Resposta rápida: A Directiva ePrivacy e o GDPR son dúas leis da UE distintas pero superpostas que rexen conxuntamente o consentimento de cookies e a privacidade en liña. A Directiva ePrivacy establece as regras específicas para colocar cookies nos dispositivos dos usuarios, mentres que o GDPR define os estándares para un consentimento válido. A maioría dos sitios web que operan na UE deben cumprir ambas, e a partir de 2026, está en marcha unha importante revisión lexislativa que podería consolidar as regras de cookies directamente no GDPR.
Puntos clave
- A Directiva ePrivacy (2002, actualizada en 2009) é a lei principal que require consentimento antes de establecer cookies non esenciais; o GDPR (2018) define o que significa realmente "consentimento válido".
- Ambas as leis aplícanse simultaneamente á maioría dos sitios web dirixidos á UE; unha non substitúe á outra.
- A proposta de Regulamento ePrivacy foi formalmente retirada pola Comisión Europea en febreiro de 2025.
- O Paquete Ómnibus Dixital, presentado en novembro de 2025, propón integrar as regras de consentimento de cookies no GDPR a través dos novos artigos 88a e 88b.
- As cookies esenciais (estritamente necesarias) están exentas dos requisitos de consentimento segundo a Directiva ePrivacy.
- A Directiva ePrivacy foi transposta de forma diferente nos estados membros da UE, creando variación no cumprimento por país.
- Un estudo de 2026 atopou que só o 30,66% dos sitios web presentaban un botón de "rexeitar todo", o que indica un incumprimento xeneralizado [7].
- Os banners de consentimento de cookies poden satisfacer ambas as leis, pero só se cumpren as condicións do GDPR para un consentimento libremente outorgado, específico, informado e inequívoco.
- As plataformas de xestión de consentimento (CMPs) terán que adaptarse aos sinais de consentimento a nivel de navegador segundo os cambios propostos no GDPR [3].
Cal é a diferenza entre a Directiva ePrivacy e o GDPR
A Directiva ePrivacy e o GDPR cumpren funcións diferentes pero complementarias. A Directiva ePrivacy (Directiva 2002/58/CE, modificada pola 2009/136/CE) é unha lei sectorial que rexe a privacidade das comunicacións electrónicas, incluído o uso de cookies e tecnoloxías de seguimento similares. O GDPR é un regulamento xeral de protección de datos que establece o marco legal para o tratamento de datos persoais en todos os sectores, incluíndo a definición e os requisitos para un consentimento válido.
A distinción clave:
| Característica | Directiva ePrivacy | GDPR |
|---|---|---|
| Forma legal | Directiva da UE (require transposición nacional) | Regulamento da UE (aplicable directamente) |
| Foco principal | Cookies, seguimento, comunicacións electrónicas | Todo o tratamento de datos persoais |
| Estándar de consentimento | Require consentimento para cookies non esenciais | Define o que significa un consentimento válido |
| Organismo de aplicación | Reguladores nacionais de telecomunicacións/DPA | Autoridades Nacionais de Protección de Datos |
| Estado (2026) | Aínda en vigor; reforma pendente | En vigor; modificacións propostas en curso |
Debido a que a Directiva ePrivacy é unha Directiva en lugar dun Regulamento, cada estado membro da UE transpuñaa á lexislación nacional de forma diferente, producindo variacións na aplicación e nos requisitos específicos entre países [6].
Necesitas cumprir tanto a Directiva ePrivacy como o GDPR, ou só unha
Ambas as leis aplícanse simultaneamente, e o cumprimento dunha non satisfai a outra. A Directiva ePrivacy indícache cando necesitas consentimento (antes de establecer cookies non esenciais); o GDPR indícache como debe ser ese consentimento (libremente outorgado, específico, informado, inequívoco e revocable en calquera momento) [5].
