Respuesta Rápida: La Directiva ePrivacy y el GDPR son dos leyes de la UE distintas pero superpuestas que rigen conjuntamente el consentimiento de cookies y la privacidad en línea. La Directiva ePrivacy establece las reglas específicas para colocar cookies en los dispositivos de los usuarios, mientras que el GDPR define los estándares para un consentimiento válido. La mayoría de los sitios web que operan en la UE deben cumplir con ambas, y a partir de 2026, se está llevando a cabo una importante revisión legislativa que podría consolidar las reglas de cookies directamente en el GDPR.
Puntos Clave
- La Directiva ePrivacy (2002, actualizada en 2009) es la ley principal que exige consentimiento antes de establecer cookies no esenciales; el GDPR (2018) define lo que realmente significa "consentimiento válido".
- Ambas leyes se aplican simultáneamente a la mayoría de los sitios web dirigidos a la UE; una no reemplaza a la otra.
- La propuesta de Reglamento ePrivacy fue retirada formalmente por la Comisión Europea en febrero de 2025.
- El Paquete Ómnibus Digital, presentado en noviembre de 2025, propone integrar las reglas de consentimiento de cookies en el GDPR a través de los nuevos Artículos 88a y 88b.
- Las cookies esenciales (estrictamente necesarias) están exentas de los requisitos de consentimiento bajo la Directiva ePrivacy.
- La Directiva ePrivacy ha sido transpuesta de manera diferente en los estados miembros de la UE, creando variaciones en el cumplimiento por país.
- Un estudio de 2026 encontró que solo el 30.66% de los sitios web presentaban un botón de "rechazar todo", lo que indica un incumplimiento generalizado [7].
- Los banners de consentimiento de cookies pueden satisfacer ambas leyes, pero solo si cumplen las condiciones del GDPR para un consentimiento libre, específico, informado e inequívoco.
- Las Plataformas de Gestión de Consentimiento (CMPs) deberán adaptarse a las señales de consentimiento a nivel de navegador bajo los cambios propuestos del GDPR [3].
¿Cuál es la Diferencia entre la Directiva ePrivacy y el GDPR?
La Directiva ePrivacy y el GDPR cumplen funciones diferentes pero complementarias. La Directiva ePrivacy (Directiva 2002/58/CE, modificada por 2009/136/CE) es una ley sectorial que rige la privacidad de las comunicaciones electrónicas, incluido el uso de cookies y tecnologías de seguimiento similares. El GDPR es un reglamento general de protección de datos que establece el marco legal para el procesamiento de datos personales en todos los sectores, incluida la definición y los requisitos para un consentimiento válido.
La distinción clave:
| Característica | Directiva ePrivacy | GDPR |
|---|---|---|
| Forma legal | Directiva de la UE (requiere transposición nacional) | Reglamento de la UE (aplicable directamente) |
| Enfoque principal | Cookies, seguimiento, comunicaciones electrónicas | Todo el procesamiento de datos personales |
| Estándar de consentimiento | Requiere consentimiento para cookies no esenciales | Define lo que significa un consentimiento válido |
| Organismo de aplicación | Reguladores nacionales de telecomunicaciones/DPA | Autoridades Nacionales de Protección de Datos |
| Estado (2026) | Todavía en vigor; reforma pendiente | En vigor; enmiendas propuestas en curso |
Debido a que la Directiva ePrivacy es una Directiva en lugar de un Reglamento, cada estado miembro de la UE la ha transpuesto a la legislación nacional de manera diferente, produciendo variaciones en la aplicación y los requisitos específicos entre países [6].
¿Necesita Cumplir con la Directiva ePrivacy y el GDPR, o Solo con Uno?
Ambas leyes se aplican simultáneamente, y el cumplimiento de una no satisface a la otra. La Directiva ePrivacy le dice cuándo necesita consentimiento (antes de establecer cookies no esenciales); el GDPR le dice cómo debe ser ese consentimiento (libre, específico, informado, inequívoco y revocable en cualquier momento) [5].
Piénselo de esta manera: la Directiva ePrivacy es el detonante y el GDPR es el estándar. Un banner de cookies que técnicamente aparece antes de que se carguen las cookies, pero que utiliza casillas premarcadas, violaría los requisitos de consentimiento del GDPR, incluso si nominalmente cumple con la obligación de notificación de la Directiva ePrivacy.
Error común: Asumir que un aviso de cookies (informando a los usuarios que existen cookies) es suficiente. Bajo ambos marcos, la notificación pasiva no es consentimiento para cookies no esenciales.
¿Cómo se Aplica la Directiva ePrivacy a las Cookies en su Sitio Web?
La Directiva ePrivacy exige que los operadores de sitios web obtengan un consentimiento previo e informado antes de almacenar o acceder a información en el dispositivo de un usuario; esto cubre cookies, píxeles, almacenamiento local y tecnologías similares [6]. Esta obligación se aplica independientemente de si los datos recopilados califican como datos personales según el GDPR.
En la práctica, esto significa:
- Ninguna cookie no esencial puede activarse antes de que un usuario realice una acción afirmativa para dar su consentimiento.
- El mecanismo de consentimiento debe ser claro y no estar vinculado a la aceptación de los términos de servicio.
- Los usuarios deben poder retirar el consentimiento tan fácilmente como lo dieron.
La Directiva se aplica a cualquier servicio dirigido a usuarios de la UE, independientemente de dónde tenga su sede el operador del sitio web.
¿Qué Cookies Requieren Consentimiento bajo la Directiva ePrivacy vs. GDPR?
Según la Directiva ePrivacy, se requiere consentimiento para todas las cookies, excepto aquellas que son "estrictamente necesarias" para un servicio solicitado explícitamente por el usuario. Según el GDPR, cualquier procesamiento de datos personales requiere una base legal, y para las cookies de seguimiento, esa base es casi siempre el consentimiento.
Categorías de cookies y requisitos de consentimiento:
- Cookies estrictamente necesarias (gestión de sesiones, estado de inicio de sesión, carrito de compras): No se requiere consentimiento bajo la Directiva ePrivacy. Podría aplicarse el interés legítimo o la base de ejecución de contrato del GDPR.
- Cookies de análisis (por ejemplo, seguimiento de visitas a páginas que identifican a los usuarios): Se requiere consentimiento bajo ambos marcos.
- Cookies de marketing y publicidad (orientación conductual, retargeting): Se requiere consentimiento bajo ambos marcos; esta es la categoría de mayor riesgo para la aplicación.
- Cookies funcionales (preferencias de idioma, configuración de la interfaz de usuario): Debatido; si procesan datos personales, el consentimiento es el enfoque más seguro.
¿Se está Reemplazando la Directiva ePrivacy y Qué es el Reglamento ePrivacy?
La Directiva ePrivacy no está siendo reemplazada por el GDPR. Sin embargo, un Reglamento ePrivacy propuesto tenía la intención de reemplazar la Directiva con una ley directamente aplicable en toda la UE. Esa propuesta fue retirada formalmente por la Comisión Europea en febrero de 2025, citando la falta de un acuerdo previsible entre los estados miembros y el carácter obsoleto de la propuesta dadas los recientes cambios tecnológicos [2].
La Directiva ePrivacy vs. el Reglamento ePrivacy propuesto: El Reglamento habría sido directamente vinculante en todos los estados miembros (eliminando las diferencias de transposición nacional), pero nunca llegó a adoptarse.
En su lugar, la Comisión Europea introdujo el Paquete Ómnibus Digital el 19 de noviembre de 2025. Este paquete propone integrar las reglas de consentimiento de cookies directamente en el GDPR a través de los nuevos Artículos 88a y 88b [2][3]. El Artículo 88a definiría escenarios en los que no se requiere consentimiento (como para la transmisión de comunicaciones electrónicas o servicios solicitados explícitamente por el usuario). El Artículo 88b introduciría requisitos para mecanismos de consentimiento automatizados y legibles por máquina, incluidas las señales de consentimiento a nivel de navegador [3].
A partir de julio de 2026, el Paquete Ómnibus Digital todavía está en proceso legislativo, y se espera el texto final para finales de 2026 o principios de 2027 [4].
¿Necesitan Consentimiento las Cookies Esenciales bajo la Directiva ePrivacy?
No. Las cookies estrictamente necesarias están explícitamente exentas del requisito de consentimiento de la Directiva ePrivacy. Se trata de cookies sin las cuales el servicio solicitado activamente por el usuario no puede funcionar, por ejemplo, identificadores de sesión, tokens de autenticación y cookies de carrito de compras [6].
Caso límite: "Necesario" se interpreta de forma restrictiva. Una cookie que mejora el rendimiento o permite el análisis no es estrictamente necesaria, incluso si el operador la considera operativamente importante. En caso de duda, es mejor requerir consentimiento.
Cómo Obtener un Consentimiento de Cookies Válido que Satisfaga Ambas Regulaciones
El consentimiento válido bajo el GDPR (y, por lo tanto, bajo la Directiva ePrivacy, que se remite a los estándares de consentimiento del GDPR) debe ser:
- Libremente otorgado, Sin muros de consentimiento o vinculación forzada con la aceptación de términos.
- Específico, Consentimiento separado para cada categoría de cookies (análisis, marketing, etc.).
- Informado, Los usuarios deben saber qué hacen las cookies y quién procesa los datos.
- Inequívoco, Se requiere una acción afirmativa; las casillas premarcadas no son válidas.
- Revocable, Revocar el consentimiento debe ser tan fácil como otorgarlo [5].
Una Plataforma de Gestión de Consentimiento (CMP) bien configurada maneja este flujo de trabajo. Biscotti CMP está diseñada para cumplir estos requisitos, incluyendo categorías de consentimiento granulares y registro de consentimiento para fines de auditoría. Con el Paquete Ómnibus Digital proponiendo señales de consentimiento a nivel de navegador bajo el Artículo 88b, las CMPs también deberán ingerir y respetar las señales de la configuración del navegador, un cambio operativo significativo para la industria [3].
¿Pueden los Banners de Cookies Satisfacer los Requisitos de ePrivacy y GDPR?
Sí, pero solo si el banner está diseñado correctamente. Un banner de cookies que cumpla con los estándares de consentimiento del GDPR también satisfará el requisito de consentimiento de la Directiva ePrivacy, porque la Directiva se remite a la definición de consentimiento del GDPR para los estados miembros de la UE [5][6].
Un banner conforme debe:
- Presentar una opción clara de "Aceptar" y "Rechazar" (o equivalente) con igual prominencia visual.
- No utilizar patrones oscuros (por ejemplo, hacer que "Rechazar" sea más difícil de encontrar que "Aceptar").
- Bloquear las cookies no esenciales hasta que se dé el consentimiento.
- Registrar y almacenar el consentimiento con una marca de tiempo y una referencia de versión.
- Permitir a los usuarios cambiar sus preferencias en cualquier momento.
Un estudio de 2026 encontró que solo el 30.66% de los sitios web presentaban un botón de "rechazar todo", lo que significa que la mayoría de los sitios encuestados probablemente no cumplen con las expectativas de cumplimiento [7].
¿Hay Países donde la Directiva ePrivacy no se Aplica?
La Directiva ePrivacy se aplica en todos los estados miembros de la UE. Sin embargo, debido a que es una Directiva (no un Reglamento), cada país la ha transpuesto a la legislación nacional con cierta variación en el alcance, las prioridades de aplicación y las sanciones [6]. Los países fuera de la UE, incluido el Reino Unido después del Brexit, tienen sus propias leyes equivalentes (las Regulaciones de Privacidad y Comunicaciones Electrónicas del Reino Unido, o PECR).
Elija su base de cumplimiento en función de dónde se encuentren sus usuarios, no solo de dónde esté registrada su empresa. Una empresa con sede en EE. UU. con un tráfico significativo de la UE debe cumplir tanto con la Directiva ePrivacy (tal como se transpone en los estados miembros relevantes) como con el GDPR.
¿Qué Sucede si no Cumple con las Normas de la Directiva ePrivacy?
El incumplimiento de la Directiva ePrivacy (tal como se transpone a la legislación nacional) puede dar lugar a multas y acciones de aplicación por parte de los reguladores nacionales. Las sanciones varían según el estado miembro, pero pueden ser sustanciales, y las violaciones del GDPR provocadas por un consentimiento no válido (por ejemplo, el procesamiento de datos personales a través de cookies de seguimiento sin una base legal válida) conllevan multas de hasta el 4% de la facturación anual global o 20 millones de euros, lo que sea mayor [5].
Las Autoridades Nacionales de Protección de Datos (DPAs) continúan investigando activamente y multando a las organizaciones por fallas en el consentimiento de cookies [1]. Las acciones de aplicación han afectado tanto a grandes plataformas como a pequeños operadores.
Errores comunes de cumplimiento:
- Activación de cookies de análisis o publicidad al cargar la página antes de que se registre el consentimiento.
- Uso de banners de consentimiento que no bloquean las cookies hasta después de la interacción.
- No respetar la retirada del consentimiento de forma inmediata.
- No actualizar los registros de consentimiento cuando cambian las políticas de cookies.
- Tratar los avisos de cookies como equivalentes a los mecanismos de consentimiento.
¿Cuánto Tiempo se Pueden Almacenar las Cookies Según las Normas de la Directiva ePrivacy?
La Directiva ePrivacy no especifica directamente una duración máxima de almacenamiento de cookies. Sin embargo, los principios de minimización de datos y limitación de almacenamiento del GDPR se aplican cuando las cookies procesan datos personales. El consentimiento debe tener un límite de tiempo, y los reguladores generalmente esperan que las organizaciones vuelvan a solicitar el consentimiento periódicamente; la guía comúnmente citada sugiere 12 meses como un intervalo razonable, aunque este no es un límite legal estricto [6].
Guía práctica: Establezca períodos de caducidad de las cookies proporcionales a su propósito. Una cookie de sesión debe caducar cuando se cierra el navegador. Una cookie de análisis no necesita una vida útil de dos años si seis meses cumplen el mismo propósito.
¿Cuáles son los Errores Comunes que Cometen las Empresas con el Cumplimiento de ePrivacy?
Más allá de los problemas señalados anteriormente, varios patrones aparecen consistentemente en los casos de aplicación y auditorías:
- Consentimiento implícito: Asumir que la navegación continua constituye consentimiento. Esto ha sido explícitamente rechazado por los tribunales y las DPAs de la UE.
- Consentimiento agrupado: Combinar el consentimiento de cookies con la aceptación de la política de privacidad en un solo clic.
- Geolocalización inconsistente: Aplicar reglas de consentimiento más estrictas solo para usuarios de ciertos países mientras se sirven cookies de seguimiento a otros, un riesgo dado que la aplicación puede seguir la ubicación del usuario.
- Ignorar las variaciones nacionales: Asumir que una única configuración de banner satisface a todos los estados miembros de la UE, cuando en realidad algunos países tienen requisitos nacionales más estrictos [6].
- Falta de rastro de auditoría del consentimiento: No registrar a qué consintieron los usuarios, cuándo y bajo qué versión del aviso de privacidad [1].
Conclusión
La relación entre la Directiva ePrivacy y el GDPR: Navegando las Normas de Cookies de la UE no es una cuestión de elegir un marco sobre el otro; ambos se aplican y ambos deben ser satisfechos. La Directiva ePrivacy define cuándo se necesita consentimiento para las cookies; el GDPR define cómo debe ser un consentimiento válido. Juntos, forman la base legal para el cumplimiento de las cookies en toda la UE.
El panorama regulatorio está cambiando. La propuesta de Reglamento ePrivacy fue retirada a principios de 2025, y el Paquete Ómnibus Digital ahora propone integrar las reglas de cookies directamente en el GDPR a través de los Artículos 88a y 88b. Se espera el texto final para finales de 2026 o principios de 2027, pero las obligaciones actuales siguen plenamente en vigor mientras tanto.
Próximos pasos accionables para 2026:
- Audite el comportamiento de las cookies de su sitio web para confirmar que no se activan cookies no esenciales antes de que se capture el consentimiento.
- Revise su banner de consentimiento en busca de patrones oscuros y asegúrese de que las opciones de "rechazar" sean tan prominentes como las de "aceptar".
