Requisitos del banner de cookies del RGPD en 2026 y la comprobación que valida cada uno
En 2026, un banner de cookies conforme al RGPD tiene que bloquear las cookies no esenciales hasta que alguien acepte, ofrecer el rechazo con la misma claridad que la aceptación, separar el consentimiento por finalidad, permitir que la gente cambie de opinión más adelante, guardar un registro de lo que se eligió y describirlo todo en lenguaje claro. La mayoría de los banners afirman esas cosas. Muchos menos pueden demostrar alguna.
Los requisitos y cómo demostrar cada uno
Lo que sigue es la versión de trabajo: no el texto legal, sino la forma que adopta cuando tienes que construirlo y demostrar que funciona. Lee cada requisito junto con su comprobación. Las comprobaciones faltan en casi todas partes, y son la única razón para fiarse de nada de esto.
No instales nada no esencial antes de que el visitante acepte
Este es el requisito sobre el que descansa todo lo demás, y el que más a menudo se implementa a medias. Un banner que se muestra mientras las etiquetas de analítica y de publicidad ya se están cargando no lo cumple, por muy bien redactado que esté el texto. La comprobación: abre el sitio en un perfil de navegador limpio, recházalo todo y lee después el almacén de cookies y las peticiones salientes. Solo debería haber lo que es genuinamente esencial.
Dale a rechazar el mismo peso que a aceptar
Rechazar tiene que ser tan fácil como aceptar. En la práctica eso se ha concretado en la misma prominencia, en la misma pantalla y con el mismo número de clics. La comprobación: mira solo la primera pantalla y cuenta. Si aceptar es un clic y rechazar son dos, o vive detrás de un enlace de ajustes, el banner suspende ya solo por eso.
Separa el consentimiento por finalidad
Un único interruptor para todo no es consentimiento informado. Las finalidades de estadística, marketing y funcionalidad son decisiones separadas y un visitante tiene que poder permitir una y rechazar otra. La comprobación: acepta solo estadísticas y observa después qué se dispara. Si aun así sale una etiqueta de marketing, las categorías son decorativas y la granularidad no es real.
Haz que cambiar de opinión sea tan fácil como decidirse
Retirar el consentimiento tiene que ser tan fácil como darlo. En la práctica eso significa un control permanente que reabra la elección desde cualquier punto del sitio, no un párrafo en la política de privacidad explicando cómo borrar las cookies. La comprobación: ve a una página profunda del sitio, encuentra el control, cambia de aceptar a rechazar y confirma que las etiquetas se detienen. Un banner que se reabre y se vuelve a cerrar sin cambiar nada es el fallo habitual aquí.
Guarda un registro de lo que se eligió
La responsabilidad proactiva significa poder demostrar a qué consintió un visitante concreto y cuándo, no solo que había un banner instalado. La comprobación: pregunta qué contiene realmente tu registro de consentimiento y si puedes recuperar uno, de un visitante, en una fecha, con las categorías que eligió. Si nadie sabe responder a eso, el registro no existe en ningún sentido útil.
Di qué instalas, con palabras que una persona pueda leer
El banner tiene que explicar en lenguaje claro qué se instala y por qué, y la política de cookies que hay detrás tiene que coincidir con la realidad y no con una plantilla. La comprobación: lee la política contrastándola con las cookies que observaste en la primera comprobación. Las entradas listadas que nunca se instalan son desorden. Las cookies que se instalan y nunca están listadas son el problema.
Por qué todas las listas se detienen justo antes de la parte útil
Busca esta pregunta y encontrarás listas exhaustivas y cuidadosas. Coinciden entre sí y, a grandes rasgos, con la de arriba. Como descripciones de la obligación están bien, y tiene poco sentido escribir otra.
Lo que ninguna hace es decirte cómo averiguar si tu propio banner cumple algo de eso. Ninguna ofrece una comprobación en el navegador, una petición que mirar ni una forma de distinguir una instalación que funciona de una decorativa. Así que el lector termina el artículo capaz de recitar los requisitos y sin estar más cerca de responder la única pregunta con la que llegó, que es si su sitio está bien. Ese es el hueco que este artículo intenta cerrar.
Qué falla en realidad, según las instalaciones que vemos
Los fallos rara vez son un requisito que falta. Son requisitos presentes en la interfaz y ausentes en el código. Un banner se muestra, registra la elección y no transmite nada de eso a las etiquetas, normalmente porque algún ajuste de compatibilidad ha desactivado sus integraciones. Un estado de consentimiento se escribe a mano en la página y anula lo que elija el visitante, de modo que todos los visitantes quedan registrados como que han aceptado. O el valor por defecto denegado se declara una fracción demasiado tarde, cuando las primeras etiquetas ya han salido, lo que deja un sitio que cumple en la segunda vista de página y no en la primera.
