Si tu web instala cookies antes de que el usuario decida, o las sigue usando después de que pulse “Rechazar”, estás cometiendo la infracción por la que la AEPD lleva sancionando desde 2019. Las multas por cookies no son las de los titulares del RGPD — se mueven en otro rango, el de la LSSI —, pero existen, se pagan, y lo interesante para quien gestiona una web es otra cosa: las resoluciones de la AEPD documentan exactamente cómo inspeccionan, y es una inspección que puedes reproducir tú mismo en diez minutos.
Cuánto se juega uno
Las cookies se sancionan por el artículo 22.2 de la LSSI, no por el RGPD. Como infracción leve, la multa llega hasta 30.000 €; como grave (por ejemplo, por reincidencia significativa), de 30.001 a 150.000 €. Casos reales:
- Vueling, 30.000 € (2019). La primera sanción de cookies en España: su banner no permitía rechazar. Con las reducciones por pago voluntario quedó en 18.000 €.
- Iberia, 30.000 € (2020). Recurrió, y la Audiencia Nacional confirmó la multa en 2024.
- Massimo Dutti, 5.000 € (2023), por irregularidades en el banner.
- Motorpasión (Local Verticals), 10.000 € (2024). Instalaba cookies de YouTube y DoubleClick antes del consentimiento y las mantenía tras pulsar “Rechazar todo”. Es el caso más ilustrativo por dos motivos: era reincidente — la AEPD ya le había sancionado en 2023 y usó el expediente anterior como agravante — y muestra los descuentos: reconocer la responsabilidad y pagar pronto restan un 20 % cada uno, así que pagó 6.000 €.
- Techpump, 90.000 € (2023). ¿Cómo se superan los 30.000 € del tramo leve? Multiplicando: 30.000 € por cada una de sus tres webs. Y a la misma empresa la AEPD le impuso por separado 525.000 €, ya bajo RGPD, por el tratamiento posterior de los datos.
Ese último punto es la letra pequeña que importa: la multa de cookies tiene techo bajo, pero si con esas cookies se tratan datos personales sin base jurídica — perfilado, cesión a terceros —, el expediente salta del régimen de la LSSI al del RGPD, y ahí los números cambian de orden de magnitud.
Cómo inspecciona la AEPD, paso a paso
Lo cuenta la propia resolución de Motorpasión. La Subdirección General de Inspección de Datos no pide informes ni accede a nada interno: navega la web como un usuario cualquiera y levanta acta de lo que ve. En concreto:
- Entra en la web con un equipo limpio de historial y de cookies, sin aceptar nada ni hacer ninguna acción, y lista las cookies que ya se han instalado: nombre, dominio y descripción.
- Transcribe el texto íntegro del banner y de sus botones.
- Pulsa “Configuración” y comprueba si en ese paso se instalan cookies nuevas sin consentimiento.
- Pulsa “Rechazar todo” y verifica si la web sigue usando las cookies detectadas.
- Revisa que exista una política de cookies como segunda capa y qué contiene.
- Comprueba si el consentimiento se puede retirar o modificar después.
Es decir: la inspección se limita a lo observable públicamente desde un navegador. En las resoluciones que hemos revisado no hay evidencia de que analicen el contenido de las llamadas a cada herramienta — qué datos viajan dentro de cada petición —; miran qué cookies se instalan, cuándo, y si el banner hace lo que dice. Todo lo que comprueban se reproduce con las DevTools de Chrome y una ventana de incógnito.
La otra pregunta habitual — ¿me pueden inspeccionar sin más? — también tiene respuesta en los expedientes: la vía dominante es la reclamación de un particular. Los casos de Iberia y Motorpasión nacieron de la denuncia de un usuario. La AEPD puede actuar de oficio, pero en cookies el patrón es reclamación, inspección de lo denunciado y, si te ha sancionado antes, reapertura con agravante. Para dimensionar: la AEPD recibió más de 18.800 reclamaciones en 2024, de todas las materias.
Qué exige la guía vigente
La referencia práctica es la Guía de Cookies de la AEPD, cuya versión vigente es la de mayo de 2024. Lo esencial, que es exactamente lo que la inspección va a mirar:
- Rechazar al mismo nivel que aceptar: mismo momento, misma capa, misma visibilidad. Un “Rechazar” escondido en la segunda capa no vale.
- Sin patrones engañosos: un botón de rechazar con un texto que apenas contrasta y no puede leerse es, literalmente, el ejemplo que pone la guía de lo que no es válido. Esto es exigible desde el 11 de enero de 2024.
- Nada de casillas premarcadas, y seguir navegando o hacer scroll no es consentimiento.
- Muros de cookies: no puedes condicionar el acceso a aceptar, salvo que ofrezcas una alternativa real.
- Segunda capa completa: política de cookies con tipos, terceros y plazos de conservación.
- Renovar el consentimiento: la guía considera buena práctica que no dure más de 24 meses.
Reproduce la inspección antes que ellos
Con lo anterior, el autodiagnóstico es mecánico: ventana de incógnito, DevTools abiertas en Application → Cookies, y recorrer los mismos seis pasos que el inspector. Las dos comprobaciones que más expedientes concentran son la primera y la cuarta: qué se instala antes de tocar el banner y qué sobrevive a “Rechazar todo”. Si ahí estás limpio, has eliminado el grueso del riesgo.
Dos matices honestos. El primero: si tienes una web pequeña, la probabilidad real de expediente es baja — el detonante son las denuncias, no un barrido sistemático —, pero es que arreglar el banner cuesta tan poco comparado con la multa mínima que el cálculo no da para debate. El segundo: este autodiagnóstico puntual funciona para una web; cuando hablamos de decenas de dominios con equipos distintos por país, las cookies se convierten en terreno de nadie entre legal, marketing e IT, y una foto trimestral automatizada deja de ser un lujo para ser la única manera de que legal duerma tranquilo.
Y un recordatorio para cerrar el círculo: cumplir bien tiene un coste de datos — todo lo que el usuario rechaza deja de medirse —, pero ese coste tiene arreglo parcial y legal. De eso va Consent Mode: recuperar de forma modelada, y sin identificar a nadie, la visión del tráfico que el banner te quita.