Actualización: en febrero de 2025 la Comisión Europea retiró su propuesta de Reglamento ePrivacy. La retirada figura en el anexo IV del programa de trabajo de la Comisión para 2025, con la explicación de que no era previsible ningún acuerdo. Para las cookies, esto significa que la Directiva ePrivacy de 2002 y sus transposiciones nacionales siguen en vigor, y que el RGPD continúa regulando los datos personales recogidos mediante cookies. Hemos conservado este artículo como registro de lo que la propuesta habría cambiado, porque sus ideas principales (consentimiento a nivel de navegador, exención para la analítica propia, normas sobre los cookie walls) siguen reapareciendo en las directrices de las autoridades y en las sentencias judiciales.

La historia: de la directiva a un reglamento que nunca llegó

La historia de la legislación ePrivacy en Europa empieza mucho antes del RGPD. En 2002 la Unión Europea aprobó la Directiva ePrivacy (Directiva 2002/58/CE), también conocida como directiva sobre la privacidad y las comunicaciones electrónicas. Estableció normas para el tratamiento de datos personales en el sector de las comunicaciones electrónicas: confidencialidad de las comunicaciones, datos de tráfico y localización, identificación de la línea llamante y marketing no solicitado. La describimos en detalle en nuestra página sobre la Directiva ePrivacy.

En 2009 la directiva fue modificada por la llamada Directiva de Cookies (Directiva 2009/136/CE), que introdujo la obligación de obtener consentimiento informado antes de almacenar o leer información en el dispositivo del usuario: el fundamento legal de los banners de cookies que vemos hoy. Al tratarse de una directiva y no de un reglamento, cada Estado miembro la transpuso de forma distinta. Algunos adoptaron reglas estrictas de opt-in, otros admitieron el consentimiento implícito, y la aplicación varió de un país a otro.

Este mosaico generó confusión para las empresas transfronterizas y una protección desigual de los consumidores. En enero de 2017 la Comisión Europea propuso sustituir la directiva por un reglamento directamente aplicable en todos los Estados miembros. El plan original era que se aplicara desde el 25 de mayo de 2018, junto con el RGPD.

Eso no ocurrió. La propuesta se convirtió en uno de los expedientes más disputados de la historia de la UE, con la presión de la industria publicitaria, las empresas de telecomunicaciones y los editores por un lado, y los defensores de la privacidad y las organizaciones de consumidores por otro. El Consejo acordó su mandato de negociación en febrero de 2021, pero los trílogos posteriores no produjeron un acuerdo. En febrero de 2025 la Comisión retiró la propuesta en su programa de trabajo 2025, alegando que no había acuerdo previsible y que la propuesta había quedado desfasada frente a la legislación más reciente.

Directiva frente a reglamento: por qué importaba la distinción

La diferencia entre una directiva y un reglamento de la UE no es solo burocrática:

  • Una directiva fija objetivos que los Estados miembros deben alcanzar, pero deja a cada país decidir cómo transponerlos. El resultado son 27 transposiciones nacionales, cada una con sus matices, mecanismos de aplicación y sanciones.
  • Un reglamento se aplica directamente en todos los Estados miembros desde su entrada en vigor. No hay fase de transposición y las normas son las mismas en todas partes.

Con la Directiva ePrivacy, las normas sobre cookies siguen difiriendo de un país a otro. En Francia, la CNIL ha publicado directrices detalladas y aplica activamente el consentimiento de cookies. En Alemania la aplicación es más fragmentada por la estructura federal de las autoridades. En la República Checa, la ÚOOÚ mantiene una postura algo menos agresiva. El reglamento habría eliminado estas diferencias. Retirada la propuesta, se mantienen, y la respuesta práctica para un sitio web sigue siendo el derecho nacional de los países a los que se dirige.

En qué se diferencia ePrivacy del RGPD

El RGPD y ePrivacy son instrumentos complementarios, no alternativos. Cubren terrenos distintos que se solapan:

  • El RGPD es un reglamento general que se aplica a todo tratamiento de datos personales, sea cual sea el medio. Nuestra guía RGPD cubre lo básico.
  • ePrivacy es derecho sectorial (lex specialis) para las comunicaciones electrónicas. Cubre la confidencialidad de las comunicaciones y los metadatos, el uso de cookies y tecnologías similares, el marketing directo por correo electrónico y mensajería, y el tratamiento de datos de tráfico y localización por los operadores.

En la jerarquía del derecho de la UE, ePrivacy prevalece sobre el RGPD en las materias que regula específicamente. Eso es cierto hoy para la directiva y lo habría sido para el reglamento: las normas sobre cuándo hace falta consentimiento para instalar cookies vienen de ePrivacy, mientras que el RGPD regula qué ocurre después con los datos personales. El Tribunal de Justicia confirmó este reparto en Planet49 (C-673/17).

Qué habría cambiado el Reglamento ePrivacy para las cookies

La propuesta de la Comisión y las posiciones del Consejo adoptadas entre 2017 y 2021 dan una idea clara de lo que estaba sobre la mesa:

1. Ajustes de consentimiento a nivel de navegador

Una de las propuestas más significativas era la gestión del consentimiento a nivel de navegador. En lugar de encontrarse con un banner en cada sitio, los usuarios habrían fijado una vez sus preferencias en el navegador, y los sitios las habrían leído y respetado. El concepto, a veces llamado Do Not Track 2.0 o Advanced Data Protection Control, habría reducido la fatiga de los banners y dado a los usuarios un control persistente.

