Requisitos del RGPD para el banner de cookies en 2026 y cómo comprobar cada uno

Todos los artículos

En 2026, un banner de cookies que cumpla el RGPD tiene que hacer seis cosas. Bloquea las cookies no esenciales hasta que alguien acepte, ofrece el rechazo tan a la vista como la aceptación y separa el consentimiento por finalidades. Permite cambiar de opinión más adelante, guarda un registro de lo que se eligió y lo explica todo en un lenguaje sencillo. Casi todos los banners dicen que hacen esas cosas. Muchos menos pueden demostrar alguna.

Los requisitos y cómo demostrar cada uno

Lo que sigue es la versión práctica: no el texto legal, sino la forma que toma cuando tienes que construirlo y demostrar que funciona. El estándar de consentimiento viene del RGPD, y el Comité Europeo de Protección de Datos lo desarrolla en sus directrices sobre el consentimiento. Lee cada requisito junto a su comprobación. Las comprobaciones no aparecen casi en ninguna otra parte, y son lo único que permite fiarse de todo lo demás.

1. No instales nada no esencial antes de que el visitante acepte

   Es el requisito sobre el que descansa todo lo demás, y el que más a menudo se implementa a medias. Un banner que aparece mientras las etiquetas de analítica y publicidad ya se están cargando no lo cumple, por muy bien redactado que esté. La comprobación: abre la web en un perfil de navegador limpio, recházalo todo y revisa las cookies guardadas y las peticiones salientes. Solo debería aparecer lo que es realmente esencial.

2. Da al rechazo el mismo peso que a la aceptación

   Rechazar tiene que ser tan fácil como aceptar. En la práctica, eso se ha concretado en la misma visibilidad, en la misma pantalla y con el mismo número de clics. La comprobación: mira solo la primera pantalla y cuenta. Si aceptar es un clic y rechazar son dos, o está escondido tras un enlace de configuración, el banner ya suspende solo por eso.

3. Separa el consentimiento por finalidades

   Un único interruptor para todo no es consentimiento informado. Estadística, marketing y funcionalidad son decisiones distintas, y el visitante tiene que poder aceptar una y rechazar otra. La comprobación: acepta solo las estadísticas y mira qué se dispara. Si aun así sale una etiqueta de marketing, las categorías son de adorno y la granularidad no es real.

4. Haz que cambiar de opinión sea tan fácil como decidirse

   Retirar el consentimiento tiene que ser tan fácil como darlo. En la práctica, eso significa un control siempre disponible que permita volver a elegir desde cualquier página de la web, no un párrafo en la política de privacidad que explique cómo borrar las cookies. La comprobación: ve a una página interna, busca el control, cambia de aceptar a rechazar y confirma que las etiquetas se detienen. El fallo habitual aquí es un banner que se abre y se vuelve a cerrar sin cambiar nada.

5. Guarda un registro de lo que se eligió

   La responsabilidad proactiva consiste en poder demostrar a qué dio su consentimiento un visitante concreto y cuándo, no solo que había un banner instalado. La comprobación: pregunta qué contiene de verdad tu registro de consentimiento y si puedes recuperar una entrada concreta: un visitante, una fecha, las categorías que eligió. Si nadie sabe responder, el registro no existe a efectos prácticos.

6. Explica qué instalas con palabras que cualquiera entienda

   El banner tiene que explicar con palabras sencillas qué se instala y para qué, y la política de cookies que lo respalda tiene que reflejar la realidad, no una plantilla. La comprobación: compara la política con las cookies que viste en la primera comprobación. Las que aparecen en la lista pero nunca se instalan son un descuido. Las que se instalan pero no aparecen en la lista son el problema.

Por qué todas las listas se paran justo antes de la parte útil

Si buscas esto, encontrarás listas completas y cuidadas. Coinciden entre sí y, a grandes rasgos, con la de arriba. Como descripción de la obligación están bien, y no tiene mucho sentido escribir otra.

Lo que ninguna hace es decirte cómo averiguar si tu propio banner cumple algo de eso. Ninguna te da una comprobación en el navegador, una petición que revisar o una forma de distinguir una instalación que funciona de una decorativa. Así que el lector termina el artículo capaz de recitar los requisitos y sin estar más cerca de responder la única pregunta con la que llegó: si su web está bien. Ese es el hueco que este artículo intenta cubrir.

Qué falla en la práctica, según las instalaciones que vemos

Los fallos casi nunca son un requisito que falta. Son requisitos que están en la interfaz y no en el código. Un banner se muestra, registra la elección y no le pasa nada de eso a las etiquetas, normalmente porque algún ajuste de compatibilidad ha desactivado sus integraciones. Un estado de consentimiento escrito a mano en la página anula lo que elija el visitante, así que consta que todos han aceptado. O el valor denegado por defecto se declara una fracción de segundo tarde, cuando las primeras etiquetas ya han salido, y la web cumple en la segunda página vista pero no en la primera.

Los tres parecen idénticos desde fuera: un banner correcto, en una página normal, que se comporta con normalidad. Ninguno se ve en una captura de pantalla, que es en lo que consiste casi toda la prueba de cumplimiento. Solo aparecen en el camino de rechazo, que es justo el que menos se prueba. Si después de leer esto vas a comprobar una sola cosa, comprueba qué envía tu banner cuando alguien rechaza.

La parte que en realidad no es una cuestión legal

Aquí se suelen mezclar dos cosas. Si necesitas un banner o no depende de tus visitantes y de lo que instalas, y esa pregunta ya la hemos respondido por separado. Lo que tiene que incluir el banner es el tema de este artículo. Nada de esto es asesoramiento legal, y los detalles cambian de un Estado miembro a otro. Los casos límite y las lagunas de esta lista, como los muros de cookies o la accesibilidad del banner, los resuelve un abogado.

Lo que sí se puede medir es lo que te cuesta el banner. Las decisiones de consentimiento ocultan a tu analítica una parte de las sesiones, y cuánto depende de tu región, tu audiencia y el diseño del banner. La tasa de consentimiento de tu CMP te da la cifra de tu propia web. Por eso el segundo requisito de la lista importa tanto comercial como legalmente: un botón de rechazo bien visible suele dar una tasa de aceptación más fiable que uno escondido. Una señal de consentimiento correcta también permite a Google modelar parte del hueco, si tu cuenta cumple sus umbrales de elegibilidad.

Hay una pregunta que estos seis requisitos no resuelven: si además necesitas el marco de consentimiento propio del sector publicitario. Para la mayoría de las webs la respuesta es no, y la prueba para saber si la tuya es la excepción te lleva unos cinco minutos.

Velo fija el estado de consentimiento con un único fragmento de código antes de que se inicien tus etiquetas, guarda el registro de lo que eligió cada visitante e incluye el control para volver a abrir el banner que pide el cuarto requisito. Cómo funciona lo tienes en la página de producto.