Qué tiene que poner la política de cookies
La obligación sale del artículo 22.2 de la LSSI (Ley de Servicios de la Sociedad de la Información). Cómo cumplirla lo explica la Agencia Española de Protección de Datos en su guía sobre el uso de las cookies, que puedes descargar en aepd.es.
Con esa guía en la mano, tu política de cookies debería contar esto:
- Qué son las cookies y qué otras formas de guardar datos en el navegador usa tu web, si las hay.
- Qué cookies concretas instala, agrupadas por finalidad: técnicas, de preferencias, de analítica o de publicidad.
- Si son propias o de terceros, y en ese caso de quién: Google, Meta, el servicio de reservas, el del chat…
- Cuánto tiempo se quedan en el móvil o el ordenador del visitante.
- Cómo aceptarlas, rechazarlas o retirar el permiso más tarde, y cómo borrarlas desde el navegador.
- Si algún dato sale de la Unión Europea, por ejemplo porque el proveedor está en Estados Unidos.
Lo que no sirve es una plantilla genérica que enumera cookies que tu web no usa, o que se olvida de las que sí usa. El texto tiene que describir lo que instala tu web, no la de otro. Puedes ver nuestra política de cookies: es corta porque hay poco que explicar.
El banner: lo que la AEPD da por bueno y lo que no
La guía de la AEPD organiza la información en dos capas. El banner es la primera: lo que el visitante ve nada más entrar. La política de cookies es la segunda, la explicación completa a un clic.
Para que el banner sea válido, tiene que cumplir estos puntos:
- El botón de rechazar está en la primera capa y es tan fácil de pulsar como el de aceptar.
- No se instala ninguna cookie que necesite permiso antes de que el visitante elija.
- Seguir navegando, hacer scroll o cerrar el aviso con la cruz no cuenta como aceptar.
- No hay casillas marcadas de antemano.
- Hay una opción para elegir por finalidades, por ejemplo aceptar las de analítica y no las de publicidad.
- Retirar el permiso es tan sencillo como darlo, con un enlace o un botón que siempre está a mano.
- El banner dice quién es el responsable de la web, para qué se usan las cookies y enlaza a la política completa.
El fallo más fácil de cometer es este: el banner aparece, pero la analítica o el píxel de anuncios ya se han cargado antes de que nadie pulse nada. Para comprobarlo, pídeselo a quien te hizo la web o abre tu página en una ventana privada y mira en las herramientas del navegador qué hay guardado antes de tocar el aviso.
Cuándo no necesitas banner
Las cookies técnicas no necesitan permiso. Son las que hacen falta para que la web funcione o para dar un servicio que el visitante ha pedido:
- las de sesión, como la que mantiene abierta una zona de clientes;
- las del carrito de la compra;
- las de seguridad;
- la que recuerda si el visitante aceptó o rechazó las demás;
- las que guardan una preferencia que él mismo ha elegido, como el idioma.
Si tu web solo usa cookies de este tipo, no tienes que enseñar banner. Aun así, conviene explicarlas en la política de cookies para que cualquiera pueda saber qué hay.
La trampa está en lo que se cuela sin que te des cuenta. Muchas piezas de terceros instalan cookies o leen datos del dispositivo en cuanto se carga la página:
- un mapa de Google incrustado;
- un vídeo de YouTube, incluso en su modo de privacidad mejorada (revisa qué guarda);
- los botones de compartir en redes sociales;
- un chat o un widget de valoraciones;
- un motor de reservas externo;
- el píxel de una campaña de anuncios;
- la analítica.
Pasa a menudo en las webs para reformas y construcción, que enseñan en un mapa la zona donde trabajan, y en las webs para hoteles y casas rurales, que dependen de un motor de reservas de otra empresa. Hay alternativas: una imagen del mapa que abre Google Maps al pulsarla, o un vídeo que solo se carga cuando el visitante le da al play. Si el motor de reservas pone cookies, necesitas banner, y no pasa nada por tenerlo bien hecho.
Medir visitas sin banner: el ejemplo de nombrada.com
Si el banner lo pones solo por la analítica, hay otra forma de medir. Del 23 de septiembre al 23 de octubre de 2026, nombrada.com contó 633 páginas vistas con un contador propio que no instala cookies, no guarda la IP y no usa servicios de terceros. Por eso la web no enseña banner de cookies.
Con un contador así sabes cuántas visitas tienes y qué páginas se leen más. Lo que pierdes es seguir a la misma persona de una visita a otra y los datos para hacer publicidad dirigida. Para decidir si una página de servicios interesa o hay que reescribirla, con lo primero te basta.
Un matiz importante: el artículo 22.2 de la LSSI no habla solo de cookies. Cubre cualquier forma de guardar o leer datos en el dispositivo del visitante. Si eliges una herramienta que dice funcionar sin cookies, mira en su documentación qué guarda y dónde. Si deja algo en el navegador, por ejemplo en el almacenamiento local, o identifica el dispositivo por su huella (la combinación de datos que el navegador revela de sí mismo), también necesita permiso. Y si recoge direcciones IP, el RGPD sigue aplicando aunque no haya ni una cookie.
