# Directiva ePrivacy vs. RGPD: cómo se regulan realmente las cookies > La Directiva ePrivacy decide cuándo las cookies necesitan consentimiento; el RGPD, qué es un consentimiento válido. Así encajan en la práctica ambas normas de la UE. Source: https://cookiesh.eu/es/blog/eprivacy-directive-vs-gdpr Published: 2026-01-20 ## Key takeaways - El artículo 5, apartado 3, de la Directiva ePrivacy exige consentimiento para almacenar o leer información en el dispositivo del usuario, salvo que se aplique una excepción limitada. - La norma de ePrivacy sobre cookies se aplica tanto si la información es un dato personal como si no, por lo que llega más lejos que el RGPD. - El RGPD aporta la definición y las condiciones del consentimiento, y regula cualquier dato personal que se trate después de leer una cookie. - Como ePrivacy es una directiva, cada país de la UE la transpone a su legislación nacional, así que las autoridades competentes y las sanciones varían. - Una base jurídica válida del RGPD para el tratamiento posterior no puede compensar la falta de consentimiento para acceder al dispositivo. La Directiva ePrivacy y el RGPD dividen la cuestión de las cookies en dos. La Directiva ePrivacy decide si necesitas consentimiento para almacenar o leer información en el dispositivo de alguien. El RGPD define qué es un consentimiento válido y regula cualquier dato personal que trates después. Para la mayoría de las cookies de analítica y publicidad, tienes que cumplir ambas normas a la vez. ## ¿Qué dice la Directiva ePrivacy sobre las cookies? El artículo 5, apartado 3, de la Directiva ePrivacy (Directiva 2002/58/CE) solo permite almacenar información en el dispositivo de un usuario, o acceder a la información ya almacenada en él, si el usuario ha dado su consentimiento después de recibir información clara y completa. Hay dos excepciones limitadas. La primera cubre el almacenamiento o el acceso con el único fin de efectuar la transmisión de una comunicación a través de una red. La segunda cubre el almacenamiento o el acceso estrictamente necesarios para prestar un servicio que el usuario ha solicitado expresamente, como una sesión iniciada o un carrito de la compra. Todo lo demás, incluidas la analítica, la publicidad y la mayoría de las funciones de redes sociales, necesita consentimiento. La norma es deliberadamente neutral desde el punto de vista tecnológico. “Dispositivo” significa cualquier equipo terminal, desde portátiles y teléfonos hasta televisores inteligentes. “Información” abarca cookies, almacenamiento local, IndexedDB, identificadores de dispositivo y técnicas que leen características del dispositivo. Desde una modificación de 2009, la regla por defecto es el consentimiento; antes bastaba con informar a los usuarios y permitirles negarse. Y lo más importante: el artículo 5, apartado 3, se aplica tanto si la información es un dato personal como si no. Una cookie que contiene un valor aleatorio sin vínculo con ninguna persona sigue estando dentro de su ámbito. ## ¿Qué añade el RGPD a las normas sobre cookies? El RGPD aporta dos cosas: la definición de consentimiento que deben cumplir los banners de cookies y las normas aplicables a cualquier dato personal que trates una vez instalada o leída una cookie. La Directiva ePrivacy no define el consentimiento por sí misma. Toma la definición de la legislación de protección de datos de la UE, que hoy es el Reglamento General de Protección de Datos (RGPD). El artículo 4, punto 11, exige que el consentimiento sea libre, específico, informado e inequívoco, y el artículo 7 añade condiciones como la facilidad para retirarlo y la capacidad de demostrarlo. En Planet49 (C-673/17, 2019), el Tribunal de Justicia de la Unión Europea (TJUE) aplicó este estándar a las cookies y declaró que una casilla premarcada no constituye un consentimiento válido. Después del acceso al dispositivo, entra en juego el RGPD. Si tu proveedor de analítica recibe páginas vistas vinculadas