Multas por cookies: qué sanciona la AEPD y cómo tener un banner que cumpla en 2026

Instalar cookies de analítica o de publicidad sin el consentimiento del usuario puede costar hasta 30.000 euros por infracción. No es una amenaza teórica: la Agencia Española de Protección de Datos (AEPD) sanciona cada año a webs y apps por banners que no dejan rechazar, por píxeles que se cargan antes de que nadie haga clic o por políticas de cookies copiadas de otra web. La buena noticia es que casi todos los incumplimientos se repiten y se pueden detectar en diez minutos. En esta guía explico qué dice la ley, cuánto se puede pagar, qué errores son los que se sancionan y cómo revisar tu propia web.

Qué dice la ley: el artículo 22.2 de la LSSI

La norma de referencia es el art. 22.2 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Permite usar cookies y dispositivos similares (píxeles, local storage, fingerprinting) solo si el usuario ha dado su consentimiento después de recibir información clara y completa sobre su uso y, en particular, sobre sus finalidades, en los términos del Reglamento General de Protección de Datos (RGPD). Quedan fuera de esa exigencia únicamente las cookies estrictamente necesarias para transmitir la comunicación o para prestar un servicio que el usuario ha pedido expresamente: la sesión, el carrito de la compra, el equilibrio de carga o la propia cookie que recuerda si el usuario aceptó o rechazó.

Todo lo demás (Google Analytics, el píxel de Meta, Hotjar, el remarketing de Google Ads, los vídeos de YouTube incrustados que cargan cookies de terceros) necesita consentimiento previo. Y la autoridad que vigila su cumplimiento no es el Ministerio, sino la AEPD: el art. 43.1 LSSI le atribuye expresamente la potestad sancionadora sobre las infracciones de cookies.

Cuánto es la multa por cookies

Utilizar cookies sin haber informado o sin haber obtenido el consentimiento en los términos del art. 22.2 es una infracción leve (art. 38.4.g LSSI), que se sanciona con multa de hasta 30.000 euros (art. 39.1.c LSSI). La cuantía concreta se gradúa con los criterios del art. 40 LSSI: la intencionalidad, el plazo durante el que se ha cometido la infracción, la reincidencia, el número de usuarios afectados, los beneficios obtenidos y el volumen de facturación de la empresa, entre otros.

Hay dos matices que conviene conocer. El primero, a favor: la AEPD puede optar por un apercibimiento en lugar de abrir el procedimiento sancionador y dar un plazo para corregir (art. 39 ter LSSI), y si se abre el procedimiento, reconocer la responsabilidad y pagar de forma voluntaria reduce la multa al menos un 20% por cada vía, acumulables (art. 85 de la Ley 39/2015). El caso de Vueling lo ilustra: la AEPD le impuso en 2019 una multa de 30.000 euros porque su banner no permitía rechazar las cookies (procedimiento PS/00300/2019), que quedó en 18.000 euros con esas dos reducciones.

El segundo, en contra: la multa de la LSSI no agota el riesgo. Las cookies que identifican al usuario tratan datos personales, y si además la base jurídica, la información o la gestión de esos datos fallan, entra en juego el RGPD, cuyas multas pueden llegar a 20 millones de euros o al 4% de la facturación mundial (art. 83.5 RGPD). Y no publicar en la web los datos identificativos del titular (art. 10.1 LSSI, lo que se conoce como aviso legal) es otra infracción leve distinta (art. 38.4.b LSSI). Una web descuidada suele acumular varias.

En la práctica, buena parte de las sanciones a pymes y startups se han quedado en unos pocos miles de euros. Pero el coste real suele ser otro: el procedimiento empieza casi siempre por la reclamación de un usuario o de un competidor, obliga a contestar requerimientos y a rehacer el banner con prisas, y la resolución se publica con el nombre de la empresa.

Qué ha concretado la AEPD en su guía de cookies

La LSSI dice poco sobre cómo debe ser el banner. Lo ha concretado la AEPD en su Guía sobre el uso de las cookies, actualizada en julio de 2020 y en julio de 2023 para adaptarla a los criterios del Comité Europeo de Protección de Datos. Los puntos que más pesan en una inspección son estos.

