Auditoría de cookies y RGPD para webs españolas · COOKINON

Comprueba si una web cumple la Guía de Cookies de la AEPD. Abre la web de verdad, pulsa rechazar y mira qué pasa.

Cookie consent checker for Spanish websites — AEPD & GDPR compliance audit.

---

La mayoría de las webs tienen banner de cookies. Muy pocas lo tienen bien.

Y lo peor es que su dueño no lo sabe: los textos legales están impecables, el aviso se ve perfecto... y Google Analytics ya ha cargado antes de que nadie acepte nada.

---

Por qué esta auditoría encuentra lo que otras no

Los comprobadores de cookies leen el código de la página. Éste la abre con un navegador real y mira qué cookies aparecen en tres momentos:

1. Al entrar, sin tocar nada
   2. Después de pulsar RECHAZAR
   3. Después de pulsar ACEPTAR

La segunda es la que importa. Un banner puede estar perfecto en el código y no bloquear absolutamente nada al ejecutarse. Eso solo se descubre pulsando el botón.

Caso real de un periódico nacional español: 21 cookies antes de aceptar. Y 23 después de pulsar rechazar. Más que antes.

---

Las 37 comprobaciones

Antes de tocar nada (donde falla la mayoría)

• ¿Se instalan cookies antes del consentimiento?
• ¿Qué herramientas cargan y a cuáles se les envían datos ya? (Google Analytics, píxel de Meta, TikTok, Hotjar, chats...)
• ¿Hay cookies de terceros, y de qué dominios?
• ¿Se transfieren datos fuera de la Unión Europea?

El banner de cookies

• ¿Existe el aviso?
• ¿Está el botón de rechazar en la primera capa?
• ¿Rechazar cuesta los mismos clics que aceptar?
• ¿Los dos botones tienen el mismo peso visual? (se miden tamaño y color: un "Aceptar" grande y de color junto a un "Rechazar" gris es un patrón engañoso)
• ¿Hay consentimiento granular por categorías desde el primer banner?
• ¿Casillas premarcadas?
• ¿Cerrar con la X instala cookies?
• ¿Se consiente al hacer scroll?
• ¿Hay cookie wall?

Cuando el usuario decide

• Si rechazo, ¿de verdad no se instala nada?
• Si acepto solo analítica, ¿se respeta?
• ¿Se puede revocar el consentimiento después?
• ¿Cuánto dura el consentimiento? (máximo 24 meses)

La política de cookies

• ¿Existe y se llega a ella desde el banner?
• ¿El inventario de cookies está completo? (nombre, proveedor, finalidad y duración)
• ¿Lo que dice la política coincide con lo que la web hace de verdad?
• ¿Está identificado el responsable? ¿Están los derechos? ¿Hay aviso legal y política de privacidad?

Y lo que casi nadie mira

• ¿Se guarda prueba de cada consentimiento?
• ¿Google Consent Mode v2 está bien configurado?

El RGPD, más allá de las cookies

• ¿Los formularios informan antes de recoger los datos? (la AEPD exige información por capas, no solo un enlace)
• ¿La casilla de consentimiento está sin marcar? (una casilla ya marcada no vale: lo dice la AEPD expresamente)
• ¿Usa el "he leído y acepto" como única fórmula? (práctica que la AEPD señala como a abandonar)
• ¿Los formularios van por conexión segura?

La política de privacidad, punto por punto (art. 13 RGPD)

• ¿Identifica al responsable con su NIF?
• ¿Dice para qué trata los datos?
• ¿Dice con qué base jurídica? (lo que más se olvida)
• ¿Dice a quién los cede?
• ¿Dice cuánto tiempo los guarda?
• ¿Informa del derecho a reclamar ante la AEPD?
• ¿Está al día, o menciona la Ley Orgánica 15/1999? (si la menciona, lleva sin tocarse desde antes de 2018)

---

Qué devuelve

Semáforo	ROJO · ÁMBAR · VERDE
Nota	de 0 a 100
Riesgo en euros	horquilla orientativa, con su norma
El plan de arreglo	qué tocar primero, con el tiempo real de cada cosa
Con quién habla tu web	cuántas empresas reciben datos antes del consentimiento
Qué leyes te obligan	y cuáles entran en vigor próximamente
Tu sector	cómo estás frente a otras webs españolas como la tuya

---

Para quién es

Agencias y freelance web. Llevas 20 o 40 webs de clientes y respondes de todas. Pasas la auditoría a todas de golpe y sabes cuáles pueden costarte dinero mañana.

