD, no de la ley española, y la LOPDGDD define cuándo se considera cada tipo de infracción y cuánto tarda en prescribir. Cómo se calcula una multa y cómo actúa la agencia es un tema aparte, que desarrollamos en [multas y sanciones de la AEPD](https://goadopt.io/es/blog/aepd-multas-sanciones-incumplimiento-rgpd/).

## Derechos digitales: el Título X

La segunda mitad del nombre de la ley, "garantía de los derechos digitales", se desarrolla en el Título X (arts. 79 a 97). Reconoce los derechos en la era digital, la neutralidad de Internet y el acceso universal a Internet, y regula la seguridad digital, la educación digital y la protección de los menores en Internet.

Incluye también derechos laborales, como la intimidad y el uso de dispositivos digitales en el ámbito laboral y la desconexión digital, y derechos como el olvido en búsquedas de Internet y en redes sociales, la portabilidad en redes sociales y el testamento digital. Para una web corporativa, la mayoría de estos artículos no cambian la operativa diaria, pero conviene saber que existen.

## Otros artículos que quizá te tocan

Dos artículos más aparecen a menudo en conversaciones sobre la LOPDGDD, aunque van más allá de este texto:

- **Artículo 28:** obligaciones generales del responsable y del encargado. Les pide determinar las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento cumple la normativa, y valorar si procede una evaluación de impacto.
- **Artículo 34:** designación del delegado de protección de datos. Además de los supuestos del RGPD, enumera entidades obligadas. Entre ellas, el apartado 1.d incluye a los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.

Si tu web mide el comportamiento de los usuarios o hace publicidad personalizada, vale la pena revisar si encajas en alguno de esos supuestos con tu asesoría.

## Cómo aterrizar esto en tu web

Un sitio web cumple a la vez con el RGPD, la LOPDGDD y la LSSI, la ley que regula las cookies. Cada norma responde a una pregunta distinta.

1. **LSSI, art. 22.2:** necesitas consentimiento para las cookies no exceptuadas. Lo detalla la [guía de cookies de la AEPD](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/).
2. **RGPD:** necesitas una base legal para cada tratamiento y debes informar. Lo ves en [base legal del RGPD](https://goadopt.io/es/blog/base-legal-rgpd-interes-legitimo-vs-consentimiento/).
3. **LOPDGDD:** concreta la información por capas, la edad de consentimiento de los menores y el ejercicio de derechos.
4. **Plan de adecuación:** reúne todo en una lista de pasos con la [adecuación al RGPD de una página web](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/).

Esta guía describe la ley, no sustituye el asesoramiento jurídico de tu caso. Si tienes dudas sobre un tratamiento concreto, consúltalo con tu delegado de protección de datos o con asesoría jurídica.

## Sigue aprendiendo sobre ley local

- [Guía de cookies de la AEPD: qué exige para tu web](https://goadopt.io/es/blog/guia-de-cookies-aepd-que-exige/)
- [Adecuación al RGPD de una página web: lista de comprobación](https://goadopt.io/es/blog/adecuacion-rgpd-pagina-web/)

## Preguntas frecuentes

### ¿Qué es la LOPDGDD?

Es la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. Adapta el ordenamiento español al RGPD, completa sus disposiciones y garantiza los derechos digitales de la ciudadanía. Se aplica junto al RGPD, no en su lugar.

### ¿La LOPD sigue vigente?

No. La Ley Orgánica 15/1999 (la LOPD) fue derogada por la disposición derogatoria única de la LOPDGDD, que entró en vigor el 7 de diciembre de 2018. Si un documento menciona la LOPD, hoy debe leerse como el RGPD y la LOPDGDD.

### ¿Cuál es la diferencia entre el RGPD y la LOPDGDD?

El RGPD es un reglamento europeo, de aplicación directa en todos los Estados miembros. La LOPDGDD es la ley española que lo adapta y completa: concreta puntos como la información por capas, la edad de consentimiento de los menores, el régimen sancionador y los derechos digitales.