Rechazar tiene que ser tan fácil como aceptar. Desde la actualización de 2023 (aplicable desde el 11 de enero de 2024), las opciones de aceptar y rechazar deben presentarse en un lugar y un formato destacados y al mismo nivel. Un botón de "Aceptar" grande y de color, con el rechazo escondido en un enlace gris o en una segunda pantalla, ya no vale.

"Seguir navegando" no es consentir. Desde la actualización de 2020 la AEPD considera que la opción de seguir navegando no es en ninguna circunstancia una forma válida de prestar el consentimiento. Tampoco el scroll ni las casillas premarcadas: hace falta una acción afirmativa y clara.

Nada se carga antes del clic. Las cookies que necesitan consentimiento no pueden instalarse al abrir la página. Este es el fallo más frecuente: el banner está bien diseñado, pero Google Analytics o el píxel de Meta se disparan igualmente porque las etiquetas del gestor de etiquetas no esperan a la respuesta del usuario.

Muros de cookies, solo con alternativa. Se puede condicionar el acceso a aceptar cookies únicamente si se ofrece una alternativa real para quien las rechaza, y la AEPD precisó en 2023 que esa alternativa no tiene por qué ser gratuita (es el modelo de "acepta o paga" que han adoptado algunos medios).

Retirar el consentimiento, igual de fácil. El usuario debe poder cambiar de opinión en cualquier momento de forma tan sencilla como dio el consentimiento (art. 7.3 RGPD), lo que en la práctica obliga a tener un enlace permanente de "Configurar cookies", normalmente en el pie de página. La guía considera buena práctica no mantener el consentimiento más de 24 meses sin volver a pedirlo.

Los errores que más se sancionan

Si se leen las resoluciones de la AEPD de los últimos años, los motivos se repiten. Banners sin botón de rechazar en la primera capa, o con un "Configurar" que lleva a una pantalla con todas las casillas activadas. Cookies de analítica y publicidad instaladas antes de cualquier interacción, incluso cuando el usuario después rechaza. Webs que obligan a aceptar para poder navegar (según se publicó en 2024, la Audiencia Nacional confirmó la multa de 30.000 euros a Iberia por ese motivo). Y políticas de cookies genéricas, que no identifican qué cookies hay, de quién son, para qué sirven ni cuánto duran.

Hay un error de fondo que explica casi todos los demás: tratar el banner como un plugin que se instala y se olvida. Cada vez que marketing añade una etiqueta nueva, un chat, un mapa o un vídeo incrustado, la web cambia y el banner deja de reflejarla. Por eso las webs que cumplían el primer día suelen dejar de cumplir a los pocos meses.

Cómo revisar tu web en diez minutos

1. Abre tu web en una ventana de incógnito y no toques el banner. Con las herramientas de desarrollador del navegador (pestaña Aplicación o Almacenamiento, apartado Cookies) mira qué cookies hay. Si ves _ga, _fbp, _gcl_au, _hjSession o similares antes de aceptar, tienes un problema.

2. Pulsa "Rechazar" y recarga la página. Las cookies de analítica y publicidad no deberían aparecer. Si aparecen, el banner es decorativo.

3. Mira la primera capa del banner. Aceptar y rechazar deben estar a la vista, al mismo nivel y con el mismo peso visual, junto a una explicación breve de para qué usas las cookies y un enlace a la política.

4. Abre la política de cookies. Debe enumerar las cookies que realmente usa tu web, con su titular (propia o de terceros), finalidad y duración, y explicar cómo retirar el consentimiento.

5. Busca el enlace para cambiar de opinión. Tiene que haber un acceso permanente para reabrir la configuración.

6. Revisa el gestor de etiquetas. Si usas Google Tag Manager, cada etiqueta que instala cookies debe depender del consentimiento (el modo de consentimiento de Google ayuda, pero no sustituye la configuración correcta de cada etiqueta).

