Dato personal
Cualquier información vinculada a una persona identificada o identificable. Los identificadores en línea, como las cookies, los ID de publicidad y la dirección IP, normalmente cuentan como dato personal.
Guía · Normativa británica
UK GDPR y cookies en el Reino Unido, sin jerga legal
Después del Brexit, el Reino Unido quedó con reglas propias de privacidad y de cookies. En 2026 volvieron a cambiar: surgieron excepciones al consentimiento, subieron las multas por cookies y el regulador cambió de nombre. Esta guía explica qué rige hoy para un sitio con AdSense o Ad Manager que recibe visitantes británicos.
- ✓Basado en la legislación británica y en la orientación oficial del regulador
- ✓Ejemplos de sitios con anuncios, incluidos sitios brasileños
- ✓Lectura sin modificar el sitio
£17,5 millonestope de las multas más graves del UK GDPR
4%de la facturación mundial anual, cuando ese valor sea mayor que el tope fijo
5excepciones al consentimiento para cookies previstas en la orientación oficial de 2026
72 hplazo para avisar al regulador de una filtración de datos que genere riesgo para las personas
Qué es
Tres reglas que funcionan juntas
Cuando el Reino Unido salió de la Unión Europea, copió el GDPR europeo a su propia legislación. Esa copia, vigente desde el 1 de enero de 2021, se llama UK GDPR. Funciona junto con la Data Protection Act 2018, la ley británica que completa y adapta el texto, y con el PECR, el reglamento de 2003 que trata las cookies, el marketing por correo electrónico y las comunicaciones electrónicas.
En la práctica, el UK GDPR define qué es un dato personal, cuándo se puede usar y qué derechos tienen las personas. El PECR responde a una pregunta más específica: cuándo puede un sitio guardar o leer información en el dispositivo del visitante. Las cookies, los píxeles, el almacenamiento local del navegador, la huella digital del dispositivo y los scripts de rastreo entran todos en esa regla.
La ley rige para las empresas establecidas en el Reino Unido y también para las de fuera que ofrecen productos o servicios a personas del país o que monitorean su comportamiento. Un sitio brasileño que usa cookies de anuncios para crear perfiles de visitantes británicos está monitoreando el comportamiento, aunque no tenga oficina en Londres.
En 2025, la Data (Use and Access) Act 2025 modificó las tres normas. La mayoría de los cambios empezó a regir el 5 de febrero de 2026. Y, el 30 de septiembre de 2026, el regulador ICO dio paso a la Information Commission, que asumió las mismas funciones y poderes.
Lista de verificación
Lo que debes cumplir
Estos son los puntos que el regulador británico y Google exigen a un sitio con anuncios que recibe visitantes del Reino Unido.
Usa una CMP certificada por Google
Desde el 16 de enero de 2024, Google exige una CMP certificada e integrada con el IAB TCF para mostrar anuncios personalizados en el Reino Unido. Sin ella, ese tráfico solo puede recibir anuncios no personalizados o limitados.
EjemploEn Privacidad y mensajes, crea el mensaje de regulaciones europeas, que vale para el EEE, el Reino Unido y Suiza.
Pide consentimiento para todas las cookies de anuncios
La orientación oficial dice que la publicidad en línea nunca ha quedado fuera de la exigencia de consentimiento. Las cookies y los píxeles de anuncios solo pueden guardarse después de un consentimiento válido.
EjemploEl píxel de remarketing solo se carga después del clic en Consentir.
Haz que rechazar sea tan fácil como aceptar
El regulador espera que rechazar requiera el mismo esfuerzo que aceptar. El silencio o la falta de respuesta no cuentan como consentimiento.
EjemploConsentir y No consentir aparecen juntos en la primera pantalla, con el mismo tamaño.
Empieza con todo desactivado
Las opciones de tecnologías que dependen del consentimiento deben venir desactivadas de forma predeterminada. Solo la elección activa del visitante puede activarlas.
EjemploEn la pantalla de preferencias, los botones de publicidad y de medición de anuncios empiezan en la posición desactivado.
Indica quiénes son los terceros
Para que el consentimiento sea válido, el sitio debe informar la identidad de los terceros que reciben los datos.
EjemploEl banner tiene un enlace a la lista de socios, con Google y cada red de anuncios del sitio.
