«Cookies: de aviso molesto a «problema muy serio». Cookies, banners y sanciones millonarias

Posted on by Leocadio Marrero Trujillo

Pantalla con banners de cookies convirtiéndose en carpeta de riesgo y cumplimiento GRC.

(Imagen con IA)

Cookies, banners y sanciones millonarias: lo que de verdad exigen las autoridades (y cómo aterrizarlo en GRC)

Las cookies ya no son un tema “técnico” ni un trámite de diseño web. Son un riesgo regulatorio serio, con sanciones de hasta ocho cifras y un foco creciente en patrones oscuros, consentimiento engañoso y accountability.

En este primer post de la serie de GRCx3 sobre Web & Apps compliance, vamos a mirar las cookies desde la óptica GRC: gobierno, riesgo y cumplimiento. Y lo haremos apoyándonos en casos reales de CNIL, AEPD e ICO, y en la doctrina del EDPB, para que puedas convertir todo esto en controles concretos para tu organización.

1. El marco jurídico mínimo que tu banner debe respetar

Para cualquier sitio web dirigido (o accesible) a usuarios de la UE/EEE o Reino Unido, la combinación básica es:

  • ePrivacy (art. 5.3 de la Directiva 2002/58/CE) → obliga a obtener consentimiento previo para almacenar o acceder a información en el terminal (cookies, identificadores, etc.), salvo cookies estrictamente necesarias.
  • RGPD / UK GDPR → define qué es “consentimiento” (art. 4.11), cómo debe recabarse (art. 7), principios de fairness y transparencia (art. 5.1.a).
  • En España:
    • LSSI-CE art. 22.2 → transposición del art. 5.3 ePrivacy.
    • RGPD + LOPDGDD → completan todo lo relativo a información, consentimiento, derechos y responsabilidad proactiva.
  • Guías y criterios:
    • Guía sobre el uso de cookies de la AEPD (última versión 2023), elaborada con sector publicitario y asociaciones digitales, que fija criterios sobre banners, analítica, terceros, etc. AEPD, Guía de cookies.
    • EDPB Guidelines 03/2022 sobre “deceptive design patterns” en redes sociales, que aclaran lo que NO puede hacerse con interfaces engañosos para obtener consentimiento. EDPB, Guidelines 03/2022.

Traducción operativa para GRC:

Cualquier cookie no estrictamente necesaria (publicidad, analítica avanzada, personalización, tracking cross-site, etc.) requiere un consentimiento previo, libre, específico, informado e inequívoco, y debe ser tan fácil de rechazar como de aceptar.

Todo lo que se aparte de esto (cookies antes de consentir, “aceptar” gigante y “rechazar” escondido, cookies que se siguen depositando tras “rechazar”, etc.) está ya bajo fuego cruzado de varias autoridades.

2. Qué están sancionando realmente: patrón común en CNIL, AEPD e ICO

2.1. Caso CNIL – Vanity Fair / Condé Nast (SAN-2025-010)

En noviembre de 2025, la CNIL sanciona con 750.000 € a Les Publications Condé Nast, editora de vanityfair.fr, por múltiples incumplimientos del art. 82 de la Loi Informatique et Libertés (equivalente al art. 22.2 LSSI en España). CNIL, SAN-2025-010.

Los puntos clave (perfectamente “exportables” a cualquier web):

  1. Depósito de cookies publicitarias (como NID de Google) en la primera carga de la web, antes de cualquier acción en el banner.
  2. Información engañosa sobre ciertas funciones del TCF (IAB): opciones marcadas como “siempre activas” y “estrictamente necesarias” cuando en realidad no lo eran.
  3. Mecanismo de rechazo ineficaz: tras pulsar “rechazar” se seguían depositando cookies sometidas a consentimiento, durante y después de la navegación.
  4. Retirada de consentimiento inefectiva: tras retirar el consentimiento, seguían leyéndose cookies (incluyendo identificadores analíticos) sin una base que pudiera considerarse exenta.

La CNIL subraya además que la empresa llevaba años en diálogo con la autoridad, con controles previos, una mise en demeure y reiteradas indicaciones de cumplimiento que no se materializaron adecuadamente. Eso pesa en la cuantía de la sanción como negligencia agravada.

2.2. Caso CNIL – Yahoo EMEA (SAN-2023-024)

En diciembre de 2023, la CNIL impone a YAHOO EMEA LIMITED una sanción de 10 millones de euros por dos grandes bloques de incumplimientos relacionados con cookies y retirada de consentimiento. CNIL, SAN-2023-024.

