¿Te pueden multar por no tener banner de cookies?

Todos los artículos

Sí. En la UE y el Reino Unido, los reguladores han impuesto multas por cookies, y uno de los incumplimientos que sancionan es precisamente no decir a los visitantes qué instalas. Pero el banner no es la obligación. Lo que te expone es guardar cookies no exentas antes del consentimiento, así que una web que solo instala las estrictamente necesarias tiene mucho menos de lo que responder.

La norma va de las cookies, no del banner

El banner es un mecanismo que se creó para cumplir una obligación. No es la obligación. Esa está en las normas ePrivacy que regulan guardar información en el dispositivo del visitante, o leer la que ya hay, tanto si lo que se guarda es una cookie como un valor de local storage o una huella digital del navegador. Después, el RGPD fija el estándar del consentimiento: libre, específico, informado y tan fácil de retirar como de dar.

Esa división importa, porque te dice dónde está el riesgo. Nadie inspecciona tu web para ver si tiene banner. Lo que crea riesgo es una etiqueta que guardó algo antes de que el visitante lo aceptara.

La exención es lo que se callan los artículos alarmistas. Las cookies estrictamente necesarias para un servicio que el visitante ha pedido expresamente no necesitan consentimiento: la cookie de sesión que mantiene a alguien con la sesión iniciada, el carrito, un token de seguridad que frena el fraude, el balanceo de carga y el registro de la propia elección de cookies. Una web informativa que no instala nada más no necesita banner de consentimiento, y decirle lo contrario a su propietario es vender miedo.

Hay una obligación que se mantiene, y es la que la gente confunde con el banner. Explicar a los visitantes qué guardas y por qué es una obligación de transparencia en sí misma, y no desaparece porque nada de lo que instalas necesite consentimiento. Un aviso de cookies o una política de privacidad la cumplen sin un diálogo que interrumpa. Debes una explicación, no una barrera de consentimiento.

Lo que de verdad necesita consentimiento

Todo lo que sirva para medir, hacer publicidad o personalizar: la analítica, por inofensiva que te parezca; los píxeles de publicidad y retargeting; los vídeos incrustados y los widgets sociales que instalan sus propias cookies al cargar; los tests A/B y la grabación de sesiones. Si el visitante no lo ha pedido y la web funciona sin ello, da por hecho que necesita consentimiento hasta que puedas demostrar lo contrario.

Lo que de verdad han sancionado los reguladores

Si lees las resoluciones en lugar de las listas, el panorama es más concreto de lo que sugiere cualquiera de los dos bandos. En el caso francés que después confirmó el Conseil d'État se sancionaron tres incumplimientos distintos: cookies instaladas automáticamente al llegar, sin consentimiento; un procedimiento de rechazo defectuoso; y la falta de información clara y completa para los usuarios. Ese tercero importa aquí, porque no informar a la gente de lo que instalas es sancionable por sí solo. Una web sin banner y sin aviso no solo queda fuera de las normas de consentimiento, sino que además incumple el deber de informar.

Las campañas más amplias se han organizado en torno a un principio que conviene conocer: rechazar las cookies debe ser tan fácil como aceptarlas. En esos casos había banners que existían y ponían más difícil rechazar que aceptar, o que instalaban las cookies igualmente después de un rechazo. Tener un banner no te protege si se comporta así.

Las multas enormes que circulan por esas listas fueron para un puñado de plataformas globales con audiencias gigantescas. Citárselas a la web de una empresa con cincuenta páginas sugiere una comparación que el historial de sanciones no respalda, y por eso aquí no lo vamos a hacer.

La multa no es el único instrumento. Los reguladores también emiten requerimientos de cumplimiento, que obligan a una organización a corregir un defecto en un plazo, y eso no es lo mismo que despertarse con una sanción. Además, las normas son nacionales: varios regímenes castigan por separado la falta de información, y hay autoridades que han impuesto sanciones modestas, muy por debajo de las cifras de los titulares, así que «solo multan a los gigantes» tampoco es una lectura segura.

Comprueba en diez minutos cómo estás

Mira qué hace tu propia web antes del consentimiento.

1. Abre la web en una ventana privada y no toques nada

   Ni aceptar, ni rechazar, ni cerrar el banner. Es el estado en el que está todo visitante que llega por primera vez, y el estado que se evalúa.

2. Haz una lista de lo que ya está guardado

   En las herramientas para desarrolladores del navegador, revisa las cookies, el local storage, el session storage y la IndexedDB de la página. Todo lo que haya en este momento se ha guardado sin consentimiento, y eso no es automáticamente un fallo: tu herramienta de consentimiento tiene que guardar la propia elección, y tu servidor puede instalar legítimamente una cookie de sesión o de seguridad.

3. Clasifica cada elemento en dos montones

   ¿Sirve para algo que el visitante ha pedido expresamente, o mide, hace publicidad o personaliza? La documentación del proveedor suele decirte para qué es cada cookie, y lo que no puedas identificar va al segundo montón hasta que se demuestre lo contrario. Tu propio registro de consentimiento y la sesión del servidor van al primero.

4. El segundo montón es tu riesgo real

   El banner no. Esta lista. Arreglarlo significa condicionar esas etiquetas al consentimiento, no poner un banner encima y cruzar los dedos.

5. Ahora prueba el rechazo

   Rechaza, recarga y vuelve a revisar el almacenamiento. Si vuelven a aparecer los mismos elementos, tienes el defecto que los reguladores han perseguido de verdad. Nuestra guía para probar un banner de cookies antes de publicarlo recorre la secuencia completa.

El riesgo, contado con honestidad

Para una web pequeña o mediana, la probabilidad de que un regulador aparezca sin más es menor de lo que dan a entender las listas, porque la atención de los reguladores es limitada y va detrás de las grandes audiencias. Conviene decirlo claro en lugar de asustar a la gente para que compre.

Lo que los mensajes tranquilizadores no cuentan es que el tamaño no es un escudo. La reclamación de un solo visitante molesto puede abrir una investigación por pequeño que seas, y algunas autoridades han impuesto sanciones modestas por cookies a empresas corrientes, no solo a plataformas globales. Los clientes grandes preguntan cada vez más cómo se gestiona el consentimiento antes de firmar, y si no tienes respuesta, la operación se atasca. En varios mercados, la presión más activa ya no viene de los reguladores, sino de las demandas privadas.

Así que la forma útil de plantearlo no es «¿me van a multar?», sino que el consentimiento es una pequeña cuestión de higiene con un riesgo de cola sin techo, y ponerlo en orden lleva una tarde. Si te interesa el mecanismo más que la ansiedad, qué hace realmente una plataforma de gestión del consentimiento explica cómo se bloquean las etiquetas, y Velo es nuestra propuesta para que rechazar sea tan barato de construir como aceptar.