Política de privacidad web: qué debe incluir (con ejemplo)

La política de privacidad de una web es el texto que explica quién trata los datos personales de las personas que la visitan, para qué, con qué base legal, durante cuánto tiempo, a quién se comunican y cómo ejercer los derechos. La exige el artículo 13 del Reglamento General de Protección de Datos (RGPD) siempre que la web recoja datos personales, por ejemplo con un formulario de contacto, un boletín o una tienda online.

Qué es y qué norma la exige

El RGPD no exige una página con ese nombre: exige que, al obtener datos de una persona, le des en ese momento una información concreta (artículo 13). En una web, lo práctico es reunirla en una página enlazada desde cada formulario y desde el pie.

El artículo 12 del RGPD añade cómo debe darse: de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Un texto copiado de otra web, lleno de jerga y que no describe lo que tú haces de verdad no cumple esa condición, aunque sea muy largo.

En España, la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD) completa el RGPD. Su artículo 11 permite informar «por capas»: un resumen junto al formulario y el resto en la política completa, a la que se llega con un enlace.

¿Mi web necesita una?

Casi siempre. Basta con que la web recoja algún dato que identifique a una persona. Estos son los casos más habituales:

• Un formulario de contacto o de presupuesto que pide nombre, correo o teléfono.
• Una suscripción a un boletín.
• Una tienda online o un área de clientes con registro.
• Un formulario de empleo donde se adjunta un currículum.
• Herramientas de analítica, chats o servicios externos que tratan datos de quien navega, como la dirección IP.

Si tu web no recoge ningún dato, la obligación puede no activarse, pero es raro: casi cualquier web carga algún servicio externo que recibe datos de la visita.

Qué debe incluir

El artículo 13 del RGPD enumera la información que hay que facilitar. La dividimos en dos bloques, igual que el reglamento.

Lo que siempre debe aparecer (artículo 13.1)

1. Quién es el responsable: la identidad y los datos de contacto de la empresa o profesional que decide sobre los datos.
2. Delegado o delegada de protección de datos: sus datos de contacto, solo si lo tienes.
3. Para qué se usan los datos y con qué base jurídica: cada finalidad con su base legal. Las más habituales en una web son el consentimiento, la ejecución de un contrato o de medidas precontractuales pedidas por la persona, una obligación legal y el interés legítimo (artículo 6.1 del RGPD, letras a, b, c y f).
4. El interés legítimo concreto, si alguna finalidad se basa en él.
5. Destinatarios: a quién se comunican los datos o qué tipo de empresas los reciben, como el alojamiento, el proveedor de correo o la gestoría.
6. Transferencias internacionales: si los datos salen del Espacio Económico Europeo y con qué garantías.

Lo que también hay que contar (artículo 13.2)

1. Cuánto tiempo se conservan los datos o, si no se puede fijar, el criterio para decidirlo.
2. Los derechos: acceso, rectificación, supresión, limitación, oposición y portabilidad.
3. El derecho a retirar el consentimiento en cualquier momento, cuando la base sea el consentimiento.
4. El derecho a reclamar ante una autoridad de control, que en España es la Agencia Española de Protección de Datos (AEPD).
5. Si dar los datos es obligatorio y qué pasa si no se dan.
6. Decisiones automatizadas y perfiles, si los hay, con información sobre la lógica aplicada.

La primera capa: lo que va junto al formulario

Según el artículo 11 de la LOPDGDD, junto al formulario basta con un resumen que contenga, como mínimo, la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos, más un enlace para acceder al resto de la información de forma sencilla e inmediata. Si los datos se van a usar para elaborar perfiles, el resumen también debe decirlo.

Un ejemplo de primera capa bajo un formulario de contacto:

«Responsable: «nombre de la empresa». Finalidad: responder a tu consulta. Derechos: puedes acceder, rectificar y suprimir tus datos, entre otros derechos, como se explica en la «política de privacidad (enlace)».»

Junto a ese texto, si pides el consentimiento para algo más, como enviarte el boletín, usa una casilla sin marcar. El considerando 32 del RGPD dice expresamente que el silencio, las casillas ya marcadas o la inacción no constituyen consentimiento.

Ejemplo de política de privacidad

Este modelo es genérico y orientativo. Los textos entre comillas y en cursiva son huecos que hay que sustituir por tus datos reales, y los apartados marcados «si procede» se eliminan si no se aplican. Antes de publicarlo, comprueba que cada tratamiento descrito corresponde a lo que tu web hace de verdad.

Política de privacidad

Responsable del tratamiento. «Nombre o razón social», con NIF «número» y domicilio en «dirección completa». Correo para cuestiones de privacidad: «correo electrónico».

Delegado de protección de datos (si procede). Puedes contactar con nuestro delegado o delegada en «correo del delegado».

Qué datos tratamos, para qué y con qué base.

• Formulario de contacto: tratamos «nombre, correo, teléfono y mensaje» para responder a tu consulta. Base jurídica: la aplicación, a petición tuya, de medidas precontractuales (artículo 6.1.b del RGPD) «o tu consentimiento, según el caso».
• Boletín (si procede): tratamos tu correo para enviarte «contenido del boletín». Base jurídica: tu consentimiento (artículo 6.1.a del RGPD), que puedes retirar en cualquier momento.
• Clientela (si procede): tratamos los datos necesarios para gestionar «pedidos, facturación y envíos». Base jurídica: la ejecución del contrato (artículo 6.1.b) y el cumplimiento de obligaciones legales, como las fiscales (artículo 6.1.c).
• Candidaturas de empleo (si procede): tratamos el currículum que nos envías para valorar tu candidatura en «procesos de selección actuales o futuros». Base jurídica: tu consentimiento.

Cuánto tiempo los conservamos. «Plazo o criterio para cada finalidad; por ejemplo: los de contacto, el tiempo necesario para responder y como máximo «X» meses; los de facturación, durante los plazos que exige la normativa fiscal».

A quién se comunican. No cedemos tus datos a terceros salvo obligación legal. Tienen acceso a ellos, como encargados del tratamiento, los proveedores que nos prestan «alojamiento web, correo electrónico, envío del boletín, gestoría».

Transferencias internacionales (si procede). «Proveedor» puede tratar datos en «país», con la garantía de «decisión de adecuación o cláusulas contractuales tipo».

¿Es obligatorio darnos los datos? Los campos marcados como obligatorios son necesarios para «atender tu solicitud»; si no los facilitas, no podremos hacerlo.

Tus derechos. Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento en cualquier momento, escribiendo a «correo electrónico». Si consideras que no hemos atendido tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Cookies. La información sobre las cookies de esta web está en la «política de cookies (enlace)».

Última actualización: «fecha».

Herramientas oficiales que te pueden ayudar

La AEPD ofrece Facilita RGPD, una herramienta gratuita para tratamientos de poco riesgo que genera, entre otros documentos, cláusulas informativas para formularios. La propia AEPD advierte de que son un punto de partida que hay que adaptar a cada caso.

Errores frecuentes

• Copiar la política de otra web. Describe tratamientos, proveedores y plazos que no son los tuyos, y a menudo deja el nombre de otra empresa.
• Citar normas derogadas. Las referencias a la LOPD de 1999 o a la inscripción de ficheros en la AEPD indican un texto anterior al RGPD.
• Una sola finalidad genérica, como «gestionar sus datos», en lugar de explicar cada uso con su base jurídica.
• Sin plazos de conservación, o con un «el tiempo necesario» sin ningún criterio.
• Olvidar a los proveedores: el boletín, el chat, el CRM o la analítica también reciben datos y deben aparecer.
• Formularios sin primera capa ni enlace a la política, o con casillas de consentimiento ya marcadas.
• Un correo de contacto que nadie lee. El artículo 12.3 del RGPD da un mes para responder a quien ejerce sus derechos, prorrogable otros dos meses en casos complejos, avisando dentro del primer mes.

Qué riesgo hay si falta o está incompleta

El deber de informar forma parte de los derechos de las personas (artículos 12 a 22 del RGPD). Según el artículo 83.5 del RGPD, su incumplimiento puede sancionarse con multas de hasta 20 millones de euros o, en el caso de una empresa, hasta el 4 % de su facturación anual global, la cuantía que sea mayor. Son importes máximos: la multa concreta se gradúa según las circunstancias de cada caso. Puedes ver el contexto de las sanciones en el Observatorio normativo de XEVIA.

Cómo comprobar la tuya

1. Haz una lista de todos los sitios donde tu web recoge datos: formularios, registro, boletín, chat, analítica.
2. Comprueba que cada uno aparece en la política con su finalidad, su base jurídica y su plazo.
3. Revisa que cada formulario tiene su primera capa y un enlace a la política.
4. Repasa la lista del artículo 13 de esta guía y marca lo que falta.

El diagnóstico gratuito de XEVIA te da una primera lectura automática. Revisa la página de inicio desde fuera: busca el enlace a la política de privacidad, lee esa página y avisa si no encuentra apartados como el responsable, las finalidades, la base jurídica, la conservación, los derechos o la reclamación ante la AEPD. También señala los formularios de la portada que piden datos sin informar de la privacidad y las casillas de consentimiento ya marcadas. Es orientativo: no ve los formularios de otras páginas ni puede saber si lo que dice el texto coincide con lo que haces. Para eso tienes la herramienta para comprobar si tu web cumple el RGPD y la LSSI.

Preguntas frecuentes

¿Puedo juntar la política de privacidad y el aviso legal en una sola página?

Responden a normas distintas: el aviso legal identifica al titular según la LSSI-CE y la política de privacidad informa del tratamiento de datos según el RGPD. Es más claro separarlos y enlazar ambos desde el pie. Te lo explicamos en la guía sobre qué debe incluir el aviso legal.

¿Y las cookies, van en la política de privacidad?

Lo habitual es tener una política de cookies propia, enlazada desde el banner. Puede remitir a la de privacidad para los derechos. Lo detallamos en la guía sobre qué debe incluir la política de cookies.

¿Si trabajo por cuenta propia también la necesito?

Sí, si tu web recoge datos personales. El RGPD no distingue por tamaño en el deber de informar. En lugar de la razón social aparecerán tu nombre y tu NIF.

¿Qué pasa si recojo datos de menores?

Según el artículo 7 de la LOPDGDD, una persona menor solo puede consentir por sí misma el tratamiento de sus datos si es mayor de catorce años. Por debajo de esa edad hace falta el consentimiento de quien tenga la patria potestad o la tutela.

Si quieres ver todas las obligaciones juntas, consulta la guía sobre los requisitos legales de una página web.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.