--- title: "Analítica y RGPD en España — la guía de la AEPD" description: "Cómo medir en España sin banner de cookies: guía de cookies de la AEPD de 2024, art. 22.2 de la LSSI-CE y la exención por arquitectura." canonical_url: "https://sealmetrics.com/es/gdpr-analytics/spain/" lang: "es" date_modified: 2026-08-27 content_type: "product" owner: "web" llm_priority: "useful" last_verified: "2026-08-27" source: https://sealmetrics.com/es/gdpr-analytics/spain/ publisher: Sealmetrics --- País — España · AEPD # Analítica en España. *Sin banner de cookies.* La guía de cookies de la AEPD de 2024 deja la medición de audiencia anónima fuera de la obligación de consentimiento. Esto es lo que exige esa excepción, en qué coincide con la CNIL y la DSK, y qué cambiaría la propuesta de Digital Omnibus. TL;DR La normativa española de cookies se apoya en el art. 22.2 de la LSSI-CE (la transposición del art. 5(3) de ePrivacy) y la interpreta la guía de cookies de la AEPD de 2024. La AEPD deja expresamente fuera del requisito de consentimiento la medición de audiencia agregada y anónima siempre que se cumplan cuatro condiciones: informes solo agregados, sin datos personales, contexto de primera parte sin seguimiento entre sitios y residencia en la UE. Sealmetrics está construido para cumplir cada una por diseño — el mismo patrón de arquitectura que cubre la exención de la CNIL en Francia y la del §25 de la TDDDG en Alemania. - **Guía de cookies de la AEPD (2024)** — excepción explícita para la medición agregada y anónima. - **Art. 22.2 de la LSSI-CE** — la transposición española de ePrivacy, en vigor desde 2009. - **Compatible con sector público** — limpio frente a Schrems II, solo UE, DPA firmado y exención por arquitectura. - **~50% de rechazo** en banners estándar — media del eCommerce B2C español. ## Las 4 condiciones de la excepción de la AEPD La guía de la AEPD es menos prescriptiva que la autoevaluación de 14 puntos de la CNIL, pero las condiciones de fondo convergen. Cuatro requisitos de arquitectura: 01 ### Medición agregada y anónima Requisito español Guía de cookies de la AEPD de 2024: las herramientas usadas únicamente para medición de audiencia anónima, sin seguimiento entre sitios, no requieren consentimiento. Sealmetrics Solo recuentos agregados de canal y conversión. Ningún identificador por visitante, ningún perfil, ningún comportamiento cruzado entre sitios. El criterio se cumple por diseño de la arquitectura, no por configuración. 02 ### Sin tratamiento de datos personales Requisito español La AEPD se alinea con el Dictamen 5/2019 del EDPB: si el tratamiento no se refiere a una persona identificada o identificable, no entra en el ámbito material del RGPD. Sealmetrics La IP no se almacena — se usa de forma transitoria en memoria y se descarta. No se guarda huella de User-Agent. No se genera identificador. Los eventos son agregados a nivel de canal desde que llegan al servidor. 03 ### Solo contexto de primera parte Requisito español El art. 22.2 de la LSSI-CE regula el uso de cookies. La medición anónima que se mantiene en primera parte y no habilita seguimiento entre sitios queda fuera del requisito de consentimiento. Sealmetrics El píxel corre sobre un CNAME bajo el dominio del propio cliente. Primera parte, del lado servidor. Sin identificador de tercera parte y sin ruta de datos entre sitios. 04 ### Residencia en la UE Requisito español Las autoridades españolas insisten en el tratamiento exclusivamente en la UE para dejar fuera del análisis las transferencias y el problema Schrems II. Sealmetrics Tratamiento exclusivamente en Dublín, Irlanda — dentro de la zona de adecuación del RGPD. No se produce transferencia a tercer país. ## Sector público y sectores regulados La contratación pública española — administraciones públicas, universidades, hospitales, gobiernos autonómicos — aplica reglas más estrictas que un eCommerce comercial, y la exención por arquitectura encaja limpiamente con esos requisitos: - Limpio frente a Schrems II — tratamiento en Dublín, sin subencargados en EE.UU. - DPA firmado bajo el art. 28 del RGPD, disponible precumplimentado para contrafirma. - Paquete TPSR con flujos de datos, conservación, cifrado y control de accesos. - Postura ENS / ISO documentada (no estamos certificados en ISO 27001 ni SOC 2 a día de hoy — la hoja de ruta y los controles que sí operamos están documentados por completo). - Base jurídica del art. 6(1)(f) más la excepción del art. 22.2 de la LSSI-CE — sin banner para la capa de analítica. ## Fuentes primarias españolas - [AEPD — Guía sobre el uso de cookies (2024, PDF)](https://www.aepd.es/guias/guia-cookies.pdf) - [LSSI-CE — Ley 34/2002, texto consolidado en el BOE](https://www.boe.es/eli/es/l/2002/07/11/34/con) - [AEPD — Agencia Española de Protección de Datos](https://www.aepd.es/) ## Preguntas frecuentes de DPO ¿La exención de la AEPD significa que no hace falta ningún banner? Significa que no hace falta banner para la capa de analítica en concreto, siempre que esa analítica cumpla las condiciones: agregada, anónima, sin