Reglas de cookies del Digital Omnibus: usos sin consentimiento y espera de 4 meses para volver a preguntar

Si gestionas un sitio web o una app en la UE, de momento no cambia nada: mantén tu banner de consentimiento actual y sigue pidiendo el consentimiento. El 21 de octubre de 2026 el Consejo de la UE acordó su posición negociadora sobre el Digital Omnibus, el paquete que reescribe partes del RGPD y de las reglas sobre cookies. El Parlamento Europeo todavía tiene que adoptar su propia posición antes de que ambas instituciones negocien un texto final. Lo que sí deja ver el texto del Consejo es hacia dónde van las reglas: una lista corta de usos que dejarían de requerir consentimiento, una espera de cuatro meses antes de volver a preguntar tras un rechazo y ninguna obligación de respetar las señales de consentimiento del navegador.

Reglas de cookies del Digital Omnibus: usos sin consentimiento y espera de 4 meses para volver a preguntar

La posición del Consejo, de un vistazo

Tema	Propuesta de la Comisión Europea (noviembre de 2025)	Posición del Consejo (octubre de 2026)
Dónde se regulan las cookies	Se trasladan al RGPD (nuevos artículos 88a y 88b)	Se mantienen en el artículo 5, apartado 3, de la Directiva ePrivacy
Regla general	Hace falta consentimiento para almacenar o leer datos en un dispositivo	Sin cambios: el consentimiento sigue siendo la regla general
Usos sin consentimiento	Una lista corta de excepciones	Una lista cerrada de seis finalidades, entre ellas la medición de audiencia propia y la medición de anuncios contextuales
Rechazo	Rechazo sencillo	Un botón de un solo clic o un medio equivalente
Volver a preguntar tras un rechazo	No antes de seis meses	No antes de cuatro meses, para la misma finalidad
Señales de consentimiento del navegador	Los sitios deben respetar señales automatizadas y legibles por máquina	Eliminado
Supervisión	Autoridades del RGPD	Autoridades del RGPD

El mandato lo acordaron los embajadores de la UE el 21 de octubre y se distribuyó como documento del Consejo 14756/26 el 22 de octubre. La nota de prensa del Consejo confirma los puntos principales: la Directiva ePrivacy sigue siendo el marco de las cookies y no haría falta consentimiento para las cookies que se usan para prestar un servicio, medir audiencias o proteger un dispositivo.

Las reglas de cookies se quedan en la Directiva ePrivacy

La Comisión quería trasladar las reglas de cookies al RGPD. El Consejo dio marcha atrás y las mantuvo en una nueva redacción del artículo 5, apartado 3, de la Directiva ePrivacy. Para los responsables de sitios web el efecto práctico es pequeño: el consentimiento sigue siendo la regla general para todo lo que almacena o lee información en el dispositivo del usuario, incluidas cookies, almacenamiento local, píxeles y fingerprinting. Hay un cambio que conviene tener en cuenta. La supervisión pasaría a las autoridades de protección de datos que ya supervisan el RGPD. En algunos Estados miembros es un regulador distinto del que hoy se ocupa de las cookies.

Seis usos que no necesitarían consentimiento

El texto del Consejo enumera seis finalidades exentas de consentimiento. Cada una tiene sus condiciones:

1. Transmisión. Transmitir una comunicación a través de una red.
2. Un servicio solicitado por el usuario. Prestar un servicio, «incluida su funcionalidad», que el usuario haya solicitado expresamente. Aquí entran la cesta de la compra, el inicio de sesión y la configuración de idioma.
3. Medición de audiencia propia. Elaborar estadísticas anónimas y agregadas sobre el uso de tu propio servicio. Los datos no pueden usarse para otra finalidad, compartirse con terceros ni combinarse con datos de terceros. Un encargado del tratamiento puede hacerlo en tu nombre.
4. Medición de audiencias de medios. Medición conforme al artículo 24 del Reglamento Europeo sobre la Libertad de los Medios de Comunicación, con los datos personales seudonimizados tras la recogida y sin seguimiento fuera del servicio medido.
5. Seguridad técnica. Mantener o restablecer la seguridad de lo estrictamente necesario para prestar el servicio.
6. Medición de anuncios contextuales. Medir la visualización y el rendimiento de anuncios elegidos únicamente a partir del contenido que aparece en pantalla durante una sola visita o una sola búsqueda. No puede implicar elaboración de perfiles ni datos sobre la actividad pasada o futura del usuario, y los datos deben seudonimizarse tras la recogida.

La lista es cerrada. La publicidad personalizada, el retargeting, la analítica de terceros que combina datos de varios sitios y la creación de perfiles de usuario siguen necesitando consentimiento. Lo mismo ocurre con la mayor parte de lo que pasa por el IAB TCF.

