El banner de cookies es la parte que todo el mundo ve, así que se lleva casi toda la atención. La política de cookies, el documento al que enlaza el banner, suele improvisarse en cinco minutos copiando la de otra web. Y sin embargo, la política es lo primero que abre una autoridad de protección de datos durante una inspección. La buena noticia: redactar una como es debido no es difícil. En esta guía repasamos qué debe contener una política de cookies, cómo construirla paso a paso a partir de una estructura de plantilla y cómo mantenerla actualizada sin reescribirla a mano cada mes.
Qué es una política de cookies y por qué la necesitas
Una política de cookies es una página de acceso público que informa a los visitantes de qué cookies y tecnologías similares almacena tu web, para qué sirven, cuánto tiempo permanecen en el navegador y cómo se puede retirar el consentimiento.
La obligación no procede de una única cláusula, sino de la combinación de tres normas:
- El RGPD (artículos 12 y 13): si las cookies tratan datos personales (y los reguladores consideran datos personales identificadores como _ga o _fbp), debes informar del tratamiento de forma transparente.
- Las transposiciones nacionales de ePrivacy: en toda la UE, almacenar cookies requiere un consentimiento de tipo opt-in, con una excepción para las estrictamente necesarias. El consentimiento solo es válido si es informado, y la política es precisamente lo que proporciona esa información.
- La Directiva ePrivacy: la base europea sobre la que se construyen las normas nacionales.
En la práctica, todo se reduce a una cosa: sin política de cookies no hay consentimiento válido. Un banner de cookies que enlaza a una página vacía o inexistente recopila consentimientos que no sobrevivirían a una inspección.
Política de cookies vs. política de privacidad
Dos documentos que confunden incluso propietarios de webs con experiencia:
- La política de privacidad cubre todo el tratamiento de datos personales: pedidos, newsletters, facturación, reclamaciones, videovigilancia.
- La política de cookies se ocupa exclusivamente de las cookies y tecnologías similares: localStorage, píxeles de seguimiento, SDKs de terceros.
Puedes fusionarlas en un solo documento, pero no lo recomendamos. Las cookies cambian mucho más a menudo que el resto de tus tratamientos: cada nueva herramienta de marketing trae las suyas. Una página independiente es más fácil de mantener al día, y el banner de cookies puede enlazar a ella directamente en lugar de apuntar a la página diez de una novela sobre privacidad.
Qué debe contener una política de cookies
Una checklist de los elementos obligatorios que no deberían faltar en ningún documento final:
- Quién es el responsable del tratamiento: nombre de la empresa, número de registro y datos de contacto.
- Qué son las cookies: dos o tres frases en lenguaje sencillo.
- Qué cookies usa realmente el sitio: una tabla con el nombre de la cookie, el proveedor, la finalidad, la duración y la categoría. Es el núcleo de todo el documento y la parte que más a menudo falta.
- Las categorías de cookies: necesarias, preferencias, analíticas, marketing, y para qué sirve cada una.
- La base legal: las cookies estrictamente necesarias funcionan sin consentimiento; todo lo demás lo requiere.
- Terceros y transferencias fuera de la UE: Google, Meta, Hotjar y compañía, incluida la información sobre transferencias de datos a terceros países.
- Cómo retirar el consentimiento: un procedimiento concreto, idealmente un enlace o botón que vuelva a abrir el banner de cookies.
- Cómo gestionar las cookies en el navegador: enlaces a las páginas de ayuda de Chrome, Firefox, Safari y Edge.
- La fecha de la última actualización: sin ella, nadie (tú incluido) puede saber si el documento sigue reflejando la realidad.
Cómo redactar una política de cookies paso a paso
Paso 1: averigua qué cookies usa realmente tu web
El error más común es redactar la política de memoria, según lo que crees que se ejecuta en el sitio. La realidad suele ser otra: un desarrollador añadió Hotjar en su día, el plugin de reseñas trajo su propio rastreo y el vídeo de YouTube incrustado también instala cookies. Abre el sitio en una ventana de incógnito con las DevTools (pestaña Application, sección Cookies), o ahórrate el trabajo con un escáner automático de cookies. Explicamos el proceso completo en Auditoría de cookies: cómo averiguar qué cookies usas.
