4 min de lectura
Desde el 11 de enero de 2024, aceptar y rechazar cookies en España tiene que ser exactamente igual de fácil. No es una recomendación de buenas prácticas: la AEPD incorporó el criterio del Comité Europeo de Protección de Datos, que exige que ambas opciones aparezcan «en un lugar y formato destacados… al mismo nivel, sin que sea más complicado rechazarlas que aceptarlas». Aviso honesto sobre el alcance: no hemos hecho la auditoría en vivo de 50 webs con cronómetro que idealmente merece este tema. Lo que sí tenemos son varios casos documentados y verificables, incluido uno especialmente revelador: la propia política de cookies de un banco español grande confirma, con sus propias palabras, que sigue sin cumplir.
¿Cómo debería ser aceptar y rechazar cookies, según casos reales?
El texto oficial de la política de cookies de BBVA describe así su propio banner: «Al hacer click en ‘Aceptar’, consientes que todas las cookies se guarden en tu dispositivo o puedes configurarlas o rechazar su uso pulsando en ‘Configurar’». Es el propio banco explicando, sin darse cuenta de lo que implica, que «aceptar» es un clic directo y «rechazar» pasa por un paso intermedio llamado «Configurar», justo la asimetría que la normativa prohíbe desde hace más de dos años.
El caso de Hermès, documentado por una plataforma de gestión de consentimiento
Un análisis de Usercentrics sobre el banner de Hermès describe la opción de rechazar como «colocada de manera discreta y apenas visible en la parte superior derecha», mientras aceptar aparece como botón principal. Es exactamente el patrón clásico: un botón grande y llamativo para aceptar, y una opción de rechazo que técnicamente existe pero que hay que buscar.
¿Por qué sigue pasando esto si es ilegal desde 2024?
Porque la aplicación real de la norma va muy por detrás del texto legal. La AEPD ha abierto expedientes a empresas como Vodafone, BBVA o CaixaBank por prácticas relacionadas con cookies, pero la mayoría de esas sanciones han sido simbólicas o han tardado años en resolverse. El contraste internacional es revelador: la CNIL francesa multó a Google con 150 millones de euros en 2022 por exactamente este mismo patrón, el botón de rechazo exigía más pasos que el de aceptación. En España, el mismo tipo de infracción rara vez genera consecuencias de ese calibre, en parte por recursos limitados de la autoridad de control frente a departamentos legales de grandes empresas.
El truco semántico que todavía funciona
La palabra «Configurar» hace un trabajo psicológico específico: suena a tarea técnica opcional, no a la forma real de ejercer un derecho. Cuando «rechazar» no aparece como palabra ni como botón en la primera pantalla, y en su lugar solo ves «Aceptar» y «Configurar», tu cerebro procesa la segunda opción como «ajustes para gente que sabe lo que hace», no como «mi otra opción igual de válida». Es un patrón oscuro (dark pattern) clásico, y funciona precisamente porque no miente: técnicamente sí puedes rechazar, solo que el diseño hace todo lo posible para que no lo intentes.
¿Entonces qué deberías exigir como usuario, y qué deberías implementar si gestionas una web?
Como usuario, la señal más rápida de evaluar es simple: si en la primera pantalla del banner no ves la palabra «rechazar» como botón propio, al mismo tamaño y color de peso que «aceptar», ese sitio probablemente no cumple, tenga o no un aviso legal impecable en el resto de la web. Como gestor de una web, la implementación correcta no es ambigua ni cara de corregir: un botón «Rechazar todo» en la misma capa, del mismo tamaño y con el mismo contraste que «Aceptar todo», sin necesidad de entrar en ningún panel de configuración para decir que no. Cumplirlo no es solo evitar una sanción improbable a corto plazo, es la diferencia entre un diseño que respeta al usuario y uno que apuesta a que la mayoría no se dará cuenta de la trampa. Es el mismo criterio que aplicamos al hablar de qué señales de confianza son reales en una web.