Una espera de cuatro meses antes de volver a preguntar

Si un usuario rechaza, el texto del Consejo establece que el proveedor «no formulará una nueva solicitud de consentimiento para la misma finalidad durante un período de al menos cuatro meses». La Comisión había propuesto seis meses. Además, rechazar debe ser posible con un botón de un solo clic o un medio equivalente, lo que coincide con lo que la mayoría de los reguladores ya esperan de un botón Reject All (Rechazar todo).

Hay dos detalles que importan en la práctica. La espera se aplica por finalidad, así que un rechazo a la analítica no impide pedir más adelante el consentimiento para otra finalidad distinta. Y se aplica a «una nueva solicitud», de modo que un sitio que cambie su banner y vuelva a preguntar a todo el mundo también estaría volviendo a preguntar a quienes rechazaron hace poco.

Desaparecen las señales de consentimiento del navegador

El artículo 88b propuesto por la Comisión habría obligado a los sitios a respetar las señales automatizadas y legibles por máquina de consentimiento y rechazo enviadas por los navegadores. El Consejo lo suprimió junto con el artículo 88a. Con el texto del Consejo, la decisión de consentimiento sigue siendo algo entre el usuario y cada sitio, y la registra la plataforma de gestión del consentimiento del sitio. Es una dirección distinta a la de California, donde la AB 566 obliga a los navegadores a ofrecer una señal de preferencia de exclusión a partir del 1 de enero de 2027.

Lo que el texto del Consejo deja sin resolver

• El TCF y los vendors. El texto no dice nada sobre las plataformas de gestión del consentimiento ni sobre el IAB TCF. No explica cómo un vendor integrado en tu página indicaría que se acoge a una de las seis excepciones, ni cómo se señalaría una excepción en un TC string. Hasta que esto se aclare, sigue recogiendo el consentimiento para los vendors del TCF como lo haces hoy. Consulta IAB TCF 2.4 y cómo revisar tus vendors.
• Qué significa «rendimiento» en la medición de anuncios contextuales. No está definido.
• Plazos. El texto da a los Estados miembros 24 meses desde la adopción para transponer las normas, pero otra disposición aplicaría los cambios de ePrivacy seis meses después de su publicación en el Diario Oficial. El trílogo tendrá que decidir cuál prevalece. La votación en la comisión del Parlamento se espera a principios de 2027, así que es poco probable que haya un texto final antes.

Qué hacer ahora

Nada de lo que recoge el texto del Consejo es ley y las reglas actuales siguen vigentes: consentimiento antes de las cookies no esenciales, rechazar tan fácil como aceptar y prueba de cada elección. Algunos pasos facilitarán la transición si el texto final se parece a este:

• Asigna cada cookie a una finalidad. Ten claro qué etiquetas entrarían en las seis excepciones y cuáles seguirían necesitando consentimiento. Un escaneo de cookies es la forma más rápida de obtener la lista.
• Guarda los rechazos con fecha, hora y finalidad. Una regla de cuatro meses solo puede aplicarse si sabes cuándo rechazó cada usuario y qué rechazó. Consent Logging de UniConsent registra cada evento de consentimiento y de rechazo, de modo que puedes demostrar cuándo se tomó cada decisión.
• Planifica los cambios del banner. En UniConsent, un cambio de Config Version vuelve a mostrar el banner a todos los usuarios recurrentes, y el Re-consent Interval (hasta 150 días) controla con qué frecuencia las actualizaciones de la lista de vendors hacen que el banner vuelva a aparecer. Si la regla de los cuatro meses llega a ser ley, estos son los ajustes que tendrías que modificar.
• No dejes todavía de pedir consentimiento para la analítica. La medición propia y agregada podría quedar exenta, pero las condiciones son estrictas y nada se aplica hasta que el texto final se adopte y entre en vigor.

UniConsent es una CMP certificada por Google y una CMP registrada en el IAB TCF (ID 68). Sigue estos cambios por ti y actualiza el banner, las finalidades y los registros cuando las reglas sean definitivas. Empieza una prueba gratuita y revisa tu configuración hoy mismo.

Preguntas frecuentes

¿Qué es el Digital Omnibus? Un paquete de propuestas de la UE publicado por la Comisión Europea en noviembre de 2025 para simplificar las normas digitales. Modifica partes del RGPD, las reglas de cookies de ePrivacy y la notificación de incidentes.

¿El Digital Omnibus ya es ley? No. El Consejo acordó su posición negociadora el 21 de octubre de 2026. El Parlamento Europeo no ha adoptado todavía la suya, y el texto final saldrá de la negociación entre ambos.

¿Van a desaparecer los banners de cookies? No. El consentimiento sigue siendo la regla general. Los sitios que solo usen cookies dentro de las seis finalidades exentas quizá no necesiten banner, pero cualquier sitio con publicidad, retargeting o analítica de terceros lo seguirá necesitando.

¿Ya se aplica la espera de cuatro meses? No. Hoy no existe un plazo de espera fijo a nivel de la UE, aunque varios reguladores ya desaconsejan volver a preguntar una y otra vez después de un rechazo.