seguimiento entre sitios y sin datos personales. El resto de herramientas de tu web — píxeles de Google Ads, píxeles de Meta, plataformas de test A/B que escriben cookies — siguen necesitando consentimiento. Lo que hacen muchos eCommerce españoles es reducir el alcance del banner a esas herramientas concretas en lugar de mantener un banner que lo cubre todo. ¿Qué dice exactamente la LSSI-CE sobre cookies? El artículo 22.2 de la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE) es la transposición española del art. 5(3) de ePrivacy. Exige consentimiento informado antes de almacenar información en el equipo terminal del usuario o acceder a ella. La AEPD ha ido publicando guías — la más reciente, la guía de cookies de 2024 — que describen cuándo aplica la excepción, y la medición de audiencia agregada está incluida de forma explícita. ¿Sirve para webs del sector público español? Sí. La contratación pública en España suele exigir tratamiento limpio frente a Schrems II (sin transferencia a EE.UU.), un DPA firmado bajo el art. 28 del RGPD, y o bien consentimiento explícito o bien una exención. Sealmetrics cubre las tres cosas: tratamiento solo en la UE desde Dublín, un DPA precumplimentado y la exención por arquitectura bajo el art. 22.2 de la LSSI-CE. Varios operadores del sector público español lo usan por ese motivo. Conviene decir también lo que no tenemos: no estamos certificados en ISO 27001 ni SOC 2 a día de hoy, y documentamos por escrito los controles que sí operamos. ¿Qué tiene que seguir diciendo la política de privacidad? La política de privacidad debe mencionar la herramienta de analítica, su finalidad, las categorías de datos tratadas (agregados a nivel de canal), el plazo de conservación y la base jurídica (interés legítimo del art. 6(1)(f), junto con la excepción del art. 22.2 de la LSSI-CE). La obligación de transparencia de los arts. 13 y 14 del RGPD aplica igual, se recoja consentimiento o no. En el paquete TPSR va una plantilla. ¿La posición de la AEPD coincide con la de la CNIL? En la exención en sí, sí. Las dos autoridades aceptan la medición de audiencia agregada y anónima sin consentimiento siempre que la arquitectura cumpla condiciones concretas. La guía de la AEPD es menos prescriptiva que la autoevaluación de 14 puntos de la CNIL, pero converge en el mismo resultado: sin identificador en el dispositivo, sin seguimiento entre sitios, sin datos personales y con residencia en la UE. La diferencia práctica es que la CNIL mantiene una lista de soluciones exentas nominadas y la AEPD no. ¿Cambiaría algo el Digital Omnibus europeo? De momento no ha cambiado nada: la COM(2025) 837 es una propuesta de la Comisión de 19 de noviembre de 2025, todavía en procedimiento legislativo ordinario, con adopción realista en 2027–2028 y enmiendas sustantivas probables. Tal y como está redactada, eximiría de consentimiento la medición de audiencia agregada y de primera parte para uso propio del responsable en toda la UE, mediante un nuevo artículo 88a del RGPD, que convivirá con la posición de la AEPD en lugar de sustituirla. Hasta que haya texto adoptado, lo que aplica en España es el art. 22.2 de la LSSI-CE y la guía de cookies de la AEPD. ¿Y si mi herramienta actual solo desactiva las cookies? Desactivar la cookie no es lo mismo que dejar de leer el dispositivo. Varias herramientas sustituyen la cookie por un hash derivado de IP, sistema operativo, navegador e idioma para seguir reconociendo visitas, y las Directrices 2/2023 del EDPB sitúan esas técnicas sin cookie dentro del ámbito del art. 5(3) de ePrivacy igualmente. La pregunta que hay que hacerle a tu proveedor no es si usa cookies, sino si escribe o lee algo en el equipo del visitante. Si la respuesta es que sí, la excepción del art. 22.2 hay que argumentarla; si es que no, no llega a activarse. ## Para seguir leyendo [Pilar ### Analítica sin consentimiento El marco jurídico completo — RGPD, ePrivacy y seis autoridades europeas alineadas.](https://sealmetrics.com/es/consentless-analytics/)[Blog ### FAQ España — 7 respuestas directas Si hace falta banner, si GA4 es legal, multas de la LSSI — lo que preguntan las tiendas online.](https://sealmetrics.com/es/blog/gdpr-analytics-spain-faq/)[Herramienta ### Análisis de brecha regulatoria Audita tu stack requisito a requisito y ve dónde deja de cumplir.](https://sealmetrics.com/es/reg-gap-analysis/)[Comparativa ### Sealmetrics vs Matomo Qué cuesta de verdad una configuración exenta: UTMs, eCommerce y dato a nivel de visita.](https://sealmetrics.com/es/vs/matomo/)[Legal ### Contrato de encargo (DPA) Términos del art. 28, garantías de medición de audiencia, tratamiento solo en la UE y subencargados.](https://sealmetrics.com/es/dpa/) ## Una *revisión AEPD*. Resuelta. Reserva con el founder. Trae a tu DPO. Resolvemos las condiciones de la AEPD en directo y enviamos DPA + TPSR en la llamada. [Reserva una demo →](https://sealmetrics.com/es/demo/)[Prueba de 14 días](https://my.sealmetrics.com/register) Hecho por un founder · soportado por un founder · alojado en UE por diseño