Los detalles nunca se cerraron: qué navegadores implementarían esos ajustes, qué granularidad tendrían las preferencias (todo o nada o finalidad por finalidad) y qué pasaría con los navegadores sin la función. Algunos textos trataban los ajustes del navegador como consentimiento válido; otros mantenían los banners de los sitios como respaldo.

2. Cookie walls y modelos de "pagar o consentir"

Las propuestas abordaban la controvertida práctica de los cookie walls, donde un sitio bloquea el acceso al contenido a menos que el usuario acepte todas las cookies. Bajo el RGPD su legalidad se debate, y algunas autoridades los consideran una vulneración del requisito de consentimiento libre. El reglamento podría haber aclarado la situación permitiendo un acceso condicional en circunstancias concretas.

El modelo de "pagar o consentir", en el que el usuario elige entre aceptar cookies publicitarias o pagar una suscripción, ha sido aceptado parcialmente por algunas autoridades (la DSB austriaca y la CNIL francesa han publicado directrices según las cuales puede ser admisible bajo ciertas condiciones). Del reglamento se esperaban normas más claras, probablemente exigiendo que la alternativa al consentimiento fuera razonable, no excesiva y claramente comunicada. Sin él, autoridades y tribunales deciden caso por caso.

3. Exenciones para la analítica propia (first-party)

El cambio más bienvenido para los operadores de sitios web habría sido una exención de consentimiento para ciertas categorías de cookies. Según las propuestas, las siguientes cookies no habrían requerido consentimiento:

  • Cookies estrictamente necesarias para un servicio solicitado por el usuario (ya previsto en la directiva)
  • Cookies de analítica propia usadas únicamente para medir la audiencia de un sitio, siempre que los datos no se compartan con terceros ni se usen para elaborar perfiles
  • Cookies que recuerdan las preferencias del usuario (idioma, accesibilidad) durante una sesión
  • Cookies usadas para detectar y prevenir fraudes o amenazas de seguridad

La exención para la analítica propia habría sido relevante. Herramientas como Matomo o Plausible en modo first-party podrían haber funcionado sin consentimiento; Google Analytics probablemente no habría cumplido los requisitos, porque comparte datos con Google. La exención nunca llegó, así que las cookies analíticas siguen necesitando consentimiento. Comparamos las alternativas en el artículo analítica sin cookies.

4. Normas para tecnologías de rastreo más allá de las cookies

El reglamento habría cubierto explícitamente todas las formas de rastreo, incluyendo:

  • Fingerprinting del navegador
  • Píxeles de rastreo y web beacons
  • Almacenamiento local (localStorage, sessionStorage, IndexedDB)
  • Fingerprinting de dispositivos en aplicaciones móviles
  • Rastreo ultrasónico entre dispositivos

En la práctica, esto cambiaba menos de lo que parece. El artículo 5, apartado 3, de la directiva actual ya habla de almacenar información u obtener acceso a información almacenada en el equipo terminal del usuario, y las autoridades lo aplican hoy al almacenamiento local, los píxeles y el fingerprinting.

5. Aplicación directa y sanciones

Como el RGPD, el reglamento habría establecido un mecanismo de aplicación directa con una estructura de multas de dos niveles:

  • Nivel inferior: hasta 10 millones de euros o el 2% de la facturación anual mundial para infracciones menos graves
  • Nivel superior: hasta 20 millones de euros o el 4% de la facturación anual mundial para las infracciones más graves, incluida la falta de consentimiento válido para cookies y tecnologías de rastreo

Hoy las sanciones por infracciones de cookies siguen variando entre Estados miembros. Cuando hay datos personales en juego, las autoridades sancionan con base en el RGPD; si no, se apoyan en la transposición nacional de la directiva, cuyos máximos suelen ser modestos.

Qué se aplica hoy

  • La Directiva ePrivacy 2002/58/CE, artículo 5, apartado 3, a través del derecho nacional: almacenar o leer información en el dispositivo del usuario requiere consentimiento, salvo cuando sea estrictamente necesario para un servicio solicitado por el usuario.
  • El RGPD para los datos personales recogidos mediante cookies. El consentimiento debe cumplir los artículos 4.11 y 7, tal como los interpretan las Directrices 05/2020 del CEPD.
  • La sentencia Planet49 del TJUE (C-673/17): una casilla premarcada no es consentimiento, haya o no datos personales de por medio.
  • La Ley de Mercados Digitales para los guardianes de acceso, a la que Google vinculó su requisito de Consent Mode v2.

Qué significa esto para su sitio web

  • Siga cumpliendo las normas actuales. Nada se ha relajado: consentimiento antes de las cookies no esenciales, rechazar tan fácil como aceptar, una política de cookies. La lista paso a paso está en nuestra lista de comprobación de cookies.
  • Audite todas las tecnologías de rastreo, incluidos localStorage, píxeles y scripts de fingerprinting; la directiva las cubre todas. El escáner de cookies automático lo hace por usted.
  • Revise el marketing directo. Las normas nacionales sobre email marketing siguen vigentes; asegúrese de tener un consentimiento claro y una baja que funcione.
  • Considere una analítica respetuosa con la privacidad. La exención first-party nunca llegó, pero las herramientas sin cookies no necesitan consentimiento mientras no almacenen nada en el dispositivo.
  • Siga al CEPD y a su autoridad nacional. La regulación de las cookies avanza ahora mediante directrices y resoluciones, no con una nueva ley.

Consentio mantiene su banner alineado con las normas que se aplican hoy: RGPD, Directiva ePrivacy y sus transposiciones nacionales. Si las normas cambian, lo reflejamos en el banner por usted.

Fuentes