¿Es obligatorio el banner de cookies en mi web?

El banner de cookies solo es obligatorio si tu web guarda o lee en el dispositivo del visitante algo que no necesita estrictamente para funcionar: cookies de analítica, píxeles de publicidad, o mapas y vídeos incrustados de Google. Una web sin nada de eso no tiene nada por lo que pedir permiso y no necesita banner. En España la norma es el artículo 22.2 de la LSSI, y la Agencia Española de Protección de Datos (AEPD) explica cómo aplicarla en su guía sobre cookies. Abajo tienes qué dicen, qué suele añadir cookies sin que te des cuenta y cómo comprobar tu propia web.

Esto no es asesoramiento legal. Es un resumen sencillo de textos oficiales, comprobado el 9 de noviembre de 2026. Si tu negocio depende del seguimiento de visitas o de anuncios, consulta con un abogado o con la AEPD.

La norma en la Unión Europea

Consentimiento antes de todo lo que no sea estrictamente necesario. El artículo 5.3 de la Directiva sobre la privacidad y las comunicaciones electrónicas solo permite guardar información en el dispositivo del visitante, o leerla, con su consentimiento, salvo que sea estrictamente necesario para darle el servicio que ha pedido (Directiva 2002/58/CE, texto consolidado). El «consentimiento» es el del RGPD: libre, específico, informado e inequívoco, mediante una acción clara (artículo 4.11), y tan fácil de retirar como de dar (artículo 7.3) (RGPD en EUR-Lex).

No son solo las cookies. Las Directrices 2/2023 del Comité Europeo de Protección de Datos sobre el alcance técnico del artículo 5.3 (en inglés; versión 2.0, adoptada el 7 de octubre de 2024) incluyen también el almacenamiento local, los píxeles de seguimiento y el seguimiento por la dirección de la página. Así que «no usamos cookies, solo un píxel» no te libra.

La norma en España: artículo 22.2 de la LSSI

En España la directiva se aplica a través del artículo 22.2 de la Ley 34/2002 de servicios de la sociedad de la información (LSSI), cuya redacción vigente es de mayo de 2014. Dice, en resumen:

• Puedes usar «dispositivos de almacenamiento y recuperación de datos» (cookies y similares) en el equipo del visitante solo si ha dado su consentimiento después de recibir información clara y completa sobre su uso y sus fines.
• Quedan fuera el almacenamiento técnico necesario para transmitir la comunicación y lo que sea estrictamente necesario para un servicio que el visitante ha pedido expresamente.

Saltarse el consentimiento o la información del artículo 22.2 es una infracción leve (artículo 38.4.g), con multa de hasta 30.000 € (artículo 39.1.c), y quien sanciona es la AEPD (artículo 43.1), todo en la misma ley en el BOE.

Cómo debe ser el banner, según la AEPD. La Guía sobre el uso de las cookies de la AEPD (versión actualizada en mayo de 2024) pide, entre otras cosas:

• Que seguir navegando no cuente como aceptar.
• Que la opción de rechazar esté en la misma capa y al mismo nivel que la de aceptar, con un botón parecido.
• Que la persona pueda retirar el consentimiento en cualquier momento. Como buena práctica, la AEPD considera que el consentimiento no debería valer más de 24 meses.

Qué no necesita consentimiento: lo que la web necesita para hacer lo que el visitante está haciendo. La guía cita, entre otras, las cookies de «entrada del usuario» (un carrito de la compra, por ejemplo), las de autenticación de sesión, las de seguridad y las de personalización de la interfaz.

Estadísticas sin consentimiento, con condiciones. La AEPD tiene una guía aparte, Uso de cookies para herramientas de medición de audiencia (versión de enero de 2024). Según ella, las cookies de estadísticas podrían quedar exentas si solo miden la audiencia de tu web, en tu exclusivo nombre, con datos estadísticos anónimos, sin cruzarlos con otros datos, sin pasarlos a terceros y sin seguir a la persona por otras webs. También pide informar de ellas (en la política de privacidad, por ejemplo), que no duren más de unos trece meses y que los datos no se guarden más de veinticinco meses. La propia guía avisa de que muchas herramientas de analítica del mercado no encajan, porque reutilizan los datos para otros fines.