Los mensajes para un responsable GRC son clarísimos:

  1. Múltiples cookies publicitarias y de tracking depositadas sin consentimiento previo, tanto al entrar en yahoo.com como al usar Yahoo Mail.
  2. Interfaz de retirada de consentimiento diseñada para disuadir: si revocabas el consentimiento general de cookies, el mensaje advertía que perderías el acceso a Yahoo Mail y a otros servicios, con impacto en tu dirección de correo electrónico y contenidos.
  3. La CNIL califica esta práctica como un obstáculo grave al ejercicio del derecho a retirar el consentimiento; no hay una alternativa razonable (por ejemplo, un servicio de correo de pago sin tracking).

En la lógica del RGPD, eso significa que el consentimiento no es libre (recital 42, art. 7 RGPD). Asociar la retirada a la pérdida de un servicio esencial para el usuario (correo, comunicaciones) pervierte la “libertad” del consentimiento.

2.3. ICO – Carta a los Top 100 sitios del Reino Unido (noviembre 2023)

En noviembre de 2023, la ICO revisa los banners de cookies de los 100 sitios más usados del Reino Unido y envía cartas estándar a aquellos que no cumplían con PECR y UK GDPR. ICO, 2023 cookie sweep.

En esas cartas (como la que tú has compartido) se identifican cuatro problemas que, si te fijas, calcamos en muchas webs:

  1. No se pide consentimiento para cookies de publicidad (ni siquiera hay banner o este es puramente informativo).
  2. Cookies de marketing antes de que el usuario pueda consentir (se cargan en la primera request).
  3. Aceptar en un clic, rechazar en tres: banner con botón “Accept all” bien visible, pero sin un botón equivalente “Reject all” igual de prominente.
  4. Cookies colocadas a pesar de que el usuario pulsa “rechazar todo”.

La ICO deja claro que:

Un mecanismo que enfatiza “aceptar” sobre “rechazar” representa un enfoque no conforme y un consentimiento que no puede considerarse libre e inequívoco.

2.4. AEPD – Caso Massimo Dutti y otros expedientes

En España, la AEPD sigue la misma línea doctrinal: cookies antes de consentir, ausencia de mecanismos claros para rechazar, y banners que no permiten una negativa simple.

En el caso de Massimo Dutti (PS/00051/2023), que has cargado como referencia, la Agencia vuelve a incidir en:

  • Uso de cookies no necesarias sin consentimiento previo.
  • Deficiencias en la información y en el mecanismo para gestionar preferencias.
  • Conexión con el régimen de la LSSI (art. 22.2) y con los principios de transparencia del RGPD.

Aunque algunas resoluciones no siempre son fáciles de encontrar en la web pública, la AEPD recoge muchas de ellas (o sus criterios) en la Memoria anual. Para 2023, la Memoria AEPD 2023 sintetiza varias actuaciones relevantes en materia de cookies. AEPD, Memoria 2023.

3. Lecciones GRC: qué controles necesito realmente

Si aterrizamos todo esto en clave Gobierno–Riesgo–Cumplimiento, el mensaje para un CPO/DPO, CISO o responsable de cumplimiento es:

3.1. Gobierno: quién manda sobre las cookies

  1. Inventario formal de cookies, trackers y partners
    • No vale con “el CMP lo controla todo”. Hay que mantener un inventario vivo por dominio, tipo de cookie, finalidad, proveedor, base jurídica, caducidad y categoría (estrictamente necesaria vs. sujeta a consentimiento).
    • Esto debe estar conectado al Registro de Actividades de Tratamiento (RAT) y a la documentación de transferencias internacionales.
  2. Política corporativa de cookies y otros rastreadores
    • Alineada con la Guía de la AEPD y las decisiones de CNIL/ICO. AEPD, Guía de cookies.
    • Debería fijar: qué se permite, qué no, criterios de selección de proveedores y cómo se gestiona el consentimiento.
  3. Roles claros: marketing, desarrollo, legal/DPO, auditoría
    • Primera línea (producto/marketing/desarrollo) implementa cookies y scripts.
    • Segunda línea (DPO/compliance) valida diseños, textos y flujos.
    • Tercera línea (auditoría interna/externa) revisa periódicamente que lo que dice la política coincide con lo que hacen los scripts en producción.

3.2. Riesgo: cartografiar y priorizar

Con los casos de CNIL, ICO y AEPD en la mano, se pueden definir riesgos de cookies en tu mapa corporativo:

  • Riesgo de tratamiento ilícito por depósito o lectura sin consentimiento.
  • Riesgo de consentimiento inválido por dark patterns (botón de rechazo oculto, lenguaje ambiguo, “cookie walls” sin alternativa razonable).
  • Riesgo de incumplimiento de derechos (retirada de consentimiento difícil, falta de mecanismos para oponerse).
  • Riesgo de responsabilidad por terceros (partners y AdTech que colocan cookies “por debajo del radar”).

Esto debería conectarse con:

  • Evaluaciones de impacto (EIPD/DPIA) de analítica avanzada, publicidad comportamental, personalización, etc.
  • Evaluación de transferencias internacionales, si intervienen proveedores fuera del EEE (Google Analytics, CDNs, plataformas de AdTech…).

