- Banner: en la primera capa debe haber botones de aceptar, rechazar y configurar, y rechazar tiene que ser tan fácil como aceptar.
- Multa por cookies: usar cookies sin informar ni pedir consentimiento es infracción leve, con multa de hasta 30.000 euros. Si reincides, sube a 30.001-150.000 euros.
- Un caso real: tres webs siguieron usando cookies de terceros después de que el usuario pulsara "rechazar todas". La sanción fue de 90.000 euros.
La AEPD espera que tu web informe del uso de cookies y obtenga consentimiento antes de usarlas, y que permita rechazar con el mismo esfuerzo que aceptar. Si no lo haces, la primera infracción se considera leve y la multa llega hasta 30.000 euros. Si reincides, el importe sube. Los formularios y el resto del tratamiento de datos personales caen bajo el RGPD, cuyo techo de multas es mucho más alto. Abajo te explico cada punto y cómo revisarlo.
Por qué esto te afecta aunque seas una empresa pequeña
Es fácil pensar que la AEPD solo mira a las grandes tecnológicas. Los datos dicen otra cosa. En 2025 recibió 30.931 reclamaciones, la cifra más alta de su historia. Los servicios de Internet fueron la categoría con más reclamaciones, con 5.134 casos (+63%). Esa categoría incluye a muchos negocios que no son grandes plataformas.
También subieron los procedimientos por brechas de datos: un 157%, de 30 en 2024 a 77 en 2025. El importe total de las sanciones de 2025 fue de 48.108.765 euros.
Las cookies también han llegado a entidades pequeñas. Un colegio recibió una multa de 5.000 euros porque su web no avisaba del uso de cookies ni permitía configurarlas. La sanción bajó a 3.000 euros por reconocimiento y pronto pago. No era una multinacional: era una web con un banner que no cumplía.
Qué exige la AEPD al banner de cookies
La AEPD publicó en julio de 2023 la actualización de su Guía de cookies para adaptarla a las Directrices 03/2022 del CEPD sobre patrones engañosos. Las empresas tenían que aplicar los cambios a más tardar el 11 de enero de 2024. Ese plazo ya ha pasado, así que no puedes tratar la guía como una novedad pendiente de aplicar.
Primera capa: aceptar, rechazar y configurar
Según la guía, la primera capa del banner debe tener botones para aceptar, rechazar y configurar. La opción de rechazar tiene que tener la misma visibilidad y accesibilidad que la de aceptar, sin mandar al usuario a otra capa.
En la práctica, esto descarta los banners donde "Aceptar" es un botón grande y de color, y "Rechazar" es un enlace pequeño o está escondido dentro de "Configurar". Es justo el tipo de diseño que las directrices europeas sobre patrones engañosos quieren evitar.
Rechazar tiene que funcionar de verdad
Mostrar los tres botones no basta. Un caso de reincidencia (PS/00524/2023) acabó en 90.000 euros, 30.000 por cada una de tres webs. Después de pulsar "rechazar todas", esas webs empezaban a usar cookies de terceros.
La lección técnica es clara: el gestor de consentimiento debe bloquear de verdad las etiquetas. Si las herramientas de analítica o publicidad se cargan igualmente tras rechazar, el banner no cumple su función. Este es un fallo que no se ve a simple vista, porque el banner parece correcto. Solo se detecta comprobando qué carga la web después de rechazar, y la lista de revisión de más abajo te explica cómo hacerlo.
Muros de cookies
La guía permite los muros de cookies en algunos casos. Debes informar al usuario y ofrecerle una alternativa de acceso, que no tiene por qué ser gratuita. Si tu web no necesita un muro, lo más sencillo es no usarlo y dejar navegar a quien rechaza.
Cookies que no necesitan consentimiento
No todo requiere permiso. Las cookies de personalización que elige el usuario, como el idioma de la web o la moneda, son técnicas y no necesitan consentimiento. Esto afecta a las webs turísticas multilingües. Eso sí, esas cookies no pueden usarse para otros fines. Si la cookie del idioma se aprovecha también para otra cosa, deja de estar en esta excepción.
Qué pasa con los formularios
La guía de la AEPD trata de cookies. Los formularios de contacto, reserva o presupuesto caen bajo el RGPD en general. Entre los principios del RGPD está el consentimiento (arts. 5, 6, 7 y 9), y su incumplimiento se puede sancionar según el art. 83, con el techo que verás en la tabla de abajo.
No voy a darte una lista de requisitos de formularios que no pueda respaldar con fuentes. Lo que sí puedes hacer es revisar tus formularios con estas preguntas y llevar las dudas a un asesor especializado:
- ¿Sabes qué datos recoge cada formulario y para qué los usas?
- ¿Pides datos que no necesitas para responder a la consulta?
- ¿El usuario puede ver cómo se tratan sus datos antes de enviar el formulario?
- ¿Sabes a qué herramientas o proveedores llegan esos datos una vez enviados?
Cuánto puede costarte una multa
Hay dos regímenes que conviene separar. Las cookies sin consentimiento informado se sancionan con la LSSI, y las infracciones de los principios del RGPD, incluido el consentimiento, con el art. 83 del RGPD.
| Qué incumples | Norma | Multa |
|---|---|---|
| Cookies sin informar ni pedir consentimiento (primera vez) | LSSI, art. 38.4.g (leve) | Hasta 30.000 euros |
| Lo mismo, reincidiendo en los tres años siguientes a una resolución firme | LSSI (grave) | 30.001 a 150.000 euros |
| Infracciones muy graves de la LSSI | LSSI | 150.001 a 600.000 euros |
| Incumplir principios del RGPD, incluido el consentimiento | RGPD, art. 83 | Hasta 20 millones de euros o el 4 % del volumen de negocios anual mundial, la cifra que sea mayor |
Los rangos de la LSSI están en el texto del BOE. El detalle de que usar cookies sin informar ni obtener el consentimiento del art. 22.2 es infracción leve, y de que pasa a grave por reincidencia, está en este análisis. El tope del RGPD figura en la página del CEPD.
Los 20 millones de euros o el 4 % son el techo, no lo habitual. En la práctica, a una pyme se le aplican importes muy inferiores. Los casos citados en este artículo van en esa línea: 5.000 euros, reducidos a 3.000, para un colegio, y 30.000 euros por web en un caso de reincidencia.
Lista de revisión rápida para tu web
- Abre tu web en una ventana de incógnito y comprueba que el banner aparece en la primera visita.
- Verifica que hay tres botones en la primera capa: aceptar, rechazar y configurar, con la misma visibilidad.
- Pulsa "rechazar todas" y abre las herramientas de desarrollo del navegador. Comprueba que no se cargan cookies ni scripts de terceros, como analítica o publicidad.
- Pregunta a quien gestione tu web qué etiquetas de terceros hay instaladas: analítica, píxeles, mapas, chats, vídeos incrustados.
- Comprueba que las cookies de idioma o moneda solo se usan para eso.
- Repasa los formularios con las preguntas de la sección anterior.
- Vuelve a revisar cada vez que añadas una herramienta nueva a la web, porque puede traer cookies de terceros.
Cómo plantearlo si tienes un negocio en la Costa del Sol
Si tu web tiene varios idiomas, formularios de reserva o contacto y herramientas de terceros, cada integración es un punto donde pueden colarse cookies sin que lo notes. La lista de revisión te ayuda a detectarlo. Si tu empresa está en la zona, también puedes ver cómo trabajamos desde Marbella.
Si ya tienes web y dudas de si cumple, lo razonable es empezar por la lista anterior. Para dimensionar una corrección o un rediseño, puedes usar el planificador de proyectos, ver los precios o consultar nuestros servicios de desarrollo web. Para casos con implicaciones legales concretas, habla con un abogado especializado en protección de datos: esto es información práctica, no asesoramiento jurídico.
Preguntas frecuentes
¿Puedo ocultar el botón de rechazar dentro de "Configurar"?
No. La guía de la AEPD exige que la primera capa tenga aceptar, rechazar y configurar, y que rechazar sea tan visible y accesible como aceptar, sin enviar al usuario a otra capa.
¿Basta con mostrar el banner si las etiquetas se cargan igual?
No. En un caso de reincidencia, las webs empezaban a usar cookies de terceros después de que el usuario pulsara "rechazar todas". La sanción fue de 90.000 euros, 30.000 por cada una de tres webs. El gestor de consentimiento debe bloquear de verdad las etiquetas.
¿Necesito consentimiento para la cookie del idioma de mi web?
No, si es una cookie de personalización que elige el usuario, como el idioma o la moneda. Se considera técnica. Pero no puedes usarla para otros fines.
¿Qué pasa si me multan y reincido?
Si reincides en los tres años siguientes a una resolución firme, la infracción pasa de leve a grave y la multa sube a entre 30.001 y 150.000 euros. En el caso de reincidencia citado arriba, la sanción fue de 30.000 euros por cada una de tres webs.
¿Me pueden multar con 20 millones de euros por un fallo de consentimiento?
Es el tope que fija el art. 83 del RGPD para incumplir sus principios, junto con el 4 % del volumen de negocios anual mundial si esa cifra es mayor. En la práctica, a una pyme se le aplican importes muy inferiores.
