La UE fija su postura sobre las cookies: si alguien te dice que no, no podrás volver a preguntarle en cuatro meses

El 21 de octubre los embajadores de los Veintisiete cerraron la posición del Consejo sobre el paquete que reescribe las reglas de las cookies en Europa. El texto, de 179 páginas, documento 14756/26, repartido el día 22, trae dos cosas que cambian el día a día de cualquier web española.

La primera: si una persona rechaza, no se le puede volver a preguntar por esa misma finalidad en cuatro meses. La segunda: seis finalidades dejarían de necesitar consentimiento, y una de ellas es la medición de audiencia de tu propio sitio.

Aviso antes de seguir: esto todavía no es ley. Es la postura con la que los gobiernos se sientan a negociar. Pero marca la dirección con bastante precisión, y hay decisiones de montaje que conviene no tomar al revés.

La regla de los cuatro meses

La Comisión había propuesto seis meses. El Consejo lo baja a un mínimo de cuatro. La redacción dice que el proveedor «no hará una nueva solicitud» para esa finalidad durante ese periodo.

Dos excepciones permiten preguntar antes:

• Que cambie la finalidad del tratamiento: un servicio nuevo o un cambio sustancial en el que ya había.
• Que la cookie que guardaba el rechazo deje de ser válida por motivos ajenos al sitio, por ejemplo porque la persona ha borrado sus cookies.

Esa segunda excepción es más relevante de lo que parece. Los navegadores limitan cada vez más la vida del almacenamiento del lado del cliente, así que en la práctica el plazo real puede ser bastante más corto que cuatro meses sin que nadie haga nada raro. Es una de esas cosas que se escriben pensando en un mundo y se aplican en otro.

El texto exige además que rechazar se pueda hacer con un solo clic o equivalente. Eso no es nuevo en España, porque la Agencia Española de Protección de Datos ya lo venía exigiendo, pero pasaría a estar en la norma europea.

Dónde acaban viviendo las reglas

Aquí hay un giro que importa a quien siga el expediente. La Comisión quería mover el consentimiento de cookies dentro del RGPD, como un artículo 88a nuevo. El Consejo tacha ese artículo y devuelve las reglas a donde estaban: el artículo 5(3) de la Directiva ePrivacy, reescrito.

Consecuencias prácticas de esa decisión:

• Sigue siendo una directiva, no un reglamento: cada Estado la traspone a su manera, con el margen de divergencia que eso implica. En España, hoy la referencia es el artículo 22.2 de la LSSI.
• La competencia sancionadora pasaría a la autoridad de protección de datos de cada país, por un artículo 15a(5) nuevo. En España eso no cambia nada: ya es la AEPD. En países donde se ocupan los reguladores de telecomunicaciones o de consumo, sí cambiaría de manos.
• El plazo de trasposición sería de 24 meses desde la adopción del reglamento. Las obligaciones de notificación de brechas se retrasan a 30 meses.

Las seis finalidades que no necesitarían consentimiento

Esta es la parte que más va a afectar a cómo montas la medición. La Comisión proponía cuatro; el Consejo añade dos.

Finalidad	Condición principal
Transmisión	Llevar una comunicación por la red
Servicio solicitado	Lo que la persona ha pedido de forma explícita: idioma, carrito, sesión
Medición de audiencia propia	Información agregada y anónima sobre el uso de tu servicio
Medición de audiencia de medios	Bajo el artículo 24 del Reglamento de Libertad de los Medios
Seguridad técnica	Lo estrictamente necesario para mantener o restaurar la seguridad
Medición de publicidad contextual	Anuncios basados solo en el contenido de una visita o consulta

Las dos que importan a una empresa normal son la tercera y la sexta.

Medición de audiencia propia

La exención exige que la medición:

• cree información agregada y anónima sobre el uso de tu servicio,
• la haga el propio proveedor del servicio o alguien por cuenta suya,
• no se use para otra finalidad,
• no se comparta con terceros,
• no se combine con datos de terceros.

Los resultados agregados sí se pueden compartir. Lo que no se puede es que los datos subyacentes salgan de tu casa o se mezclen.

Esto deja fuera, tal como está escrito, la analítica que agrupa datos de varios clientes de un mismo proveedor, que es el modelo de buena parte de las herramientas que usa todo el mundo. Y deja fuera también la analítica de producto que analiza el comportamiento individual.

