12 de noviembre de 2025 · 3 min read · Equipo legal CookieSafe

5 multas reales de la AEPD por cookies en 2024-2025 (y qué hicieron mal)

Análisis de cinco sanciones recientes de la Agencia Española de Protección de Datos por cookies: Techpump, Iberia, SEAT, Massimo Dutti y Freshly. Importe, motivo y lección que extraer.

La Agencia Española de Protección de Datos (AEPD) ha intensificado su vigilancia sobre cookies de seguimiento desde 2023, año en el que actualizó su Guía de cookies. En 2024 y 2025 ya hemos visto sanciones que van de los 4.000 € a los 90.000 €, repartidas entre grandes empresas y pymes. Si gestionas una web en España, conviene conocer estos casos.

1. Techpump Solutions — 90.000 €

Fecha: mayo de 2024. Motivo: la web instalaba cookies de seguimiento publicitario antes de obtener consentimiento del usuario. El banner ofrecía un "Aceptar" prominente y un "Configurar" oculto en tres clics.

Lección: el rechazo debe ser tan fácil como el aceptar. Un solo clic. Misma jerarquía visual. La AEPD lo dice literalmente en la guía 2023.

2. Iberia — 30.000 €

Fecha: noviembre de 2023 (notificación pública en 2024). Motivo: el banner de cookies no incluía un botón "Rechazar" en la primera capa, sólo "Aceptar todas" y "Configurar". Patrón engañoso clásico.

Lección: si tienes "Aceptar todas", debes tener "Rechazar todas" al mismo nivel. La opción "Configurar" no sustituye al rechazo directo.

3. SEAT — 16.000 €

Fecha: septiembre de 2023. Motivo: instalación de cookies de Google Analytics y Google Ads antes del consentimiento. Aunque se las consideraba "necesarias" internamente, la AEPD no lo aceptó.

Lección: Google Analytics no es necesario. Es analítica. Sin consentimiento previo, no se carga el script. Marca tu GA con type="text/plain" data-cs-category="statistics" y deja que el CMP lo desbloquee tras el consentimiento.

4. Massimo Dutti — 5.000 €

Fecha: febrero de 2024. Motivo: política de cookies incompleta (sin inventario por finalidades) y ausencia de granularidad en el banner. El usuario sólo podía aceptar todo o rechazar todo, sin granularidad por finalidad.

Lección: tu política de cookies debe listar cada cookie con su nombre, proveedor, finalidad y duración. Y el banner debe permitir aceptar analítica pero rechazar marketing (o viceversa).

5. Freshly Cosmetics — 4.000 €

Fecha: enero de 2024. Motivo: la web consideraba que "seguir navegando" equivalía a consentimiento. Esto se descartó como modelo válido en 2020 y la AEPD lo recordó en su guía 2023.

Lección: el silencio o la inacción no son consentimiento. Necesitas un acto afirmativo (clic, deslizador, etc.).

Patrones comunes en estas sanciones

| Patrón engañoso | Aparece en | | --- | --- | | Rechazo en segundo nivel | Iberia, Techpump | | Tracking previo al consentimiento | SEAT, Techpump | | Sin granularidad por finalidad | Massimo Dutti | | Política incompleta | Massimo Dutti | | Aceptación implícita | Freshly |

Cómo evita estos problemas CookieSafe

CookieSafe implementa la Guía de Cookies de la AEPD por defecto:

Rechazo equivalente al aceptar en la primera capa.
Bloqueo automático de cookies de terceros hasta el consentimiento.
Granularidad por finalidad (estrictas, funcionales, analítica, marketing).
Política de cookies generada automáticamente con tu inventario real.
Prueba forense del consentimiento (timestamp, IP hash, versión del banner) descargable en PDF firmado para una auditoría de la AEPD.