Si alguno de estos pasos falla, no basta con cambiar de plugin: hay que inventariar las cookies, ajustar el banner y reescribir la política para que diga lo que la web hace de verdad.

Las cookies son solo una parte de los textos legales

Una web que vende o capta clientes necesita, además del banner y la política de cookies, un aviso legal con los datos del art. 10 LSSI, una política de privacidad con la información del art. 13 RGPD y, si vende a consumidores, unas condiciones de contratación con la información precontractual y el derecho de desistimiento que exige la normativa de consumo. Lo explicamos con detalle en qué textos legales necesita tu web y, para tiendas online, en RGPD en tu ecommerce. Los textos copiados de otra web tienen el mismo problema que el banner mal configurado: describen una web que no es la tuya.

Si tu producto vive de los datos, el análisis empieza antes

Para una web corporativa, el banner y los textos legales son suficientes. Pero si tu modelo de negocio depende de los datos de los usuarios (una app con SDK de terceros, una plataforma de publicidad o de afiliación, un producto que perfila usuarios o que usa inteligencia artificial, un servicio de salud o financiero), las cookies son el síntoma visible de una pregunta más amplia: si lo que quieres hacer con esos datos es legal y bajo qué condiciones. Esa pregunta se responde mejor antes de construir el producto que después de recibir el primer requerimiento. Es lo que hacemos en el informe de viabilidad jurídica, desde 650 euros + IVA, y lo contamos aplicado a productos con IA en viabilidad jurídica de un proyecto de IA.

Lo que puede cambiar

La Comisión Europea propuso el 19 de noviembre de 2025, dentro del paquete conocido como Digital Omnibus, trasladar las reglas sobre cookies de la Directiva de privacidad electrónica al RGPD y facilitar que el usuario exprese sus preferencias de forma automática desde el navegador. A la fecha de publicación de este artículo la propuesta sigue en tramitación, sin texto definitivo, y puede cambiar de forma relevante. Mientras tanto, lo que se aplica y se sanciona es el art. 22.2 LSSI con los criterios de la AEPD que acabamos de ver. Actualizaremos esta guía si se aprueba.

Preguntas frecuentes

¿Cuál es la multa por no tener banner de cookies?

Si la web instala cookies no necesarias sin informar ni pedir consentimiento, es una infracción leve del art. 38.4.g LSSI, con multa de hasta 30.000 euros. Si la web solo usa cookies técnicas o estrictamente necesarias, no necesita banner, aunque es recomendable explicarlas en la política de cookies.

¿Las cookies de Google Analytics necesitan consentimiento?

Sí. La exención del art. 22.2 LSSI cubre solo las cookies estrictamente necesarias para prestar el servicio que el usuario ha pedido, y la analítica no lo es. Por eso Google Analytics debe cargarse después de que el usuario acepte.

¿Sirve un plugin gratuito de cookies?

Puede servir como herramienta, pero no cumple por sí solo. Hay que configurarlo para que bloquee de verdad las cookies hasta el consentimiento, que el rechazo esté al mismo nivel que la aceptación y que la política refleje las cookies que usa tu web. La mayoría de los incumplimientos que vemos ocurren con un plugin instalado.

¿Quién responde si la cookie es de Google o de Meta?

Quien tiene la web. La cookie puede ser de un tercero, pero eres tú quien decide insertar su código en tu página y quien debe obtener el consentimiento antes de que se instale.

¿Puedo impedir el acceso a quien rechace las cookies?

Solo si le ofreces una alternativa real para acceder al contenido sin aceptarlas, que según la AEPD puede ser de pago. Un muro de cookies sin alternativa no es válido.

Cómo lo hacemos en Sonav Legal

Revisamos tu web o tu app como lo haría un inspector: qué cookies se instalan antes y después del consentimiento, cómo está configurado el banner y qué dicen tus textos legales. Después redactamos o corregimos aviso legal, privacidad, cookies y condiciones para que describan lo que tu negocio hace de verdad, con precio cerrado antes de empezar. Si estás lanzando, los textos legales web van incluidos en nuestros packs para startups desde 1.250 euros.