Aviso de cookies y Consent Mode v2: qué es obligatorio y qué te están vendiendo

Una web que solo usa cookies técnicas no necesita aviso de cookies; la nuestra no lo tiene. Una web que carga Google Analytics, Google Ads o el píxel de Facebook sí lo necesita, con el botón de rechazar tan visible como el de aceptar desde el 11 de enero de 2024 y, si haces campañas en Google, con Consent Mode v2 desde marzo de 2024. Casi todo lo demás que te ofrecen alrededor de las cookies es opcional, y parte de ello es innecesario.

¿Necesitas banner? Depende de lo que cargue tu web

La obligación de pedir consentimiento nace de la Ley de Servicios de la Sociedad de la Información, que exceptúa las cookies necesarias para prestar el servicio que el usuario pide: la sesión de usuario, el carrito, el idioma elegido, la que recuerda que ya has cerrado un aviso. Si tu web usa solo esas, no hay nada que pedir.

El aviso aparece cuando entra un tercero o una finalidad que no es la de servir la página. Google Analytics deja cookies para reconocerte entre visitas. El píxel de Facebook, igual, y además comunica a Meta que has estado ahí. Un vídeo de YouTube incrustado en modo normal, un mapa de Google Maps y las fuentes de Google Fonts cargadas desde sus servidores mandan tu dirección IP a Google antes de que decidas nada.

Nuestra web no tiene banner por una decisión de diseño, no por descuido: las fuentes están alojadas en nuestro servidor, la medición se hará con Umami, que no usa cookies ni identifica al visitante, y no hay ningún script de terceros. Cuando alguien me dice que "todas las webs tienen que llevar aviso de cookies", le enseño la nuestra.

Qué pide la AEPD desde el 11 de enero de 2024

La Agencia Española de Protección de Datos revisó su guía de cookies en julio de 2023 y dio hasta el 11 de enero de 2024 para adaptarse. Lo que cambia respecto a los avisos que veíamos antes:

Nada de esto exige una herramienta concreta. Complianz o Cookiebot lo hacen bien configurados; un aviso hecho a medida también. Lo que la AEPD mira es el resultado en pantalla y qué cookies se instalan antes de que el visitante decida.

Las multas que ha puesto la AEPD

La AEPD sancionó a Iberia con 30.000 € por no ofrecer en la primera capa del aviso una forma de rechazar todas las cookies; la aerolínea recurrió y la Audiencia Nacional confirmó la multa en 2024.

Son importes modestos comparados con las multas de protección de datos, que llegan a millones. El coste real está en otro sitio: las resoluciones se publican con el nombre de la empresa, y salen en prensa. No conozco sanciones a pymes por este motivo; los expedientes que se publican vienen de denuncias, y las denuncias van a quien tiene visibilidad.

Qué es Consent Mode v2

Consent Mode es la forma que tiene Google de enterarse de lo que el visitante ha contestado en tu aviso. Desde marzo de 2024 la versión 2 es obligatoria para usar Google Ads y GA4 con audiencias, remarketing o conversiones mejoradas en el Espacio Económico Europeo. Sin ella, las campañas siguen funcionando pero Google deja de construir audiencias con tus visitantes europeos, que es lo que hace que el remarketing sirva de algo.

La versión 2 añade dos señales a las dos que ya existían: ad_user_data, que dice si se pueden enviar datos del usuario a Google para publicidad, y ad_personalization, que dice si se pueden usar para personalizar anuncios. El aviso de cookies tiene que ponerlas en "concedido" o "denegado" según lo que el visitante pulse, y tiene que hacerlo antes de que cargue ninguna etiqueta.

Hay dos modos, y la diferencia se entiende con una tienda de barrio. En el modo básico, las etiquetas de Google no se cargan hasta que el visitante acepta: es como si la tienda tuviera la puerta cerrada y solo abriera cuando el cliente llama. Google no se entera de nada de quien rechaza, ni de que ha pasado por delante. En el modo avanzado, las etiquetas cargan siempre pero sin cookies mientras no haya consentimiento: la puerta está abierta y hay alguien contando cuánta gente entra, sin apuntar nombres ni reconocer a nadie. Google usa esos recuentos anónimos para estimar las conversiones que no ha podido medir.

El modo avanzado da mejores cifras de campaña. Que yo sepa, la AEPD no ha publicado un criterio específico sobre él, y por eso, para un cliente que no quiere discusiones, monto el básico; para uno que invierte varios miles al mes en Google Ads y necesita atribución, el avanzado, con la política de privacidad explicando lo que se envía sin consentimiento.

