RGPD en una página web: lo mínimo que debes cumplir

Para cumplir el RGPD, una página web debe informar con claridad de quién trata los datos que recoge y para qué, tratarlos solo con una base legal, pedir permiso antes de usar cookies que no son técnicas, firmar un contrato con los proveedores que acceden a esos datos y protegerlos con medidas de seguridad adecuadas. No hay un «certificado RGPD» para webs: lo que cuenta es que cada formulario, cada cookie y cada servicio externo esté justificado e informado.

Aquí tienes lo mínimo que conviene revisar en la web de una pyme, con el artículo de cada obligación.

Qué es el RGPD y por qué afecta a tu web

El Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD), se aplica desde el 25 de mayo de 2018 en toda la Unión Europea. En España se completa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que sustituyó a la antigua LOPD de 1999. Por eso, cuando alguien busca «LOPD web», lo que hoy se aplica es el RGPD más la LOPDGDD.

Afecta a tu web porque casi cualquier web trata datos personales: el nombre y el correo de un formulario de contacto, los datos de un pedido, la dirección IP que recibe cada servicio externo o los identificadores que guardan las cookies de analítica. En cuanto hay datos de personas identificadas o identificables, hay tratamiento y hay obligaciones.

Junto al RGPD conviven otras normas. El aviso legal sale del artículo 10 de la LSSI-CE y el consentimiento para las cookies, de su artículo 22.2.

Lo mínimo, punto por punto

1. Informar en el momento de recoger los datos

El artículo 13 del RGPD obliga a informar, en el momento en que se obtienen los datos, de la identidad y el contacto del responsable, los fines y la base jurídica del tratamiento, los destinatarios, las transferencias fuera de la UE si las hay, el plazo de conservación, los derechos de la persona y el derecho a reclamar ante la autoridad de control, entre otros puntos.

El artículo 11 de la LOPDGDD permite hacerlo por capas: junto al formulario basta con una información básica (quién es el responsable, para qué se usan los datos y cómo ejercer los derechos) y un enlace a la información completa, que es la política de privacidad. La AEPD lo desarrolla en su guía para el cumplimiento del deber de informar.

En la práctica: cada formulario que pide datos necesita, justo al lado del botón de envío, un texto breve y un enlace a la política de privacidad.

2. Una base legal para cada uso de los datos

El artículo 6 del RGPD solo permite tratar datos si hay una base legal: el consentimiento, la ejecución de un contrato o de medidas precontractuales que pide la persona interesada, una obligación legal, el interés legítimo y otras previstas en la norma. Responder a una consulta que te llega por el formulario encaja, en general, en las medidas precontractuales. Enviar un boletín comercial a quien no es cliente, en cambio, suele requerir consentimiento.

Si usas el consentimiento, el artículo 7 exige poder demostrarlo y que retirarlo sea tan fácil como darlo. Y el considerando 32 aclara que las casillas ya marcadas no son un consentimiento válido.

3. Solo los datos necesarios

El artículo 5.1.c recoge el principio de minimización: los datos deben ser adecuados, pertinentes y limitados a lo necesario. Un formulario de contacto que exige DNI, fecha de nacimiento y teléfono para responder a una pregunta es difícil de justificar. El artículo 25 pide además protección de datos desde el diseño y por defecto. La AEPD tiene una guía de protección de datos por defecto con ejemplos.

4. Cookies: permiso antes de instalarlas

Las cookies de analítica, publicidad o personalización necesitan consentimiento previo, según el artículo 22.2 de la LSSI-CE y la guía sobre el uso de las cookies de la AEPD. El botón de rechazar debe estar al mismo nivel que el de aceptar. Lo detallamos en nuestra guía sobre el banner de cookies que exige la AEPD.

5. Contrato con quien trata datos por ti

El hosting, el servicio de correo, la herramienta de boletines, el CRM o la agencia que mantiene la web suelen acceder a los datos de tu web. El artículo 28 del RGPD exige elegir proveedores que ofrezcan garantías suficientes y firmar con cada uno un contrato de encargo del tratamiento. Muchos lo incluyen en sus condiciones: localízalo y guárdalo.

Si alguno de esos servicios trata datos fuera del Espacio Económico Europeo, se aplican además las reglas de transferencias internacionales de los artículos 44 y siguientes, y hay que informar de ello en la política de privacidad.

6. Seguridad adecuada al riesgo

El artículo 32 del RGPD pide medidas técnicas y organizativas apropiadas al riesgo. En una web, lo básico es la conexión cifrada (HTTPS) con el certificado al día, el gestor de contenidos y los plugins actualizados, contraseñas robustas con acceso restringido al panel y copias de seguridad. Si hay una brecha que afecta a datos personales, el artículo 33 obliga a notificarla a la AEPD en un máximo de 72 horas desde que se conoce, salvo que sea improbable que suponga un riesgo para las personas. La AEPD tiene una guía para la notificación de brechas.

7. Atender los derechos

Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad (artículos 15 a 22). Necesitas un canal claro para recibirlos, normalmente un correo, y responder en el plazo de un mes del artículo 12.3, prorrogable en los casos que prevé.

