RGPD y LOPDGDD: qué exige la ley a su web

Este tema se recuerda normalmente en dos momentos: cuando un cliente grande pregunta dónde se guardan los datos, o cuando ya ha pasado algo.

Los dos son tarde. Y lo que hay que hacer antes no es tanto.

Antes de empezar, algo que este artículo no va a hacer:

no damos asesoramiento jurídico. Explicamos la parte técnica, que es la nuestra. Los documentos legales de su web debe redactarlos o revisarlos un abogado. Cualquiera que le venda «cumplimiento RGPD garantizado» sin que un jurista revise su caso le está vendiendo algo que no puede garantizar.

Los tres documentos obligatorios

Casi siempre falta alguno, y muchas veces los tres son plantillas copiadas de otra web.

Aviso legal. Identifica quién está detrás del sitio: denominación, identificación fiscal, domicilio, contacto y, cuando corresponda, datos de registro. Es lo que permite saber con quién se está tratando.

Política de privacidad. Qué datos recoge, para qué, con qué base legal, cuánto tiempo los conserva, a quién se los cede y cómo puede la persona ejercer sus derechos.

Política de cookies. Qué cookies usa el sitio, de qué tipo, quién las pone y cómo se pueden rechazar o revocar.

Los tres deben estar enlazados desde el pie de página, en todas las páginas.

Un aviso sobre las plantillas: circulan por internet, y usarlas tal cual es habitual. El problema es que describen la web de otro. Si su política de privacidad menciona servicios que usted no usa y omite los que sí usa, no describe su tratamiento real. Adaptarlas es trabajo de un abogado, no de copiar y pegar.

El banner de cookies: el que cumple y el que no

Aquí es donde falla la mayoría de las webs, y es lo más visible.

Un banner que no cumple suele tener estas características:

• solo un botón, «Aceptar», sin opción equivalente de rechazar
• «Rechazar» escondido tras un segundo clic en «Configurar»
• casillas de categorías no esenciales marcadas por defecto
• las cookies se cargan antes de que el usuario decida nada
• no hay forma de cambiar de opinión después

Un banner correcto cumple con lo siguiente:

• rechazar es tan fácil como aceptar, con la misma visibilidad
• las categorías no necesarias están desmarcadas al abrir
• nada que no sea estrictamente necesario se carga hasta que hay

consentimiento

• existe un enlace permanente para revisar la elección más adelante
• queda registro de qué se consintió y cuándo

El cuarto punto se olvida casi siempre. Y el tercero es el que más se incumple sin querer: el banner aparece correctamente, pero la analítica ya se ha cargado por debajo. En ese caso el banner es decorativo.

Cómo comprobarlo usted mismo: abra su web en una ventana nueva, no toque el banner, y mire en las herramientas de desarrollo del navegador qué se ha cargado ya. Si aparecen herramientas de analítica o publicidad, el consentimiento no está funcionando.

El formulario de contacto y la base legal

La parte que afecta a todas las webs, incluso a las más sencillas.

Cuando alguien rellena su formulario, usted está tratando datos personales. Nombre, teléfono y correo lo son.

Lo que técnicamente debe estar bien montado:

La casilla no puede estar premarcada. La persona tiene que marcarla.

El texto debe enlazar a la política de privacidad, con un enlace que funcione. «Acepto las condiciones» sin enlace no vale.

Debe quedar registro del consentimiento. Su sistema tiene que guardar cuándo y a qué texto exacto consintió esa persona. Sin ese registro no puede demostrar que hubo consentimiento.

El envío comercial necesita casilla aparte. Enviar una consulta no significa aceptar un boletín mensual. Son dos cosas distintas y requieren dos casillas separadas.

Esa última es la que más reclamaciones genera y la más fácil de resolver.

Sobre qué base legal ampara cada tratamiento en su caso concreto —consentimiento, ejecución de un contrato, interés legítimo— es una cuestión jurídica que debe determinar su abogado. Nosotros implementamos lo que se decida.

Dónde están los datos y por qué se lo preguntan

Una pregunta cada vez más frecuente, sobre todo si trabaja con empresas grandes o del sector público.

Debe poder responder a tres cosas.

Dónde está alojada la web. En qué país están los servidores. Con frecuencia ni el propietario lo sabe y hay que preguntárselo al proveedor.

Qué servicios externos intervienen. CRM, servicio de correo, analítica, chat, pasarela de pago, formularios. Cada uno recibe una parte de los datos.