El giro de Google con las cookies de terceros

Durante cuatro años Google anunció que Chrome dejaría de aceptar cookies de terceros y que Privacy Sandbox las sustituiría. El 22 de abril de 2025 dio marcha atrás: Chrome mantiene las cookies de terceros y no añade el aviso de elección que había prometido. El 17 de octubre de 2025 cerró la mayoría de las tecnologías de Privacy Sandbox.

Para ti significa que el escenario de 2026 es el de 2023: el píxel de Facebook, el remarketing de Google y las cookies de terceros siguen funcionando en Chrome, y el consentimiento sigue siendo la única puerta que las controla. Quien te vendió una migración "para cuando desaparezcan las cookies" te vendió algo que no ha ocurrido.

Lo que te venden y no necesitas

Un gestor de consentimiento de pago (20 a 30 €/mes) para una web sin analítica. Si tu web no carga terceros, no hay consentimiento que gestionar. Aparece en presupuestos de webs corporativas de cinco páginas como "cumplimiento legal". Sobra.

Un "banner obligatorio" en webs que solo tienen cookies técnicas. La norma exceptúa esas cookies. Un aviso que pide consentimiento para nada molesta al visitante y no protege de nada.

Certificados de cumplimiento de cookies. No existe una certificación oficial de la AEPD para avisos de cookies. Un sello con un logotipo en el pie no cambia lo que la Agencia vería si abriera tu web.

Un escaneo automático mensual como única medida. Los escáneres son útiles para descubrir qué cookies carga tu web; no arreglan el aviso ni deciden por ti qué necesitas.

Si haces campañas, esto sí hace falta

Si inviertes en Google Ads o en Meta, hace falta un aviso con rechazo en primera capa que envíe las señales de Consent Mode v2, y las etiquetas de conversión cargadas a través de él, de forma que no se dispare nada antes de la respuesta. Google publica una lista de gestores de consentimiento certificados con Consent Mode; Complianz y Cookiebot están en ella, y también se puede hacer a medida con Google Tag Manager, que es lo que hacemos cuando el cliente ya tiene el contenedor.

Si lo que quieres es saber cuánta gente entra y de dónde, sin campañas, no necesitas nada de eso. Umami, instalado en tu servidor o en el nuestro, da visitas, páginas, origen y país sin cookies ni aviso. Es lo que vamos a poner en esta web.

Nuestro dato: 190 webs municipales y una tienda de textil

En la auditoría estática de 190 webs municipales de Madrid que hicimos el 3 de septiembre de 2026, el 87 % muestra un aviso de cookies. Siete cargan Google Analytics sin que hayamos detectado aviso alguno. Son webs públicas, con más obligaciones que una pyme, y aun así se cuela.

En pymes el patrón que más se repite es otro. A principios de septiembre auditamos una tienda de textil de Madrid que carga el píxel de Facebook en cuanto abres la portada, y no encontramos ningún aviso de cookies. Lo más probable es que quien lo instaló siguiera las instrucciones del panel de Meta, que no dicen nada del consentimiento.

Compruébalo tú

1. Abre tu web en una ventana privada del navegador, para que no haya consentimientos guardados.
2. Antes de tocar el aviso, abre las herramientas de desarrollo (F12), entra en la pestaña Aplicación y despliega Cookies en la columna de la izquierda. Lo que aparezca ahí se ha instalado sin tu permiso. Una cookie que empiece por _ga es Google Analytics; _fbp es Facebook.
3. Pulsa Ctrl y U para ver el código fuente y busca con Ctrl y F las palabras gtag, fbq y googletagmanager. Si aparecen, tu web carga Google o Meta; comprueba que lo haga a través del aviso.
4. Vuelve a la ventana, rechaza todo y repite el segundo paso. La lista tiene que quedarse igual que antes de aceptar.

Si en el primer paso ya hay cookies de analítica, o si el aviso no tiene un botón de rechazar del mismo tamaño que el de aceptar, tienes un trabajo pendiente. Si la lista está vacía y no encuentras esas palabras en el código, te sobra el banner que te ofrecieron.

Qué hacemos nosotros y qué cuesta

Cuando la web no hace campañas, el trabajo es más corto: quitamos los terceros que no aportan, alojamos las fuentes en el servidor y ponemos Umami. Va incluido en las webs que hacemos.

Pasa la auditoría automática a tu web: te dice qué terceros carga antes del consentimiento y si el aviso tiene rechazo visible. Si haces o vas a hacer campañas, lo que incluye la medición está en que te encuentren.