Resumen citable. En la tienda online de una farmacia, las cookies y el rastreo no son un trámite estético: lo que un usuario navega —qué categorías de OTC, dermofarmacia o productos de salud mira— puede permitir inferir datos de su salud. Es la misma lógica por la que el Tribunal de Justicia de la UE declaró en 2024 (asunto C-21/23) que comprar un medicamento sin receta por internet trata datos de salud. Por eso el montaje estándar de cualquier ecommerce —"aceptar todo" por defecto y Google Analytics o el píxel de Meta disparándose al cargar la página— es un riesgo específico que otras tiendas no tienen. En España, instalar cookies no técnicas exige consentimiento previo e informado (artículo 22.2 de la LSSI), la Guía de cookies de la AEPD (2024) obliga a que rechazar sea tan fácil como aceptar, y la Agencia sí multa: sancionó con 30.000 € a una aerolínea por no dejar rechazar y con miles de euros a una entidad por usar cookies de analítica de terceros sin consentimiento. El error que más vemos desde dentro es tratar el banner de cookies como decoración.
Aviso. Este artículo es informativo y operativo, escrito desde la experiencia de montar tiendas online de farmacia. No es asesoramiento jurídico. Cada farmacia debe cerrar su cumplimiento con su delegado o delegada de protección de datos (DPD) o su asesor especializado.
Por qué el rastreo en una farmacia no es como en cualquier otro ecommerce
Cuando montas la tienda de una zapatería o de una tienda de electrónica, el banner de cookies es un tema de cumplimiento normal: molesto, sí, pero de bajo voltaje. En una farmacia con tienda online el listón sube, y la mayoría de la gente no lo ve venir.
El motivo es el mismo que ya explicamos al hablar de protección de datos en una farmacia con tienda online: el Tribunal de Justicia de la UE dictaminó el 4 de octubre de 2024, en el asunto C-21/23 (Lindenapotheke), que los datos que introduce un cliente al comprar por internet un medicamento sin receta son datos relativos a la salud del artículo 9 del RGPD, porque permiten deducir información sobre su estado físico.
Aquí damos un paso más, hacia el terreno que casi nadie trata: si el dato de compra es un dato de salud, el dato de navegación apunta en la misma dirección. Que alguien pase diez minutos en tu categoría de antifúngicos, de test de embarazo, de productos para dejar de fumar o de incontinencia, y que ese comportamiento quede registrado por una cookie de analítica o de remarketing, también permite inferir información sobre su salud. No es tratar un dato "normal" de un carrito: es alimentar un perfil sobre la salud de una persona con las herramientas de marketing de terceros. Esa es la diferencia que convierte tu banner de cookies en algo serio.
Las dos capas de la ley que tienes que separar
Casi todos los errores vienen de mezclar dos normas que van juntas pero no son lo mismo.
Capa 1 — La LSSI (artículo 22.2): permiso para poner la cookie. La Ley 34/2002 (LSSI-CE) dice, textualmente, que los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en los equipos de los usuarios "a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización". Es decir: primero el permiso, después la cookie. La propia ley salva una excepción técnica: no hace falta consentimiento para el almacenamiento "estrictamente necesario" para prestar el servicio que el usuario ha pedido (por ejemplo, mantener el carrito o la sesión de pago). Todo lo demás —analítica, publicidad, mapas, chat, redes— necesita consentimiento antes de cargarse.
Capa 2 — El RGPD: cómo tiene que ser ese consentimiento. La LSSI dice que hace falta consentimiento; el RGPD define qué es un consentimiento válido (artículo 4.11 y artículo 7): libre, específico, informado e inequívoco, y tan fácil de retirar como de dar. No vale una casilla premarcada, ni un "si sigues navegando aceptas", ni esconder el rechazo.
La Guía sobre el uso de las cookies de la AEPD aterrizó esto en 2024, alineándose con las Directrices 03/2022 del Comité Europeo de Protección de Datos sobre patrones engañosos. Lo esencial que tu banner tiene que cumplir:
- Aceptar y rechazar, al mismo nivel y formato. Un botón de "Rechazar" (o equivalente) visible, no escondido en un segundo clic ni con un color que se confunda con el fondo.
- Nada premarcado. El estado por defecto de las cookies no técnicas es apagado.
- Sin trucos de diseño. Ni un "Aceptar" enorme y verde frente a un "Rechazar" gris minúsculo, ni obligar a configurar durante cinco pantallas para poder decir que no.
- Poder cambiar de opinión después. El usuario tiene que poder revocar su consentimiento con la misma facilidad con la que lo dio.
El plazo para adaptarse a este criterio venció el 11 de enero de 2024. No es una recomendación futura: es lo exigible hoy.
Qué carga de verdad la tienda de una farmacia (inventario desde dentro)
Cuando abres el capó de una tienda online de farmacia recién montada con una plantilla estándar, esto es lo que suele estar disparándose:
- Cookies técnicas (exentas de consentimiento): carrito, sesión de usuario, sesión de la pasarela de pago, balanceo de carga, preferencia de idioma. Son las que la LSSI salva como "estrictamente necesarias". No piden permiso.
- Analítica (requiere consentimiento): Google Analytics 4 es el caso típico. Mide de dónde viene la gente y qué mira. Útil, pero no es técnica: necesita consentimiento previo.
- Publicidad y remarketing (requiere consentimiento y es el punto más delicado): el píxel de Google Ads, el píxel de Meta (Facebook/Instagram), listas de remarketing. Sirven para "perseguir" al visitante con anuncios. En una tienda de salud, esto es precisamente lo que puede acabar exponiendo que alguien visitó una farmacia o una categoría sensible.
- Terceros incrustados (requieren consentimiento): mapas de Google, vídeos de YouTube, chats de soporte, botones de redes sociales, reseñas embebidas. Cada uno suele traer sus propias cookies.
El problema no es que existan; es cuándo se disparan. Y ahí está el error número uno.
Error número uno: disparar la analítica y los píxeles antes del consentimiento
Es, con diferencia, el fallo más común. Instalas Google Analytics o el píxel de Meta pegando el código en la cabecera de la web, y esos scripts se ejecutan en cuanto carga la página, antes de que el usuario toque el banner. En ese instante ya has instalado cookies no técnicas sin consentimiento. El banner que aparece encima es puro teatro: la cookie ya está puesta.
Que esto se sanciona no es una hipótesis. La AEPD multó a una entidad bancaria por instalar, entre otras, cookies de analítica de terceros sin consentimiento, en aplicación del artículo 22.2 de la LSSI. Y otras resoluciones han ido por el mismo camino: 30.000 € a una aerolínea por instalar cookies sin consentimiento previo, 10.000 € a una gran superficie por instalarlas incluso después de que el usuario las rechazara, y hasta 500.000 € a una empresa por un conjunto de incumplimientos que incluía cookies sin consentimiento. En una farmacia, donde el rastreo roza el dato de salud, no es un terreno donde quieras ser el próximo caso.
La solución técnica correcta existe y es estándar: los scripts de analítica y publicidad no se cargan hasta que el usuario acepta esa categoría. Google, además, exige desde 2024 recibir señales de consentimiento (lo que llaman Consent Mode) para poder seguir usando medición y remarketing de sus productos en el Espacio Económico Europeo. O sea: hacerlo bien ya no es solo cumplir la ley española, es requisito del propio Google para que sus herramientas funcionen.
Error número dos: el banner de "aceptar todo" con el rechazo escondido
El segundo clásico es el banner que ofrece un "Aceptar todo" grande y llamativo y, para rechazar, te obliga a entrar en "Configurar", desactivar interruptores uno a uno y guardar. Eso es exactamente lo que la Guía de la AEPD de 2024 prohíbe: aceptar y rechazar tienen que estar al mismo nivel. La AEPD sancionó con 30.000 € a una aerolínea justamente por no ofrecer la opción de rechazar y forzar la aceptación para poder navegar.
En una farmacia hay una tentación extra que conviene resistir: la de usar un "muro de cookies" que impida usar la tienda si no aceptas el rastreo. La AEPD, siguiendo al Comité Europeo, mira con lupa estos muros y los modelos de "aceptas o pagas". Para una tienda de farmacia, cuya credibilidad se juega en la confianza, montar un embudo que castiga al que no quiere ser rastreado es un mal negocio además de un riesgo.
Cómo lo montamos en las tiendas de farmacia (sin vender magia legal)
No vamos a contarte que un botón resuelve el cumplimiento; no lo hace, igual que el software no cumple por ti. Lo que sí se puede es dejar el terreno técnico bien preparado para que cumplir sea sencillo. En las tiendas con las que trabajamos, esto significa:
- Bloqueo previo real. Ningún script de analítica, publicidad o terceros se ejecuta hasta que el usuario da su consentimiento para esa categoría concreta. Las cookies técnicas del carrito y el pago funcionan desde el primer momento, como permite la ley.
- Banner con rechazo al mismo nivel que la aceptación, sin casillas premarcadas y con un panel de categorías (técnicas, analítica, publicidad) que el usuario puede activar por separado.
- Revocación fácil desde un enlace permanente, para que cambiar de opinión sea tan sencillo como el primer sí.
- La tienda en el dominio propio de la farmacia, de modo que el cliente y su relación —también su rastro de navegación— queden en la farmacia y no en un marketplace ajeno. Es la misma diferencia, ahora en la capa de datos, que ya explicamos entre tener tienda propia y no un marketplace.
- Registro del consentimiento, para poder demostrar cuándo y a qué dijo que sí cada usuario, que es lo que exige el principio de responsabilidad proactiva del RGPD.
Lo que ese montaje no hace es sustituir a tu DPD ni redactar tu política de cookies o tu evaluación de impacto. Eso lo cierras con tu asesor. Nuestro trabajo es que, cuando lo cierres, la tecnología ya esté del lado correcto.
Checklist antes de encender el rastreo en tu tienda
1. ¿Mi analítica y mis píxeles de publicidad están bloqueados hasta el consentimiento, o se disparan al cargar la página?
2. ¿Mi banner ofrece rechazar tan fácil como aceptar, al mismo nivel y sin trucos de diseño?
3. ¿Hay alguna casilla premarcada? (No debería haberla para cookies no técnicas.)
4. ¿Puede el usuario revocar su consentimiento después con un clic accesible?
5. ¿Tengo claro cuáles de mis cookies son técnicas (exentas) y cuáles no, y puedo justificarlo?
6. ¿Estoy usando remarketing sobre categorías que revelan salud? Si es así, ¿he valorado con mi DPD si es prudente hacerlo?
7. ¿Guardo un registro del consentimiento de cada usuario?
8. ¿Mi política de cookies está en castellano, es clara y coincide con lo que la web realmente instala?
Si has respondido "no" o "no lo sé" a varias, tu banner probablemente está haciendo teatro mientras las cookies ya están puestas. En una tienda de farmacia, eso no es un detalle: es tratar el rastreo de datos de salud sin permiso, exactamente el terreno que la AEPD vigila y sanciona.
El resto del cumplimiento —quién es responsable, quién es encargado, qué consentimiento pide la venta del propio OTC— lo tienes desarrollado en la guía de protección de datos de la farmacia con tienda online. Y si aún estás decidiendo cómo montar la venta legal de medicamentos sin receta, empieza por qué es DISTAFARMA y cómo vender OTC desde tu dominio propio.