Cookies y RGPD: jurisprudencia del TJUE y aplicación en España
Análisis de la jurisprudencia del TJUE sobre cookies y consentimiento: sentencias Planet49, Orange Romania, IAB TCF, y su aplicación por la AEPD en España.
# Cookies y RGPD: Jurisprudencia del TJUE
El tsunami jurisprudencial de 2019-2025
La jurisprudencia del Tribunal de Justicia de la UE ha transformado radicalmente el régimen jurídico de las cookies. Las sentencias clave son:
STJUE Planet49 (1/10/2019)
Primera gran sentencia sobre cookies. El TJUE estableció que:
- Las casillas premarcadas no constituyen consentimiento válido bajo el RGPD
- El consentimiento debe ser activo (opt-in)
- La información sobre el plazo de vigencia de las cookies es obligatoria
STJUE Orange Romania (11/11/2020)
Caso sobre contratos telefónicos con cláusulas de consentimiento al tratamiento de datos. El TJUE aclaró que el consentimiento no puede ser condición para la prestación del servicio cuando el tratamiento no es necesario para dicho servicio. Refuerza la noción de consentimiento libre.
CJUE sobre TCF de IAB Europe (2/3/2023)
La herramienta de gestión de consentimiento más utilizada en publicidad programática fue declarada no conforme al RGPD. El TJUE consideró que el Transparency and Consent Framework generaba un tratamiento opaco e incontrolable por el usuario. Impacto masivo en el sector adtech.
Aplicación por la AEPD
La Agencia Española de Protección de Datos ha adaptado su Guía sobre el uso de cookies (actualización 2023) a esta jurisprudencia. Puntos clave:
- Cookie walls (acceso condicionado a aceptar cookies): admisibles solo si existe alternativa de acceso sin tracking
- Nivel de granularidad: debe poder rechazarse categoría por categoría
- Botón de rechazar en primer nivel obligatorio (no puede estar a un clic de distancia del de aceptar)
- Cookies analíticas propias: pueden tener tratamiento distinto si el proveedor es el propio titular
Infracciones y sanciones en España
La AEPD ha impuesto sanciones significativas:
- Vueling: 30.000 € por cookie wall sin alternativa
- RTVE: 200.000 € (reducida a 120.000 €) por cookies analíticas sin consentimiento
- Correos: 150.000 € por uso de datos de navegación sin base jurídica suficiente
Tendencias 2025-2026
La Comisión Europea lleva trabajando desde 2021 en el Reglamento ePrivacy que sustituirá a la Directiva 2002/58/CE (Directiva ePrivacy). Su entrada en vigor (aplazada repetidamente) homogeneizará el régimen de cookies en la UE.
Audita el cumplimiento de cookies de tu despacho con Lexiel →
Prueba Lexiel gratis · 28 días
Usa el código LEX-BLOG para obtener el doble del período de prueba estándar. Cancela cuando quieras, sin compromiso.