El consentimiento de cookies se está reescribiendo: qué cambia el Digital Omnibus
El banner de cookies es la pieza de interfaz más odiada de Europa. Además, ocho años después, sigue siendo jurídicamente frágil en buena parte de los sitios. Bruselas ha decidido por fin abordar ambos problemas a la vez, y el vehículo es el paquete Digital Omnibus propuesto el 19 de noviembre de 2025.
Este artículo cubre qué contiene realmente la propuesta, qué es derecho hoy y qué cambiaríamos y qué no en una implementación de consentimiento ahora mismo. A agosto de 2026 el expediente sigue en trílogos, así que parte de esto se moverá.
Cómo llegamos aquí
El consentimiento de cookies nunca vivió en el RGPD. Vive en el artículo 5, apartado 3, de la Directiva ePrivacy de 2002, modificada en 2009, que dice que almacenar información en el equipo terminal de un usuario, o acceder a ella, requiere consentimiento salvo que sea estrictamente necesario para un servicio solicitado por el usuario.
Esa directiva debía sustituirse por un Reglamento ePrivacy. La propuesta quedó bloqueada en el Consejo durante ocho años y se retiró formalmente el 11 de febrero de 2025. Nos quedamos con una directiva de 2002, transpuesta de veintisiete formas ligeramente distintas, vigilando una web que no existía cuando se escribió.
El resultado es el desorden que todos reconocen: banners que difieren por país, consentimientos técnicamente inválidos en un gran número de sitios, y usuarios que pulsan aceptar por reflejo porque rechazar lleva más tiempo.
Qué es exigible hoy
Antes de la propuesta, conviene ser claro sobre el estado actual, porque muchos equipos creen que su banner está bien y no lo está.
La ejecución ha sido constante y concreta. En septiembre de 2025 la autoridad francesa multó el mismo día a Google con 325 millones de euros y a Shein con 150 millones. Los hallazgos fueron mecánicos y no filosóficos: se depositaban cookies antes de que apareciera el banner, y la opción de rechazo no rechazaba de forma fiable.
Las reglas que los reguladores aplican de verdad:
Nada no esencial antes de que el usuario actúe. Ni la etiqueta de analítica, ni el píxel, ni el widget de chat, ni la fuente de terceros. Si se dispara al cargar la página, da igual lo que diga el banner.
Rechazar debe igualar a aceptar. Misma capa, mismo peso visual, mismo número de clics. Convertir el rechazo en un viaje de dos pasos por un panel de preferencias mientras aceptar es un botón se trata como patrón oscuro que invalida el consentimiento.
El consentimiento es granular. Un único interruptor que agrupe analítica, publicidad y personalización no es consentimiento específico.
La retirada tiene que ser tan fácil como la concesión. Un control accesible de forma permanente, no un correo a soporte.
El consentimiento caduca. La mayoría de las autoridades manejan entre seis y trece meses antes de volver a preguntar.
El modelo pagar o consentir es estrecho. El Dictamen 08/2024 del Comité Europeo de Protección de Datos señala que las grandes plataformas generalmente no pueden presentar una elección binaria entre aceptar rastreo y pagar. Se espera una alternativa gratuita genuina sin publicidad conductual.
Si tu banner falla en cualquiera de los dos primeros puntos, arregla eso antes de preocuparte por la reforma. Son los que generan multas hoy.
Qué propone el Digital Omnibus
El movimiento estructural central es sacar las reglas sobre equipos terminales de la vieja directiva y ponerlas en el propio RGPD, mediante dos artículos nuevos.
Artículo 88a: consentimiento para el acceso a equipos terminales
Sustituye al artículo 5, apartado 3, de la Directiva ePrivacy y, es importante, amplía el conjunto de finalidades que no requieren consentimiento. La exención actual para lo estrictamente necesario es tan estrecha que incluso una medición básica de audiencia suele requerir banner. La propuesta amplía las exenciones hacia seguridad, medición agregada de audiencia y mantenimiento de la integridad del servicio.
Dos cambios operativos concentran la atención:
- Aceptación o rechazo con un clic. La elección debe poder presentarse en una acción, en ambos sentidos.
- Un periodo de enfriamiento. Si un usuario rechaza, no se supone que se le vuelva a preguntar durante seis meses. Solo eso eliminaría gran parte de la fatiga de banners.
Artículo 88b: señales de consentimiento legibles por máquina
Este es el más interesante para ingeniería. Haría jurídicamente vinculantes para los responsables las señales de consentimiento a nivel de navegador o de sistema. Si un usuario expresa una preferencia una vez, en el navegador, los sitios tendrían que respetarla en lugar de volver a preguntar.
Una versión anterior del paquete incluía un mecanismo de navegador más fuerte que se cayó durante la negociación. Lo que sobrevive es el principio de que las señales automatizadas cuentan.
