Ley de Cookies de la UE (Directiva ePrivacy) Explicada (2026)

Por Equipo Editorial de Recording Law29 min de lectura
Ley de Cookies de la UE (Directiva ePrivacy) Explicada (2026)

Preguntas frecuentes

¿Qué es la Directiva ePrivacy y cómo se relaciona con el RGPD?

La Directiva ePrivacy (2002/58/CE, modificada por la 2009/136/CE) es la ley de la UE que regula las cookies, las tecnologías de seguimiento y las comunicaciones electrónicas. Opera como lex specialis junto al RGPD: la Directiva controla el acto de instalar cookies en un dispositivo, mientras que el RGPD regula cómo se tratan los datos personales recopilados a través de esas cookies. Cuando ambas leyes se aplican, prevalecen las normas específicas de la Directiva ePrivacy. El RGPD establece el estándar de consentimiento que debe cumplir el requisito de consentimiento de cookies de la Directiva ePrivacy.

¿Se retiró el Reglamento ePrivacy?

Sí. La Comisión Europea retiró formalmente la propuesta de Reglamento ePrivacy en su Programa de Trabajo de 2025, publicado el 11 de febrero de 2025. La Comisión declaró que no se esperaba ningún acuerdo por parte de los colegisladores y que la propuesta estaba desactualizada dada la legislación digital reciente. La Directiva ePrivacy vigente permanece plenamente en vigor. Se introdujo un nuevo enfoque para actualizar las normas de cookies a través del Ómnibus Digital de noviembre de 2025, que propone incorporar las normas de consentimiento de cookies al RGPD en lugar de sustituir la Directiva por un reglamento separado.

¿Qué propone el Ómnibus Digital de noviembre de 2025 para las cookies?

El Ómnibus Digital, publicado el 19 de noviembre de 2025, propone dos nuevos artículos del RGPD. El Artículo 88a exigiría opciones de rechazo con un solo clic de igual prominencia que las de aceptación, prohibiría repetir las solicitudes de consentimiento durante seis meses tras un rechazo, y preservaría la excepción de estricta necesidad. El Artículo 88b exigiría a los sitios web respetar las señales de consentimiento legibles por máquina a nivel de navegador, permitiendo a los usuarios establecer sus preferencias de privacidad una sola vez en su navegador, en lugar de tener que hacer clic en cada banner de cookies individualmente. La propuesta sigue sujeta a la aprobación del Parlamento Europeo y del Consejo, y todavía no es ley.

¿Qué cookies están exentas del requisito de consentimiento?

Solo dos categorías están exentas conforme al Artículo 5(3). Primero, las cookies utilizadas exclusivamente para transmitir una comunicación a través de una red (enrutamiento técnico). Segundo, las cookies estrictamente necesarias para prestar un servicio solicitado explícitamente por el usuario, como las cookies de autenticación, de carrito de compra y de seguridad. Las cookies analíticas, publicitarias y la mayoría de las funcionales requieren consentimiento. Algunos reguladores nacionales, en particular la CNIL de Francia, permiten una excepción limitada para las herramientas de medición de audiencia de origen propio que preservan la privacidad, bajo condiciones estrictas.

¿Son legales en la UE las casillas de consentimiento de cookies premarcadas?

No. El TJUE determinó en el asunto C-673/17 (Planet49), en octubre de 2019, que las casillas premarcadas no constituyen un consentimiento válido para las cookies. El consentimiento debe implicar una acción afirmativa clara. Desplazarse por la página o continuar navegando el sitio tampoco cuenta como consentimiento válido. Esto se aplica independientemente de si los datos de la cookie constituyen o no datos personales.

¿Son legales los muros de cookies de 'consentimiento o pago'?

Depende del contexto. El CEPD emitió el Dictamen 08/2024 en abril de 2024, en el que concluyó que, 'en la mayoría de los casos', las grandes plataformas en línea no pueden utilizar un modelo de consentimiento o pago porque los usuarios carecen de una elección genuinamente libre. La Comisión Europea llegó a la misma conclusión respecto de Meta en abril de 2025. Sin embargo, el dictamen se dirige principalmente a las grandes plataformas, y las autoridades nacionales no han prohibido de manera uniforme todos los modelos de consentimiento o pago para los editores más pequeños. La autoridad neerlandesa de protección de datos permite algunos muros de cookies cuando existe contenido equivalente accesible en otro lugar. La cuestión sigue sin resolverse a nivel de toda la UE.

¿Qué sanciones puede enfrentar un sitio web por infracciones de la ley de cookies?