- Implemente una CMP como Biscotti CMP que registre los consentimientos y admita la gestión granular de categorías.
- Supervise el progreso del Paquete Ómnibus Digital y evalúe si su proveedor de CMP se está preparando para el soporte de señales de consentimiento a nivel de navegador.
- Verifique la transposición nacional de la Directiva ePrivacy en cada estado miembro de la UE donde tenga un tráfico de usuarios significativo.
Preguntas Frecuentes
P: ¿El GDPR reemplaza la Directiva ePrivacy para las cookies? No. El GDPR y la Directiva ePrivacy coexisten. La Directiva ePrivacy sigue siendo la ley principal que exige consentimiento para las cookies; el GDPR rige lo que significa un consentimiento válido y cómo deben tratarse los datos personales procesados a través de las cookies.
P: ¿Qué es el Reglamento ePrivacy y todavía está en camino? El Reglamento ePrivacy era una propuesta de ley de la UE destinada a reemplazar la Directiva ePrivacy con un reglamento directamente aplicable. Fue retirada formalmente por la Comisión Europea en febrero de 2025 y no seguirá adelante en su forma actual.
P: ¿Qué es el Paquete Ómnibus Digital? El Paquete Ómnibus Digital, presentado en noviembre de 2025, es una propuesta legislativa de la UE que simplificaría la regulación digital al integrar las reglas de consentimiento de cookies en el GDPR a través de los nuevos Artículos 88a y 88b. A partir de julio de 2026, todavía está en revisión legislativa.
P: ¿Las cookies de análisis están exentas de los requisitos de consentimiento? No. Las cookies de análisis que identifican a usuarios o dispositivos individuales no son esenciales y requieren consentimiento previo bajo la Directiva ePrivacy, independientemente de si se utilizan con fines comerciales.
P: ¿Puede un muro de cookies (bloquear el acceso a menos que los usuarios acepten las cookies) constituir un consentimiento válido? Generalmente no. Los reguladores y tribunales de la UE han determinado que el consentimiento obtenido a través de muros de cookies no se otorga libremente bajo el GDPR, porque los usuarios no tienen una opción genuina. Algunas DPAs nacionales permiten muros de cookies en circunstancias limitadas si se ofrece una alternativa de pago, pero esto sigue siendo controvertido.
P: ¿Con qué frecuencia se debe pedir a los usuarios que vuelvan a dar su consentimiento para las cookies? No existe un período legal fijo, pero los reguladores generalmente esperan que el consentimiento se actualice cuando los propósitos o la lista de cookies cambien materialmente, o después de un período razonable (a menudo citado como 12 meses en la práctica). El consentimiento obtenido bajo una versión anterior de un aviso de privacidad puede no cubrir nuevas actividades de procesamiento.
P: ¿Qué es una cookie estrictamente necesaria? Una cookie estrictamente necesaria es aquella sin la cual un servicio solicitado explícitamente por el usuario no puede funcionar, por ejemplo, un token de sesión de inicio de sesión o un identificador de carrito de compras. Estas están exentas del requisito de consentimiento de la Directiva ePrivacy.
P: ¿La Directiva ePrivacy se aplica a empresas no pertenecientes a la UE? Sí, si esas empresas se dirigen o prestan servicios a usuarios ubicados en la UE. El ámbito territorial sigue la ubicación del usuario, no la dirección registrada del operador.
P: ¿Qué debo buscar en una Plataforma de Gestión de Consentimiento? Una CMP compatible debe bloquear las cookies no esenciales antes del consentimiento, admitir categorías de consentimiento granulares, registrar el consentimiento con marcas de tiempo, permitir una fácil retirada y estar preparada para admitir señales de consentimiento a nivel de navegador según lo exigen las enmiendas propuestas del GDPR.
P: ¿Puedo usar un solo banner de cookies para toda la UE? Un solo banner puede funcionar como base, pero debido a que la Directiva ePrivacy se ha transpuesto de manera diferente en los estados miembros, algunos países pueden tener requisitos más estrictos. Se recomienda una revisión legal de la legislación nacional de cada mercado objetivo para sitios de alto tráfico.
Referencias
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai