Multe per i cookie in Spagna: cosa sanziona l'AEPD e come avere un banner conforme nel 2026

Installare cookie di analisi o pubblicitari senza il consenso dell'utente può costare fino a 30.000 euro per infrazione in Spagna. Non è un rischio teorico: ogni anno l'Agencia Española de Protección de Datos (AEPD, l'autorità spagnola per la protezione dei dati) sanziona siti e app per banner che non consentono di rifiutare, per pixel che si attivano prima di qualsiasi clic o per cookie policy copiate da un altro sito. La buona notizia è che quasi tutte le violazioni si ripetono e si individuano in dieci minuti. Questa guida spiega cosa dice la legge, quanto si rischia di pagare, quali errori vengono sanzionati e come controllare il proprio sito. Riguarda qualsiasi impresa il cui sito o app si rivolga a utenti in Spagna, ovunque abbia sede.

Cosa dice la legge: l'articolo 22.2 della LSSI

La norma di riferimento è l'art. 22.2 della Ley 34/2002 sui servizi della società dell'informazione e sul commercio elettronico (LSSI), con cui la Spagna ha recepito la direttiva ePrivacy. Consente cookie e tecnologie simili (pixel, local storage, fingerprinting) solo se l'utente ha prestato il consenso dopo aver ricevuto un'informazione chiara e completa sul loro uso e, in particolare, sulle finalità, nei termini del Regolamento generale sulla protezione dei dati (GDPR). Restano esclusi soltanto i cookie strettamente necessari per trasmettere la comunicazione o per fornire un servizio richiesto espressamente dall'utente: la sessione, il carrello, il bilanciamento del carico o il cookie che ricorda se l'utente ha accettato o rifiutato.

Tutto il resto (Google Analytics, il pixel di Meta, Hotjar, il remarketing di Google Ads, i video di YouTube incorporati che installano cookie di terze parti) richiede il consenso preventivo. E l'autorità competente è l'AEPD: l'art. 43.1 LSSI le attribuisce espressamente il potere sanzionatorio sulle violazioni in materia di cookie.

A quanto ammonta la multa per i cookie

Utilizzare cookie senza aver informato l'utente o ottenuto il consenso nei termini dell'art. 22.2 è un'infrazione lieve (art. 38.4.g LSSI), punita con una multa fino a 30.000 euro (art. 39.1.c LSSI). L'importo concreto si gradua secondo i criteri dell'art. 40 LSSI: l'intenzionalità, la durata dell'infrazione, la recidiva, il numero di utenti coinvolti, i profitti ottenuti e il fatturato dell'impresa, tra gli altri.

Due aspetti vanno conosciuti. Il primo è a vostro favore: l'AEPD può optare per un ammonimento invece di aprire il procedimento sanzionatorio e fissare un termine per correggere (art. 39 ter LSSI), e una volta aperto il procedimento, il riconoscimento della responsabilità e il pagamento volontario riducono ciascuno la multa di almeno il 20%, in modo cumulabile (art. 85 della Ley 39/2015). Il caso Vueling lo dimostra: nel 2019 l'AEPD ha inflitto alla compagnia una multa di 30.000 euro perché il suo banner non permetteva di rifiutare i cookie (procedimento PS/00300/2019), scesa a 18.000 euro con entrambe le riduzioni.

Il secondo è a vostro sfavore: la multa della LSSI non esaurisce il rischio. I cookie che identificano l'utente trattano dati personali, e se anche la base giuridica, l'informativa o la gestione di quei dati sono carenti, si applica il GDPR, con multe fino a 20 milioni di euro o al 4% del fatturato mondiale (art. 83.5 GDPR). Non pubblicare sul sito i dati identificativi del titolare (art. 10.1 LSSI, il cosiddetto aviso legal o note legali) è un'ulteriore infrazione lieve distinta (art. 38.4.b LSSI). Un sito trascurato di solito ne accumula diverse.

Nella pratica, molte sanzioni a PMI e startup sono rimaste nell'ordine di poche migliaia di euro. Ma il costo reale di solito è un altro: il procedimento parte quasi sempre dal reclamo di un utente o di un concorrente, obbliga a rispondere alle richieste dell'autorità e a rifare il banner in fretta, e la decisione viene pubblicata con il nome dell'impresa.