Si tienes visitantes del Reino Unido o de Estados Unidos

• Reino Unido. Su norma es el reglamento 6 de PECR. Desde el 5 de febrero de 2026, tras la Data (Use and Access) Act 2025, permite sin consentimiento lo estrictamente necesario, las estadísticas para mejorar tu propia web (con información y una forma sencilla de oponerse) y recordar cómo quiere el visitante que se vea la web (Schedule A1, en inglés). La publicidad y el seguimiento entre webs siguen necesitando consentimiento.
• Estados Unidos. No hay una ley federal general que pida un banner. El Servicio de Investigación del Congreso escribió en agosto de 2025 que hay leyes por sectores y que al menos 19 estados tienen leyes de privacidad propias (CRS, en inglés). La más conocida, la CCPA de California, funciona por exclusión voluntaria: las empresas con ánimo de lucro por encima de ciertos umbrales que venden esos datos deben poner un enlace para pedirles que no vendan ni compartan tu información personal y respetar la señal Global Privacy Control del navegador (Fiscalía General de California, en inglés).

Sin rastreadores, sin banner

Si nada en tu web guarda o lee algo que no sea estrictamente necesario, no hay nada que consentir, y un banner solo estorba. Lo que sí necesitas es una política de privacidad que diga qué hace la web con los datos personales, por ejemplo lo que recoge un formulario de contacto. El banner y la política de privacidad son dos cosas distintas.

Qué suele añadir cookies sin que te des cuenta

Casi ninguna web pequeña pone cookies a propósito. Le llegan con algo que has añadido:

• Google Maps incrustado. La política de privacidad de Google cita los «mapas insertados de Google Maps» entre sus productos integrados en otras webs, y dice que esas webs comparten información con Google cuando las visitas (Política de privacidad de Google).
• Vídeos de YouTube incrustados. El reproductor se carga desde Google en cuanto se abre la página. Google cita cookies de YouTube como PREF, que caduca 8 meses después del último uso, y VISITOR_INFO1_LIVE en su página de cookies. Los dos casos, y la solución, están en cómo poner Google Maps y YouTube sin cookies.
• Analítica. Google Analytics 4 pone dos cookies propias, _ga y _ga_<id-del-contenedor>, que duran dos años por defecto (ayuda de Google Analytics).
• Píxeles de publicidad de Meta, TikTok, Pinterest o Google Ads. Siempre necesitan consentimiento: mira cómo añadir el píxel de Meta legalmente en la UE (en inglés).
• Chats, widgets de reservas y muros de redes sociales que se cargan desde los servidores de otra empresa. Revisa la documentación de cada uno.
• Google Fonts cargadas desde Google. No necesitan cookies para importar: el navegador del visitante se conecta a Google, que recibe su dirección IP. En enero de 2022 un tribunal de Múnich condenó al dueño de una web a pagar 100 € a un visitante por pasar así su IP a Google sin consentimiento, y señaló que las fuentes se podían usar sin conectarse a Google (LG München I, 3 O 17493/20, en alemán). Es una sentencia alemana, no española, pero el mecanismo es el mismo en cualquier web. Alojar los archivos de la fuente en tu propia web lo evita.

Cómo comprobar tu propia web

No necesitas ninguna herramienta, solo un navegador de ordenador:

1. Abre tu web en una ventana privada, para que no quede nada de visitas anteriores.
2. Abre las herramientas para desarrolladores (F12 en Chrome, Edge o Firefox).
3. En Chrome o Edge, ve a Aplicación → Almacenamiento → Cookies; en Firefox, a Almacenamiento → Cookies. Todo lo que aparezca se ha puesto sin que pulses nada.
4. Ve a la pestaña Red y recarga la página. Mira los dominios de la lista: cada uno que no sea el de tu web ha recibido la dirección IP de tu visitante.
5. Baja hasta el final de la página y vuelve a mirar: algunos elementos incrustados solo se cargan al aparecer en pantalla.

