Cookies en 2026: guía AEPD, Consent Mode v2 y analítica legal

En 2026, tener analítica en tu web sin incumplir la ley se resume en tres reglas: el banner debe ofrecer «Rechazar» al mismo nivel que «Aceptar», ninguna cookie que no sea técnica puede cargarse antes de que la persona decida, y si usas Google Analytics o Ads debes enviar esa decisión con el Consent Mode v2. Lo que sigue explica de dónde sale cada regla, qué cookies están exentas y cómo montarlo sin perder los datos que de verdad necesitas.

Qué exige la AEPD al banner de cookies

La referencia en España es la Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos. Su última gran actualización, de 11 de julio de 2023, incorporó las directrices europeas sobre patrones engañosos y dio hasta el 11 de enero de 2024 para adaptarse. Desde entonces, lo que la AEPD espera de tu web es:

• Aceptar y rechazar en el mismo lugar, formato y nivel. Nada de un botón verde gigante para aceptar y un enlace gris «configurar» para rechazar. La guía da ejemplos sobre color, tamaño y posición.
• Nada se carga antes de decidir. Salvo las cookies técnicas, el resto (analítica de terceros, publicidad, redes sociales, vídeos incrustados con seguimiento) espera al consentimiento.
• Seguir navegando no es consentir. El scroll o cerrar el banner sin elegir no vale como aceptación.
• Elección granular. La persona puede aceptar analítica y rechazar publicidad, y la web tiene que respetarlo de verdad, no solo en apariencia.
• Muros de cookies solo con alternativa. Puedes condicionar el acceso a aceptar cookies únicamente si informas y ofreces una alternativa; la guía aclara que esa alternativa no tiene por qué ser gratuita, pero tiene que existir.
• Retirar el consentimiento debe ser tan fácil como darlo. Un enlace permanente en el pie («Configurar cookies») es la forma habitual.

Qué cookies no necesitan permiso

Las cookies técnicas (sesión, carrito, idioma elegido por el usuario, seguridad, equilibrio de carga) están exentas. Las de personalización también lo están cuando la elección la hace el propio usuario (por ejemplo, el idioma); si la hace la web a partir de datos del usuario, ya requiere consentimiento.

¿Y la analítica? Aquí está el matiz que casi nadie aplica bien. La AEPD publicó en enero de 2024 una guía específica sobre cookies de medición de audiencia que permite usarlas sin consentimiento solo si cumplen todas estas condiciones: que su finalidad se limite a medir la audiencia del sitio, que el tratamiento se haga en nombre exclusivo del editor, que produzcan únicamente estadísticas anónimas, que los datos no se crucen con otros tratamientos ni se cedan a terceros, que no permitan seguir a la persona entre distintos sitios web (ni usar el mismo identificador en varios) y que la vida de la cookie sea limitada. Traducido: una herramienta de analítica propia o configurada en modo estrictamente anónimo puede entrar en la exención; Google Analytics 4 tal como viene de serie, no, porque cruza datos con el ecosistema de Google.

Consent Mode v2: qué es y por qué lo necesitas si usas Google

El modo de consentimiento de Google es la forma en que tu web le dice a las etiquetas de Google (Analytics, Ads, Tag Manager) qué ha decidido la persona. Funciona con cuatro señales, cada una con valor granted o denied:

• analytics_storage: cookies de medición.
• ad_storage: cookies publicitarias.
• ad_user_data: envío de datos de usuario a Google para publicidad (nuevo en la v2).
• ad_personalization: publicidad personalizada (nuevo en la v2).

La secuencia correcta es: antes de cargar nada, se declara el estado por defecto como denied en las cuatro; cuando la persona elige en el banner, se actualiza el estado en esa misma página; y las etiquetas respetan ese estado. Google exige las dos señales nuevas desde marzo de 2024 para quien use sus servicios publicitarios en el Espacio Económico Europeo. Hay dos modalidades: la básica, en la que las etiquetas no se cargan hasta que hay consentimiento, y la avanzada, en la que se cargan pero envían señales sin cookies y Google modela las conversiones que faltan. Para una pyme que no quiera discusiones con la AEPD, la básica es la opción tranquila.

Cómo tener analítica útil sin incumplir

1. Decide qué necesitas medir. Visitas por página, origen del tráfico, formularios enviados y llamadas pulsadas. Para eso no hacen falta perfiles de usuario ni remarketing.
2. Valora una analítica sin cookies o anónima. Herramientas que no identifican a la persona y agregan datos pueden encajar en la exención de la AEPD, y te dan el 100 % de las visitas en lugar del 40 % que acepta el banner.
3. Si te quedas con GA4, hazlo bien: Consent Mode v2 con todo denegado por defecto, carga de Tag Manager solo tras aceptar (o modalidad básica), anonimización de IP y una política de cookies que liste de verdad las que usas.
4. Mide los eventos que importan desde tu propio servidor. Un formulario enviado o un clic en «llamar» se puede contar sin cookies de terceros.
5. Revisa el banner con un navegador limpio. Abre tu web en incógnito, no aceptes nada y mira en las herramientas de desarrollo qué cookies se han creado. Si hay alguna _ga antes de aceptar, estás incumpliendo.

Así es como está montada nuestra propia web: el consentimiento se guarda en una cookie técnica, Consent Mode v2 arranca con todo denegado y Google Tag Manager solo se carga si la persona acepta la analítica. Es el mismo esquema que aplicamos en los proyectos web que entregamos.

Preguntas frecuentes

¿Puedo usar Google Analytics sin banner de cookies?

No con la configuración estándar: GA4 instala cookies y cruza datos con Google, por lo que necesita consentimiento previo. Solo una analítica estrictamente anónima y propia puede acogerse a la exención de la AEPD.

¿Vale un banner con «Aceptar» y un enlace a «más información»?

No. Desde enero de 2024 la AEPD exige que rechazar sea tan fácil como aceptar: un botón al mismo nivel, mismo tamaño y misma visibilidad.

¿Cada cuánto hay que volver a pedir el consentimiento?

Guárdalo durante un plazo razonable y vuelve a preguntar si cambias las finalidades o los proveedores. Y ofrece siempre un enlace para cambiar de opinión.

Si no sabes si tu web cumple o quieres medir sin dolores de cabeza, escríbenos y lo revisamos contigo.