Cosa ha precisato l'AEPD nella sua guida sui cookie

La LSSI dice poco su come debba essere il banner. Lo ha precisato l'AEPD nella sua Guida sull'uso dei cookie, aggiornata nel luglio 2020 e nel luglio 2023 per allinearla ai criteri del Comitato europeo per la protezione dei dati. Questi sono i punti che contano di più in un'ispezione.

Rifiutare deve essere facile quanto accettare. Dall'aggiornamento del 2023 (applicabile dall'11 gennaio 2024), le opzioni accetta e rifiuta devono essere presentate in una posizione e in un formato in evidenza e allo stesso livello. Un grande pulsante "Accetta" colorato, con il rifiuto nascosto in un link grigio o in una seconda schermata, non è più ammesso.

"Continuare a navigare" non è consenso. Dall'aggiornamento del 2020 l'AEPD ritiene che continuare a navigare non sia in alcun caso un modo valido di prestare il consenso. Né lo sono lo scroll o le caselle preselezionate: serve un'azione positiva e chiara.

Niente si carica prima del clic. I cookie soggetti a consenso non possono essere installati all'apertura della pagina. È l'errore più frequente: il banner è ben progettato, ma Google Analytics o il pixel di Meta si attivano comunque perché i tag del tag manager non attendono la risposta dell'utente.

Cookie wall solo con un'alternativa. L'accesso può essere subordinato all'accettazione dei cookie solo se a chi rifiuta viene offerta un'alternativa reale, e nel 2023 l'AEPD ha precisato che tale alternativa non deve essere necessariamente gratuita (il modello "accetta o paga" adottato da alcuni media).

Revocare il consenso, altrettanto facile. L'utente deve poter cambiare idea in qualsiasi momento con la stessa facilità con cui ha prestato il consenso (art. 7.3 GDPR), il che in pratica richiede un link permanente "Impostazioni cookie", di solito nel footer. La guida considera buona pratica non mantenere il consenso per più di 24 mesi senza richiederlo di nuovo.

Gli errori più sanzionati

Leggendo le decisioni dell'AEPD degli ultimi anni, i motivi si ripetono. Banner senza pulsante di rifiuto al primo livello, o con un "Configura" che porta a una schermata con tutte le caselle già attive. Cookie di analisi e pubblicitari installati prima di qualsiasi interazione, anche quando l'utente poi rifiuta. Siti che obbligano ad accettare per poter navigare (secondo quanto riportato nel 2024, l'Audiencia Nacional ha confermato per questo motivo la multa di 30.000 euro a Iberia). E cookie policy generiche, che non indicano quali cookie ci sono, di chi sono, a cosa servono né quanto durano.

Un errore di fondo spiega quasi tutti gli altri: trattare il banner come un plugin da installare e dimenticare. Ogni volta che il marketing aggiunge un tag, una chat, una mappa o un video incorporato, il sito cambia e il banner smette di rifletterlo. Per questo siti conformi il primo giorno spesso smettono di esserlo dopo pochi mesi.

Come controllare il tuo sito in dieci minuti

1. Apri il sito in una finestra in incognito senza toccare il banner. Con gli strumenti per sviluppatori del browser (scheda Applicazione o Archiviazione, sezione Cookie) guarda quali cookie sono presenti. Se trovi _ga, _fbp, _gcl_au, _hjSession o simili prima di accettare, c'è un problema.

2. Clicca su "Rifiuta" e ricarica la pagina. I cookie di analisi e pubblicitari non dovrebbero comparire. Se compaiono, il banner è solo decorativo.

3. Guarda il primo livello del banner. Accetta e rifiuta devono essere visibili, allo stesso livello e con lo stesso peso visivo, insieme a una breve spiegazione dell'uso dei cookie e a un link alla policy.

4. Apri la cookie policy. Deve elencare i cookie effettivamente usati dal sito, con titolare (proprio o di terze parti), finalità e durata, e spiegare come revocare il consenso.

5. Cerca il link per cambiare idea. Deve esserci un accesso permanente per riaprire le impostazioni.

6. Controlla il tag manager. Se usi Google Tag Manager, ogni tag che installa cookie deve dipendere dal consenso (la modalità di consenso di Google aiuta, ma non sostituisce la corretta configurazione di ciascun tag).

Se uno di questi passaggi non va a buon fine, cambiare plugin non basta: occorre inventariare i cookie, adeguare il banner e riscrivere la policy perché descriva ciò che il sito fa davvero.

I cookie sono solo una parte dei testi legali

Un sito che vende o acquisisce clienti in Spagna ha bisogno, oltre al banner e alla cookie policy, di note legali con i dati dell'art. 10 LSSI, di un'informativa privacy con le informazioni dell'art. 13 GDPR e, se vende ai consumatori, di condizioni di vendita con le informazioni precontrattuali e il diritto di recesso richiesti dalla normativa sui consumatori. Lo spieghiamo in dettaglio in quali testi legali servono al tuo sito e, per i negozi online, in GDPR per il tuo e-commerce. I testi copiati da un altro sito hanno lo stesso difetto di un banner configurato male: descrivono un sito che non è il tuo.

Se il tuo prodotto vive di dati, l'analisi comincia prima

Per un sito istituzionale, banner e testi legali bastano. Ma se il tuo modello di business dipende dai dati degli utenti (un'app con SDK di terze parti, una piattaforma pubblicitaria o di affiliazione, un prodotto che profila gli utenti o usa l'intelligenza artificiale, un servizio sanitario o finanziario), i cookie sono il sintomo visibile di una domanda più ampia: se ciò che vuoi fare con quei dati è lecito e a quali condizioni. È meglio rispondere prima di costruire il prodotto che dopo la prima richiesta dell'autorità. È ciò che facciamo con il nostro report di fattibilità giuridica (pagina in inglese), da 650 euro + IVA, e lo raccontiamo applicato ai prodotti di IA in fattibilità giuridica di un progetto di IA.

Cosa potrebbe cambiare

Il 19 novembre 2025, nell'ambito del pacchetto noto come Digital Omnibus, la Commissione europea ha proposto di trasferire le regole sui cookie dalla direttiva ePrivacy al GDPR e di rendere più facile per l'utente esprimere le proprie preferenze in automatico dal browser. Alla data di pubblicazione la proposta è ancora in fase di approvazione, senza testo definitivo, e può cambiare in modo rilevante. Nel frattempo, ciò che si applica e si sanziona in Spagna è l'art. 22.2 LSSI con i criteri dell'AEPD appena visti. Aggiorneremo questa guida se la proposta verrà approvata.

Domande frequenti

Qual è la multa se manca il banner dei cookie?

Se il sito installa cookie non necessari senza informare né chiedere il consenso, si tratta di un'infrazione lieve ai sensi dell'art. 38.4.g LSSI, con multa fino a 30.000 euro. Se il sito usa solo cookie tecnici o strettamente necessari, non serve il banner, anche se è consigliabile spiegarli nella cookie policy.

I cookie di Google Analytics richiedono il consenso?

Sì. L'esenzione dell'art. 22.2 LSSI copre solo i cookie strettamente necessari per fornire il servizio richiesto dall'utente, e l'analisi non lo è. Per questo Google Analytics deve caricarsi dopo che l'utente ha accettato.

Basta un plugin gratuito per i cookie?

Può essere utile come strumento, ma da solo non rende conformi. Va configurato in modo che blocchi davvero i cookie fino al consenso, che il rifiuto sia allo stesso livello dell'accettazione e che la policy rifletta i cookie usati dal sito. La maggior parte delle violazioni che vediamo avviene con un plugin installato.

Chi risponde se il cookie è di Google o di Meta?

Il titolare del sito. Il cookie può appartenere a un terzo, ma sei tu a decidere di inserirne il codice nella tua pagina e a dover ottenere il consenso prima che venga installato.

Posso bloccare l'accesso a chi rifiuta i cookie?

Solo se offri un'alternativa reale per accedere ai contenuti senza accettarli, che secondo l'AEPD può essere a pagamento. Un cookie wall senza alternativa non è valido.

Come lavoriamo in Sonav Legal

Analizziamo il tuo sito o la tua app come farebbe un ispettore: quali cookie vengono installati prima e dopo il consenso, come è configurato il banner e cosa dicono i tuoi testi legali. Poi redigiamo o correggiamo note legali, informativa privacy, cookie policy e condizioni perché descrivano ciò che la tua attività fa davvero, con un prezzo chiuso concordato prima di iniziare. Se stai avviando un'attività in Spagna, i testi legali del sito sono inclusi nei nostri pacchetti per startup a partire da 1.250 euro.