Las sanciones varían según el país. Francia ha impuesto multas de 325 millones de euros (Google, 2025) y 150 millones de euros (Google, 2021) utilizando las disposiciones sancionadoras del RGPD. España puede multar hasta 300 000 euros conforme a la LSSI, o aplicar las multas del RGPD cuando estén implicados datos personales. El máximo de la TDDDG de Alemania es de 300 000 euros, con multas del RGPD disponibles para las infracciones relativas a datos personales. En la práctica, la mayoría de los reguladores utilizan el marco del RGPD de hasta 20 millones de euros o el 4 % de la facturación anual mundial cuando las cookies implican el tratamiento de datos personales.

¿Requieren consentimiento las cookies analíticas como Google Analytics?

Conforme a la Directiva ePrivacy, las cookies analíticas generalmente requieren consentimiento. Sin embargo, algunos reguladores nacionales han flexibilizado esto para la analítica de origen propio. La CNIL de Francia permite una excepción para las cookies de medición de audiencia de origen propio bajo condiciones estrictas: los datos deben estar agregados, no compartirse con terceros, y tener una conservación limitada. Las herramientas de terceros como Google Analytics, que transfieren datos externamente, siempre requieren consentimiento en todas las jurisdicciones de la UE.

¿Con qué frecuencia deben los sitios web volver a solicitar el consentimiento de cookies?

La Directiva ePrivacy no especifica un intervalo de nueva solicitud de consentimiento. Las orientaciones nacionales varían. La CNIL recomienda volver a solicitar el consentimiento cada seis meses. Otras autoridades sugieren intervalos de 12 meses. La propuesta del Ómnibus Digital, de adoptarse, prohibiría volver a solicitar el consentimiento para una finalidad que el usuario ya rechazó durante al menos seis meses. Las organizaciones también deben volver a solicitar el consentimiento cada vez que añadan nuevas categorías de cookies o cambien las finalidades del tratamiento.

Actualizaciones

Actualización importante: se añadió la retirada formal del Reglamento ePrivacy (Programa de Trabajo de la Comisión de febrero de 2025), las propuestas sobre cookies del Ómnibus Digital de noviembre de 2025 (Artículos 88a/88b), las conclusiones del Grupo de Trabajo sobre Banners de Cookies del CEPD, el Dictamen del CEPD sobre los modelos de "consentimiento o pago", la multa de 325 millones de euros de la CNIL a Google (2025), y secciones ampliadas de ejecución y específicas por país.

Fuentes y referencias

  1. Directiva 2002/58/CE relativa a la Privacidad y las Comunicaciones Electrónicas (Directiva ePrivacy)(eur-lex.europa.eu).gov
  2. Directiva 2009/136/CE que Modifica la Directiva ePrivacy (Modificación sobre Cookies)(eur-lex.europa.eu).gov
  3. Asunto C-673/17 del TJUE (Planet49), Estándar de Consentimiento de Cookies(curia.europa.eu).gov
  4. Dictamen 04/2012 del Grupo de Trabajo del Artículo 29 sobre Excepciones de Consentimiento de Cookies(ec.europa.eu).gov
  5. Directrices 05/2020 del CEPD sobre el Consentimiento conforme al RGPD(edpb.europa.eu).gov
  6. Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD)(eur-lex.europa.eu).gov
  7. Programa de Trabajo de la Comisión Europea 2025, Retirada del Reglamento ePrivacy(commission.europa.eu).gov
  8. Paquete Digital de la UE, Comisión Europea (Ómnibus Digital)(digital-strategy.ec.europa.eu).gov
  9. Informe del Grupo de Trabajo sobre Banners de Cookies del CEPD (Enero de 2023)(edpb.europa.eu).gov
  10. Declaración del CEPD y el SEPD sobre el Ómnibus Digital (2026)(edpb.europa.eu).gov
  11. CNIL, Directrices sobre Cookies y Otros Dispositivos de Seguimiento(cnil.fr).gov
  12. Directrices sobre Cookies del Garante de Italia (2021)(garanteprivacy.it).gov
  13. LSSI de España (Ley 34/2002), Ley de Servicios de la Sociedad de la Información(boe.es).gov
  14. BfDI de Alemania, Comisionado Federal para la Protección de Datos(bfdi.bund.de).gov
  15. S.I. No. 336/2011 de Irlanda, Reglamento de Comunicaciones Electrónicas(irishstatutebook.ie).gov
  16. Telecommunicatiewet de los Países Bajos(wetten.overheid.nl).gov
  17. Loi Informatique et Libertés de Francia, Artículo 82(legifrance.gouv.fr).gov
Compartir: