Banner de cookies AEPD: guía de cumplimiento 2026

Un banner de cookies conforme a la AEPD en 2026 debe permitir rechazar todas las cookies con un solo clic y con la misma facilidad que aceptarlas, sin trucos visuales que empujen al usuario a consentir. Si el botón “Rechazar todas” no está en la primera capa del aviso y con el mismo protagonismo que “Aceptar todas”, el consentimiento no es válido y tu cliente queda expuesto a una sanción.

Para una agencia o un freelance que gestiona decenas de webs, esto no es un detalle jurídico menor: es un punto de control que se repite en cada proyecto y que, mal resuelto, arrastra a todos tus clientes a la vez. Esta guía resume qué exige la Agencia Española de Protección de Datos (AEPD), qué ha cambiado y cómo dejarlo cerrado de forma sistemática.

En resumen (puntos clave)

• Rechazar = aceptar en esfuerzo. Un clic para rechazar, un clic para aceptar. Nada de esconder el rechazo en un segundo menú.
• Mismo protagonismo visual. “Rechazar todas” debe estar en la primera capa, igual de visible que “Aceptar todas”, sin contrastes ni colores engañosos.
• Prohibidos los dark patterns. Los diseños que manipulan la decisión invalidan el consentimiento (Directrices 03/2022 del CEPD).
• Sin cookies antes del consentimiento. Seguir navegando o hacer scroll no es un “sí”.
• “Pago o consentimiento” bajo lupa. Desde mayo de 2024, la AEPD exige valorar una alternativa gratuita equivalente.
• La medición se juega en el banner. Con 6.211 M€ de inversión digital en España en 2025, un consentimiento mal recogido degrada la analítica de todos tus clientes.

¿Qué exige exactamente la AEPD en un banner de cookies?

La AEPD publica y actualiza su Guía sobre el uso de las cookies, que es el documento de referencia para saber cómo debe comportarse un aviso. Los requisitos centrales para 2026 son:

1. Rechazar tan fácil como aceptar. El usuario debe poder decir que no con el mismo número de clics con el que dice que sí. En la práctica, un botón único de “Rechazar todas” en la primera pantalla.
2. Igualdad de visibilidad. Las acciones de aceptar o rechazar deben presentarse “en un lugar y formato destacados” y al mismo nivel, “sin que sea más complicado rechazarlas que aceptarlas”. No vale un botón de rechazo en gris pálido junto a un “Aceptar” en color de marca.
3. Consentimiento informado y granular. El usuario debe saber qué finalidades hay (analítica, publicidad, personalización) y poder elegir por categorías, no solo “todo o nada”.
4. Nada instalado antes del “sí”. Salvo las cookies técnicas estrictamente necesarias, no se puede cargar ninguna cookie ni tecnología similar hasta obtener consentimiento. El scroll o “seguir navegando” no equivale a aceptar.
5. Revocar tan fácil como consentir. Debe existir una vía visible y sencilla para retirar el consentimiento en cualquier momento.

¿Qué ha cambiado y desde cuándo se aplica?

Hay dos hitos que toda agencia debe tener claros para no dar por buena una configuración antigua:

• Enero de 2024 (adaptación obligatoria). La AEPD actualizó su guía en julio de 2023 e incorporó las Directrices 03/2022 del Comité Europeo de Protección de Datos (CEPD) sobre patrones engañosos. Dio un periodo de adaptación que terminó el 11 de enero de 2024: desde esa fecha, el botón de rechazo en primera capa y la ausencia de dark patterns son exigibles.
• Mayo de 2024 (modelos “pago o consentimiento”). La AEPD volvió a actualizar la guía para incorporar el criterio del CEPD (Dictamen 08/2024) sobre los modelos de “consentimiento o pago”. El mensaje es claro: ofrecer solo “acepta el rastreo publicitario o paga” no genera, por sí mismo, un consentimiento válido; las grandes plataformas deben valorar una “alternativa equivalente” gratuita, con menos datos o sin perfilado.

Si heredas la web de un cliente con un banner instalado antes de 2024, da por hecho que hay que revisarlo.

¿Qué es un dark pattern en un banner (y por qué invalida el consentimiento)?

Un dark pattern (patrón engañoso) es un diseño que empuja al usuario a tomar una decisión que no habría tomado libremente. En banners de cookies, los más habituales —y sancionables— son:

• Botón “Aceptar” en color llamativo y “Rechazar” en gris apenas legible.
• Esconder el rechazo detrás de “Configurar” o “Más opciones” cuando aceptar es directo.
• Preseleccionar casillas de finalidades publicitarias.
• Muros de cookies que impiden navegar si no aceptas, sin alternativa real.
• Repetir el banner en cada página para agotar al usuario hasta que acepta.

Cuando el diseño manipula la voluntad, el consentimiento deja de ser “libre” y, por tanto, deja de ser válido. Es el error más frecuente que encontramos al auditar webs de clientes.