Pénsao deste xeito: a Directiva ePrivacy é o detonante, e o GDPR é o estándar. Un banner de cookies que aparece tecnicamente antes de que se carguen as cookies pero que usa caixas premarcadas violaría os requisitos de consentimento do GDPR, mesmo se cumpre nominalmente coa obriga de notificación da Directiva ePrivacy.
Erro común: Asumir que un aviso de cookies (informando aos usuarios de que existen cookies) é suficiente. Segundo ambos os marcos, a notificación pasiva non é consentimento para cookies non esenciais.
Como se aplica a Directiva ePrivacy ás cookies no teu sitio web
A Directiva ePrivacy require que os operadores de sitios web obteñan o consentimento previo e informado antes de almacenar ou acceder a información no dispositivo dun usuario; isto abrangue cookies, píxeles, almacenamento local e tecnoloxías similares [6]. Esta obriga aplícase independentemente de se os datos recollidos cualifican como datos persoais segundo o GDPR.
Na práctica, isto significa:
- Non se poden activar cookies non esenciais antes de que un usuario realice unha acción afirmativa para dar o seu consentimento.
- O mecanismo de consentimento debe ser claro e non estar agrupado coa aceptación dos termos de servizo.
- Os usuarios deben poder retirar o consentimento tan facilmente como o deron.
A Directiva aplícase a calquera servizo dirixido a usuarios da UE, independentemente de onde estea baseado o operador do sitio web.
Que cookies requiren consentimento segundo a Directiva ePrivacy vs. GDPR
Segundo a Directiva ePrivacy, requírese consentimento para todas as cookies, excepto aquelas que son "estritamente necesarias" para un servizo solicitado explicitamente polo usuario. Segundo o GDPR, calquera tratamento de datos persoais require unha base legal, e para as cookies de seguimento, esa base é case sempre o consentimento.
Categorías de cookies e requisitos de consentimento:
- Cookies estritamente necesarias (xestión de sesións, estado de inicio de sesión, carro da compra): Non se require consentimento segundo a Directiva ePrivacy. Pode aplicarse a base de interese lexítimo ou execución de contrato do GDPR.
- Cookies de análise (por exemplo, seguimento de páxinas vistas que identifica usuarios): Requírese consentimento segundo ambos os marcos.
- Cookies de marketing e publicidade (segmentación por comportamento, retargeting): Requírese consentimento segundo ambos os marcos; esta é a categoría de maior risco para a aplicación.
- Cookies funcionais (preferencias de idioma, configuración da interface de usuario): Debatido; se procesan datos persoais, o consentimento é o enfoque máis seguro.
Está a ser substituída a Directiva ePrivacy, e que é o Regulamento ePrivacy
A Directiva ePrivacy non está a ser substituída polo GDPR. Con todo, un Regulamento ePrivacy proposto tiña como obxectivo substituír a Directiva por unha lei directamente aplicable en toda a UE. Esa proposta foi formalmente retirada pola Comisión Europea en febreiro de 2025, citando a falta de acordo previsible entre os estados membros e o carácter obsoleto da proposta dados os recentes cambios tecnolóxicos [2].
A Directiva ePrivacy vs. o Regulamento ePrivacy proposto: O Regulamento tería sido directamente vinculante en todos os estados membros (eliminando as diferenzas de transposición nacional), pero nunca chegou a ser adoptado.
No seu lugar, a Comisión Europea presentou o Paquete Ómnibus Dixital o 19 de novembro de 2025. Este paquete propón integrar as regras de consentimento de cookies directamente no GDPR a través dos novos artigos 88a e 88b [2][3]. O artigo 88a definiría os escenarios nos que non se require consentimento (como para a transmisión de comunicacións electrónicas ou servizos solicitados explicitamente polo usuario). O artigo 88b introduciría requisitos para mecanismos de consentimento automatizados e lexibles por máquina, incluídos os sinais de consentimento a nivel de navegador [3].
A partir de xullo de 2026, o Paquete Ómnibus Dixital aínda está a pasar por procesos lexislativos, e espérase o texto final a finais de 2026 ou principios de 2027 [4].
