Qué exige exactamente
La norma española que manda aquí es el artículo 22.2 de la LSSI, y el estándar de qué cuenta como consentimiento lo pone el RGPD. Juntos piden tres cosas: que la persona sepa qué se va a instalar y para qué, que lo acepte con un acto claro, y que pueda decir que no con la misma facilidad.
De ahí salen los errores que se ven a diario. Un banner con «Aceptar» en un botón grande y «Rechazar» escondido detrás de «Configurar» no cumple, porque no es igual de fácil. Cargar la analítica antes de que la persona pulse nada no cumple, porque ya la instalaste. Y la casilla premarcada no cumple desde hace años.
Las cookies técnicas — la sesión, el carrito, el idioma elegido, el balanceo de carga — no necesitan consentimiento. Son las que hacen falta para que funcione lo que el usuario ha pedido.
La salida que casi nadie cuenta
La obligación no nace de medir: nace de almacenar o leer información en el dispositivo de la persona. Si usas una herramienta de analítica que no instala cookies ni crea un identificador persistente, no hay nada que consentir y el banner no hace falta.
Para un negocio pequeño esto suele ser mejor negocio en todos los sentidos. Te ahorras el banner, que molesta y que empeora la velocidad y el CLS. Te ahorras la carpeta de cumplimiento. Y mides mejor, porque no pierdes a toda la gente que rechaza — y rechaza mucha.
Lo que pierdes es el remarketing y los informes demográficos. Si tu negocio no vive de la publicidad de pago, probablemente no los estabas usando de todas formas.
Si necesitas cookies de verdad
Hay casos en que sí hacen falta: campañas de pago con seguimiento de conversión, un chat de terceros, vídeos incrustados de una plataforma. Entonces el banner es obligatorio y conviene hacerlo bien a la primera.
Lo mínimo es: dos botones igual de visibles en la primera capa, una segunda capa por categorías donde se pueda aceptar unas y otras no, nada que se cargue antes de la decisión, un registro de qué consintió cada persona y cuándo, y un enlace permanente para cambiar de opinión.
Y conviene mirar la guía de cookies que publica la Agencia Española de Protección de Datos antes de dar por bueno un plugin: varios de los más populares traen configuraciones por defecto que no cumplen el criterio español, aunque cumplan el de otros países.