Banner de cookies en 2026: la checklist de la AEPD para no acabar sancionado

Un banner de cookies conforme a la guía de la AEPD en 2026 necesita tres cosas básicas: un botón “Rechazar todo” tan visible y accesible como el de “Aceptar todo”, ningún elemento premarcado o activado por defecto, y una forma clara de retirar el consentimiento después. Si tu web —o la de tus clientes— sigue mostrando solo “Aceptar” en color llamativo y esconde el rechazo tras un menú, estás fuera de la norma.

Esto no es teoría legal para abogados: es un problema operativo que cae directamente sobre las agencias y los freelancers que gestionan webs ajenas. Cuando llega una reclamación a la Agencia Española de Protección de Datos (AEPD), el cliente mira a quien montó la web. Esta guía traduce la normativa vigente a una checklist accionable y te explica cómo cumplirla sin destrozar tu medición de marketing.

En resumen (puntos clave)

• “Rechazar” al mismo nivel que “Aceptar”: mismo formato, tamaño, color y ubicación en la primera capa del banner.
• Nada premarcado: las casillas activadas por defecto no son consentimiento válido.
• Seguir navegando no vale: el scroll o el clic en cualquier parte de la web ya no cuentan como aceptación.
• Muros de cookies: prohibidos como norma general; si se usan, exigen una alternativa de acceso equivalente.
• Multas reales: las infracciones del artículo 22 de la LSSI van de 3.000 € a 300.000 €, y ya hay sanciones firmes a marcas conocidas.
• Plazo cumplido: los criterios actuales debían estar implantados desde el 11 de enero de 2024; en 2026 no queda margen de “periodo de adaptación”.

¿Qué exige la guía de cookies de la AEPD en 2026?

La AEPD actualizó su Guía sobre el uso de las cookies para alinearla con las directrices del Comité Europeo de Protección de Datos (CEPD) sobre patrones engañosos (deceptive design). Los criterios eran de obligado cumplimiento a más tardar el 11 de enero de 2024, tras un periodo transitorio de seis meses. En 2026, por tanto, ya no hay excusa de “todavía nos estamos adaptando”.

Los requisitos que más webs incumplen son estos:

1. Simetría entre aceptar y rechazar. El botón de “Rechazar todo” debe estar en el primer nivel del banner, con la misma prominencia visual que “Aceptar todo” (mismo tamaño, color, contraste y posición). No vale un “Rechazar” gris apagado junto a un “Aceptar” azul brillante.
2. Sin consentimiento por defecto. Casillas premarcadas o cookies no técnicas cargadas antes de que el usuario actúe: infracción.
3. Consentimiento informado y granular. El usuario tiene que poder “Configurar” por finalidades (analítica, publicidad, etc.), no solo aceptar en bloque.
4. Retirar tan fácil como aceptar. Debe existir un mecanismo accesible para cambiar de opinión más adelante; el consentimiento no es eterno y debe poder renovarse y retirarse con la misma facilidad con la que se otorgó.
5. Cookies técnicas exentas. Las cookies estrictamente necesarias para que la web funcione no requieren consentimiento, pero no puedes camuflar cookies de marketing como “técnicas”.

¿Están prohibidos los muros de cookies?

Como norma general, sí: no puedes bloquear el acceso a la web por no aceptar cookies. La AEPD admite una excepción muy acotada: puedes condicionar el acceso solo si informas de ello con claridad y ofreces una alternativa de acceso al servicio sin necesidad de aceptar cookies, con la particularidad de que esa alternativa no tiene por qué ser gratuita.

En mayo de 2024 la AEPD dio un paso más e incorporó a su guía los criterios del CEPD sobre los modelos “pago o consentimiento” (pay or consent), pensados sobre todo para grandes plataformas. La conclusión práctica: una elección binaria entre “aceptar publicidad conductual” o “pagar” no basta por sí sola, y la existencia de una alternativa gratuita equivalente es un factor especialmente relevante para que el consentimiento se considere válido. Para la mayoría de pymes y clientes de agencia esto se traduce en una regla simple: no montes muros de cookies.

¿Cuánto cuesta un banner mal configurado?

Las infracciones del artículo 22 de la LSSI (la norma que regula las cookies en España) se sancionan con multas de entre 3.000 € y 300.000 €. Y no es un riesgo teórico:

Caso	Sanción	Motivo
Iberia	30.000 € (confirmada por la Audiencia Nacional en junio de 2024)	Incumplimiento en materia de cookies
SEAT	16.000 € (reducida a 12.000 €)	Imposibilidad de eliminar cookies ya aceptadas
Wallapop	3.000 €	Instalar cookies no técnicas sin acción del usuario

La presión regulatoria va en aumento. Según el análisis de sanciones de Lawwwing sobre la actividad de la AEPD, se registraron 30.931 reclamaciones (un +64 % interanual) y cerca de 33,9 millones de euros en sanciones totales, con los servicios de internet —cookies, analítica y privacidad web— entre las áreas más sancionadas. Para una agencia, una sola reclamación de un cliente puede costar la cuenta.

Cómo cumplir sin perder tus datos de marketing

El miedo habitual es: “si pongo un botón de rechazar fácil, se me hunde la analítica”. En la práctica se gestiona:

• Prioriza la medición de origen (first-party) y técnica. La analítica propia y agregada, bien configurada, es mucho menos invasiva que decenas de cookies de terceros.
• Implementa el Consent Mode. Google Consent Mode v2 permite modelar conversiones respetando el rechazo del usuario, en lugar de perder el dato entero.
• Diseña el banner con honestidad, no con trampa. Un banner claro, con una propuesta de valor real (“acepta para recibir contenido y ofertas relevantes”), suele mantener tasas de aceptación sanas sin recurrir a diseños engañosos que hoy son justo lo que sanciona la AEPD.
• Audita antes de que lo haga un tercero. Revisa qué cookies se cargan antes de aceptar: es el error que más multas provoca.

Checklist rápida de cumplimiento (2026)

• Botón “Rechazar todo” en la primera capa, igual de visible que “Aceptar todo”.
• Botón “Configurar” para gestionar finalidades por separado.
• Ninguna casilla premarcada ni cookie no técnica cargada antes del consentimiento.
• “Seguir navegando” o hacer scroll no se usa como aceptación.
• Política de cookies enlazada, con listado y finalidad de cada cookie.
• Mecanismo accesible para retirar o cambiar el consentimiento.
• Sin muro de cookies (o, si existe, con alternativa equivalente y bien informada).
• Registro de consentimientos para poder demostrarlo ante la AEPD.

Preguntas frecuentes

¿Es obligatorio el botón de “Rechazar todo” en el banner de cookies? Sí. La guía de la AEPD exige que rechazar sea tan sencillo y visible como aceptar, con el botón en el primer nivel del banner y con la misma prominencia visual. Esconderlo tras un menú de configuración es una de las causas más habituales de sanción.

¿Puedo seguir usando “si continúas navegando, aceptas las cookies”? No. Seguir navegando, hacer scroll o clicar en cualquier parte de la web no constituye un consentimiento válido, informado e inequívoco. Es un patrón expresamente descartado por la AEPD.

¿Las cookies analíticas necesitan consentimiento en España? Como norma general, sí, salvo las estrictamente necesarias (técnicas). La analítica propia, de bajo impacto y con datos agregados puede tener un tratamiento más flexible, pero no puedes etiquetar cookies de marketing o de terceros como “técnicas” para saltarte el consentimiento.

¿Qué multa puede caer por un banner mal hecho? Las infracciones del artículo 22 de la LSSI se sancionan entre 3.000 € y 300.000 €. Ya hay resoluciones firmes contra empresas conocidas por banners no conformes.

¿Cada cuánto hay que volver a pedir el consentimiento? El consentimiento no es indefinido: debe poder renovarse y retirarse con la misma facilidad con la que se dio, y conviene volver a solicitarlo cuando cambian las finalidades o los proveedores. Guarda siempre un registro que acredite cuándo y cómo se obtuvo.

---

¿Gestionas webs de clientes y no sabes cuáles cumplen?

Si llevas varias cuentas, revisar el banner de cookies una por una es tedioso —y es justo donde aparecen las reclamaciones. En AgencyTools preparamos auditorías de cumplimiento de cookies y RGPD/LOPDGDD en formato white-label: te las entregamos listas para rebrandizar con tu marca y presentar al cliente, y encajan bien dentro de proyectos de Kit Digital / agente digitalizador. Si quieres, empieza por una web y comprueba el resultado antes de decidir.

Nota: este artículo es orientativo y no constituye asesoramiento jurídico. Para casos concretos, consulta con un profesional en protección de datos.

---

Fuentes

• AEPD — La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del CEPD: https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/aepd-actualiza-guia-cookies-para-adaptarla-a-nuevas-directrices-cepd
• AEPD — Guía sobre el uso de las cookies (PDF): https://www.aepd.es/guias/guia-cookies.pdf
• CMS — La AEPD incorpora a su guía de cookies los criterios del CEPD sobre “pay or consent”: https://cms.law/es/esp/publication/la-aepd-incorpora-a-su-guia-de-cookies-los-criterios-del-cepd-sobre-pay-or-consent
• Cuatrecasas — Entra en vigor el nuevo criterio de la AEPD sobre el uso de cookies: https://www.cuatrecasas.com/es/spain/propiedad-intelectual/art/entra-vigor-nuevo-criterio-aepd-uso-de-cookies
• Lawwwing — Sanciones de la AEPD 2025 (cookies y textos legales): https://lawwwing.com/aepd-sanciones-2025/
• Confilegal — La nueva política de cookies cumple 1 año, pero las multas de la AEPD llegaron mucho antes: https://confilegal.com/20250113-la-nueva-politica-de-cookies-cumple-1-ano-pero-las-multas-de-aepd-llegaron-mucho-antes/