### ¿A partir de qué edad pueden consentir los menores en España?

A partir de los 14 años. El artículo 7 de la LOPDGDD dice que el tratamiento de datos de un menor solo puede basarse en su consentimiento si es mayor de 14. Por debajo, solo es lícito si consta el consentimiento del titular de la patria potestad o tutela.

### ¿La LOPDGDD afecta a las cookies de mi web?

Indirectamente. Las cookies se regulan sobre todo en el artículo 22.2 de la LSSI y en el RGPD, y la LOPDGDD aporta definiciones y reglas que se aplican al tratamiento: consentimiento, información por capas, menores y ejercicio de derechos. La Guía de cookies de la AEPD cita también la LOPDGDD.

[¿Necesitas ayuda para aplicar estas reglas en tu web? Habla con el equipo de AdOpt](https://goadopt.io/) y lo vemos juntos.


LOPDGDD: qué es, qué regula y en qué se diferencia del RGPD (la antigua LOPD)

Sí, puedes pedir el consentimiento de cookies una sola vez y que valga en varios dominios. La Guía de cookies de la AEPD lo admite cuando los dominios son de tu titularidad y ofrecen contenidos o características similares, siempre que informes de cuáles son, qué cookies envían y para qué.

Lo que no ocurre solo es la parte técnica. Una [plataforma de gestión del consentimiento (CMP)](https://goadopt.io/es/blog/que-es-una-cmp/) guarda la elección de la persona en un dominio concreto, y otro dominio no la ve por defecto. Este artículo explica qué permite la norma, cómo se comparte la elección y qué comprobar para que llegue íntegra hasta las tags que se activan.

## Qué dice la AEPD sobre un solo consentimiento para varios dominios

La [Guía sobre el uso de las cookies de la AEPD](https://www.aepd.es/guias/guia-cookies.pdf) (edición de mayo de 2024) lo trata en el apartado 3.2.6, en la página 28. Dice que un mismo editor que presta servicios a través de diferentes dominios puede informar y obtener el consentimiento desde una sola página para las cookies que se envíen desde los demás dominios de su titularidad.

Para eso pone tres condiciones:

- Los dominios son de tu titularidad.
- Ofrecen contenidos o tienen características similares, con motivo de los servicios que la persona ha solicitado.
- Informas de cuáles son esas páginas o dominios, del tipo de cookies y de las finalidades para las que se tratan.

Si las páginas no son similares, la Guía pide adoptar "cautelas adicionales" y pone un ejemplo: que algunas contengan contenidos para adultos. No define qué cautelas, así que la prudencia es no compartir el consentimiento entre sitios con públicos o usos muy distintos.

## Por qué la elección no viaja sola de un dominio a otro

Una cookie pertenece al dominio que la crea. Si tu CMP guarda la elección en una cookie de `tienda.es`, la web `blog.es` no puede leerla, aunque las dos sean tuyas. Entre subdominios la solución habitual es guardar la cookie en el dominio principal, de modo que lo lean todos. Entre dominios distintos hace falta un mecanismo que consulte o replique la elección.

La tabla resume las tres situaciones más comunes y qué conviene cuidar en cada una.

| Situación | ¿Se puede compartir? | Qué cuidar |
|---|---|---|
| Subdominios del mismo dominio (`www`, `tienda`, `blog`) | Sí, es el caso más sencillo | Que las finalidades y los terceros sean los mismos en todos |
| Dominios distintos de tu titularidad y contenidos similares | Sí, según el apartado 3.2.6 de la Guía | Listar los dominios en la información y mantener las mismas categorías |
| Dominios de titularidad distinta (otra sociedad, otro responsable) | La Guía no lo contempla | Lo prudente es que cada responsable recoja su propio consentimiento |

La última fila es una lectura prudente, no una cita: el apartado 3.2.6 habla solo de dominios "de su titularidad". Si tu caso es un grupo de empresas, conviene que lo revise quien se ocupe del asunto legal.