Consultoras de protección de datos y despachos. Necesitas la prueba con fecha, no una opinión.

No es para el dueño de una web suelta. Es para quien lleva muchas.

---

Lo que te puede costar no cumplir

Instalar cookies sin consentimiento (LSSI, leve)	hasta 40.000 €
Infracción grave	hasta 300.000 €
Si además hay tratamiento ilícito (RGPD)	hasta 20 M € o el 4%
Multa coercitiva por no obedecer una orden	100.000 € al día

La AEPD sancionó a Vueling con 30.000 € por no permitir rechazar y cargar cookies de seguimiento sin consentimiento. Ese caso sentó precedente.

Y no es teoría: la Agencia hace campañas temáticas dirigidas a cookies, y las denuncias de usuarios son un detonante habitual de inspección.

---

Qué leyes cubre

• Guía sobre el uso de las cookies de la AEPD (2023, exigible desde enero de 2024)
• LSSI-CE art. 22.2 — consentimiento para instalar cookies
• LSSI-CE art. 10 — aviso legal e identificación del titular
• RGPD arts. 13 a 22 — información, derechos y prueba del consentimiento
• Directrices 03/2022 del Comité Europeo sobre patrones engañosos
• Y te avisa de lo que viene: accesibilidad (Ley 11/2023) y VeriFactu

Cada comprobación lleva escrito de dónde sale. Lo que no se puede justificar con una norma, no se marca.

---

Precios

Se paga por lo que se entrega:

Una web auditada	0,40
Auditoría del RGPD	0,70
Revisar la política punto por punto	0,80
El plan de arreglo	1,90
Qué leyes te obligan y qué viene	0,90
Dónde estás perdiendo dinero	1,20
El informe con tu marca	0,60
Volver a auditar y comparar	0,30
Vigilar una web un mes	0,15
El expediente para una inspección	2,90
El informe de toda tu cartera de webs	1,50
Borrador de respuesta a un requerimiento	3,90

Si una web no se ha podido auditar, no se cobra por ella.

---

Lo que NO hace

• No entra en zonas privadas ni fuerza nada
• No guarda datos de los visitantes de la web auditada
• No dictamina si hay infracción: eso lo decide la AEPD
• No es asesoramiento jurídico
• Si una web usa un sistema anti-robots y no deja verla, lo dice y no cobra por ella

Audita solo webs que gestiones tú o para las que tengas permiso.

---

Cómo se usa

{
  "webs": ["miempresa.es", "clientedelaagencia.com"],
  "plan_de_arreglo": true,
  "que_me_viene_encima": true,
  "donde_pierdo_dinero": true,
  "auditar_rgpd": true,
  "marca": "Tu Agencia",
  "tope_gasto": 20
}

Cada web tarda unos dos minutos, porque se abre seis veces. Pon un tope de gasto la primera vez: te dice lo que va a costar antes de empezar y se para si se pasa.

---

Preguntas frecuentes

¿Sirve para webs de WordPress, Shopify o PrestaShop? Sí. Da igual con qué esté hecha: se mira lo que hace al abrirse, no cómo está construida.

¿Y si mi web ya tiene un plugin de cookies? Precisamente por eso. La mayoría de los plugins de cookies son de fuera y no cumplen el criterio español de la AEPD — rechazar en la primera capa, mismos clics, mismo peso visual. Tener plugin no es cumplir.

¿Sustituye a un abogado? No. Señala lo que ha visto y qué exige cada norma. Lo que eso signifique para tu caso lo dice tu abogado.

¿Puedo auditar webs de mis clientes? Sí, si las gestionas tú o tienes su permiso.

---

Auditoría de cookies · RGPD · LSSI · AEPD · cumplimiento normativo web España · cookie consent checker · GDPR compliance audit · cookie banner scanner