¿Sabes lo que son las cookies? Qué guarda tu web y qué pide la ley

Entras en una web y lo primero que ves es un aviso que habla de cookies, con un botón de Aceptar y, con suerte, otro de Rechazar. Cookie quiere decir galleta en inglés. No, no tiene nada que ver con la merienda... o un poco sí, como verás enseguida. Si tienes una pyme o una tienda en internet, ese aviso también es cosa tuya: la ley española dice qué tiene que preguntar y cómo. Aquí lo explicamos sin tecnicismos, con lo que podría cambiar en Europa y una lista corta para revisar tu web.

Qué es una cookie, explicado con una galleta

Imagina que entras en una tienda de barrio y el dependiente te da una galleta con tu nombre escrito y una nota con lo que has dejado en la cesta. Cada vez que vuelves al mostrador, enseñas la galleta y ya sabe quién eres y qué ibas a comprar. Una cookie hace eso mismo: es un pequeño archivo que la web guarda en tu navegador y que vuelve a leer en cada visita. La Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos (AEPD) habla de cualquier sistema que guarda información en el dispositivo de quien navega y la recupera después.

Hay cookies propias, que pone la web que estás visitando, y cookies de terceros, que pone otra empresa cuyo servicio la web ha instalado, como una herramienta de estadísticas o una red de anuncios. En el segundo caso, esa otra empresa trata los datos para sus propios fines.

Para qué usa cookies una web

La guía de la AEPD las clasifica según para qué sirven. En una tienda normal, estas son las más habituales:

• Recordar el carrito, para que lo que has metido en la cesta siga ahí cuando cambias de página.
• Mantener la sesión abierta, para que no te pida la contraseña en cada clic.
• Recordar el idioma o la moneda que has elegido.
• Medir visitas: cuánta gente entra, qué páginas mira y por dónde se va, para mejorar la web.
• Publicidad: seguir lo que miras en distintas webs para enseñarte anuncios según tus gustos.

Las tres primeras hacen que la web funcione como esperas. Las dos últimas le sirven a quien lleva la web o a otras empresas, y ahí es donde la ley marca la diferencia.

Por qué sale el aviso y qué dice la ley en España

La norma es el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información (LSSI). Una web solo puede guardar y leer cookies en tu dispositivo si has dado tu consentimiento después de recibir información clara y completa sobre para qué se usan. La propia ley deja fuera las que son estrictamente necesarias para un servicio que tú has pedido, como el carrito o la sesión.

Cómo hay que pedir ese consentimiento lo detalla la guía de cookies de la AEPD, actualizada en mayo de 2024. Lo esencial para una pyme:

• Rechazar tiene que ser tan fácil como aceptar. El botón de Rechazar va en el mismo aviso, al mismo nivel y con un aspecto parecido al de Aceptar, sin colores que lo escondan ni pantallas de por medio.
• Nada de casillas premarcadas. En el panel de configuración, las opciones de estadísticas y publicidad empiezan desmarcadas.
• Seguir navegando no cuenta como aceptar. Solo vale pulsar el botón.
• Las cookies de estadísticas y de publicidad no se pueden usar hasta que la persona acepta. Antes de ese clic, solo funcionan las necesarias.
• Cambiar de opinión tiene que ser igual de sencillo, con un acceso fijo a la configuración, por ejemplo un enlace en el pie de página.

Las cookies técnicas, como el carrito, la sesión o el idioma que eliges tú, no necesitan consentimiento, aunque la AEPD recomienda mencionarlas en la política de cookies. Además, la Agencia considera buena práctica que el consentimiento no dure más de 24 meses.

Lo que podría cambiar: la propuesta Ómnibus Digital

El 19 de noviembre de 2025, la Comisión Europea publicó la propuesta de Reglamento Ómnibus Digital, un paquete para simplificar varias leyes digitales que también toca las cookies. Que quede claro: es una propuesta, no una ley. A 15 de octubre de 2026, según la ficha del procedimiento en el Parlamento Europeo , sigue pendiente de decisión en las comisiones del Parlamento, y después el Parlamento y el Consejo tienen que ponerse de acuerdo. Por el camino, el texto puede cambiar.

Esto es lo que propone la Comisión para las cookies, según el texto de la propuesta:

• Las normas sobre cookies que tratan datos personales pasarían al Reglamento General de Protección de Datos (RGPD).
• No haría falta pedir permiso para las cookies que hacen funcionar la comunicación, prestan un servicio que has pedido o mantienen la seguridad, ni para medir la audiencia con datos agregados, si lo hace la propia web y solo para su uso.
• Rechazar tendría que poder hacerse con un solo clic.
• Si rechazas, la web no podría volver a preguntarte por lo mismo durante al menos seis meses.
• Las webs tendrían que respetar lo que marques en el navegador cuando existan normas técnicas para ello, y los grandes navegadores tendrían que ofrecer esa opción.

Si se aprueba tal cual, la parte de las cookies se aplicaría seis meses después de su entrada en vigor y la de las preferencias del navegador, a los 24 meses. Nuestra lectura: hoy no hay que tocar nada por el Ómnibus. Lo que vale es la LSSI con la guía de la AEPD, y una web que ya ofrece Rechazar a la vista lo tendrá fácil para adaptarse a lo que salga.

Qué revisar en tu web

1. Abre tu web en una ventana privada del navegador, que entra sin cookies guardadas. El aviso debería salir nada más cargar.
2. Mira los botones. Rechazar tiene que estar en el mismo aviso que Aceptar, con un tamaño y un color parecidos.
3. Entra en Configurar. Las casillas de estadísticas y publicidad tienen que aparecer desmarcadas.
4. Lee el texto del aviso. Tiene que decir para qué usas las cookies; la AEPD no da por buenas frases como "para mejorar tu navegación".
5. Busca en el pie de página un enlace para cambiar la configuración de cookies más tarde, y comprueba que la política de cookies dice qué cookies usas, para qué, cuánto duran y si son tuyas o de otras empresas.
6. Pide a quien mantiene tu web que compruebe que, si pulsas Rechazar, no se cargan las cookies de estadísticas ni de publicidad. De toda la lista, es lo único que no se ve a simple vista.

Nuestra recomendación

Sin cookies no habría carrito ni sesión, así que el problema nunca son las cookies en sí. Lo que pide la ley es que tus clientes puedan elegir de verdad. Un aviso claro, con Rechazar a la vista, suele arreglarse en poco tiempo: en WordPress, WooCommerce, Shopify y la mayoría de plataformas basta con configurar bien la herramienta de consentimiento y revisar qué servicios se cargan antes de tiempo.