Un cookie banner conforme al RGPD en España debe permitir al usuario aceptar o rechazar las cookies no esenciales con el mismo nivel de facilidad, antes de que se instale ninguna cookie de analítica o publicidad en su navegador.
Si tu web tiene Google Analytics, píxel de Meta, chat en vivo o cualquier herramienta de publicidad, necesitas un banner de cookies bien configurado. La AEPD impuso 33,9 millones de euros en sanciones en 2025, muchas de ellas por banners de cookies que no ofrecían una opción real de rechazo.
En esta guía te explicamos, paso a paso, qué debe tener tu banner para cumplir la normativa en 2026 y qué errores no cometer para evitar multas y sanciones.
El banner de cookies es el aviso que aparece al entrar en una web para informar sobre el uso de cookies y pedir el consentimiento del usuario antes de instalar aquellas que no son estrictamente necesarias para el funcionamiento del sitio.
Es obligatorio porque las cookies de analítica, publicidad o redes sociales implican tratamiento de datos personales (dirección IP, comportamiento de navegación, identificadores únicos), y el RGPD exige que ese tratamiento se base en un consentimiento libre, específico, informado e inequívoco. Solo las cookies técnicas o estrictamente necesarias (por ejemplo, las que recuerdan el contenido de un carrito de compra) están exentas de este requisito de consentimiento previo.
La guía de la AEPD establece una serie de requisitos que tu banner de cookies debe cumplir:
| Requisito | En qué consiste |
|---|---|
| Botón de rechazo visible | El botón "Rechazar" debe estar en la primera capa del banner, con el mismo tamaño, color y nivel de visibilidad que el botón "Aceptar" |
| No instalar cookies antes del consentimiento | Ninguna cookie no esencial puede activarse hasta que el usuario haga clic en "Aceptar" |
| Información clara del responsable | El banner debe identificar quién trata los datos y enlazar a la política de cookies y de privacidad |
| Panel de configuración granular | El usuario debe poder aceptar o rechazar categorías de cookies por separado (analítica, publicidad, redes sociales), no solo un "todo o nada" |
| Consentimiento con caducidad | El consentimiento no es válido indefinidamente: debe renovarse, como máximo, cada 24 meses |
| Prohibición de "cookie walls" abusivos | No se puede bloquear el acceso al contenido exigiendo aceptar cookies, salvo que se ofrezca una alternativa razonable (que no tiene por qué ser gratuita) |
Los llamados "dark patterns" son precisamente lo que más está sancionando la AEPD en los últimos ejercicios. Estos dark patterns consisten en botones de rechazo escondidos en un segundo o tercer clic, colores que resaltan solo el "Aceptar", o forzar a leer un texto largo antes de poder rechazar.
Analizando las resoluciones de la AEPD de 2025, los errores que más se repiten en pymes y tiendas online españolas son:
Desde marzo de 2024, Google exige el uso de Consent Mode v2 para poder seguir usando Google Ads y Google Analytics 4 de forma completa. El Consent Mode v2 no sustituye al cookie banner sino que se comunica con él. Cuando el usuario acepta o rechaza cookies en tu banner, esa señal se transmite a Google para ajustar cómo se miden las conversiones y se activan o no las cookies publicitarias.
Si tu banner no está correctamente conectado con Consent Mode v2, puedes tener dos problemas a la vez: perder precisión en tus campañas de Google Ads y, si además el banner no cumple los requisitos de la AEPD, exponerte a sanciones. Configurarlo bien es tanto una cuestión de cumplimiento legal como de rendimiento de marketing.
Un cookie banner conforme al RGPD es un mecanismo técnico y legal que debe bloquear las cookies no esenciales hasta obtener un consentimiento real, ofrecer un rechazo igual de accesible que la aceptación, y mantenerse actualizado según los criterios de la AEPD.
Puedes revisar cómo generar y mantener tu banner de cookies junto con tu política de cookies y de privacidad con el banner de cookies de Lawwwing, que se actualiza automáticamente cuando cambian los criterios de la AEPD y se integra con Google Consent Mode v2.
Sí. Google Analytics instala cookies que permiten identificar al usuario y analizar su comportamiento, por lo que requiere consentimiento previo según el artículo 22.2 de la LSSI-CE, salvo que uses una configuración anonimizada muy específica que la AEPD reconozca como exenta, algo poco habitual en la práctica.
Sí. La guía de la AEPD exige que el botón de rechazo esté en la primera capa del banner, con la misma visibilidad que el botón de aceptar. Obligar al usuario a entrar en un submenú para rechazar se considera una práctica sancionable.
Como máximo 24 meses. Pasado ese plazo, el banner debe volver a solicitar el consentimiento al usuario.
Te expones a una sanción de la AEPD que puede llegar a los 20 millones de euros o el 4% de la facturación anual en los casos más graves.
La base del RGPD es común en toda la UE, pero hay matices locales (por ejemplo, los criterios concretos de la AEPD en España frente a otras autoridades europeas), por lo que conviene que el banner esté adaptado específicamente a la normativa española si tu público principal está aquí, y ampliado si vendes también en otros mercados.