Checklist de banner de cookies conforme (2026)

Úsalo como control de calidad antes de entregar cualquier web. Si una fila no se cumple, no está listo para producción.

#	Requisito	¿Conforme?
1	“Rechazar todas” visible en la primera capa, junto a “Aceptar todas”	☐
2	Rechazar cuesta el mismo número de clics que aceptar	☐
3	Mismo tamaño, color y contraste en ambos botones (sin trampas visuales)	☐
4	Ninguna cookie no esencial se carga antes del consentimiento	☐
5	Panel para elegir por categorías/finalidades (analítica, publicidad…)	☐
6	Vía clara para revocar el consentimiento después	☐
7	Sin muro de cookies; si hay modelo “pago o consentimiento”, alternativa gratuita equivalente	☐
8	Política de cookies enlazada, con finalidades, terceros y duración	☐
9	Registro/prueba del consentimiento conservada	☐
10	Sin casillas preseleccionadas ni banners que se repiten para forzar el “sí”	☐

¿Por qué esto es un problema de negocio, no solo legal?

Porque el banner es la puerta por la que entra —o no— tu medición. En 2025, la inversión publicitaria en medios digitales en España alcanzó los 6.211,2 millones de euros, un 11,2% más que en 2024, según IAB Spain y PwC, con Search (1.992,6 M€) y Redes Sociales (1.832,5 M€) a la cabeza. Todo ese presupuesto depende de datos de conversión y atribución que, sin un consentimiento bien recogido, llegan incompletos.

Un banner mal montado tiene doble coste: riesgo sancionador para el cliente y datos degradados para tus campañas y tus informes. Resolverlo bien es, a la vez, cumplimiento y rendimiento.

Como apunte, si a un cliente le encaja, la puesta a punto de privacidad y seguridad web suele poder enmarcarse dentro de soluciones tipo Sitio Web o Ciberseguridad del programa Kit Digital; conviene confirmar convocatorias y requisitos vigentes en Acelera Pyme antes de proponerlo.

Cómo estandarizarlo en tu agencia

No lo trates web a web. Conviértelo en un proceso:

1. Plantilla de banner conforme (CMP configurado según esta checklist) que replicas en cada proyecto.
2. Bloqueo previo de etiquetas vía gestor de etiquetas: nada se dispara sin consentimiento.
3. Auditoría trimestral de las webs bajo tu gestión: los CMS y plugins cambian y rompen configuraciones.
4. Evidencia documentada: guarda el registro de consentimiento por si la AEPD lo pide.
5. Súmalo a tu checklist de cumplimiento 2026, junto al resto de obligaciones nuevas que ya te tocan como agencia: si entregas contenido generado con IA a clientes, revisa también el deber de etiquetado del Reglamento de IA en etiquetar contenido generado con IA.

Puedes revisar también cómo mantener la analítica útil cuando bajan los consentimientos en nuestra guía de medición sin depender de cookies de terceros y encuadrar todo esto en tu marco de RGPD y LOPDGDD para agencias.

Preguntas frecuentes

¿Es obligatorio el botón “Rechazar todas” en la primera capa? Sí. La AEPD exige que rechazar sea tan sencillo como aceptar. En la práctica, eso implica un botón de rechazo en la primera pantalla del banner, con la misma visibilidad que el de aceptar.

¿Puedo instalar Google Analytics antes de que el usuario acepte? No. Salvo las cookies técnicas estrictamente necesarias, la analítica y la publicidad no pueden cargarse hasta obtener el consentimiento. Seguir navegando no cuenta como aceptación.

¿Los muros de cookies (“acepta o paga”) son legales en España? Solo bajo condiciones estrictas. Tras la actualización de mayo de 2024, la AEPD, siguiendo al CEPD, exige valorar una alternativa gratuita equivalente (con menos datos o sin perfilado); un simple “acepta el rastreo o paga” no garantiza un consentimiento válido.

¿Qué pasa si heredo una web con un banner antiguo? Revísalo. Si se configuró antes de enero de 2024, es muy probable que no cumpla los criterios actuales de rechazo en primera capa y ausencia de dark patterns.

¿Cada cuánto conviene revisar el banner? Al menos cada trimestre, y siempre tras actualizar el CMS, cambiar de plugin de cookies o añadir nuevas etiquetas de marketing.

---

¿Quieres asegurarte de que las webs de tus clientes cumplen?

Podemos prepararte una auditoría de cookies y consentimiento en marca blanca —lista para que la entregues con tu logo— que revisa banner, bloqueo de etiquetas y política de cookies según los criterios de la AEPD. Es un entregable de cumplimiento que puedes rebrandizar y, cuando encaje, encuadrar en proyectos de Kit Digital. Escríbenos y te la montamos para uno de tus clientes.