Qué contrato tiene con cada uno. Cuando un proveedor trata datos por cuenta suya, esa relación debe estar documentada mediante un contrato de encargado de tratamiento. Esta parte la revisa el abogado.

Una recomendación práctica que ahorra mucho tiempo: mantenga una lista sencilla de todos los servicios externos conectados a su web y qué datos recibe cada uno. Se actualiza en diez minutos cuando añade una herramienta, y es lo primero que le pedirán tanto un cliente grande como su propio abogado.

La AEPD y el orden de magnitud

La autoridad de control en España es la Agencia Española de Protección de Datos.

Sobre las sanciones, solo un dato de contexto: el RGPD establece topes máximos elevados —el nivel superior alcanza los 20 millones de euros o un porcentaje de la facturación global anual, el importe que resulte mayor.

Dicho esto, hay que ser honesto sobre lo que significa: esos son techos legales, no lo que recibe una pyme por un banner de cookies mal configurado. Las sanciones se gradúan según el tipo de infracción, la intencionalidad, el número de afectados y la colaboración con la autoridad. Qué expectativa realista corresponde a su situación es algo que solo puede valorar un abogado, y este artículo no lo hace.

Lo que sí conviene saber: buena parte de los procedimientos empiezan por una reclamación de un particular, no por una inspección. Suele ser alguien a quien no se atendió una petición de baja o de supresión. Atender bien esas peticiones es, en la práctica, la medida preventiva más eficaz.

Qué hacer ante una brecha de seguridad

Breve, porque aquí el papel del abogado es determinante.

Los primeros pasos son técnicos: cerrar la vía por la que salieron los datos, cambiar credenciales, determinar qué datos y de cuántas personas se vieron afectados, y conservar los registros del sistema. Ese último punto se olvida con frecuencia y luego no hay forma de reconstruir lo ocurrido.

Los pasos siguientes —la notificación a la autoridad y, en su caso, a las personas afectadas— están sujetos a plazos y a un procedimiento concreto. Esa parte la dirige un abogado. Una notificación tardía o mal planteada puede acabar siendo peor que el incidente.

Lo que sí puede preparar de antemano: saber a quién va a llamar. El teléfono del abogado debe conocerse antes de que pase algo, no después.

Accesos internos: la parte que sí controla usted

Técnica pura, y depende enteramente de su organización.

Un acceso por persona. Una contraseña compartida por todo el equipo significa que no puede saber quién hizo qué.

Permisos por rol. Un comercial necesita sus clientes, no toda la base. Esto además limita lo que alguien puede llevarse al marcharse.

Baja inmediata al salir un empleado. El mismo día, como parte del procedimiento de salida.

Registro de exportaciones. Que el sistema guarde quién descargó la base y cuándo. Ese registro por sí solo disuade la mayoría de los intentos.

Revisión en 20 minutos

Recorra esta lista en su web ahora mismo.

1. Existen aviso legal, política de privacidad y política de cookies
2. Los tres están enlazados en el pie, en todas las páginas
3. El banner permite rechazar con la misma facilidad que aceptar
4. Nada se carga antes de que el usuario decida
5. Hay un enlace para cambiar la elección después
6. La casilla del formulario no está premarcada
7. El texto de la casilla enlaza a la política de privacidad
8. El consentimiento comercial va en casilla aparte
9. Se registra la fecha del consentimiento
10. La web carga por conexión segura
11. Sabe en qué país está el alojamiento
12. Tiene la lista de servicios externos conectados
13. Cada persona del equipo tiene su propio acceso
14. Los accesos de quienes se fueron están cerrados

Si falla en tres o más, ya es motivo suficiente para abordarlo este mes.

Precio y plazos

Trabajo	Precio	Plazo
Banner de cookies conforme	desde 300 €	3-5 días
Formularios con registro de consentimiento	desde 250 €	3-5 días
Separación de accesos y registro	desde 400 €	1 semana
Revisión técnica completa	desde 350 €	3-5 días

Precios sin IVA. La redacción y revisión de los documentos legales no está incluida: eso lo hace un abogado.

En resumen

Cumplir tiene dos mitades. Los documentos —que redacta y revisa un abogado— y la implementación técnica, que es la nuestra.

Empiece por el banner y por el formulario: son lo más visible y lo que más reclamaciones genera. Después, la lista de servicios externos y los accesos internos.

Escríbanos y revisamos la parte técnica de su web con la lista de arriba. Para los documentos le remitiremos a un abogado: es lo honesto y es más seguro para usted.