8. Documentar lo que haces

El RGPD se basa en la responsabilidad proactiva (artículo 5.2): tienes que poder demostrar que cumples. Eso incluye, según el caso, el registro de actividades de tratamiento del artículo 30 y el análisis de riesgos. Para tratamientos de escaso riesgo, la herramienta gratuita Facilita RGPD de la AEPD genera unos documentos iniciales. La propia AEPD advierte de que obtenerlos no supone cumplir de forma automática: hay que adaptarlos a cada tratamiento.

Ejemplos según el tipo de web

• Web corporativa con formulario de contacto: aviso legal, política de privacidad, información básica junto al formulario, banner de cookies si hay analítica, y contrato de encargo con el hosting y el correo.
• Web con boletín de noticias: lo anterior, más un consentimiento específico para el boletín (casilla sin marcar), un enlace de baja en cada envío y el contrato con la herramienta de envíos. Las comunicaciones comerciales por correo tienen además sus propias reglas en el artículo 21 de la LSSI-CE.
• Tienda online: además, los datos de pedidos y envíos, la pasarela de pago y, a menudo, más servicios externos. Lo repasamos en los requisitos de una tienda online.

Errores frecuentes

• Política de privacidad copiada de otra web o de una plantilla, con otro responsable o con referencias a la LOPD de 1999.
• Formularios sin información junto al botón de envío, o con una casilla de aceptación ya marcada.
• Usar los contactos del formulario para enviar publicidad sin haber pedido permiso para ello.
• Servicios externos que nadie ha inventariado: tipografías, vídeos, mapas, chats o píxeles que envían la IP de quien visita la web a terceros sin que la política lo diga.
• Ningún contrato con el proveedor que aloja la web o gestiona los correos.
• Web sin actualizar, con plugins vulnerables o sin HTTPS en los formularios.

Qué puede pasar si no se cumple

El artículo 83 del RGPD prevé multas de hasta 10 millones de euros o el 2 % de la facturación global para infracciones como las de seguridad (artículo 32), y de hasta 20 millones o el 4 % para las que afectan a los principios, las bases legales o los derechos de las personas, como el deber de informar del artículo 13. Son máximos que se gradúan según la gravedad y el tamaño de la empresa. La AEPD también suele ordenar corregir lo que falla en un plazo concreto. Hemos reunido casos reales, con su número de procedimiento, en la guía sobre multas de la AEPD a páginas web.

Cómo comprobarlo

1. Recorre tu web y apunta cada formulario: qué datos pide, para qué y si informa junto al botón de envío.
2. Abre la política de privacidad y comprueba que el responsable, el NIF y el contacto son los tuyos, que cita el RGPD y que explica finalidades, bases legales, plazos, destinatarios y derechos.
3. Abre la web en una ventana privada y mira qué cookies y servicios externos se cargan antes de aceptar nada.
4. Haz una lista de proveedores con acceso a datos y localiza el contrato de encargo de cada uno.
5. Revisa el certificado, las actualizaciones y las copias de seguridad.

Para ganar tiempo, el diagnóstico gratuito de XEVIA revisa la página de inicio desde fuera: si enlaza el aviso legal, la política de privacidad y la de cookies, si a la política de privacidad le faltan apartados reconocibles, si hay formularios sin información o con casillas premarcadas, qué cookies y servicios externos se cargan en la primera visita y si la conexión es segura. También puedes usar la herramienta para comprobar si tu web cumple la ley y la de comprobar cookies.

Es un análisis automático y orientativo. No ve lo que pasa dentro de tu empresa (contratos, registro de actividades, cómo se guardan los datos) ni revisa todas las páginas. Para eso hace falta una revisión completa.

Preguntas frecuentes

¿Necesito política de privacidad si mi web no tiene formularios?

Si la web no recoge ningún dato personal, ni por formularios ni por cookies o servicios de terceros, el artículo 13 no tendría nada que informar. Pero es poco habitual: la analítica, los vídeos incrustados, los mapas o las tipografías externas suelen tratar datos como la IP. Lo prudente es revisar qué se carga antes de decidir.

¿Tengo que nombrar un delegado de protección de datos?

Solo en los casos del artículo 37 del RGPD y de la lista del artículo 34 de la LOPDGDD, por ejemplo cuando la actividad principal exige una observación habitual y sistemática de personas a gran escala o consiste en tratar categorías especiales de datos a gran escala. La mayoría de las webs de pymes no lo necesitan, pero conviene comprobarlo en esa lista.

¿Puedo usar Google Analytics?

Sí, pero sus cookies de analítica necesitan consentimiento previo: la guía de cookies de la AEPD indica que las de análisis no están exentas. Además, hay que informar del proveedor y de las posibles transferencias internacionales en la política de privacidad y en la de cookies.

¿Qué edad debe tener alguien para consentir?

En España, el artículo 7 de la LOPDGDD fija los catorce años. Por debajo de esa edad, el tratamiento basado en el consentimiento requiere el de quien tenga la patria potestad o la tutela.

¿Va a cambiar el RGPD?

La Comisión Europea ha propuesto cambios dentro del llamado Digital Omnibus, pero son propuestas en negociación. Hoy siguen vigentes el RGPD, la LOPDGDD y la LSSI-CE tal como están.

Si quieres que revisemos tu caso a fondo, XEVIA cuenta con un equipo de abogados expertos en derecho digital: cuéntanos qué necesitas.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.