¿La web de tu proyecto cultural usa Google Analytics, un píxel de redes sociales o un reproductor de vídeo incrustado? Si la respuesta es sí, estás utilizando cookies, y la normativa te exige cumplir dos obligaciones antes de que se activen: informar y pedir consentimiento.

No todas las cookies son iguales. Las técnicas o necesarias —las que hacen que la web funcione, recuerden tu idioma o mantengan tu carrito— están exentas: puedes usarlas sin pedir permiso. Pero las de análisis, las de personalización y, sobre todo, las de publicidad comportamental sí requieren el consentimiento previo de quien visita tu web. Por eso necesitas un sistema que pregunte antes de instalarlas.

Ese sistema es el conocido banner o aviso de cookies, y la Agencia Española de Protección de Datos es muy clara sobre cómo debe ser. En esa primera capa tienen que convivir, con la misma visibilidad, tres opciones: aceptar, rechazar y configurar. Rechazar debe ser tan fácil como aceptar —mismo nivel, botones equivalentes—, y «configurar» debe permitir elegir por finalidades (por ejemplo, aceptar las analíticas pero no las publicitarias). Hay líneas rojas claras: no valen las casillas premarcadas, seguir navegando no equivale a consentir, y no puedes bloquear el acceso a quien rechace las cookies sin ofrecer una alternativa real.

La segunda capa es tu política de cookies: una página, siempre accesible, que explica qué son las cookies, cuáles usas, con qué finalidad, si son propias o de terceros y cómo retirar el consentimiento. Y ese consentimiento no es para siempre: la AEPD recomienda renovarlo cada veinticuatro meses como máximo y permitir revocarlo con la misma facilidad con la que se dio. Todo en un lenguaje claro: frases vagas como «usamos cookies para mejorar tu experiencia» no sirven para describir publicidad comportamental.

Esto va de la mano del deber general de transparencia que vimos en «Cláusula de protección de datos: qué informar en tus formularios»: cookies y formularios son las dos puertas por las que tu web recoge datos. Y aunque la norma sea española, la lógica viaja: en Latinoamérica existen marcos equivalentes —como la LGPD en Brasil—, con el mismo principio de consentimiento informado. Si quieres revisar la guía oficial completa, está en la «Guía sobre el uso de las cookies» de la AEPD.

Porque cumplir con las cookies no es solo evitar sanciones: es demostrar a tu público que cuidas su privacidad desde el primer clic.