As cookies esenciais necesitan consentimento segundo a Directiva ePrivacy
Non. As cookies estritamente necesarias están explicitamente exentas do requisito de consentimento da Directiva ePrivacy. Son cookies sen as cales o servizo que o usuario solicitou activamente non pode funcionar, por exemplo, identificadores de sesión, tokens de autenticación e cookies de carro da compra [6].
Caso límite: "Necesario" interprétase de forma restrinxida. Unha cookie que mellora o rendemento ou permite análises non é estritamente necesaria, mesmo se o operador a considera importante operacionalmente. En caso de dúbida, é mellor requirir consentimento.
Como obter un consentimento de cookies válido que satisfaga ambas as regulacións
O consentimento válido segundo o GDPR (e, polo tanto, segundo a Directiva ePrivacy, que se remite aos estándares de consentimento do GDPR) debe ser:
- Libremente outorgado, sen muros de consentimento nin agrupación forzada coa aceptación dos termos.
- Específico, consentimento separado para cada categoría de cookies (análise, marketing, etc.).
- Informado, os usuarios deben saber que fan as cookies e quen procesa os datos.
- Inequívoco, requírese unha acción afirmativa; as caixas premarcadas non son válidas.
- Retirable, revogar o consentimento debe ser tan fácil como outorgalo [5].
Unha Plataforma de Xestión de Consentimento (CMP) ben configurada xestiona este fluxo de traballo. Biscotti CMP está deseñada para soportar estes requisitos, incluíndo categorías de consentimento granular e rexistro de consentimento para fins de auditoría. Co Paquete Ómnibus Dixital que propón sinais de consentimento a nivel de navegador segundo o artigo 88b, as CMPs tamén terán que inxerir e respectar os sinais da configuración do navegador, un cambio operativo significativo para a industria [3].
Poden os banners de cookies satisfacer os requisitos de ePrivacy e GDPR
Si, pero só se o banner está correctamente deseñado. Un banner de cookies que cumpre os estándares de consentimento do GDPR tamén satisfará o requisito de consentimento da Directiva ePrivacy, porque a Directiva remítese á definición de consentimento do GDPR para os estados membros da UE [5][6].
Un banner conforme debe:
- Presentar unha opción clara de "Aceptar" e "Rexeitar" (ou equivalente) con igual prominencia visual.
- Non usar patróns escuros (por exemplo, facer que "Rexeitar" sexa máis difícil de atopar que "Aceptar").
- Bloquear as cookies non esenciais ata que se outorgue o consentimento.
- Rexistrar e almacenar o consentimento cunha marca de tempo e referencia de versión.
- Permitir aos usuarios cambiar as súas preferencias en calquera momento.
Un estudo de 2026 atopou que só o 30,66% dos sitios web presentaban un botón de "rexeitar todo", o que significa que a maioría dos sitios enquisados probablemente non cumpran as expectativas de cumprimento [7].
Hai países onde a Directiva ePrivacy non se aplica
A Directiva ePrivacy aplícase en todos os estados membros da UE. Con todo, debido a que é unha Directiva (non un Regulamento), cada país transpuñaa á lexislación nacional con algunha variación no alcance, as prioridades de aplicación e as sancións [6]. Os países fóra da UE, incluído o Reino Unido post-Brexit, teñen as súas propias leis equivalentes (as Regulamentacións de Privacidade e Comunicacións Electrónicas do Reino Unido, ou PECR).
Elixe a túa base de cumprimento en función de onde se atopen os teus usuarios, non só onde estea rexistrada a túa empresa. Unha empresa con sede nos EUA con tráfico significativo da UE debe cumprir tanto a Directiva ePrivacy (tal como se transpuña nos estados membros relevantes) como o GDPR.