Permite retirar el consentimiento en cualquier momento
La ley exige que el visitante pueda retirar el consentimiento cuando quiera. La política de Google también pide instrucciones claras para ello.
EjemploUn enlace fijo en el pie de página, Preferencias de privacidad, vuelve a abrir el banner.
Usa las excepciones solo con aviso y rechazo sencillo
Las cookies de estadísticas y de apariencia pueden no necesitar consentimiento, pero el sitio debe explicar la finalidad y ofrecer una forma sencilla y gratuita de rechazarlas. Estas excepciones no cubren la publicidad.
EjemploEn la página de cookies: usamos cookies de estadísticas para mejorar el sitio, y puedes desactivarlas con este botón.
Revisa si debes pagar la tarifa al regulador
Las organizaciones que usan datos personales deben pagar la tarifa de protección de datos, a menos que estén exentas. Consulta en el sitio del regulador si es tu caso.
En la práctica
Lo correcto y lo incorrecto
✕IncorrectoSolo existe el botón aceptar, y para rechazar hay que abrir varios menús. ✓CorrectoAceptar y rechazar están en la misma pantalla y requieren el mismo esfuerzo. ✕IncorrectoLos botones de publicidad ya vienen activados cuando se abre la pantalla. ✓CorrectoPublicidad y medición de anuncios empiezan desactivadas en la pantalla de preferencias. ✕IncorrectoEl píxel de remarketing se activa en cuanto se carga la página. ✓CorrectoLos píxeles y las cookies de anuncios esperan el clic en aceptar.
Herramientas oficiales
CMPs certificadas y enlaces oficiales
Para los anuncios personalizados en el Reino Unido, Google exige una CMP certificada, y estas son las páginas oficiales para elegir y configurar una.
- Lista de CMPs certificadas por GooglePágina del Centro de ayuda con la regla del EEE, el Reino Unido y Suiza y la lista de CMP certificadas, actualizada cada semana.support.google.com/admanager/answer/13554116
- Lista de CMP registradas en el TCF de IAB EuropeMuestra las CMP registradas en el TCF, con el número de identificación de cada una.iabeurope.eu/cmp-list
- Privacidad y mensajes de GoogleExplica la herramienta de AdSense que crea los mensajes de regulaciones europeas y de los estados de EE. UU.support.google.com/adsense/answer/10924669
- Regulador británico: cómo gestionar el consentimiento en la prácticaOrientación oficial sobre rechazar tan fácil como aceptar, opciones desactivadas y retirada del consentimiento.ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
- Regulador británico: excepciones al consentimientoEnumera las excepciones para las cookies y deja claro que ninguna cubre la publicidad.ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
Definiciones
Las palabras que aparecen en todas partes
Son los mismos conceptos del GDPR europeo, con algunos nombres nuevos traídos por la reforma de 2025.
Responsable y encargado
El controlador decide por qué y cómo se usan los datos, como el dueño del sitio. El operador trata los datos en su nombre, como una empresa de alojamiento o de correo electrónico.
Tecnologías de almacenamiento y acceso
Es el nombre que el regulador pasó a usar para las cookies y todo lo que cumple la misma función: píxeles, web storage, fingerprinting y scripts que leen datos del dispositivo.
Consentimiento
Una elección libre, específica, informada y hecha con una acción clara, como hacer clic en aceptar. El silencio, las casillas premarcadas o seguir navegando no valen como consentimiento.
Bases legales y consentimiento
Cuándo hay que pedir permiso
El UK GDPR exige una base legal para cada uso de datos personales. Las más comunes son el consentimiento, la ejecución de un contrato, la obligación legal y el interés legítimo. La reforma de 2025 creó una lista de intereses legítimos reconocidos, como la prevención de delitos y las situaciones de emergencia, que no requieren la prueba de equilibrio. La publicidad no está en esa lista.
Para las cookies, manda el PECR. La regla general sigue siendo la misma: guardar o leer algo en el dispositivo del visitante exige consentimiento, a menos que el uso encaje en una excepción. El estándar de consentimiento es el del UK GDPR, y el regulador espera que rechazar sea tan fácil como aceptar.
Desde el 5 de febrero de 2026 existen cinco excepciones: transmisión de la comunicación, servicio estrictamente necesario, estadísticas para mejorar el propio servicio, apariencia o funcionalidad elegida por el usuario y asistencia de emergencia. En las excepciones de estadísticas y de apariencia, el sitio debe avisar con claridad y ofrecer una forma simple y gratuita de rechazar.
La orientación oficial es directa: ninguna de las excepciones cubre la publicidad en línea. Las cookies y los píxeles de anuncios personalizados, la medición de anuncios y el remarketing siguen dependiendo del consentimiento. En mayo de 2026 el regulador sugirió al gobierno estudiar una excepción para la publicidad de bajo riesgo, pero hasta ahora no ha cambiado nada en la ley.
Derechos de las personas
Lo que el visitante puede pedir a tu sitio
Cualquier persona en el Reino Unido puede ejercer estos derechos. El sitio debe tener un canal para recibir las solicitudes y responder dentro del plazo.
Saber y acceder
Recibir información clara sobre el uso de los datos y una copia de lo que el sitio guarda sobre ella, por regla general en un máximo de un mes.
Corregir y borrar
Pedir la corrección de datos erróneos y la eliminación cuando ya no haya motivo para conservarlos, por ejemplo después de retirar el consentimiento.
Oponerse al marketing
Rechazar el uso de los datos para marketing directo en cualquier momento. En ese caso la oposición es absoluta y el sitio debe detenerse.
Retirar el consentimiento
Cambiar de opinión sobre las cookies con la misma facilidad con que aceptó. Un enlace fijo para reabrir las preferencias lo resuelve.
Decisiones automatizadas
Ser informado, impugnar y pedir una revisión humana cuando una decisión importante la toma solo un sistema.
Reclamar al controlador
Desde el 19 de junio de 2026, quien trata datos debe tener un proceso de reclamación y confirmar la recepción en un máximo de 30 días.
Obligaciones
Lo que debe hacer un sitio con visitantes británicos
- Publicar un aviso de privacidad completoIndica quién es el responsable del sitio, qué datos recopila, para qué, con qué base legal, con quién los comparte, por cuánto tiempo los guarda y cómo ejerce la persona sus derechos. Menciona a los socios de anuncios y la transferencia de datos fuera del país.
- Mostrar un banner con una elección realAntes de cualquier cookie de anuncios o de medición de anuncios, pide consentimiento. Aceptar y rechazar deben tener el mismo peso visual y estar en la misma pantalla.
- Bloquear lo que depende del consentimientoLos píxeles, el remarketing y los anuncios personalizados solo pueden activarse después de la aceptación. Sin respuesta, el sitio lo trata como un rechazo.
- Usar las excepciones con transparenciaSi usas cookies de estadísticas o de preferencias sin consentimiento, explícalo en la página de cookies y da una forma simple de desactivarlas.
- Cuidar la seguridad y las filtracionesProtege los datos y avisa al regulador en un máximo de 72 horas cuando una filtración pueda traer riesgo para las personas. Si el riesgo es alto, avisa también a los afectados.
- Mantener la casa en ordenTen contratos con los proveedores que tratan datos, haz una evaluación de impacto para los usos de alto riesgo y comprueba si la empresa debe pagar la tasa anual al regulador.
Supervisión y multas
Cuánto cuesta equivocarse
El regulador suele empezar con advertencias y órdenes de corrección, pero las multas máximas son altas, y la reforma de 2025 reforzó también los poderes sobre las cookies.
Tope más alto del UK GDPR
Hasta 17,5 millones de libras o el 4% de la facturación mundial anual, lo que sea mayor, para las infracciones más graves, como tratar datos sin base legal.
Tope estándar
Hasta 8,7 millones de libras o el 2% de la facturación mundial anual para fallas como registros incompletos o seguridad inadecuada.
Mayores poderes sobre las cookies
La reforma de 2025 amplió los poderes de fiscalización y de multa del regulador sobre el PECR. Las nuevas reglas valen para conductas a partir del 5 de febrero de 2026.
Fiscalización activa
En enero de 2025 el regulador anunció la revisión de los banners de los mil sitios más visitados del país. En abril de 2026 informó que el 99% de ellos ya cumplía los estándares.
Cronología
Cómo se llegó a las reglas actuales
Las fechas que más pesan para quienes tienen visitantes del Reino Unido.
- 2003
Nace el PECR
El reglamento británico de comunicaciones electrónicas pasa a tratar las cookies y el marketing electrónico.
- 25 de mayo de 2018
GDPR y Data Protection Act 2018
El GDPR europeo empieza a regir en el Reino Unido, junto con la nueva ley británica de protección de datos.
- 1 de enero de 2021
Empieza el UK GDPR
Con el fin de la transición del Brexit, el país pasa a tener su propia versión del GDPR.
- 16 de enero de 2024
CMP certificada para anuncios de Google
Para los anuncios personalizados en el Reino Unido, AdSense y Ad Manager pasan a exigir una CMP certificada e integrada con el IAB TCF.
- 19 de junio de 2025
Data (Use and Access) Act 2025
La ley que reforma el UK GDPR, la Data Protection Act y el PECR recibe la sanción real.
- 5 de febrero de 2026
Nuevas excepciones y más poderes
Entran en vigor las nuevas excepciones para cookies, los intereses legítimos reconocidos y los nuevos poderes de fiscalización del regulador sobre el PECR.
- 29 de abril de 2026
Orientación final sobre cookies
El regulador publica la versión final de la orientación sobre tecnologías de almacenamiento y acceso.
- 30 de septiembre de 2026
Information Commission
El ICO es reemplazado por la Information Commission, un órgano colegiado con las mismas funciones y poderes.
Para quienes tienen AdSense o Ad Manager
Qué cambia en la práctica para los ingresos
Google trata al Reino Unido igual que al Espacio Económico Europeo. Para mostrar anuncios personalizados a visitantes británicos, el sitio necesita una CMP certificada por Google e integrada con el IAB TCF. Sin ella, ese tráfico solo recibe anuncios no personalizados o limitados, que suelen rendir mucho menos.
La CMP guarda la elección del visitante en una TC string y transmite las señales de Consent Mode a las etiquetas de Google. Si el sitio también usa Google Analytics o Google Ads, las cuatro señales de Consent Mode deben reflejar lo que la persona eligió en el banner.
Piensa en un portal brasileño de recetas que recibe una porción pequeña de visitantes del Reino Unido, muchos de ellos brasileños que viven allí. Para el público de Brasil rige la LGPD; para el británico, rige el UK GDPR con el PECR. La configuración correcta muestra el mensaje del TCF solo a quienes están en el Reino Unido, el EEE y Suiza, sin molestar al público brasileño.
El Mensaje de privacidad de AdSense y de Ad Manager está certificado y ya cubre el Reino Unido. Quien usa otra CMP debe confirmar que está en la lista de Google y que el Reino Unido está entre las regiones configuradas.
En la práctica
Qué se puede y qué no se puede en el Reino Unido
Ejemplos comunes en sitios de noticias, recetas, finanzas y empleo que reciben visitantes británicos.
Sí se puede
- Usar cookies de estadísticas para mejorar el propio sitio sin consentimiento, siempre que se avise y se ofrezca una forma simple de rechazar
- Guardar la preferencia de idioma o de tema oscuro del visitante con base en la excepción de apariencia
- Mostrar el mensaje del TCF solo a visitantes del Reino Unido, del EEE y de Suiza
- Mostrar anuncios no personalizados a quien rechazó
- Usar el mensaje de privacidad de AdSense o de Ad Manager, que ya está certificado
No se puede
- Cargar píxeles de remarketing o cookies de anuncios antes del clic en aceptar
- Encuadrar la medición de anuncios en la excepción de estadísticas
- Poner solo el botón aceptar en la primera pantalla y esconder el rechazo en un menú
- Usar un plugin de cookies común, fuera de la lista de Google, para el tráfico británico
- Tratar seguir navegando como si fuera consentimiento
Errores comunes
Dónde fallan más los sitios
Son fallas que aparecen con frecuencia en auditorías de sitios con tráfico del Reino Unido.
Creer que el Brexit sacó al Reino Unido de la regla
Muchos configuran la CMP solo para la Unión Europea. El visitante británico se queda sin mensaje y Google pasa a entregar anuncios limitados.
Leer la reforma de 2025 como una liberación general
Las nuevas excepciones sirven para estadísticas, preferencias y emergencias. Los anuncios siguen necesitando consentimiento.
Banner que solo decora
El banner aparece, pero las cookies de anuncios ya se guardaron antes de la respuesta. Para el regulador, eso equivale a no pedir consentimiento.
Rechazo más difícil que la aceptación
Aceptar con un clic y rechazar con cinco es el tipo de diseño que el regulador viene exigiendo cambiar a los grandes sitios.
Política de privacidad genérica
Texto copiado de otro sitio, sin mencionar a Google, a los socios de anuncios, las transferencias internacionales ni el canal para solicitudes.
Excepción sin opción de rechazar
Usar cookies de estadísticas o de apariencia sin consentimiento y no ofrecer una forma simple de desactivarlas rompe la condición de la propia excepción.
En ConsentMode
Qué revisa la auditoría para el Reino Unido
- Abre el sitio como visitante del Reino Unido y de fuera de él, y registra dónde aparece el banner y qué botones ofrece.
- Identifica la CMP por el código de la página e indica si figura en la lista de CMP certificadas de Google.
- Lee la TC string y las señales de Consent Mode y las compara con lo que eligió el visitante.
- Enumera las cookies y las solicitudes de red antes y después de la aceptación y señala lo que se activa antes de tiempo.
- Comprueba si la página de privacidad menciona a los socios de anuncios, las bases legales, los derechos y un canal de contacto.
Preguntas frecuentes
Mi sitio es brasileño y no tiene una empresa en el Reino Unido. ¿Me afecta la ley?
Rige para los visitantes que están en el Reino Unido cuando el sitio monitorea su comportamiento, como ocurre con las cookies de anuncios personalizados. Y, aun sin mirar la ley, Google exige una CMP certificada para mostrar anuncios personalizados a ese público.
¿Las cookies de Google Analytics siguen necesitando consentimiento?
Depende del uso. La excepción de estadísticas vale cuando los datos sirven solo para medir y mejorar el propio sitio, con un aviso claro y una opción simple de rechazo. Si la herramienta usa los datos para anuncios o para fines del propio proveedor, la excepción no se aplica.
¿Se acabó el ICO? ¿Quién fiscaliza ahora?
Desde el 30 de septiembre de 2026, las funciones del ICO pasaron a la Information Commission. El papel y los poderes del regulador no cambiaron y el trabajo diario continúa; cambia el modelo de dirección, que ahora es colegiado.
¿La reforma de 2025 dejó al Reino Unido más flexible que la Unión Europea?
En algunos puntos, sí, como las nuevas excepciones para estadísticas y preferencias. Para los anuncios personalizados, el resultado práctico es igual: consentimiento antes de guardar o leer cualquier cosa en el dispositivo.
¿Puedo usar una CMP solo para el Reino Unido y otra para Europa?
Puedes, pero rara vez vale la pena. La mayoría de las CMP certificadas cubre el EEE, el Reino Unido y Suiza con la misma configuración, por región.
¿Qué pasa con los ingresos si el visitante rechaza?
Google aún puede mostrar anuncios no personalizados o limitados a esa persona. Los ingresos por visita suelen ser menores, pero el sitio sigue monetizando sin infringir la regla.
Biblioteca
Fuentes oficiales
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
- Regulador británico: guía sobre el uso de tecnologías de almacenamiento y acceso (excepciones)ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
- legislation.gov.uk: Data (Use and Access) Act 2025 (Commencement No. 6) Regulations 2026www.legislation.gov.uk/uksi/2026/82/made
- GOV.UK: plan de entrada en vigor de la Data (Use and Access) Act 2025www.gov.uk/guidance/data-use-and-access-act-2025-plans-for-commencement
- GOV.UK: la Information Commission sucede al ICOwww.gov.uk/government/news/information-commission-succeeds-the-ico-as-uks-data-protection-regulator
- Google Ad Manager: requisitos de gestión del consentimiento en el EEE, el Reino Unido y Suizasupport.google.com/admanager/answer/13554116
- Regulador británico: cómo gestionar el consentimiento en la prácticaico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
Mira cómo aparece tu sitio para un visitante británico
La auditoría abre el sitio desde el Reino Unido, registra el banner y las cookies y muestra qué corregir, sin cambiar nada.