Qué es el RGPD: Qué Exige y Cómo Cumplirlo en tu Web

¿Qué es el RGPD?

El RGPD es el Reglamento (UE) 2016/679, el Reglamento General de Protección de Datos que armoniza la normativa de privacidad en toda la Unión Europea. Fue aprobado en abril de 2016 y entró en vigor el 25 de mayo de 2018, sustituyendo a la antigua Directiva de 95/46 y dejando sin efecto la LOPD española de 1999, hoy desarrollada por la Ley Orgánica 3/2018 (LOPDGDD).

Su objetivo es proteger los datos personales de las personas físicas de la UE y garantizar sus derechos fundamentales en materia de privacidad. No es una ley de protección de datos de empresas: protege a las personas, y las empresas son las que tienen la obligación de tratar esos datos de forma lícita, transparente y segura.

Y aquí está lo que mucha pyme subestima: el RGPD aplica a toda web que recoge datos, da igual su tamaño. Un formulario de contacto, una cookie de analítica, una lista de emails, un pedido facturado o un registro de clientes son tratamientos de datos personales. Si tu web hace alguna de esas cosas, estás dentro del reglamento desde el primer visitante.

¿Qué son datos personales?

El artículo 4.1 define un dato personal como cualquier información que identifique a una persona física directa o indirectamente. En la práctica, casi todo lo que recoge una web cuenta:

Un ejemplo cotidiano lo deja claro: un usuario rellena tu formulario de contacto poniendo su nombre, su email y escribiendo "necesito presupuesto para reformar el baño de mi piso en Valencia". Con esos tres campos tienes un dato identificativo, uno de contacto y uno que revela dónde vive. Sigue siendo un tratamiento sujeto al RGPD aunque tú solo lo hayas pensado como "un mensaje".

Los principios del RGPD explicados para pymes

El artículo 5 recoge los principios que rigen cualquier tratamiento. No son teoría: son los criterios con los que una inspección evalúa si tu web cumple o no. Estos seis son los que debes tener presentes:

A estos se suma la responsabilidad proactiva: no basta con cumplir, tienes que poder demostrarlo. Guardar el registro de consentimientos, la versión vigente de tus políticas y el inventario de proveedores es lo que convierte una declaración de buenas intenciones en una defensa creíble.

Derechos ARCO+ y cómo responder

Los usuarios pueden ejercer sobre sus datos un conjunto de derechos conocido como ARCO, ampliado después por el propio RGPD. En cuanto llegue una solicitud, tienes un mes de plazo para responder (prorrogable dos meses más si el caso es complejo, siempre avisando al interesado):

Para responder bien necesitas tres cosas: un canal visible (una dirección de email concreta en la política), un procedimiento interno que registre fecha de entrada, respuesta y medidas tomadas, y identificación proporcional: puedes pedir copia del documento para verificar quién pide qué, pero nunca exigir más de lo necesario. La respuesta es gratuita salvo que el usuario pida copias adicionales.

La base legal del tratamiento: de dónde viene tu permiso

Ningún dato se puede tratar sin una base del artículo 6 que lo justifique. El error más común en las webs es usar el consentimiento para todo, o no usar ninguno. Estas son las cuatro bases que vas a usar en el día a día:

La regla práctica es sencilla: cada finalidad, su base. En la política de privacidad debes indicar qué base corresponde a cada tratamiento y no una genérica para todo. Si no puedes justificar la base, no debes hacer ese tratamiento.

Qué exige exactamente una web que cumple el RGPD

Bajar del reglamento a la práctica significa tener estos elementos funcionando en tu web. Si falta alguno, tu cumplimiento tiene un agujero:

Los dos documentos que más pesan en una revisión son la política de privacidad y el aviso legal obligatorio. El primero explica el tratamiento de datos; el segundo identifica al responsable de la web. Son distintos y ambos son obligatorios.

Cookies y ePrivacy: el consentimiento previo

Junto al RGPD convive la Directiva ePrivacy, transpuesta en España por la LSSI. Su artículo 22.2 es tajante: instalar o acceder a un dispositivo terminal del usuario exige su consentimiento informado previo. Nada se carga antes de que diga que sí, salvo las cookies estrictamente necesarias para el servicio que él mismo ha solicitado (sesión, carrito, balanceo de carga o preferencia de idioma de primera parte).

Un banner conforme tiene que cumplir varias condiciones a la vez: informar de forma clara de qué cookies hay, ofrecer la posibilidad de configurarlas por categorías (necesarias, analíticas, de publicidad, sociales) y presentar el rechazo con el mismo peso visual que la aceptación. Ocultar el botón de rechazar bajo un segundo menú o pintarlo en gris, tal como ha sancionado la AEPD, invalida todo el consentimiento.

Sobre la duración, la guía de cookies de la AEPD recomienda que el consentimiento no se dé por válido más de doce meses: pasado ese tiempo hay que volver a preguntar. Cada cookie, además, debe tener una vida útil razonable y declarada. Si tu banner actual tiene un único botón de "ACEPTAR" y un enlace diminuto a más información, no estás cumpliendo.