Enlaces internos sugeridos (cluster)

• Guía práctica de RGPD y LOPDGDD para agencias de marketing (/blog/rgpd-lopdgdd-agencias-marketing)
• Cómo hacer una auditoría técnica de una web de cliente paso a paso (/blog/auditoria-tecnica-web-cliente)
• Kit Digital para agencias: cómo posicionarte como agente digitalizador (/blog/kit-digital-agencias-agente-digitalizador)

JSON-LD (Article + FAQPage)

{
  "@context": "https://schema.org",
  "@graph": [
    {
      "@type": "Article",
      "headline": "Banner de cookies en 2026: la checklist de la AEPD para no acabar sancionado",
      "description": "Cómo adaptar el banner de cookies a la guía de la AEPD en 2026: requisitos, errores que acaban en sanción y checklist paso a paso para agencias y freelancers.",
      "inLanguage": "es-ES",
      "datePublished": "2026-08-08",
      "dateModified": "2026-08-08",
      "author": { "@type": "Organization", "name": "AgencyTools" },
      "publisher": { "@type": "Organization", "name": "AgencyTools" },
      "mainEntityOfPage": "https://agencytools.es/blog/banner-cookies-aepd-2026/",
      "keywords": "banner de cookies, normativa de cookies AEPD, consentimiento de cookies, ley de cookies España, sanciones cookies AEPD"
    },
    {
      "@type": "FAQPage",
      "mainEntity": [
        {
          "@type": "Question",
          "name": "¿Es obligatorio el botón de \"Rechazar todo\" en el banner de cookies?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "Sí. La guía de la AEPD exige que rechazar sea tan sencillo y visible como aceptar, con el botón en el primer nivel del banner y con la misma prominencia visual. Esconderlo tras un menú de configuración es una de las causas más habituales de sanción."
          }
        },
        {
          "@type": "Question",
          "name": "¿Puedo seguir usando \"si continúas navegando, aceptas las cookies\"?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "No. Seguir navegando, hacer scroll o clicar en cualquier parte de la web no constituye un consentimiento válido, informado e inequívoco. Es un patrón expresamente descartado por la AEPD."
          }
        },
        {
          "@type": "Question",
          "name": "¿Las cookies analíticas necesitan consentimiento en España?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "Como norma general, sí, salvo las estrictamente necesarias (técnicas). La analítica propia, de bajo impacto y con datos agregados puede tener un tratamiento más flexible, pero no puedes etiquetar cookies de marketing o de terceros como técnicas para saltarte el consentimiento."
          }
        },
        {
          "@type": "Question",
          "name": "¿Qué multa puede caer por un banner de cookies mal hecho?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "Las infracciones del artículo 22 de la LSSI se sancionan entre 3.000 € y 300.000 €. Ya existen resoluciones firmes contra empresas conocidas por banners no conformes."
          }
        },
        {
          "@type": "Question",
          "name": "¿Cada cuánto hay que volver a pedir el consentimiento de cookies?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "El consentimiento no es indefinido: debe poder renovarse y retirarse con la misma facilidad con la que se dio, y conviene volver a solicitarlo cuando cambian las finalidades o los proveedores. Conviene guardar un registro que acredite cuándo y cómo se obtuvo."
          }
        }
      ]
    }
  ]
}

Metadatos y ledger

• SEO title: Banner de cookies 2026: checklist AEPD sin sanciones
• Meta description: Cómo adaptar el banner de cookies a la guía de la AEPD en 2026: requisitos, errores que acaban en sanción y checklist paso a paso para agencias y freelancers.
• URL slug: banner-cookies-aepd-2026
• Keyword principal: banner de cookies
• Keywords secundarias: normativa de cookies AEPD, consentimiento de cookies, guía de cookies 2026, ley de cookies España, sanciones cookies AEPD
• Persona: agencias, freelancers e in-house
• Pilar: Mercado español, Kit Digital y cumplimiento (sábado)
• Imagen sugerida: primer plano fotorrealista de un portátil sobre una mesa de despacho español con un banner de cookies en pantalla mostrando dos botones (“Aceptar todo” y “Rechazar todo”) del mismo tamaño. Alt text: “Banner de cookies conforme a la guía de la AEPD con botones aceptar y rechazar igual de visibles”.
• Línea de ledger: Banner de cookies en 2026: checklist AEPD para no acabar sancionado | banner de cookies | Mercado español/Kit Digital/cumplimiento | 2026-08-08