Que ocorre se non cumpre as regras da Directiva ePrivacy
O incumprimento da Directiva ePrivacy (tal como se transpuña á lexislación nacional) pode dar lugar a multas e accións de aplicación por parte dos reguladores nacionais. As sancións varían segundo o estado membro pero poden ser substanciais, e as violacións do GDPR desencadeadas por un consentimento non válido (por exemplo, o tratamento de datos persoais mediante cookies de seguimento sen unha base legal válida) conlevan multas de ata o 4% da facturación anual global ou 20 millóns de euros, o que sexa maior [5].
As Autoridades Nacionais de Protección de Datos (DPAs) seguen investigando e multando activamente ás organizacións por fallos no consentimento de cookies [1]. As accións de aplicación dirixíronse tanto a grandes plataformas como a pequenos operadores.
Erros comúns de cumprimento:
- Activación de cookies de análise ou publicidade na carga da páxina antes de que se rexistre o consentimento.
- Uso de banners de consentimento que non bloquean as cookies ata despois da interacción.
- Non respectar a retirada do consentimento de forma inmediata.
- Non actualizar os rexistros de consentimento cando cambian as políticas de cookies.
- Tratar os avisos de cookies como equivalentes aos mecanismos de consentimento.
Canto tempo se poden almacenar as cookies segundo as regras da Directiva ePrivacy
A Directiva ePrivacy non especifica directamente unha duración máxima de almacenamento de cookies. Con todo, os principios de minimización de datos e limitación de almacenamento do GDPR aplícanse cando as cookies procesan datos persoais. O consentimento debe ter un tempo limitado, e os reguladores xeralmente esperan que as organizacións volvan solicitar o consentimento periodicamente; a orientación comunmente citada suxire 12 meses como un intervalo razoable, aínda que este non é un límite estatutario ríxido [6].
Orientación práctica: Establece períodos de caducidade das cookies proporcionais ao seu propósito. Unha cookie de sesión debe caducar cando se pecha o navegador. Unha cookie de análise non necesita unha vida útil de dous anos se seis meses serven para o mesmo propósito.
Cales son os erros comúns que cometen as empresas co cumprimento da ePrivacy
Ademais dos problemas sinalados anteriormente, varios patróns aparecen constantemente nos casos de aplicación e auditorías:
- Consentimento implícito: Asumir que a navegación continuada constitúe consentimento. Isto foi rexeitado explicitamente polos tribunais da UE e as DPAs.
- Consentimento agrupado: Combinar o consentimento de cookies coa aceptación da política de privacidade nun só clic.
- Xeosegmentación inconsistente: Aplicar regras de consentimento máis estritas só para usuarios de certos países mentres se serven cookies de seguimento a outros, un risco dado que a aplicación pode seguir a localización do usuario.
- Ignorar as variacións nacionais: Asumir que unha única configuración de banner satisfai a todos os estados membros da UE, cando de feito algúns países teñen requisitos nacionais máis estritos [6].
- Sen rastro de auditoría de consentimento: Non rexistrar a que deron o seu consentimento os usuarios, cando e baixo que versión do aviso de privacidade [1].
Conclusión
A relación entre a Directiva ePrivacy e o GDPR: Navegar polas normas de cookies da UE non é unha cuestión de elixir un marco sobre o outro, ambos se aplican e ambos deben ser satisfeitos. A Directiva ePrivacy define cando se necesita consentimento para as cookies; o GDPR define como debe ser un consentimento válido. Xuntos, forman a base legal para o cumprimento das cookies en toda a UE.
O panorama regulatorio está cambiando. A proposta de Regulamento ePrivacy foi retirada a principios de 2025, e o Paquete Ómnibus Dixital propón agora incorporar as regras de cookies directamente ao GDPR a través dos artigos 88a e 88b. Espérase o texto final a finais de 2026 ou principios de 2027, pero as obrigas actuais seguen plenamente en vigor mentres tanto.
Próximos pasos accionables para 2026:
- Audita o comportamento das cookies do teu sitio web para confirmar que non se activan cookies non esenciais antes de que se capture o consentimento.
- Revisa o teu banner de consentimento para detectar patróns escuros e asegúrate de que as opcións de "rexeitar" sexan tan prominentes como as de "aceptar".