3.3. Cumplimiento: traducir RGPD/ePrivacy en requisitos de diseño

Apoyándonos en la Guía de cookies de la AEPD, los criterios del ICO y la doctrina CNIL/EDPB sobre dark patterns EDPB, Guidelines 03/2022 , podemos formular requisitos mínimos para un banner de cookies compliant:

  1. No hay cookies no necesarias antes de la elección.
    • Primera carga de la página → solo cookies estrictamente necesarias (sesión, carrito, autenticación, seguridad…).
  2. Botones simétricos “Aceptar todo” / “Rechazar todo” en el primer nivel.
    • Misma jerarquía visual, mismo tamaño de fuente, misma facilidad de acción.
  3. Capas de detalle reales, no laberintos.
    • Segunda capa para granularidad (por finalidad, no por cada 150 proveedores), pero no como único lugar donde se pueda rechazar.
  4. Respeto absoluto de la elección.
    • Si el usuario pulsa “Rechazar todo”, el sistema no debe colocar ni seguir leyendo cookies que requieren consentimiento (tal y como han sancionado CNIL e ICO en los casos descritos).
  5. Retirada del consentimiento fácil y permanente.
    • Acceso desde el pie de página (“Configuración de cookies”) o desde la zona de cuenta, con posibilidad real de cambiar de “aceptar” a “rechazar” sin penalizaciones ocultas.
  6. Documentación de consentimientos y de configuración.
    • Logs del CMP, procedimientos de despliegue, registros de cambios de partners / scripts → todo esto es munición de accountability si te piden pruebas.

4. Checklist rápido para revisar tu web hoy mismo

Si mañana tuvieras una reunión con CNIL, AEPD o ICO, estas son algunas preguntas que deberías poder responder con tranquilidad:

  1. ¿Qué cookies/trackers se cargan exactamente en la primera carga de la home, antes de que el usuario haga clic en nada?
    • Si hay algo más que las estrictamente necesarias, tenemos un problema tipo Condé Nast / Yahoo / ICO.
  2. ¿Es tan fácil rechazar como aceptar?
    • ¿Existe un botón “Rechazar todo” tan visible como “Aceptar todo”? Si no, estamos en territorio de dark patterns según ICO y EDPB. ICO, 2023 cookie sweep
  3. Cuando el usuario rechaza, ¿seguimos viendo cookies publicitarias o de analítica avanzada en el navegador?
    • Si la respuesta es “a veces sí, por temas técnicos”, eso es exactamente lo que han sancionado CNIL y AEPD.
  4. ¿Podemos retirar el consentimiento sin perder el acceso a servicios importantes?
    • Si el modelo es “o aceptas todo o no entras” sin alternativa razonable, estamos cerca del cookie wall problematizado en CNIL, SAN-2023-024.
  5. ¿Tenemos inventario y RAT alineados con nuestra realidad técnica actual?
    • ¿Lo hemos cotejado con un escaneo independiente de cookies/scripts?
  6. ¿Existe una revisión periódica (auditoría interna/externa) de banners y scripts?
    • Y, sobre todo, ¿se corrigen las desviaciones de forma proactiva o solo cuando llega una reclamación?

5. Y ahora, ¿qué?

Este primer post de la serie “Web & Apps compliance desde la óptica GRC” se queda en el núcleo duro de cookies y consentimiento. Hemos visto que:

  • No es un tema de “poner el banner”, sino de cómo se despliegan técnicamente las cookies y de cómo se diseña la interfaz.
  • CNIL, AEPD e ICO ya han construido una doctrina muy consistente: mismo patrón de incumplimientos, mismo lenguaje, mismas exigencias.
  • Desde la óptica GRC, esto exige gobierno (políticas, inventario, roles), gestión de riesgos y controles de diseño y auditoría continua.

En próximos posts bajaremos a otros temas que ya has adelantado: trackers, píxeles y balizas, dark patterns en general, analítica web, fuentes, formularios, gestión de tráfico, y, más adelante, chatbots y decisiones automatizadas.

Bibliografía:

1️⃣ CNIL – Conde Nast / Vanity Fair (SAN-2025-010)

2️⃣ CNIL – Yahoo EMEA (SAN-2023-024)

3️⃣ AEPD – Massimo Dutti (PS/00051/2023, cookies)

4️⃣ AEPD – Guías y documentos sobre cookies / patrones oscuros

5️⃣ ICO – Carta a los Top 100 websites (noviembre 2023)

6️⃣ EDPB – Dark patterns & diseño engañoso

7️⃣ CNIL – Dark patterns y banners de cookies

8️⃣ CNIL – Otras sanciones recientes por cookies (para contexto comparado)

Leocadio Marrero Trujillo