Medición de publicidad contextual

Cubre medir la aparición y el rendimiento de anuncios basados solo en el contenido de una visita o de una consulta, sin datos personales en el anuncio, sin perfilado y sin actividad pasada o futura, ni dentro ni fuera del sitio. Los datos se seudonimizan tras la recogida y no se reutilizan.

El considerando 44g dice que puede incluir cookies de limitación de frecuencia y de medición. Y ahí hay una contradicción que alguien tendrá que resolver: limitar la frecuencia consiste exactamente en recordar exposiciones anteriores, que es lo que el artículo prohíbe. Se resolverá en los tribunales o en una guía, no en el texto.

Lo que seguiría necesitando consentimiento

Conviene tenerlo igual de claro, porque es la mitad que nadie va a titular:

• Publicidad personalizada y comportamental, retargeting incluido.
• Medición entre sitios distintos y atribución, es decir, el seguimiento de conversiones de tus campañas.
• Analítica que agrupe datos de varios clientes de un proveedor o de varios servicios propios.
• Reutilizar para otra finalidad datos recogidos al amparo de una exención. Eso incluye la publicidad programática.

Dicho en corto: podrías saber cuánta gente visita tu web sin pedir permiso; no podrías saber cuál de tus anuncios la trajo.

Las señales del navegador se quedan fuera

La Comisión proponía un artículo 88b que obligaría a los sitios a respetar las señales de consentimiento que envía el navegador de forma automática. Sería el final del banner tal como lo conocemos: la decisión se tomaría una vez, en el navegador, y los sitios la obedecerían.

El Consejo lo eliminó en junio de 2026 y su mandato lo mantiene fuera. Diecinueve organizaciones pidieron recuperarlo el 10 de septiembre, con el apoyo del Comité Europeo de Protección de Datos y del Supervisor Europeo. Un estudio encargado por Google cifró el coste de implantar ese mecanismo entre 40.000 y 50.000 millones de euros anuales; la organización noyb discute esa cifra.

Quien esperaba que esta reforma hiciera desaparecer los banners, de momento, no.

Otras dos piezas que se cuelan en el mismo texto

No van de cookies, pero viajan en el mismo paquete y afectan a cualquiera que trate datos:

• Artículo 25a, seudonimización. Los datos seudonimizados compartidos con un destinatario independiente que no pueda identificar a las personas no serían datos personales para ese destinatario. Los encargados del tratamiento (salas limpias de datos, proveedores de medición que actúan por cuenta del responsable) seguirían manejando datos personales. El Comité Europeo publicaría una guía sobre esto en los seis meses siguientes a la entrada en vigor.
• Entrenamiento de IA. Podría apoyarse en el interés legítimo, con derecho de oposición del artículo 21. El Consejo retira la exclusión incondicional que proponía la Comisión, y el considerando 33a aclara que desarrollar IA no constituye por sí mismo un interés legítimo.

Qué hacer con esto hoy

Nada estructural. Pero sí tres cosas de criterio:

1. No rehagas tu banner ahora. Falta la posición del Parlamento, con más de mil enmiendas sobre la mesa, y después las negociaciones a tres bandas. Cualquiera de estas seis finalidades puede reabrirse.
2. Comprueba que tu gestor de consentimiento sabe guardar un rechazo. Si el cambio llega, tendrá que recordar la negativa durante meses y distinguir por finalidad. Muchas instalaciones de hoy no distinguen nada: aceptan o no aceptan.
3. Separa en tu cabeza medir de atribuir. Esa es la frontera que dibuja el texto, y es la misma que conviene tener clara por otro motivo: mover la medición a tu servidor no te exime del consentimiento, como explicamos ayer. Lo que exime es la finalidad, no la fontanería.

Lo que entre en tu caso concreto y con qué obligaciones te lo tiene que decir tu asesoría jurídica. Nosotros revisamos el montaje: qué se dispara, cuándo, con qué permiso y si los números cuadran. Está en analítica y tracking.

Fuentes

• EU Council agrees 4-month cookie re-ask wait for Digital Omnibus talks (PPC Land, 25 de octubre de 2026)
• EU Council text lists 6 cookie purposes that would need no consent (PPC Land, 25 de octubre de 2026)
• Expediente 2025/0360 (COD), en el Observatorio Legislativo del Parlamento Europeo
• Directiva 2002/58/CE de ePrivacy, artículo 5(3), en EUR-Lex