- Implementa unha CMP como Biscotti CMP que rexistre os rexistros de consentimento e admita a xestión de categorías granulares.
- Monitoriza o progreso do Paquete Ómnibus Dixital e avalía se o teu provedor de CMP se está preparando para o soporte de sinais de consentimento a nivel de navegador.
- Comproba a transposición nacional da Directiva ePrivacy en cada estado membro da UE onde teñas un tráfico de usuarios significativo.
Preguntas frecuentes
P: O GDPR substitúe a Directiva ePrivacy para as cookies? Non. O GDPR e a Directiva ePrivacy coexisten. A Directiva ePrivacy segue sendo a lei principal que require consentimento para as cookies; o GDPR rexe o que significa un consentimento válido e como deben tratarse os datos persoais procesados mediante cookies.
P: Que é o Regulamento ePrivacy, e aínda está en camiño? O Regulamento ePrivacy era unha proposta de lei da UE destinada a substituír a Directiva ePrivacy por un regulamento directamente aplicable. Foi formalmente retirada pola Comisión Europea en febreiro de 2025 e non seguirá adiante na súa forma actual.
P: Que é o Paquete Ómnibus Dixital? O Paquete Ómnibus Dixital, presentado en novembro de 2025, é unha proposta lexislativa da UE que simplificaría a regulación dixital integrando as regras de consentimento de cookies no GDPR a través dos novos artigos 88a e 88b. A partir de xullo de 2026, aínda está en revisión lexislativa.
P: As cookies de análise están exentas dos requisitos de consentimento? Non. As cookies de análise que identifican usuarios ou dispositivos individuais non son esenciais e requiren consentimento previo segundo a Directiva ePrivacy, independentemente de se se usan con fins comerciais.
P: Un muro de cookies (bloqueando o acceso a menos que os usuarios acepten as cookies) pode constituír un consentimento válido? Xeralmente non. Os reguladores e tribunais da UE descubriron que o consentimento obtido a través de muros de cookies non se outorga libremente segundo o GDPR, porque os usuarios non teñen unha elección xenuína. Algunhas DPAs nacionais permiten muros de cookies en circunstancias limitadas se se ofrece unha alternativa de pago, pero isto segue sendo controvertido.
P: Con que frecuencia se debe pedir aos usuarios que volvan dar o seu consentimento para as cookies? Non hai un período estatutario fixo, pero os reguladores xeralmente esperan que o consentimento se actualice cando os propósitos ou a lista de cookies cambien materialmente, ou despois dun período razoable (a miúdo citado como 12 meses na práctica). O consentimento obtido baixo unha versión anterior dun aviso de privacidade pode non cubrir novas actividades de tratamento.
P: Que é unha cookie estritamente necesaria? Unha cookie estritamente necesaria é aquela sen a cal un servizo solicitado explicitamente polo usuario non pode funcionar, por exemplo, un token de sesión de inicio de sesión ou un identificador de carro da compra. Estas están exentas do requisito de consentimento da Directiva ePrivacy.
P: A Directiva ePrivacy aplícase a empresas non pertencentes á UE? Si, se esas empresas se dirixen ou serven a usuarios situados na UE. O alcance territorial segue a localización do usuario, non o enderezo rexistrado do operador.
P: Que debo buscar nunha Plataforma de Xestión de Consentimento? Unha CMP conforme debe bloquear as cookies non esenciais antes do consentimento, admitir categorías de consentimento granulares, rexistrar o consentimento con marcas de tempo, permitir unha fácil retirada e estar preparada para admitir sinais de consentimento a nivel de navegador segundo as modificacións propostas do GDPR.
P: Podo usar un único banner de cookies para toda a UE? Un único banner pode funcionar como base, pero debido a que a Directiva ePrivacy foi transposta de forma diferente nos estados membros, algúns países poden ter requisitos máis estritos. É recomendable unha revisión legal fronte á lexislación nacional de cada mercado obxectivo para sitios de alto tráfico.
Referencias
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai