«Rechazar todo» en la primera capa: lo que las decisiones de la CNIL de 2025 cambiaron para todos los banners

Lo que constató la CNIL

El 1 de septiembre de 2025 la CNIL multó con 150 millones de euros a la filial irlandesa que gestiona shein.com. La decisión es inusualmente concreta sobre la mecánica. El primer banner ofrecía «Cookie settings», «Reject all» y «Accept», pero no decía nada sobre la finalidad publicitaria de las cookies. Peor aún, cuando un visitante pulsaba Reject all, o retiraba después el consentimiento, se seguían escribiendo cookies nuevas y las existentes se seguían leyendo. La segunda capa, a la que se llegaba por «Cookie settings», no nombraba a los terceros que pondrían cookies. Tres fallos separados, y el botón de rechazo fue el que salió en los titulares: no hacía lo que decía.

Dos días después la CNIL publicó su decisión sobre Google: 200 millones de euros para Google LLC y 125 millones para Google Ireland, 325 millones en total. La parte de cookies de esa decisión trata de la asimetría. En el flujo de creación de cuenta, hasta octubre de 2023, una persona que elegía «personalización exprés» necesitaba seis clics para rechazar las cookies de publicidad personalizada y dos para aceptarlas. La redacción de la CNIL es lo importante: ese desequilibrio comprometía el carácter libre del consentimiento. Un consentimiento que cuesta más rechazar que dar no es libre, y un consentimiento que no es libre no es consentimiento.

Ninguna de las dos decisiones inventó una regla nueva. Ambas aplicaron el artículo 5(3) de la Directiva ePrivacy y la definición de consentimiento del RGPD a una interfaz concreta, y ambas merecen leerse como ingeniero más que como abogado, porque cada hallazgo se corresponde con una línea de código o una línea de texto.

La directriz detrás de las multas

El Comité Europeo de Protección de Datos adoptó las Directrices 03/2022 sobre patrones de diseño engañosos en marzo de 2022. Están escritas para interfaces de redes sociales, pero la sección sobre banners de cookies ha sido citada desde entonces por todas las autoridades europeas. La frase que importa: la primera capa de un banner de cookies debería tener un botón claro que permita rechazar todas las cookies, y un banner sin él no ofrece una elección fácil, lo que vulnera el derecho a un consentimiento libre. Las directrices clasifican el diseño engañoso en seis familias (sobrecarga, omisión, manipulación emocional, obstrucción, inconsistencia, ocultación) y un banner de cookies puede acertar en cuatro de ellas en una sola pantalla: una opción de rechazo oculta, un botón de aceptar coloreado junto a un enlace gris, una «×» que cuenta como sí y un muro de finalidades que nadie lee.

En enero de 2023 el grupo de trabajo del EDPB sobre banners de cookies publicó su informe, y se lee como una lista de lo que la CNIL sancionaría después: sin botón de rechazo en la primera capa, casillas premarcadas, un enlace con estilo de texto normal donde se esperaba un botón, un contraste que hace desaparecer la opción de rechazo y el interés legítimo ofrecido como alternativa al consentimiento. Desde entonces el patrón de aplicación ha sido constante más que espectacular, hasta 2025, cuando cambiaron las cantidades.

Lo que tiene que hacer una primera capa

Reduce las decisiones y la directriz a lo esencial y obtienes seis requisitos. Son pequeños, son comprobables y cada uno de ellos le ha salido caro a alguien.

1. Rechazar en la primera capa. No en la segunda capa, no tras un clic en ajustes. En la misma pantalla que Aceptar.
2. Mismo peso. Mismo tamaño, mismo peso visual, misma posición en el orden de lectura. Un «Rechazar» blanco junto a un «Aceptar» negro es un patrón de manipulación; un enlace de texto junto a un botón es obstrucción.
3. Finalidades, no adjetivos. «Analítica» y «Marketing» son finalidades. «Para mejorar tu experiencia» no es información; la decisión sobre SHEIN lo dice sobre la finalidad publicitaria ausente.
4. Las páginas legales a un clic. La declaración de cookies, la política de privacidad y, en Alemania, el aviso legal. Si la segunda capa existe, tiene que nombrar a los terceros.
5. Sin consentimiento por cerrar. Una «×», un scroll o un clic fuera de la caja no es una elección. El banner se queda hasta que se toma una decisión, o se cierra como rechazo.
6. Una forma de volver. Retirar el consentimiento tiene que ser tan fácil como darlo (artículo 7(3)). Un control permanente o un enlace en el pie que reabra el banner, en cada página.

Detrás del banner: no carga nada

El hallazgo sobre SHEIN que más duele no es sobre los botones. Es que Reject all no detenía las cookies. Ese fallo es invisible en una captura de pantalla y evidente en un escaneo, y es la razón por la que un banner es solo la mitad de una herramienta de consentimiento. La otra mitad es el código que retiene cada script de analítica, publicidad y redes sociales hasta que se concede su categoría, y la comprobación que demuestra que lo hizo.

En la práctica eso significa que el runtime de consentimiento es el primer script del head, de modo que nada por encima puede poner una cookie que el runtime no pueda deshacer. Cada etiqueta sujeta a consentimiento está inactiva (type="text/plain" con una categoría) hasta que se concede la categoría. Todo lo que un escaneo encontró en el sitio sin etiquetar se neutraliza por host. Y el sitio se vuelve a escanear, según un calendario, con el consentimiento denegado, así que un píxel añadido el mes que viene por el experimento de alguien en el gestor de etiquetas aparece como un hallazgo con fecha en vez de como una sorpresa en la carta de una autoridad. Para eso existen el escáner y la comprobación de instalación.

Una lista de comprobación que puedes hacer hoy

• Abre tu sitio en una ventana privada. ¿Está «Rechazar todo» en la primera pantalla, del mismo tamaño que «Aceptar todo»?
• Pulsa Rechazar todo. Abre el panel de almacenamiento del navegador. ¿Hay cookies de analítica o marketing? Si sí, el banner es cosmético.
• Pulsa Aceptar todo y luego busca el camino de vuelta al banner desde una página cualquiera. Cuenta los clics. Compáralos con los clics para aceptar.
• Lee la primera capa. ¿Nombra finalidades? ¿Enlaza a la declaración de cookies y a la política de privacidad?
• Ejecuta el escaneo gratuito en tu página de inicio. Lee el HTML y enumera los rastreadores que se dispararían antes del consentimiento.

Si alguna línea falla, el arreglo suele ser una tarde. Las multas son para los sitios que no comprobaron.

Fuentes

1. CNIL, «Cookies placed without consent: SHEIN fined 150 million euros by the CNIL», 3 de septiembre de 2025
2. EDPB, noticias nacionales: la autoridad francesa multa a SHEIN con 150 000 000 EUR, septiembre de 2025
3. Gerrish Legal, «CNIL fines Google €325M and SHEIN €150M for breaking cookie rules», septiembre de 2025
4. Slaughter and May, «Cookie catch-up: what you need to know about the CNIL’s Google and Shein fines», 2025
5. EDPB, Directrices 03/2022 sobre patrones de diseño engañosos en interfaces de plataformas de redes sociales, adoptadas el 14 de marzo de 2022
6. Cookie Information, «Cookie banner dark patterns: CNIL’s enforcement is real and it’s escalating», 2025

Escrito por el equipo de CookieCrumbs, publicado el 5 de septiembre de 2026. Los datos llevan su fecha; si alguno ha cambiado, avísanos y lo corregiremos.