Cookies y RGPD en tu web en 2026: qué te obliga y cómo cumplir sin romper la analítica
Qué pide la AEPD en 2026 para banners de cookies y consentimiento, y cómo mantener la analítica útil con Consent Mode v2 y alternativas privacy-first.
Si tienes una web con analítica, píxel de Meta o Google Ads, el banner de cookies no es un adorno: es lo que decide si puedes medir legalmente lo que pasa en tu web. Aquí te contamos qué te obliga el RGPD y la Guía de la AEPD en 2026, y cómo cumplir sin quedarte ciego en los informes.
Qué cambia (y qué no) en 2026
El marco sigue siendo el mismo: RGPD, LSSI y la Guía sobre el uso de cookies de la AEPD, cuya última revisión relevante es de enero de 2024 y continúa vigente. Lo que ha cambiado es el nivel de exigencia en las inspecciones: banners con "rechazar" escondido, scroll como consentimiento o cookies que se cargan antes de aceptar son los motivos más repetidos en las sanciones publicadas por la AEPD.
En paralelo, Google exige Consent Mode v2 desde marzo de 2024 para seguir usando datos de usuarios del EEE en Google Ads y GA4. Si no lo tienes, pierdes remarketing y calidad en la medición.
Resumen rápido: qué te obliga
| Obligación | Qué significa en la práctica |
|---|---|
| Consentimiento previo | Nada de cookies no esenciales antes de aceptar |
| Botones equivalentes | "Aceptar" y "Rechazar" en el primer nivel, con el mismo peso visual |
| Granularidad | Poder aceptar por finalidades (analítica, marketing, personalización) |
| Revocación fácil | Un enlace visible para cambiar o retirar el consentimiento |
| Política de cookies | Lista actualizada con nombre, finalidad, duración y tercero |
| Prueba del consentimiento | Guardar registro de qué aceptó cada usuario y cuándo |
1. Consentimiento válido: qué pide la AEPD
Tiene que ser libre, específico, informado e inequívoco. Esto se traduce en algo muy concreto: el banner debe ofrecer "Aceptar", "Rechazar" y "Configurar" con la misma visibilidad, sin casillas premarcadas ni oscurecimiento del botón de rechazo. El scroll, cerrar el aviso o seguir navegando no son consentimiento.
Y hasta que el usuario decide, no puedes cargar scripts de analítica, publicidad o redes sociales. Solo cookies técnicas estrictamente necesarias.
2. Banner de cookies conforme en la práctica
Usa una Consent Management Platform (CMP), el software que gestiona el banner y guarda el consentimiento. Las habituales en España son Cookiebot, Didomi, Iubenda, Complianz (para WordPress) o Osano. Todas permiten configurar botones equivalentes, bloqueo previo de scripts y registro de consentimiento.
Dos ajustes que mucha gente olvida: bloquear los scripts hasta aceptar (no vale con "informar") y revisar la política de cookies cada vez que añades una herramienta nueva. Si metes un chat o un píxel y no lo declaras, incumples.
3. Google Consent Mode v2 sin romper la analítica
Consent Mode v2 es la forma en la que Google Ads y GA4 reciben señales de si el usuario ha aceptado o no. Si rechaza, Google no coloca cookies, pero recibe pings anónimos que alimentan el modelado de conversiones: estimaciones estadísticas que recuperan parte de la medición perdida.
En implementación básica, los parámetros ad_storage, analytics_storage, ad_user_data y ad_personalization arrancan en denied y cambian a granted solo si el usuario acepta. La mayoría de CMPs lo hacen por ti marcando una casilla; comprueba en Tag Assistant que las señales se envían bien.
4. Alternativas privacy-first si no quieres depender de cookies
Para analítica sin consentimiento, hay opciones que no usan cookies ni identifican al usuario: Plausible, Fathom o Matomo en modo cookieless. Dan menos detalle que GA4, pero suficiente para ver tráfico, fuentes y páginas. Útiles si tu negocio no vive del remarketing.
Si haces campañas, lo razonable es combinar: GA4 con Consent Mode v2 para medir publicidad y una herramienta cookieless como respaldo.
Checklist de cumplimiento 2026
- Banner con "Aceptar", "Rechazar" y "Configurar" equivalentes en el primer nivel.
- Scripts no esenciales bloqueados hasta aceptar.
- Consent Mode v2 configurado si usas Google Ads o GA4.
- Política de cookies actualizada con cada herramienta.
- Registro del consentimiento guardado al menos 24 meses.
- Enlace visible en el pie para revocar o cambiar preferencias.
- Revisión trimestral del escáner de cookies de tu CMP.
Si tu web vende o capta clientes online, te interesará también revisar la medición de campañas: lo explicamos en Google Ads para negocios locales con 300 € al mes.
Preguntas frecuentes
¿Puedo usar Google Analytics sin consentimiento?
No en su configuración estándar. GA4 coloca cookies y envía datos a Google, así que necesita consentimiento previo. La alternativa es una herramienta cookieless o GA4 con Consent Mode v2 en modo básico, asumiendo pérdida de datos de los usuarios que rechacen.
¿Las multas de la AEPD por cookies son reales?
Sí. La AEPD publica resoluciones casi cada mes con sanciones por banners no conformes, desde 1.500 € hasta cifras de seis dígitos en empresas grandes. Las causas más repetidas: botón de rechazo oculto y cookies cargadas antes del consentimiento.
¿Necesito una CMP de pago?
No siempre. Para una web pequeña con pocas herramientas, soluciones como Complianz en WordPress o el plan gratuito de Cookiebot (hasta cierto tráfico) pueden bastar. En webs con muchos scripts de terceros, una CMP de pago compensa por el bloqueo automático y el escaneo continuo.
¿Cuánto consentimiento perderé con un banner bien hecho?
Depende del sector y del diseño. En webs españolas con banners conformes se ven tasas de aceptación entre el 50 % y el 80 %, pero no es un dato oficial: varía mucho. Un banner claro y breve suele aceptarse más que uno agresivo.