## Cómo conseguir un solo consentimiento sin perder validez

Compartir la elección es útil, pero la validez sigue dependiendo de lo de siempre: que el consentimiento sea [libre, específico, informado e inequívoco](https://www.boe.es/doue/2016/119/L00001-00088.pdf) (art. 4.11 del RGPD). Compartirlo no lo arregla si la información o las categorías no coinciden.

> ¿Quieres comprobar cómo se comporta tu aviso en más de un dominio? [Empieza gratis](https://goadopt.io/) con la prueba de 30 días de AdOpt y haz las pruebas de este artículo.

### 1. Informa de todos los dominios

La Guía exige indicar cuáles son los dominios desde los que se envían cookies. Pon la lista en la política de cookies y en la información del aviso. Si añades un dominio nuevo, actualiza la lista: la Guía recuerda en el apartado 3.2.7 que, si cambian las finalidades o los terceros, hay que actualizar la política y permitir que la persona decida de nuevo. Tienes un modelo en [política de cookies: ejemplo y plantilla](https://goadopt.io/es/blog/politica-de-cookies-ejemplo/).

### 2. Usa las mismas categorías y finalidades

Un consentimiento por finalidad solo se puede compartir si la finalidad es la misma. Si un dominio usa publicidad comportamental y otro solo analítica, mezclar los avisos hace que la persona acepte algo que no ha visto. Un mismo aviso instalado en todos los sitios, con las mismas categorías, evita ese problema desde el origen.

### 3. Que retirar sea igual de fácil en todos

El art. 7.3 del RGPD exige que retirar el consentimiento sea tan fácil como darlo, y la Guía pide un acceso sencillo y permanente. En varios dominios significa que la persona pueda cambiar su elección desde cualquiera de ellos y que el cambio llegue a todos los demás. La duración de la elección también se comparte: la Guía considera buena práctica que no supere los 24 meses, algo que desarrollamos en [cuánto dura el consentimiento de cookies](https://goadopt.io/es/blog/duracion-consentimiento-cookies/).

## Consent Mode en varios dominios: donde se rompe la cadena

Aquí es donde el consentimiento compartido gana o pierde valor. La documentación de Google indica que el Consent Mode no guarda las elecciones: tu solución debe persistirlas, por ejemplo en una cookie propia o en el almacenamiento local, y llamar al comando `update` en las páginas siguientes. Además, el comando `default` debe ejecutarse en cada página antes de cualquier medición.

Con varios dominios, esto significa que cada uno necesita su propio `default` y su propio `update` con la elección compartida. Si la elección no llega al segundo dominio, sus tags arrancan con los valores por defecto, normalmente denegados, hasta que la persona decida otra vez. Ocurre lo contrario con una elección mal replicada: tags de publicidad que se activan sin que esa persona haya aceptado nada en ese sitio.

Por eso la pregunta útil no es solo "¿se comparte la elección?", sino "¿llega la elección correcta a los cuatro parámetros (`ad_storage`, `analytics_storage`, `ad_user_data` y `ad_personalization`) en cada dominio?". Lo comprobamos en las pruebas de más abajo, y el [Consent Mode de Google](https://developers.google.com/tag-platform/security/guides/consent) lo explica con detalle.

## Cómo lo resuelve AdOpt

En AdOpt, cada aviso de cookies corresponde a una tag y puede instalarse en uno o más sitios. Con la función de múltiples URL, la elección de la persona se extiende a todas las páginas donde está instalado el mismo aviso. La disponibilidad de esta función depende del plan, así que confírmala al contratar.

Instalar el mismo aviso encaja con lo que pide la Guía: mismas categorías, misma información y una sola elección. Aun así, la lista de dominios en la política de cookies y la revisión de cada sitio siguen siendo tareas tuyas, porque ninguna herramienta decide por ti si dos sitios son "similares".