Otros puntos que conviene conocer
El paquete también propone mover el plazo de notificación de brechas de datos personales de 72 a 96 horas, y ajusta varias definiciones sobre datos seudonimizados y entrenamiento de IA. Eso queda fuera de este artículo, pero viaja en el mismo vehículo, lo que en parte explica que el expediente sea disputado.
Calendario, y por qué no conviene planificar sobre él aún
El panorama realista a agosto de 2026:
- La propuesta está en trílogo entre Parlamento, Consejo y Comisión.
- Se espera una votación final más adelante en 2026, aunque los calendarios ya han resbalado antes.
- El artículo 88a se aplicaría unos seis meses después de la entrada en vigor.
- El artículo 88b se aplicaría en unos 24 meses.
La fecha plausible más temprana para las reglas de un clic y enfriamiento está por tanto en algún punto de 2027, y las obligaciones sobre señales del navegador en 2028. Quien te diga que el banner de cookies muere este año te está vendiendo algo.
Qué cambiaríamos ahora y qué no
La reforma no es derecho, pero la dirección es lo bastante estable para informar la arquitectura. Así asesoramos a nuestros clientes.
Hacer esto ahora
Arreglar la mecánica. Rechazar tan fácil como aceptar, nada que se dispare antes de la interacción, categorías granulares, retirada funcional. Es el derecho vigente y ahí están las multas.
Separar el estado de consentimiento de la interfaz de consentimiento. Mantén un servicio de consentimiento que sea dueño del estado, lo exponga a la aplicación y guarde el registro con una referencia de versión. Entonces el banner pasa a ser una capa de presentación reemplazable. Cuando cambien las reglas, cambias la interfaz y conservas la fontanería.
Guardar bien los registros de consentimiento. Marca de tiempo, estado por categoría, identificador de la versión del texto del banner, mecanismo usado y origen de la decisión. Sin la versión del texto no puedes probar a qué accedió realmente el usuario.
Empezar a escuchar señales. Global Privacy Control ya es jurídicamente relevante en varias jurisdicciones y cuesta muy poco respetarlo. Leerlo ahora convierte el artículo 88b, si llega, en un cambio de configuración y no en un proyecto.
Auditar tus etiquetas de verdad. No en la interfaz del gestor de etiquetas, sino en el navegador, en una página real, con un perfil limpio. Cuenta las peticiones antes del consentimiento. Suelen ser más de las que el equipo espera.
No hacer esto todavía
No elimines el consentimiento granular asumiendo que las exenciones se ampliarán. Si el texto final se estrecha, tendrás que reconstruirlo.
No reescribas tu aviso de privacidad alrededor de números de artículos en borrador.
No quites el banner para la medición de audiencia. La exención ampliada es una propuesta, no un permiso.
No te comprometas con un proceso de 96 horas. Sigue operando a 72.
La pregunta de diseño más amplia
Hay un cambio de fondo que conviene nombrar. Los reguladores han pasado de preguntar si tienes consentimiento a preguntar cómo lo obtuviste. La mecánica de la interfaz es hoy la superficie de ejecución. Por eso los casos de banners giran sobre la colocación de botones y el número de clics y no sobre la redacción de una política.
Esa tendencia continúa más allá del Digital Omnibus. La Digital Fairness Act, prevista como propuesta a finales de 2026, apunta directamente a patrones oscuros, interfaces manipuladoras, precios personalizados y diseño adictivo. Su aplicación es realistamente 2028 o más tarde, pero indica qué patrones tienen fecha de caducidad.
Si tus números de crecimiento dependen de una interfaz confusa, eso ahora es un riesgo de cumplimiento con fecha, no una optimización astuta.
Una nota sobre la analítica
Buena parte del problema del banner es autoinfligida. Los equipos cargan una plataforma de analítica de terceros que requiere consentimiento, luego pierden un tercio de sus datos por los rechazos, y después intentan sortearlo con diseño.
La analítica autoalojada y respetuosa con la privacidad puede cambiar el cálculo, porque una medición que se queda en tu propia infraestructura y no construye perfiles entre sitios tiene un argumento mucho más fuerte para la exención, y encajaría cómodamente en las exenciones ampliadas que propone el Omnibus. Describimos una opción en nuestra guía para montar Matomo, y la misma lógica vale para la automatización de marketing autoalojada.
No es un truco de cumplimiento. Es una reducción real de lo que tienes que justificar.
Dónde encaja esto en el conjunto
El consentimiento de cookies es una pieza de una construcción normativa mucho mayor. El mapa completo de cumplimiento digital de la UE 2026 cubre el resto, y la guía de RGPD orientada a ingeniería cubre la capa de debajo.
Si quieres que revisemos tu implementación de consentimiento frente a lo que los reguladores aplican de verdad, o reconstruirla para que el próximo cambio normativo sea una configuración y no una reescritura, escribe a office@c9group.dev.
Construimos sistemas, no damos asesoramiento jurídico, y la decisión final sobre interpretación corresponde a tus abogados.