RGPD y cookies en tu web: qué es obligatorio en 2026 (sin scareware)

Casi todas las webs de PYME que revisamos pecan de una de dos: o no tienen banner (y sí tienen Google Analytics), o tienen un banner que acepta cookies por ti antes de que pulses nada. Las dos cosas están mal. La normativa no pide un bufete: pide que seas honesto con los datos y que el visitante elija.

Tres documentos que sí o sí

• Aviso legal: quién eres (nombre o razón social, NIF, domicilio, email)
• Política de privacidad: qué datos recoges, para qué, cuánto tiempo y con quién los compartes
• Política de cookies: qué cookies hay, de quién son y cómo se desactivan

Si tienes formulario de contacto, newsletter o reservas, esos datos personales tienen que aparecer en la política de privacidad. Copiar el texto de otra web no vale: el responsable eres tú.

Cookies: cuáles necesitan consentimiento

No todas las cookies piden permiso. Las técnicas o estrictamente necesarias (sesión, carrito, idioma, seguridad) pueden instalarse sin preguntar. Las demás, no:

• Analítica (Google Analytics, Matomo mal configurado, píxeles de Meta)
• Publicidad y remarketing
• Vídeos o mapas embebidos que rastrean (YouTube, Google Maps en versión no privada)
• Widgets de chat que envían el comportamiento a un tercero

Si Analytics se dispara al cargar la página, antes de que el visitante pulse «aceptar», el banner es decoración. Google y la AEPD lo ven igual de mal.

Cómo tiene que ser el banner (de verdad)

• Rechazar tiene que ser tan fácil como aceptar: mismo clic, misma visibilidad
• Nada de casillas premarcadas ni «seguir navegando = acepto»
• Hasta que no hay consentimiento, no se cargan analytics ni anuncios
• Tiene que poder cambiarse después (un enlace «gestionar cookies» en el pie basta)

Google Analytics sin hacer trampas

GA4 se puede usar, pero no «de serie». Necesitas Consent Mode (o una alternativa que no cargue el script hasta el sí) y, en muchos casos, un acuerdo de encargado del tratamiento con Google. Si no quieres ese lío, Matomo autoalojado o GoatCounter recogen menos y te evitan media política. Para una PYME del Maresme, saber cuántas visitas tiene la página de contacto suele bastar.

Errores que salen caros

• Formulario de contacto sin aviso de que se usarán los datos para responderte
• WhatsApp o un CRM que se lleva el email a un servidor fuera de la UE sin decirlo
• Plugins de cookies que aceptan por defecto «para no perder conversiones»
• Políticas desactualizadas: cambiaste de herramienta y el texto sigue hablando de Universal Analytics

Esto no es asesoramiento legal: si facturas mucho o tratas datos sensibles, habla con tu gestor o un abogado. Si lo que quieres es que la web cumpla lo básico sin un banner tramposo, lo revisamos y lo dejamos alineado con lo que realmente cargas. Escríbenos.