Una web solo puede instalar en tu dispositivo cookies que no sean técnicas si antes te ha informado con claridad y has aceptado (art. 22.2 de la LSSI). Según la guía de la AEPD, la opción de rechazar debe estar en la primera capa, al mismo nivel y con la misma visibilidad que la de aceptar, seguir navegando no cuenta como consentimiento y retirarlo tiene que ser tan fácil como darlo. Si una web no lo cumple, puedes reclamar a la AEPD, que sanciona estas infracciones con multas de hasta 30.000 euros.
Qué cookies necesitan tu permiso y cuáles no
La regla general es el consentimiento. Solo quedan fuera las cookies que sirven para transmitir la comunicación por la red y las estrictamente necesarias para prestar un servicio que tú has pedido expresamente (art. 22.2, párrafo tercero, de la LSSI). La guía de la AEPD (actualizada en mayo de 2024) concreta qué entra en cada grupo.
| Tipo de cookie | ¿Necesita tu consentimiento? |
|---|---|
| De sesión para el carrito, el inicio de sesión, la seguridad, el reproductor o el reparto de carga | No, si se usan solo para eso |
| De preferencias que eliges tú (idioma, tamaño de letra, moneda) | No, si no se usan para otros fines ni para hacer tu perfil |
| De análisis o medición | Sí, aunque el antiguo Grupo de Trabajo del Artículo 29, que cita la AEPD, las considera de poco riesgo si son propias, con datos agregados y fines estadísticos |
| De publicidad comportamental, que siguen tu navegación para mostrarte anuncios | Sí |
| Una cookie con varias finalidades, unas exentas y otras no | Sí, para las finalidades no exentas |
Cómo debe pedirte el consentimiento
- Con una acción clara por tu parte. La simple inactividad no es consentimiento y, como recuerda la AEPD siguiendo al Comité Europeo de Protección de Datos, seguir navegando tampoco.
- Con la opción de rechazar en la misma capa, al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptar, sin obligarte a ir a otra pantalla.
- Con la información separada de otros asuntos y sin mezclar la aceptación de las condiciones de uso con la de las cookies.
- Con un botón o enlace visible a un panel donde puedas aceptar o rechazar por finalidades, y sin casillas marcadas de antemano a favor de aceptar.
Muros de cookies y «paga o acepta»
Una web no puede impedirte el acceso por rechazar las cookies si no te ofrece una alternativa. La AEPD admite que se condicione el acceso cuando se informa al usuario y se le ofrece otra forma de acceder sin aceptar las cookies, que no tiene por qué ser gratuita, siempre que ambas opciones sean realmente equivalentes y la alternativa la preste el mismo editor (apartado 3.2.10 de la guía). Para las grandes plataformas, el Comité Europeo de Protección de Datos (dictamen 8/2024) considera que en la mayoría de los casos no basta con elegir entre aceptar la publicidad comportamental o pagar, y que deben valorar una alternativa gratuita sin ese tipo de publicidad.
Retirar el consentimiento
Puedes retirar tu consentimiento en cualquier momento y debe ser tan fácil como darlo (art. 7.3 del RGPD). La AEPD lo da por cumplido, por ejemplo, cuando hay un acceso sencillo y permanente al panel de configuración, y considera buena práctica no mantener el consentimiento más de 24 meses. En el procedimiento PS/00051/2023, la Agencia multó con 5.000 euros a Grupo Massimo Dutti, S.A. porque, una vez aceptadas las cookies, no había forma eficaz de retirarlas: incluso tras pulsar «rechazar todas», la web seguía usando las cookies de terceros.
Reclama pronto y con pruebas fechadas. Instalar cookies sin información o sin consentimiento es una infracción leve de la LSSI (art. 38.4.g), castigada con multa de hasta 30.000 euros (art. 39.1.c), y las infracciones leves prescriben a los seis meses (art. 45). Una captura sin fecha o tomada mucho después sirve de poco.
Cómo reclamar
- Haz capturas del aviso de cookies en la primera capa, con la fecha, la hora y la dirección de la web.
- Si rechazaste y crees que siguen cargándose cookies, anótalo con detalle (qué hiciste y qué pasó) y guarda las capturas.
- Presenta la reclamación en la sede electrónica de la AEPD, que es la competente para sancionar estas infracciones de la LSSI (art. 43.1). Si las cookies tratan datos personales, se aplica además el RGPD.
Mientras tanto, protégete: rechaza todo lo que no sea necesario en la primera capa, revisa de vez en cuando el panel de configuración de las webs que usas y borra las cookies desde el navegador. La LSSI admite que el consentimiento se gestione con los ajustes del navegador cuando sea técnicamente posible y eficaz (art. 22.2, párrafo segundo).
La Comisión Europea propuso en noviembre de 2025 trasladar estas reglas al RGPD y obligar a respetar señales automáticas de preferencias enviadas desde el navegador (propuesta COM(2025) 837, nuevos arts. 88 bis y 88 ter). A fecha de octubre de 2026 sigue en tramitación en el Parlamento Europeo, así que la norma vigente es la que hemos explicado. Si tienes una web y quieres cumplir, mira web legal: aviso legal y cookies.
Preguntas que nos hacéis cada semana
¿Es legal un aviso con solo «Aceptar» y «Configurar»?
No según la guía de la AEPD: la opción de rechazar debe ofrecerse en la misma capa y al mismo nivel que la de aceptar, sin remitirte a otra pantalla.
¿Pueden obligarme a pagar si no acepto las cookies?
La AEPD lo admite si se informa bien y la alternativa de pago es realmente equivalente. Para las grandes plataformas, el criterio europeo es más exigente y apunta a ofrecer también una opción gratuita sin publicidad comportamental.
¿Cada cuánto me pueden volver a preguntar?
La AEPD recomienda que el consentimiento no dure más de 24 meses y que, mientras tanto, se respete tu elección sin preguntarte en cada visita. Si cambian los fines o los terceros, deben pedírtelo de nuevo.
¿La AEPD me indemniza si reclamo?
No. La AEPD sanciona y ordena corregir; una indemnización requiere demostrar un daño y reclamarlo por otra vía.
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Si tienes una web: aviso legal y cookies
→ Reclamar ante la AEPD paso a paso
→ Tus derechos de protección de datos
→ Publicidad no deseada y spam
→ Los plazos de la galaxia digital
Marco legal: arts. 22, 38.4.g, 39, 43 y 45 de la Ley 34/2002 (LSSI) · arts. 4.11 y 7 del RGPD · Guía sobre el uso de las cookies de la AEPD (mayo de 2024) · dictamen 8/2024 del Comité Europeo de Protección de Datos · resolución de la AEPD PS/00051/2023 · propuesta de Reglamento COM(2025) 837 (ómnibus digital). Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.