Multas y riesgos de no cumplir

El artículo 83 del RGPD fija escalones de gravedad: hasta 10 millones o el 2% para infracciones más leves y hasta 20 millones o el 4% de la facturación global para las graves. La AEPD, además, puede abrir expediente por denuncia del propio usuario, requerir información a tu proveedor o acordar medidas cautelares como el bloqueo de datos.

En el terreno de las grandes multas todos conocemos los casos de plataformas como Amazon (746 millones en Luxemburgo), Meta (390 millones en Irlanda) o TikTok (345 millones por datos de menores). Pero lo que le pasa a una pyme no se parece a eso: la AEPD sanciona de forma repetida infracciones mucho más cotidianas como webs sin política de privacidad ni información al recoger datos, cookies instaladas sin consentimiento y conservación indefinida de datos de clientes, candidatos o pacientes.

Y hay un riesgo que no aparece en la multa: una reclamación de un usuario obliga a dedicar semanas a alegaciones, a responder requerimientos y a justificar cada tratamiento. Los expedientes que empiezan por una cookie mal instalada acaban revisando toda tu documentación.

RGPD y LSSI-CE: el marco legal español

En España conviven dos normas que se solapan. El RGPD regula qué puedes hacer con los datos; la Ley 34/2002 (LSSI-CE) regula la presencia digital de tu empresa: obligaciones del prestador de servicios, informaciones al usuario y comunicaciones comerciales.

De la LSSI te interesan sobre todo tres artículos. El artículo 10 obliga a tener un aviso legal con denominación social, NIF, domicilio, datos de contacto, inscripción registral si procede, código de conducta y, si vendes, información sobre precios, gastos de envío y medios de pago. El artículo 21 prohíbe las comunicaciones comerciales no solicitadas, salvo con consentimiento previo o con una relación contractual previa de productos o servicios análogos y con posibilidad de oposición. Y el artículo 22.2 es el de las cookies que ya has visto.

La consecuencia práctica es que el cumplimiento es conjunto: una web puede tener una política de privacidad impecable y ser sancionada igualmente por no publicar el aviso legal o por enviar ofertas sin consentimiento. Los tres documentos y el banner tienen que decir lo mismo y reflejar la misma actividad.

Checklist de cumplimiento para tu web

Si quieres comprobar tu situación en diez minutos, repasa estos diez puntos. Marca solo lo que puedas demostrar, no lo que crees que haces:

1. 1

   Aviso legal publicado y accesible

   URL propia, enlace en el footer, datos del titular completos y actualizados (razón social, NIF, domicilio, registro mercantil si aplica).

2. 2

   Política de privacidad vigente

   Describe tratamientos reales, finalidades, bases legales, destinatarios, plazos, derechos y canal de contacto, con fecha de última actualización.

3. 3

   Banner de cookies conforme

   Bloquea las no esenciales antes de consentir, ofrece rechazo igual de visible que la aceptación y permite configuración por categorías.

4. 4

   Formularios con información RGPD

   Enlace a la política junto al envío, base legal indicada y casilla de consentimiento sin premarcar cuando la base sea el consentimiento.

5. 5

   Canal de derechos operativo

   Una dirección de email revisada, con procedimiento interno y plazo de respuesta de un mes, comunicado en la política de privacidad.

6. 6

   Inventario de datos y proveedores

   Sabes qué datos recoges, dónde están, quién tiene acceso y qué herramientas externas los tocan, con sus contratos de encargo.

7. 7

   Plazos de conservación definidos

   Un periodo por categoría (facturas, leads, consultas, candidaturas) y borrados reales ejecutados, no solo escritos en el documento.

8. 8

   Registro de consentimientos

   Fecha, hora, texto mostrado y datos técnicos de cada aceptación de cookies o suscripción, exportable ante un requerimiento.

9. 9

   Seguridad básica activa

   HTTPS, copias de seguridad, usuarios individuales con permisos mínimos, contraseñas fuertes y actualizaciones de WordPress y plugins al día.

10. 10

    Revisión anual programada

    Una fecha al año para revisar políticas, banner, herramientas y nuevos tratamientos, además de revisiones inmediatas ante cualquier cambio.

Si marcas menos de ocho puntos, tienes trabajo por delante. Cuanto más tarde en cerrarlos, mayor es la ventana de exposición: mientras tanto, tu web sigue recogiendo datos sin las garantías que la norma exige.

Cómo poner tu web conforme al RGPD

Cumplir el RGPD no es comprar una plantilla: es analizar lo que tu web hace realmente con los datos y documentarlo con fidelidad. En nuestro servicio de auditoría legal RGPD seguimos este proceso:

• Inventario de datos, formularios, cookies y proveedores de tu web
• Aviso legal, política de privacidad y política de cookies redactados a medida
• Banner de cookies configurado y formularios ajustados con consentimiento válido
• Procedimiento de derechos, registro de consentimientos y plan de conservación

Si prefieres empezar por comprobar dónde estás, en webs que no cumplen el RGPD detallamos los fallos que la AEPD detecta con más frecuencia y cómo se ven desde una auditoría. Pídenos la revisión desde el formulario de abajo y en 24 horas sabrás qué te falta.