Los tres casos parecen idénticos desde fuera: un banner correcto, en una página normal, comportándose con normalidad. Ninguno se ve en una captura de pantalla, que es en lo que consiste la mayor parte de las pruebas de cumplimiento. Solo aparecen en la ruta de rechazo, que es precisamente la ruta que menos se prueba. Si después de leer esto compruebas una sola cosa, comprueba qué envía tu banner cuando alguien rechaza.
La parte que en realidad no es una cuestión legal
Aquí se mezclan dos cosas. Si necesitas un banner o no es una cuestión sobre tus visitantes y sobre lo que instalas, y eso lo hemos respondido por separado. Lo que el banner debe contener es este artículo. Ninguno de los dos es asesoramiento legal, y los detalles varían según el Estado miembro, así que un abogado resuelve los casos límite, junto con lo que esta lista deja fuera, como los muros de cookies y la accesibilidad del propio banner.
Lo que sí se puede medir es lo que te cuesta el banner. Las decisiones de consentimiento ocultan a tu analítica una parte considerable de las sesiones, medida en las implementaciones de clientes de Amplio Data en torno al 34% de las sesiones, que es un dato medido y no una garantía. Por eso el segundo requisito de la lista importa comercialmente además de legalmente: un botón de rechazo ofrecido con claridad tiende a producir una tasa de aceptación más fiable que uno escondido, y una señal de consentimiento correcta recupera parte de lo que tira por la borda una señal equivocada.
Una pregunta que estos seis requisitos no resuelven es si además necesitas encima el marco de consentimiento propio del sector publicitario. Para la mayoría de los sitios la respuesta es no, y la prueba para saber si el tuyo es la excepción lleva unos cinco minutos.
Velo fija el estado de consentimiento desde un único fragmento de código antes de que se inicialicen tus etiquetas, guarda el registro de lo que eligió cada visitante y aporta el control de reapertura que pide el cuarto requisito. El mecanismo está en la página de producto.
Preguntas habituales
Lo que la gente pregunta sobre este tema.
¿Cuáles son los requisitos del RGPD para el banner de cookies en 2026?
El consentimiento tiene que darse antes de que se instale ninguna cookie no esencial, así que el banner primero bloquea y después pregunta. Rechazar tiene que ser tan fácil y tan visible como aceptar, en la misma pantalla. El consentimiento se recoge por finalidad y no en bloque, de modo que alguien pueda permitir estadísticas y rechazar marketing. Retirarlo tiene que ser tan fácil como darlo, lo que en la práctica significa un control que reabra la elección desde cualquier página. Y necesitas un registro de qué se eligió y cuándo. Junto a todo eso está el deber de transparencia: lenguaje claro y una política de cookies que coincida con lo que tu sitio instala de verdad.
¿Cómo compruebo que mi banner de cookies cumple de verdad el RGPD?
Prueba la ruta de rechazo, en un perfil de navegador limpio, porque es la ruta que nadie prueba. Recházalo todo y mira después el almacén de cookies y las peticiones salientes: no debería haber nada no esencial. Acepta solo estadísticas y comprueba que las etiquetas de marketing siguen calladas. Luego busca el control que reabre el banner desde una página profunda del sitio, cambia tu respuesta y comprueba que el estado cambia de verdad en lugar de que el banner simplemente se vuelva a cerrar. Un banner que supera esas tres pruebas ha hecho la parte que una captura de pantalla no puede enseñarte.
¿Tiene que tener un banner de cookies un botón de rechazar?
El criterio que se aplica en toda la UE es que rechazar tiene que ser tan sencillo como aceptar. En la práctica eso significa un control de rechazo con la misma prominencia que el de aceptar, en la primera pantalla y al alcance del mismo número de clics. Esconder el rechazo un nivel más abajo, dentro de los ajustes, es justo el patrón que la norma existe para evitar. Escribimos sobre por qué el rechazo en un clic también suele ser la mejor opción comercial.
¿Sigue siendo válido el consentimiento tácito según el RGPD?
No. Seguir navegando, hacer scroll o una casilla premarcada no son consentimiento. El consentimiento tiene que ser una elección activa e informada, y por eso los interruptores de categoría premarcados y los banners que instalan cookies mientras el visitante todavía los está leyendo no superan la prueba, se redacte como se redacte el texto.
¿Cuánto dura el consentimiento de cookies antes de tener que volver a pedirlo?
En el RGPD no hay una cifra única, y las directrices varían según el Estado miembro, así que trata cualquier cifra que te den como una convención y no como una norma. La práctica habitual es renovar la elección periódicamente y volver a preguntar siempre que cambie de forma sustancial lo que instalas, por ejemplo cuando se añade un proveedor o una finalidad nueva. Lo que no es opcional es que un visitante pueda cambiar de opinión en cualquier momento intermedio.
Tu banner, tu consentimiento,
tus datos — todo en un mismo sitio.
© 2026 de