## Pruebas antes de publicar

Haz estas pruebas en una ventana de incógnito, con el panel de red del navegador abierto y los dos dominios a mano.

| Prueba | Cómo hacerla | La pasas si |
|---|---|---|
| Elección compartida | Aceptar solo analítica en el dominio A y abrir el B | El aviso no reaparece y solo se cargan las tags analíticas |
| Rechazo compartido | Rechazar todo en A y abrir B | B no instala cookies publicitarias ni analíticas |
| Retirada | Cambiar la elección desde B y volver a A | A respeta la nueva elección |
| Primera visita | Abrir directamente B, sin pasar por A | El aviso aparece con las mismas categorías que en A |
| Consent Mode | Mirar el `default` y el `update` en B | El `update` refleja la elección hecha en A |
| Registro | Buscar tu elección en el panel | Puedes ver la fecha, la hora y lo aceptado o rechazado |

Si usas AdOpt, comprueba también en el Consent Log que la elección queda registrada con su fecha y hora. El registro es lo que te permite demostrar el consentimiento, como exige el art. 7.1 del RGPD, y el CookieID solo liga esa elección con el registro.

Una vez superadas las pruebas, [prueba AdOpt gratis](https://goadopt.io/) durante 30 días y repítelas con tus propios dominios.

## Sigue aprendiendo sobre consentimiento

- [Consentimiento de cookies: qué exige la ley en España y cómo obtenerlo bien](https://goadopt.io/es/blog/consentimiento-de-cookies/)
- [RGPD en España: guía completa de cumplimiento en 2026](https://goadopt.io/es/blog/rgpd-en-espana-guia-completa-cumplimiento-2026/)

## Preguntas frecuentes

### ¿Puedo usar el mismo banner de cookies en varias webs?

Sí, si las webs son de tu titularidad y tienen contenidos o características similares. La Guía de la AEPD (apartado 3.2.6) lo permite siempre que informes de qué dominios envían cookies, de su tipo y de sus finalidades. Si las webs son muy distintas, la Guía pide cautelas adicionales y lo prudente es pedir un consentimiento propio para cada una.

### ¿El consentimiento se comparte entre subdominios?

Depende de cómo guarde la elección tu CMP. Si la cookie se crea en el dominio principal, los subdominios pueden leerla y la elección vale para todos. Si se crea en un subdominio concreto, no. Compruébalo con la prueba de elección compartida: acepta en un subdominio y abre otro desde una ventana de incógnito.

### ¿Qué pasa si mis webs pertenecen a empresas distintas?

La Guía de la AEPD solo habla de dominios "de su titularidad", así que no ofrece amparo para compartir el consentimiento entre responsables distintos. Lo prudente es que cada responsable recoja y registre el suyo, con su propia información. En un grupo de empresas, conviene revisar el caso con quien lleve lo jurídico.

### ¿Cuánto tiempo vale una elección compartida entre dominios?

La Guía considera buena práctica que el consentimiento para una cookie no dure más de 24 meses y que, durante ese tiempo, se conserve la selección sin pedirla en cada visita. No es un plazo legal fijo. Cualquier cambio de finalidades o de terceros en uno de los dominios obliga a actualizar la información y pedir de nuevo la decisión.

### ¿Tengo que volver a pedir el consentimiento si añado un dominio?

Sí, si el nuevo dominio cambia las finalidades de las cookies o introduce terceros distintos. Según el apartado 3.2.7 de la Guía, en ese caso hay que actualizar la política y permitir que la persona decida de nuevo. Si es un dominio con las mismas cookies y finalidades, basta con añadirlo a la lista de dominios de la información.

[¿Quieres que tu consentimiento llegue íntegro a todos tus dominios? Habla con el equipo de AdOpt](https://goadopt.io/) y lo revisamos con tu caso.


Todos los artículos