¿Necesito banner de cookies? Depende de qué pongas en tu web

La pregunta llega casi siempre en la misma forma: «¿me pones el cartelito ese de las cookies, que dicen que es obligatorio?». Y la respuesta honesta es incómoda, porque no es sí ni no.

La ley española no obliga a poner un banner de cookies. Obliga a pedir permiso antes de instalar determinadas cosas en el navegador de quien te visita. Son dos frases distintas, y la diferencia entre una y otra es justo lo que decide si tu web necesita banner o no.

Te lo digo por delante: vivo de hacer webs, así que léelo con esa advertencia puesta. Aun así, esto que viene a continuación me quita trabajo más veces del que me da.

Qué dice exactamente la norma

La regla está en el artículo 22.2 de la Ley 34/2002, de servicios de la sociedad de la información, la que todo el mundo llama LSSI. Su primer párrafo dice que los prestadores de servicios pueden usar «dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios» a condición de que estos hayan dado su consentimiento después de recibir información clara y completa sobre su utilización y sobre los fines del tratamiento.

Fíjate en dos detalles que casi nadie cuenta:

1. No dice «cookies». Dice dispositivos de almacenamiento y recuperación de datos. Da igual la tecnología: una cookie, el almacenamiento local del navegador o cualquier cosa equivalente entra en el mismo saco.
2. No dice «banner». Dice consentimiento. El banner es la forma habitual de pedirlo, pero la obligación es el permiso, no el cartel.

Y luego está el párrafo que decide la mayoría de los casos reales. El mismo artículo 22.2 termina diciendo que lo anterior «no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario».

Traducido: lo que es estrictamente necesario para que funcione lo que el visitante ha pedido no necesita permiso. Ahí caben la cookie que mantiene la sesión iniciada, la que recuerda lo que has metido en el carrito o la que guarda que ya elegiste idioma. Esas se llaman técnicas o necesarias, y ninguna requiere consentimiento.

Un apunte curioso que demuestra lo viejo que es este artículo: sigue remitiendo a la Ley Orgánica 15/1999, que quedó derogada por la disposición derogatoria única de la Ley Orgánica 3/2018. La norma de cookies en España lleva años arrastrando una referencia a una ley que ya no existe, y esa es parte de la razón de que circule tanta información desfasada.

Las que sí necesitan permiso

Todo lo que no sea estrictamente necesario para prestar el servicio que te han pedido. En una web de negocio pequeña, eso es casi siempre una de estas tres familias:

• Analítica con cookies. Google Analytics es el caso típico. Mide para ti, no para el visitante, así que no entra en la excepción técnica.
• Publicidad y perfiles. El píxel de Meta, las etiquetas de remarketing, cualquier cosa que sirva para volver a encontrar después a quien pasó por tu web.
• Contenido incrustado de terceros. Un vídeo de YouTube metido en una página, un mapa, un botón de redes sociales, un chat externo. Traen sus propias cookies aunque tú no hayas decidido nada. Esta es la que más sorpresas da: hay webs que se pusieron un banner sin saber por qué y webs que no lo pusieron sin saber que lo necesitaban, y en las dos la causa es la misma.

La Agencia Española de Protección de Datos publica y actualiza una Guía sobre el uso de las cookies que entra en el detalle de cómo debe pedirse ese permiso: entre otras cosas, que rechazar tiene que ser tan fácil y estar tan a la vista como aceptar. La tienes en la web de la AEPD, que es la fuente que conviene mirar antes que cualquier blog, incluido este.

Si quieres la versión corta de los conceptos, aquí están qué son las cookies y qué es el banner de cookies.

La prueba: esta web no lleva banner

Lo más fácil de decir y lo más difícil de demostrar. Así que te lo demuestro con la web que estás leyendo, que no tiene banner de cookies y no lo tiene por una razón, no por descuido.