Si los pasos 3 y 4 solo muestran tu propio dominio, probablemente no necesitas banner. Si aparecen Google, Meta u otros, o haces que esperen a un «sí», o los quitas.

Cómo lo hace Ginta

Ginta es nuestro producto, así que esto es cómo funcionan nuestras webs. Una web de Ginta no pone ninguna cookie por defecto, y su política de privacidad, que Ginta escribe a partir de lo que la web usa de verdad, lo dice:

Lo de la lista de arriba ya está resuelto:

• Google Fonts se sirven desde la dirección de la propia web, así que el navegador del visitante nunca contacta con Google.
• Las fotos de stock de Pexels también se sirven desde la dirección de la propia web.
• Google Maps pregunta primero. Una página con un mapa de Google muestra el banner de Ginta con una opción «Mapas» (la única opción si la web no tiene rastreadores). Tras un «sí», el mapa de Google aparece al momento. Hasta entonces, el mapa es una imagen hecha por el servidor de Ginta, con «Abrir en Google Maps» y «Mostrar mapa interactivo», que carga solo ese mapa.
• YouTube y otros reproductores de vídeo solo se cargan cuando el visitante pulsa reproducir.
• Las estadísticas de visitas se cuentan en el servidor de Ginta, sin cookie: mira estadísticas de visitas sin cookies (en inglés).

El 9 de noviembre de 2026 abrimos dos webs de demostración de Ginta en un navegador recién instalado, hollin-mobile-massage.ginta.page y krume-leipzig.ginta.page, y bajamos hasta el final: todas las peticiones fueron a la dirección de la propia web y no se guardó ninguna cookie ni nada en el almacenamiento local. Ese mismo día miramos también el código de horno-la-espiga.ginta.page, una panadería de demostración en Valencia: la página no manda ninguna cookie y el mapa de Google solo está guardado para cargarse al pulsar «Mostrar mapa interactivo». (Las dos panaderías tienen mapa, así que muestran el banner con la opción «Mapas»; no se guarda nada hasta que el visitante responde.)

Si añades un rastreador, el banner llega solo (en las páginas con un mapa de Google ya está, hasta entonces solo con la opción «Mapas»). Pega el ID de tu píxel de Meta, píxel de TikTok, Google Analytics 4, Google Ads o Pinterest en los Ajustes de la web → Marketing y seguimiento (en todos los planes, también el gratuito), o pídelo en el chat. Ginta añade entonces un banner con Aceptar, Rechazar y Configurar como botones iguales, no carga nada antes de Aceptar, pone «Configuración de cookies» en el pie de página y nombra los rastreadores en la política de privacidad:

Los detalles están en píxeles y banner de cookies (en inglés) y en la documentación de seguimiento (en inglés). La otra cookie que puede poner una web de Ginta también la eliges tú: si haces una web privada, quien escribe su contraseña recibe una cookie que mantiene la sesión abierta, y esa es estrictamente necesaria.

Dónde Ginta se queda corto

• La política de privacidad está en inglés, de momento. Ginta la añade también a las webs en español, pero con el texto en inglés hasta que se revisen las traducciones. El banner, en cambio, sí sale en español.
• Ginta no guarda un registro central de la elección de cada visitante. La respuesta se recuerda en el propio dispositivo del visitante. La política de consentimiento de usuarios de la UE de Google pide a las webs que usan sus productos que guarden registros del consentimiento; si una plataforma de anuncios te los pide, comprueba qué acepta.
• Scripts que Ginta no reconoce. En los planes de pago puedes añadir otros scripts externos. Los rastreadores conocidos escritos a mano en las páginas esperan al Aceptar, y lo demás se nombra en la política de privacidad, pero Ginta no puede saber si un script desconocido necesita consentimiento. Ponlo en Ajustes → Marketing y seguimiento → Otro script de seguimiento, para que espere al banner.
• Ginta no puede rellenar tus datos. La política de privacidad necesita el nombre y la dirección de tu negocio; hasta que los añadas, deja un hueco donde van.