a un ID de cookie, eso es un tratamiento de datos personales. Necesitas una base jurídica conforme al artículo 6, un aviso de privacidad transparente, contratos con los encargados del tratamiento, garantías para las transferencias internacionales y un procedimiento para atender las solicitudes de acceso y supresión. En el seguimiento y la elaboración de perfiles que empiezan con una cookie basada en el consentimiento, las autoridades suelen esperar que el consentimiento sea también la base jurídica de lo que viene después. Por eso [el interés legítimo rara vez sirve para las cookies](/es/blog/legitimate-interest-and-cookies). ## ¿En qué se diferencian la Directiva ePrivacy y el RGPD? Las diferencias se aprecian mejor si se comparan lado a lado. | Aspecto | Directiva ePrivacy (art. 5, apdo. 3) | RGPD | | --- | --- | --- | | Forma jurídica | Directiva, aplicada a través de leyes nacionales | Reglamento, directamente aplicable en todos los países de la UE | | Qué regula | El almacenamiento de información en el dispositivo del usuario o el acceso a ella | El tratamiento de datos personales | | ¿Requiere datos personales? | No | Sí | | Fundamentos admitidos | Consentimiento o una de dos excepciones limitadas | Seis bases jurídicas del artículo 6, entre ellas el consentimiento y el interés legítimo | | Quién supervisa el cumplimiento | La autoridad que designe cada país, a menudo, aunque no siempre, la autoridad de protección de datos | Las autoridades nacionales de protección de datos, con un mecanismo de cooperación transfronteriza | | Sanciones | Las fija la legislación nacional | Hasta 20 millones de euros o el 4 % del volumen de negocio anual global en las infracciones más graves (art. 83, apdo. 5) | ## ¿Qué norma se aplica a una cookie concreta? A menudo, ambas, una después de la otra. Piénsalo como una prueba en dos pasos: la Directiva ePrivacy regula el momento de almacenar o leer, y el RGPD regula el tratamiento de datos personales que viene después. Los casos habituales son estos: 1. **Cookie de analítica.** Instalar la cookie con el ID de cliente requiere consentimiento conforme a ePrivacy. Enviar a un proveedor de analítica las páginas vistas vinculadas a ese ID es un tratamiento de datos personales sujeto al RGPD. 2. **Cookie de sesión de usuario.** La cookie está exenta de consentimiento porque es estrictamente necesaria para un servicio que el usuario ha solicitado. Los datos de la cuenta que hay detrás siguen siendo datos personales, así que se aplica el RGPD, normalmente sobre una base como la ejecución de un contrato. 3. **Píxel publicitario.** Leer o escribir identificadores requiere consentimiento conforme a ePrivacy, y la elaboración de perfiles posterior necesita una base jurídica del RGPD, que en la práctica es el consentimiento. 4. **Tratamiento en el servidor sin acceso al dispositivo.** Si no se almacena ni se lee nada en el dispositivo, puede que no se active el artículo 5, apartado 3, pero el RGPD sigue aplicándose a datos personales como las direcciones IP. Las autoridades interpretan el “acceso” de forma amplia, así que consulta sus orientaciones antes de basarte en esto. El orden importa. Una base jurídica válida del RGPD en el segundo paso no puede subsanar la falta de consentimiento de ePrivacy en el primero. ## ¿Por qué importa la diferencia entre directiva y reglamento? Como cada país transpone la Directiva ePrivacy a su propia legislación, un mismo banner puede ser evaluado por distintas autoridades que aplican normas ligeramente diferentes. Eso influye en quién puede actuar contra ti y de qué manera. Las leyes nacionales difieren en detalles como qué autoridad supervisa las normas sobre cookies, cómo valoran las autoridades las exenciones para la analítica y durante cuánto tiempo debe recordarse un rechazo. El mecanismo de ventanilla única del RGPD, que normalmente deriva los casos transfronterizos a una única autoridad de control principal, no se extiende a las normas nacionales de ePrivacy. Por eso la autoridad francesa de protección de datos, la CNIL, pudo actuar directamente contra Google y Facebook en diciembre de 2021 y multarlos con 150 y 60 millones de euros, respectivamente, porque rechazar las cookies era más difícil que aceptarlas. Nuestro análisis de las [lecciones de las sanciones por cookies](/es/blog/cookie-enforcement-lessons) explica qué significan esas decisiones para los sitios web corrientes. La conclusión práctica: diseña según el estándar más estricto de tus mercados. El Reino Unido sigue un modelo paralelo, el RGPD del Reino Unido (UK GDPR) más las Privacy and Electronic Communications Regulations (PECR), cuyo cumplimiento supervisa la Information Commissioner's Office (ICO). Nuestra guía sobre [el RGPD del Reino Unido y PECR](/es/blog/uk-gdpr-pecr-cookies) explica en qué se diferencia el Reino Unido. ## ¿Va a sustituirse la Directiva ePrivacy? Es posible que algún día, pero planifica en función de la ley tal como está. Una propuesta de Reglamento ePrivacy destinada a sustituir la directiva se negoció durante años sin llegar a un acuerdo, y la Comisión Europea anunció en 2025 que retiraría la propuesta. Desde entonces, nuevas iniciativas de la UE para simplificar las normas digitales han vuelto a poner el consentimiento de cookies sobre la mesa. Nada de esto modifica tus obligaciones hasta que se adopte y entre en vigor, así que sigue cumpliendo el artículo 5, apartado 3, tal como lo ha transpuesto cada país, y consulta las orientaciones vigentes de tu autoridad de control antes de actuar en función de cualquier reforma anunciada. ## En resumen La Directiva ePrivacy responde a “¿necesito consentimiento para acceder al dispositivo?” y el RGPD responde a “¿qué significa el consentimiento y qué obligaciones tengo con los datos?”. Trátalas como dos puertas que hay que cruzar, y nunca dejes que una base jurídica del RGPD te convenza de prescindir del consentimiento de ePrivacy. Herramientas como Cookiesh pueden mostrar banners distintos según la región, pero sigue mereciendo la pena averiguar por tu cuenta qué ley se aplica a cada rastreador. *Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.* ## FAQ ### ¿La Directiva ePrivacy es lo mismo que la ley de cookies de la UE? En gran medida, sí. “Ley de cookies” es el nombre informal del artículo 5, apartado 3, de la Directiva ePrivacy y de las leyes nacionales que lo transponen. La directiva también regula otras cuestiones, como la confidencialidad de las comunicaciones y las comunicaciones comerciales electrónicas no solicitadas. ### ¿Se ha sustituido la Directiva ePrivacy por un Reglamento ePrivacy? No en el momento de escribir este artículo. La propuesta de Reglamento ePrivacy estuvo bloqueada durante años y la Comisión Europea anunció su retirada en 2025. Las normas de la UE sobre cookies siguen en debate, así que consulta las orientaciones vigentes de tu autoridad de control. ### ¿Se aplica la ventanilla única del RGPD a la supervisión de las cookies? No a la parte de ePrivacy. El mecanismo del RGPD que deriva los casos transfronterizos a una autoridad de control principal no cubre las normas nacionales de ePrivacy, por lo que una autoridad nacional puede actuar directamente contra las prácticas de cookies de una empresa extranjera que afecten a personas de su país. ### ¿Sigue el Reino Unido el mismo modelo? A grandes rasgos, sí. El Reino Unido aplica el RGPD del Reino Unido (UK GDPR) junto con las Privacy and Electronic Communications Regulations (PECR), y la ICO supervisa el cumplimiento de ambos. Las normas británicas han empezado a apartarse de las de la UE, así que consulta las orientaciones vigentes de la ICO. ## Sources - [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj) - [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj) - [TJUE, asunto C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17) - [ICO (UK Information Commissioner's Office)](https://ico.org.uk/)