Guía de cookies de la AEPD 2026 — checklist de 12 puntos
La Agencia Española de Protección de Datos publicó en 2023 una guía actualizada que sigue vigente en 2026. Estos son los puntos que la AEPD mira primero cuando audita una web — y cómo CookieSafe los cumple por defecto.
Consentimiento previo y específico
Antes de instalar cualquier cookie no estrictamente necesaria, debes obtener consentimiento explícito por finalidad: analítica, publicidad, etc.
Rechazo equivalente al aceptar
El botón 'Rechazar' debe tener la misma visibilidad, mismo nivel y mismo número de clics que 'Aceptar'. Sin patrones engañosos.
Granularidad por finalidad
El usuario debe poder aceptar analítica pero rechazar marketing (o viceversa) desde el primer banner, no enterrado en un submenú.
Información completa antes del consentimiento
Identidad del responsable, finalidades, terceros, plazos de conservación, derechos. Accesible desde el propio banner.
Sin aceptación implícita por navegación
Seguir navegando NO es consentimiento. Cerrar el banner sin clic en 'Aceptar' NO es consentimiento.
Revocación tan fácil como el consentimiento
El usuario debe poder cambiar de opinión con la misma facilidad. Icono persistente, atajo en footer.
Sin cookie walls que bloqueen contenido
La AEPD considera abusivo bloquear el contenido al usuario que rechaza cookies no necesarias (salvo modelo de pago alternativo claro).
Política de cookies actualizada y por finalidad
Inventario detallado: nombre, proveedor, finalidad, duración. Actualizado cuando cambia el stack técnico.
Registro forense del consentimiento
Demostrable en caso de inspección: timestamp, versión del banner, hash del consentimiento. CookieSafe lo guarda por defecto.
Re-solicitud cada 24 meses máximo
El consentimiento caduca. Como mucho cada 2 años (recomendado 12 meses) debes volver a pedirlo.
Compatibilidad con DSR (derechos del interesado)
Acceso, rectificación, supresión, oposición, portabilidad, limitación. Accesibles desde la propia web.
Transferencias internacionales documentadas
Si una cookie envía datos fuera de la UE, debes informar y aplicar garantías (cláusulas tipo, decisión de adecuación, etc.).