RGPD y ePrivacy (UE, EEE y Reino Unido)
La ley tal como la entendemos a 5 de noviembre de 2026. En el resumen se explica qué son estas páginas y qué no son.
Qué exige la ley
Unión Europea y EEE
Almacenar o leer cualquier cosa en el dispositivo de un visitante —cookies, almacenamiento local, píxeles, enlaces de seguimiento— requiere consentimiento previo según el artículo 5, apartado 3, de la Directiva sobre la privacidad y las comunicaciones electrónicas (Directiva ePrivacy), salvo que sea estrictamente necesario para un servicio que el visitante ha solicitado. Esto vale tanto si la información son datos personales como si no. Lo que se haga después con los datos se rige por el Reglamento General de Protección de Datos (RGPD). Hoy por hoy, el Derecho de la UE no contempla ninguna excepción para la analítica.
El consentimiento solo es válido si es libre, específico, informado e inequívoco y se presta mediante un acto claro (artículos 4.11 y 7 del RGPD). El Comité Europeo de Protección de Datos (CEPD) y las autoridades nacionales lo interpretan así:
- Nada de casillas premarcadas; desplazarse por la página o seguir navegando tampoco es consentimiento.
- Nada de muros de cookies: el acceso al sitio no puede depender de que se acepte.
- Rechazo en la primera capa. La mayoría de las autoridades consideran una infracción una primera capa con un botón para aceptar pero sin opción de rechazar (grupo de trabajo del CEPD sobre banners de cookies, enero de 2023). Un «enlace» de rechazo escondido en el texto no cuenta.
- Nada de diseños engañosos: los colores y el contraste se valoran caso por caso; un contraste manifiestamente engañoso es una infracción.
- Retirar el consentimiento ha de ser tan fácil como darlo, en cualquier momento; por ejemplo, con un botón que permanezca en todas las páginas.
- Prueba: usted debe poder demostrar que se dio el consentimiento (artículo 7.1).
- Lo «estrictamente necesario» debe justificarse para cada cookie que incluya en esa categoría; el interés legítimo no puede sustituir al consentimiento para instalar la cookie.
No existe un plazo fijo para volver a preguntar; el CEPD sugiere renovar el consentimiento a intervalos adecuados.
Las autoridades sí sancionan: el 1 de septiembre de 2025, la CNIL francesa impuso a Google una multa de 325 millones de euros y a Shein otra de 150 millones de euros por cookies instaladas sin un consentimiento válido.
Reino Unido
El UK GDPR (el RGPD del Reino Unido) y las Privacy and Electronic Communications Regulations (PECR, disposición 6) también exigen consentimiento, con excepciones que la Data (Use and Access) Act 2025 amplió a partir del 5 de febrero de 2026:
- Estrictamente necesario, ahora con ejemplos: seguridad, prevención del fraude, autenticación y recordar las opciones del visitante en el sitio.
- Estadísticas: recopilar estadísticas sobre el uso de su sitio para mejorarlo, solo cuando esa es la única finalidad, el visitante recibe información clara y una forma sencilla y gratuita de oponerse, y no se ha opuesto.
- Aspecto y funcionalidad: adaptar el sitio a las preferencias del visitante, en las mismas condiciones.
- Asistencia en emergencias.
Según la Oficina del Comisionado de Información (ICO), ninguna de estas excepciones cubre la publicidad, incluidas la medición de anuncios y la limitación de frecuencia. Las multas en virtud de las PECR pueden llegar ahora a 17,5 millones de libras o al 4 % del volumen de negocios mundial.
Qué puede cambiar
La propuesta Ómnibus Digital de la Comisión Europea (noviembre de 2025) añadiría finalidades exentas de consentimiento, como la medición agregada de audiencias, y un periodo de espera antes de volver a preguntar tras un rechazo. El Consejo acordó su posición el 21 de octubre de 2026; el Parlamento Europeo todavía no lo ha hecho. La ley, por ahora, no ha cambiado en nada.
Cómo lo resuelve ConnectWiz
| La norma | En ConnectWiz |
|---|---|
| Consentimiento antes de todo lo no esencial | Todas las señales están denegadas antes de que el visitante elija, y se establecen en las primeras líneas de la página. La UE/EEE, el Reino Unido y Suiza no se pueden abrir con una regla de región. |
| Sin casillas premarcadas ni muro de cookies | Todas las casillas empiezan vacías; el banner nunca cubre ni bloquea la página. |
| Rechazo en la primera capa, mismo diseño | Aceptar todo, Rechazar todo y Preferencias tienen exactamente el mismo aspecto, sea cual sea la plantilla de apariencia. |
| Retirar tan fácil como consentir | El botón de cookies permanece en todas las páginas; al retirar el consentimiento se eliminan las cookies conocidas de esa categoría. |
| Prueba | Cada elección queda registrada y se conserva 13 meses por defecto (de 12 a 120). |
| Específico, informado | Una fila por categoría con su finalidad, sus proveedores, los países a los que pueden ir los datos y cada una de sus cookies. |
| Volver a preguntar | Tras un sí, de 1 a 12 meses; tras Rechazar todo, de 6 a 12 meses. Nunca antes, para que una negativa no se pueda vencer a fuerza de preguntar. |
| Contenido incrustado | Los contenidos incrustados de YouTube, Maps y redes sociales pueden esperar detrás de un marcador de posición hasta que se permita su categoría. |
Las nuevas excepciones del Reino Unido para estadísticas y para aspecto no se utilizan: la analítica sigue desactivada en el Reino Unido hasta que el visitante la acepta. Es más estricto de lo que la ley exige ahora, y así nunca hace falta un mecanismo de oposición propio.
Qué le queda por hacer
- Incluya todas las cookies que instala su sitio, también las suyas propias, en la lista de cookies del banner: ejecute un análisis y añada lo que encuentre. Ponga la declaración de cookies en vivo en la página de su política de cookies.
- Redacte su aviso de privacidad y su política de cookies, y enlace la política desde el banner (Textos → Dirección de la política de cookies).
- Cargue las etiquetas solo a través del consentimiento: las etiquetas que se inician antes que el código de consentimiento lo ignoran; consulte Píxeles que se inician antes del consentimiento.
- Mencione a ConnectWiz como encargado del tratamiento en su aviso de privacidad y firme el contrato de encargo del tratamiento.
Fuentes
- Directiva 2002/58/CE sobre la privacidad y las comunicaciones electrónicas · RGPD
- Directrices 05/2020 del CEPD sobre el consentimiento
- Informe del grupo de trabajo del CEPD sobre banners de cookies (2023)
- Multas de la CNIL a Google y Shein (2025)
- Data (Use and Access) Act 2025, anexo 12
- ICO: excepciones para las tecnologías de almacenamiento y acceso
- Posición del Consejo sobre el Ómnibus Digital (21 de octubre de 2026)