Paso 2: clasifica las cookies en categorías
El estándar son cuatro categorías: necesarias (inicio de sesión, carrito, almacenamiento del propio consentimiento), preferencias (idioma, moneda), analíticas (Google Analytics, Matomo) y marketing (Google Ads, Meta Pixel). Importante: tu banner de cookies debe usar las mismas categorías. Si el banner ofrece tres categorías y la política describe cuatro, el consentimiento no coincide con la documentación.
Paso 3: construye la tabla de cookies
Para cada cookie, indica cinco cosas: nombre, proveedor, finalidad, duración y categoría. Un ejemplo de fila: cookie _ga, proveedor Google Analytics, finalidad distinguir a los visitantes para las estadísticas de tráfico, duración 2 años, categoría analítica. Suena tedioso, y a mano lo es, sobre todo con treinta cookies en el sitio. Por eso Consentio genera esta parte automáticamente a partir de los resultados del escaneo.
Paso 4: describe cómo retirar el consentimiento
El artículo 7(3) del RGPD dice que retirar el consentimiento debe ser tan fácil como darlo. En la práctica, la política necesita una frase como «Puedes cambiar tu configuración de cookies en cualquier momento haciendo clic en el botón Configuración de cookies», y ese botón debe existir de verdad, normalmente en el pie de página de la web.
Paso 5: conecta la política con el banner de cookies
El banner enlaza a la política, la política enlaza a la configuración del banner. El círculo se cierra y los visitantes pueden llegar adonde necesiten desde cualquiera de los dos lados. Cómo debería ser el propio banner lo explicamos en Banner de cookies: cómo configurarlo correctamente según el RGPD.
Una estructura de plantilla para tu política de cookies
Si partes de una página en blanco, este esquema cubre todo lo importante:
- Quiénes somos: identificación del responsable y datos de contacto
- Qué son las cookies y por qué las usamos
- Qué categorías de cookies distinguimos
- Tabla de cookies concretas (nombre, proveedor, finalidad, duración, categoría)
- Quién más tiene acceso a las cookies (terceros, transferencias fuera de la UE)
- Cómo dar y retirar el consentimiento
- Cómo bloquear o eliminar las cookies en el navegador
- Fecha de la última actualización
Los errores más comunes en las políticas de cookies
- Un documento copiado de otra web. Describe cookies que no tienes y no dice nada de las que sí usas. En una inspección queda peor que no tener documento: demuestra que no tienes control sobre tus propios tratamientos.
- Sin tabla de cookies concretas. Un genérico «usamos cookies analíticas y de marketing» no cumple el requisito de transparencia. Los reguladores quieren ver cookies concretas con sus duraciones.
- La política y el banner no coinciden. El banner menciona categorías o herramientas distintas de las del documento. Lo típico: marketing añadió un nuevo píxel y nadie actualizó la política.
- Un enlace muerto desde el banner. La web se rediseñó, la página de la política cambió de URL y el enlace del banner ahora lleva a un 404. El consentimiento recopilado sin información accesible no es válido.
- El documento se escribió una vez y nadie lo ha tocado en un año. Una web media añade o cambia cookies varias veces al año: con cada nueva herramienta, plugin o campaña.
Cómo mantener la política al día sin trabajo manual
Una política de cookies no es un documento que se redacta una vez y listo. Es la documentación viva de tu web, y las actualizaciones manuales son exactamente el tipo de tarea que siempre se acaba olvidando.
Por eso creamos el generador de políticas de cookies de Consentio, que monta el documento automáticamente a partir de escaneos periódicos de tu sitio: la tabla de cookies, las categorías, las duraciones y los terceros se rellenan solos y se regeneran con cada cambio. Tú solo tienes que colocar el enlace en tu banner y en el pie de página. Junto con el escáner y el banner de cookies, toda la configuración lleva unos minutos: con el plan gratuito es suficiente. Y si quieres asegurarte de que todo lo demás también está cubierto, repasa nuestra checklist de cumplimiento del RGPD para cookies.
¿Quieres resolver el cumplimiento de cookies de una vez por todas?
Prueba Consentio gratis. Cumplimiento del RGPD en 5 minutos, sin necesidad de programar.
Empezar gratis