Esta web no instala cookies propias ni de terceros de analítica, de publicidad ni de creación de perfiles. No hay tipografía cargada desde Google, no hay vídeos incrustados, no hay chat externo, no hay píxel de nadie. Está todo escrito en la política de cookies, que puedes leer entera en dos minutos.

Pero sí mido las visitas, porque si no, no sabría qué páginas sirven. Lo hago con dos herramientas que no escriben nada en tu navegador:

• Un contador propio. Para distinguir visitas distintas sin identificar a nadie, combina la dirección IP, el navegador, la fecha del día y una clave secreta, y de ahí saca un código irreversible. La IP no se guarda en ningún momento y el código cambia cada medianoche, así que no sirve para reconocerte mañana.
• El panel de analítica del alojamiento, que según su propia documentación identifica la visita con un código calculado a partir de la petición en lugar de con una cookie.

De ahí salen datos agregados: qué página se ha visto, desde dónde se ha llegado, el país y si la visita viene de móvil o de ordenador. Ninguna de las dos cosas guarda nada en tu equipo, así que no hay nada que consentir y por tanto no hay banner que poner.

No lo cuento como virtud. Lo cuento porque es la prueba de que la pregunta correcta no es «¿pongo banner?», sino «¿qué está instalando mi web?».

Cómo saber qué instala la tuya

Sin pagar a nadie y en cinco minutos:

1. Abre tu web en una ventana de incógnito.
2. Pulsa F12 para abrir las herramientas del navegador (en Chrome y en Edge, la pestaña Aplicación; en Firefox, Almacenamiento).
3. Busca el apartado de cookies y mira la lista. Si está vacía y solo hay ahí lo mínimo para que la web funcione, no necesitas banner. Si aparecen nombres de dominios que no son el tuyo —google.com, doubleclick.net, facebook.com, youtube.com—, sí lo necesitas.

Esa lista es la respuesta. No la opinión de nadie.

Qué pasa si te lo saltas

Aquí es donde suele empezar el miedo interesado, así que vamos con los artículos concretos.

Usar dispositivos de almacenamiento y recuperación de datos sin haber facilitado la información ni obtenido el consentimiento en los términos del artículo 22.2 es una infracción leve, por la letra g) del apartado 4 del artículo 38 de la LSSI. El artículo 39.1.c) de la misma ley fija para las infracciones leves una multa de hasta 30.000 euros.

Hay un segundo escalón que casi nadie menciona y que es el que de verdad importa: el artículo 38.3.i) convierte en infracción grave la reincidencia en esa misma infracción leve cuando así se haya declarado por resolución firme en los tres años inmediatamente anteriores. Y las graves van, según el artículo 39.1.b), de 30.001 a 150.000 euros.

Dicho esto, la foto realista para un negocio pequeño no es la de una multa que llega sola. Es la de una reclamación de alguien concreto que mira tu web, ve el píxel cargado antes de aceptar nada y lo denuncia. Arreglarlo antes cuesta una tarde.

Lo que yo haría

Si tu web es informativa —quién eres, qué haces, cómo contactarte— y no necesitas seguir a nadie por internet, quítale el seguimiento y quédate sin banner. Ganas velocidad, te ahorras una pantalla que tapa el contenido en el peor momento y te ahorras el problema legal entero.

Si vives de la publicidad pagada y necesitas medir campañas, entonces sí: banner, hecho como manda la guía de la AEPD, con rechazar tan visible como aceptar y sin cargar nada hasta que la persona haya decidido.

Lo que no tiene sentido es el término medio, que es lo que veo más: webs con analítica y píxeles cargando desde el primer milisegundo y un banner decorativo que no bloquea nada. Eso no cumple y además molesta, que es el peor de los dos mundos.

Si estás dándole vueltas a cómo hacer tu web sin arrastrar todo esto, mira cómo trabajo.

Esto es información general para que sepas por dónde va el asunto, no asesoramiento jurídico. Para tu caso concreto, consúltalo con un abogado o con la asesoría que lleve la protección de datos de tu negocio.