Cookies, LSSI y RGPD en tu web: lo básico en 2026

Las cookies y la privacidad están relacionadas, pero no son la misma obligación. En España, la regla sobre almacenar o acceder a información en el dispositivo —incluidas muchas cookies— procede de la LSSI; el RGPD y la LOPDGDD se aplican al tratamiento de datos personales. Una web con analítica o publicidad debe revisar ambos planos según las herramientas que utiliza.

LSSI y RGPD: qué cubre cada cosa

El aviso legal identifica al titular del sitio y responde a la LSSI. La política de privacidad explica el tratamiento de datos personales: responsable, finalidades, base jurídica, destinatarios, conservación y derechos. La política de cookies informa sobre las tecnologías usadas y cómo gestionar las preferencias. El contenido debe describir tu web real, no una plantilla copiada.

Los textos que conviene tener actualizados

• Aviso legal: quién eres (nombre o razón social, NIF, domicilio, email)
• Política de privacidad: qué datos recoges, para qué, cuánto tiempo y con quién los compartes
• Política de cookies: qué cookies hay, de quién son y cómo se desactivan

Si tienes formulario de contacto, newsletter o reservas, esos tratamientos deben constar en la política de privacidad. Revisa también encargados, transferencias internacionales y contratos cuando uses proveedores que tratan datos por tu cuenta.

Cookies: cuáles necesitan consentimiento

No todas las cookies piden permiso. Las técnicas o estrictamente necesarias para prestar el servicio solicitado (sesión, carrito, idioma o seguridad, según el caso) pueden instalarse sin consentimiento. Las que no entren en esa excepción requieren una elección previa e informada:

• Analítica (Google Analytics, Matomo mal configurado, píxeles de Meta)
• Publicidad y remarketing
• Vídeos o mapas embebidos que rastrean (YouTube, Google Maps en versión no privada)
• Widgets de chat que envían el comportamiento a un tercero

Si una herramienta de analítica o publicidad instala cookies antes de que la persona elija, el banner no está cumpliendo su función. Configura el bloqueo previo y compruébalo con las herramientas de desarrollo.

Cómo tiene que ser el banner (de verdad)

• Rechazar tiene que ser tan fácil como aceptar: mismo clic, misma visibilidad
• Nada de casillas premarcadas ni «seguir navegando = acepto»
• Hasta que no hay consentimiento, no se cargan analytics ni anuncios
• Tiene que poder cambiarse después (un enlace «gestionar cookies» en el pie basta)

Google Analytics sin hacer trampas

GA4 puede utilizarse si se configura de forma coherente con el consentimiento y con la información ofrecida. Consent Mode no sustituye por sí solo el consentimiento ni el bloqueo previo cuando sea exigible. Revisa el acuerdo aplicable con Google, los posibles accesos internacionales y la configuración concreta; una analítica con menos datos o autoalojada puede simplificar el escenario, pero también hay que evaluarla.

Errores que salen caros

• Formulario de contacto sin aviso de que se usarán los datos para responderte
• WhatsApp o un CRM que se lleva el email a un servidor fuera de la UE sin decirlo
• Plugins de cookies que aceptan por defecto «para no perder conversiones»
• Políticas desactualizadas: cambiaste de herramienta y el texto sigue hablando de Universal Analytics

Esto no es asesoramiento legal. Si tratas categorías especiales de datos, realizas campañas complejas o tienes dudas sobre una transferencia internacional, pide revisión profesional. Para el resto, inventaria qué carga la web y mantén los textos y el panel de preferencias alineados con esa realidad.