Aviso legal: quién está detrás de la web
El aviso legal lo exige el artículo 10 de la LSSI a cualquier web con actividad económica, también a la de un autónomo. Tiene que dar, de forma fácil de encontrar:
- tu nombre o el de tu empresa y tu NIF;
- tu domicilio;
- un correo electrónico de contacto;
- los datos de inscripción en el Registro Mercantil, si eres sociedad;
- si ejerces una profesión regulada, el colegio al que perteneces, tu título y dónde lo obtuviste;
- la autorización administrativa, si tu actividad la necesita.
Puedes mirar nuestro aviso legal, como ejemplo de cómo queda en una página corta y legible.
Política de privacidad: qué haces con los datos
En cuanto tu web tiene un formulario de contacto o de pedir cita, recoges datos personales, y el artículo 13 del RGPD te obliga a informar de:
- quién es el responsable y cómo contactar con él;
- para qué usas los datos;
- la base legal que te permite usarlos;
- a quién se los pasas, como el proveedor del correo o del alojamiento;
- cuánto tiempo los guardas;
- los derechos del interesado (acceso, rectificación, supresión, oposición, entre otros);
- su derecho a reclamar ante la AEPD.
Si además quieres enviar publicidad por correo a quien te escribe, necesitas un permiso aparte. Contestar a su consulta y mandarle ofertas son dos cosas distintas.
| Texto | Norma | Qué cuenta | Cuándo lo necesitas |
|---|---|---|---|
| Aviso legal | LSSI, artículo 10 | Quién eres y cómo localizarte | Siempre que la web sea de un negocio |
| Política de privacidad | RGPD, artículo 13 | Qué datos recoges, para qué y qué derechos hay | Si recoges datos: formularios, reservas, correo |
| Política de cookies | LSSI, artículo 22.2, y guía de la AEPD | Qué se guarda en el dispositivo, quién y cuánto tiempo | Si la web usa cookies o algo parecido |
| Banner | LSSI, artículo 22.2, y guía de la AEPD | Pide permiso antes de instalar lo no imprescindible | Solo si hay cookies que necesitan permiso |
Plantillas, complementos y quién revisa todo esto
Una plantilla sirve como punto de partida, siempre que la ajustes a lo que hace tu web. El problema llega después: un complemento se actualiza, alguien añade un chat o una campaña, y la política de cookies deja de coincidir con la realidad. Revisar estos textos cada vez que cambia algo forma parte del cuidado normal de una web; en Mantenimiento de una página web: qué incluye, cuánto cuesta y qué no deberías pagar repasamos qué tareas merece la pena pagar y cuáles no.
No siempre hace falta contratar a nadie. Si tu web es sencilla, solo usa cookies técnicas y tratas pocos datos, puedes redactar el aviso legal y la privacidad tú mismo con los recursos de la AEPD, como su herramienta Facilita RGPD, pensada para tratamientos de poco riesgo. Si manejas datos de salud, como una fisioterapeuta o una clínica dental, o tienes dudas con tu caso, consulta a un profesional. Este artículo explica el criterio general y no sustituye al asesoramiento jurídico.
Si lo que te frena es pelearte con plantillas y complementos, en Nombrada escribimos la web entera de tu negocio a partir de un formulario sobre lo que haces, con las búsquedas reales de la gente de tu zona. Antes de pagar ves la primera página de tu web, gratis, sin poner la tarjeta, y si te gusta tienes el resto en menos de 24 horas. Hacer la web cuesta 49 € sin IVA y después eliges plan (Tu web, 190 € al año, o Tu web + clientes de Google y la IA, 490 € al año, con opción mensual), sin permanencia. Lo tienes explicado en páginas web económicas, con el mantenimiento incluido.
¿Estos textos ayudan a salir en Google o en la IA?
Ni suben ni bajan tu web en los resultados. Google explica en su guía para webmasters que, para aparecer en sus respuestas con IA, valen las mismas prácticas que para el buscador normal: que pueda rastrear e indexar tus páginas y que el contenido sea útil y fiable para quien lo lee. No hay un archivo ni un marcado especial para su IA. Con ChatGPT y otros asistentes pasa algo parecido: ninguna empresa puede asegurarte que te citen.
Donde sí influyen es en la confianza del visitante: un aviso legal con tu nombre y tu NIF le dice que detrás hay alguien real.
Revisión rápida de tu web
- Abre tu web en una ventana privada y anota qué se carga antes de tocar nada.
- Haz una lista de lo que viene de fuera: mapas, vídeos, chat, reservas, anuncios, analítica.
- Si todo es técnico, quita el banner y deja la política de cookies explicándolo.
- Si hay algo que necesita permiso, comprueba que el banner tiene botón de rechazar y que nada se instala antes.
- Revisa que el aviso legal lleva nombre, NIF, domicilio y correo.
- Comprueba que la privacidad nombra a quién pasas los datos y cuánto tiempo los guardas.
- Pon en el pie de todas las páginas los enlaces al aviso legal, la privacidad y las cookies y, si tienes banner, uno para cambiar la configuración de cookies.