Aviso de cookies: qué exige la ley y cómo comprobar el de tu web

El aviso de cookies es lo que más se pone mal en las webs de negocios. En nuestro análisis de los ayuntamientos de Huelva, el 78 % cargaba herramientas de análisis de terceros sin ningún aviso. Y en las webs de negocios que revisamos por sectores, entre el 1 % y el 9 % (según el sector) carga analítica sin ningún aviso de cookies. Aquí va qué exige la norma y cómo hacerlo bien sin volverte loco.

Guía práctica, no asesoramiento jurídico. La referencia es la LSSI (art. 22.2) y la guía de cookies de la AEPD.

Qué es una cookie y cuándo hace falta aviso

Una cookie es un archivo pequeño que tu web guarda en el navegador del visitante. Hay dos tipos que nos importan:

• Técnicas o necesarias: las que la web necesita para funcionar (el carrito de la compra, el idioma, la sesión). No necesitan consentimiento, pero sí que informes de ellas.
• De analítica, publicidad o redes sociales: Google Analytics, el píxel de Meta, un vídeo de YouTube incrustado… Estas solo pueden activarse después de que el visitante las acepte.

Si tu web usa solo cookies técnicas, basta con informar en la política de cookies. En cuanto añades analítica o un píxel de publicidad, necesitas un aviso con consentimiento real.

Lo que tiene que cumplir el aviso

1. Bloquear antes de aceptar. La analítica y la publicidad no se cargan hasta que el visitante pulsa «Aceptar». Un banner que avisa pero ya ha cargado Google Analytics no cumple.
2. Un botón de rechazar tan fácil como el de aceptar, en la primera capa del aviso. La AEPD lo exige desde su guía actualizada.
3. Información clara: quién usa las cookies, para qué y cuánto duran, con enlace a la política completa.
4. Poder cambiar de opinión: un enlace «Configurar cookies» siempre accesible, por ejemplo en el pie.
5. No empujar: sin casillas premarcadas ni «seguir navegando» como forma de aceptar.

Cómo comprobar la tuya en dos minutos

1. Abre tu web en una ventana de incógnito.
2. Antes de tocar nada, pulsa F12 (o clic derecho → Inspeccionar), ve a la pestaña «Aplicación» → «Cookies». Si ya hay cookies de Google (_ga) o de Meta (_fbp), la analítica se está cargando sin permiso.
3. Pulsa «Rechazar». ¿Existe el botón y es tan visible como «Aceptar»? ¿Siguen sin aparecer cookies de analítica?
4. Mira si hay enlace a la política de cookies y a «Configurar».

Cómo arreglarlo

• Si tienes WordPress: un plugin de consentimiento que bloquee los scripts hasta aceptar (los hay gratuitos). Ojo: instalarlo no basta si el código de Analytics está pegado a mano en el tema; hay que ligarlo al plugin.
• Si usas Google Tag Manager: activa «Consent Mode» y haz que las etiquetas esperen al consentimiento.
• Si no necesitas la analítica: quítala. Sin analítica, tu aviso se simplifica mucho y la web carga más rápido.

Qué pasa si lo haces mal

La LSSI prevé sanciones de hasta 30.000 € para las infracciones leves, y la AEPD ha sancionado a pequeñas empresas por webs sin aviso o con aviso que no cumple. No es habitual que te llegue una inspección, pero es una de las cosas que primero se revisa y que más fácil se arregla.

Tampoco olvides el aviso legal y la política de privacidad. Si quieres saber cómo está tu web hoy, pásala por la revisión gratuita: comprueba la analítica sin aviso, el aviso legal y la seguridad.