Analítica en España. Sin banner de cookies.

Sector público y sectores regulados

La contratación pública española — administraciones públicas, universidades, hospitales, gobiernos autonómicos — aplica reglas más estrictas que un eCommerce comercial, y la exención por arquitectura encaja limpiamente con esos requisitos:

• —Limpio frente a Schrems II — tratamiento en Dublín, sin subencargados en EE.UU.
• —DPA firmado bajo el art. 28 del RGPD, disponible precumplimentado para contrafirma.
• —Paquete TPSR con flujos de datos, conservación, cifrado y control de accesos.
• —Postura ENS / ISO documentada (no estamos certificados en ISO 27001 ni SOC 2 a día de hoy — la hoja de ruta y los controles que sí operamos están documentados por completo).
• —Base jurídica del art. 6(1)(f) más la excepción del art. 22.2 de la LSSI-CE — sin banner para la capa de analítica.

Preguntas frecuentes de DPO

¿La exención de la AEPD significa que no hace falta ningún banner?

Significa que no hace falta banner para la capa de analítica en concreto, siempre que esa analítica cumpla las condiciones: agregada, anónima, sin seguimiento entre sitios y sin datos personales. El resto de herramientas de tu web — píxeles de Google Ads, píxeles de Meta, plataformas de test A/B que escriben cookies — siguen necesitando consentimiento. Lo que hacen muchos eCommerce españoles es reducir el alcance del banner a esas herramientas concretas en lugar de mantener un banner que lo cubre todo.

¿Qué dice exactamente la LSSI-CE sobre cookies?

El artículo 22.2 de la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE) es la transposición española del art. 5(3) de ePrivacy. Exige consentimiento informado antes de almacenar información en el equipo terminal del usuario o acceder a ella. La AEPD ha ido publicando guías — la más reciente, la guía de cookies de 2024 — que describen cuándo aplica la excepción, y la medición de audiencia agregada está incluida de forma explícita.

¿Sirve para webs del sector público español?

Sí. La contratación pública en España suele exigir tratamiento limpio frente a Schrems II (sin transferencia a EE.UU.), un DPA firmado bajo el art. 28 del RGPD, y o bien consentimiento explícito o bien una exención. Sealmetrics cubre las tres cosas: tratamiento solo en la UE desde Dublín, un DPA precumplimentado y la exención por arquitectura bajo el art. 22.2 de la LSSI-CE. Varios operadores del sector público español lo usan por ese motivo. Conviene decir también lo que no tenemos: no estamos certificados en ISO 27001 ni SOC 2 a día de hoy, y documentamos por escrito los controles que sí operamos.

¿Qué tiene que seguir diciendo la política de privacidad?

La política de privacidad debe mencionar la herramienta de analítica, su finalidad, las categorías de datos tratadas (agregados a nivel de canal), el plazo de conservación y la base jurídica (interés legítimo del art. 6(1)(f), junto con la excepción del art. 22.2 de la LSSI-CE). La obligación de transparencia de los arts. 13 y 14 del RGPD aplica igual, se recoja consentimiento o no. En el paquete TPSR va una plantilla.

¿La posición de la AEPD coincide con la de la CNIL?

En la exención en sí, sí. Las dos autoridades aceptan la medición de audiencia agregada y anónima sin consentimiento siempre que la arquitectura cumpla condiciones concretas. La guía de la AEPD es menos prescriptiva que la autoevaluación de 14 puntos de la CNIL, pero converge en el mismo resultado: sin identificador en el dispositivo, sin seguimiento entre sitios, sin datos personales y con residencia en la UE. La diferencia práctica es que la CNIL mantiene una lista de soluciones exentas nominadas y la AEPD no.

¿Cambiaría algo el Digital Omnibus europeo?

De momento no ha cambiado nada: la COM(2025) 837 es una propuesta de la Comisión de 19 de noviembre de 2025, todavía en procedimiento legislativo ordinario, con adopción realista en 2027–2028 y enmiendas sustantivas probables. Tal y como está redactada, eximiría de consentimiento la medición de audiencia agregada y de primera parte para uso propio del responsable en toda la UE, mediante un nuevo artículo 88a del RGPD, que convivirá con la posición de la AEPD en lugar de sustituirla. Hasta que haya texto adoptado, lo que aplica en España es el art. 22.2 de la LSSI-CE y la guía de cookies de la AEPD.

¿Y si mi herramienta actual solo desactiva las cookies?

Desactivar la cookie no es lo mismo que dejar de leer el dispositivo. Varias herramientas sustituyen la cookie por un hash derivado de IP, sistema operativo, navegador e idioma para seguir reconociendo visitas, y las Directrices 2/2023 del EDPB sitúan esas técnicas sin cookie dentro del ámbito del art. 5(3) de ePrivacy igualmente. La pregunta que hay que hacerle a tu proveedor no es si usa cookies, sino si escribe o lee algo en el equipo del visitante. Si la respuesta es que sí, la excepción del art. 22.2 hay que argumentarla; si es que no, no llega a activarse.