---

Fuentes

• AEPD — Nota de prensa: La AEPD actualiza su Guía sobre el uso de cookies para adaptarla a las nuevas directrices del CEPD: https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/aepd-actualiza-guia-cookies-para-adaptarla-a-nuevas-directrices-cepd
• AEPD — Guía sobre el uso de las cookies (PDF): https://www.aepd.es/guias/guia-cookies.pdf
• CMS Law — La AEPD incorpora a su guía de cookies los criterios del CEPD sobre “pay or consent” (mayo 2024): https://cms.law/es/esp/publication/la-aepd-incorpora-a-su-guia-de-cookies-los-criterios-del-cepd-sobre-pay-or-consent
• IAB Spain / PwC — Estudio de Inversión Publicitaria en Medios Digitales (resultados 2025: 6.211,2 M€, +11,2%): https://iabspain.es/estudio-inversion-publicitaria-medios-digitales-2026/
• Acelera Pyme — Convocatorias Kit Digital: https://www.acelerapyme.gob.es/convocatorias-kit-digital

---

Metadatos SEO

• SEO title: Banner de cookies AEPD: guía de cumplimiento 2026
• Meta description: Guía práctica para que tu agencia deje los banners de cookies de tus clientes conformes con la AEPD en 2026: botón de rechazo, dark patterns y checklist.
• URL slug: banner-cookies-aepd-cumplimiento-2026
• Primary keyword: banner de cookies AEPD
• Secondary keywords: normativa de cookies 2026, consentimiento de cookies, rechazar cookies AEPD, guía de cookies AEPD, dark patterns cookies
• Persona: agencias y freelancers que gestionan webs de clientes; marketing in-house
• Pilar: Mercado español, Kit Digital y cumplimiento (sábado)
• Internal-link targets (confirmar/crear en CMS): /blog/medicion-sin-cookies-terceros, /blog/rgpd-lopdgdd-agencias-marketing
• Imagen sugerida + alt: Banner de cookies en una pantalla con los botones “Aceptar todas” y “Rechazar todas” al mismo nivel. Alt: “Banner de cookies conforme a la AEPD con botón de rechazar al mismo nivel que aceptar”.

Ledger

Banner de cookies AEPD: guía de cumplimiento 2026 | banner de cookies AEPD | Mercado español/Kit Digital/cumplimiento | 2026-08-15

---

JSON-LD

{
  "@context": "https://schema.org",
  "@graph": [
    {
      "@type": "Article",
      "headline": "Banner de cookies AEPD: guía de cumplimiento 2026",
      "description": "Guía práctica para que tu agencia deje los banners de cookies de tus clientes conformes con la AEPD en 2026: botón de rechazo, dark patterns y checklist.",
      "inLanguage": "es-ES",
      "datePublished": "2026-08-15",
      "author": { "@type": "Organization", "name": "AgencyTools" },
      "publisher": {
        "@type": "Organization",
        "name": "AgencyTools",
        "url": "https://agencytools.es"
      },
      "mainEntityOfPage": "https://agencytools.es/blog/banner-cookies-aepd-cumplimiento-2026/"
    },
    {
      "@type": "FAQPage",
      "mainEntity": [
        {
          "@type": "Question",
          "name": "¿Es obligatorio el botón \"Rechazar todas\" en la primera capa?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "Sí. La AEPD exige que rechazar sea tan sencillo como aceptar, con un botón de rechazo en la primera pantalla del banner y la misma visibilidad que el de aceptar."
          }
        },
        {
          "@type": "Question",
          "name": "¿Puedo instalar Google Analytics antes de que el usuario acepte?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "No. Salvo las cookies técnicas estrictamente necesarias, la analítica y la publicidad no pueden cargarse hasta obtener el consentimiento. Seguir navegando no cuenta como aceptación."
          }
        },
        {
          "@type": "Question",
          "name": "¿Los muros de cookies (\"acepta o paga\") son legales en España?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "Solo bajo condiciones estrictas. Tras la actualización de mayo de 2024, la AEPD, siguiendo al CEPD, exige valorar una alternativa gratuita equivalente; un simple 'acepta el rastreo o paga' no garantiza un consentimiento válido."
          }
        },
        {
          "@type": "Question",
          "name": "¿Qué pasa si heredo una web con un banner antiguo?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "Revísalo. Si se configuró antes de enero de 2024, es muy probable que no cumpla los criterios actuales de rechazo en primera capa y ausencia de dark patterns."
          }
        },
        {
          "@type": "Question",
          "name": "¿Cada cuánto conviene revisar el banner?",
          "acceptedAnswer": {
            "@type": "Answer",
            "text": "Al menos cada trimestre, y siempre tras actualizar el CMS, cambiar de plugin de cookies o añadir nuevas etiquetas de marketing."
          }
        }
      ]
    }
  ]
}