RGPD para tu web: lo que de verdad hay que tener en orden
Piensa en el guardarropa de un restaurante. Dejas tu abrigo, te dan un resguardo con un número, y confías en que solo tú (o quien tenga ese número) va a recuperarlo. Ahora imagina el mismo guardarropa, pero sin resguardos: cualquiera puede acercarse y llevarse cualquier abrigo, incluido el tuyo, y nadie se entera hasta que ya es tarde. Con los datos de tus clientes en tu web pasa exactamente lo mismo. La única diferencia es que el abrigo se ve; los datos, no, hasta que algo va mal.
En KodexSys hemos visto la misma película demasiadas veces: negocios con un formulario de contacto sencillo que copiaron la política de privacidad de otra web cambiando solo el nombre, sin fijarse en que mencionaba servicios que ni siquiera usan. O peor: sin ninguna política de privacidad, “porque total, solo pedimos el nombre y el email”. La frase que más repiten cuando les explicamos el problema es siempre la misma: “pero si esto no es una tienda online, ¿de verdad me afecta a mí?”
La respuesta corta es sí, casi siempre. En el momento en que tu web tiene un formulario de contacto, un chat o simplemente Google Analytics, ya estás tratando datos personales, y el RGPD te aplica igual que a una empresa grande, solo que sin su departamento legal. La buena noticia es que cumplir bien no exige un despacho de abogados: exige tener claro qué guardarropa estás gestionando y con qué resguardos. ¿Sabrías decir hoy exactamente qué pasa con los datos de alguien que rellena tu formulario de contacto?
TL;DR (Resumen rápido para gente ocupada):
Si no tienes tiempo de leer todo, quédate con esto:
- Un formulario ya es tratamiento de datos: no hace falta vender online para que el RGPD te aplique.
- La política de privacidad tiene que ser verdad, no una plantilla copiada: debe reflejar exactamente lo que tu web hace, ni más ni menos.
- El consentimiento tiene que ser real: una casilla premarcada o un banner de cookies que no deja elegir de verdad no cuenta como consentimiento válido.
- Cada herramienta de terceros que usas (analítica, email, chat) es un encargado de tratamiento que hay que declarar.
Vamos a verlo con calma.
1. El error más habitual: la política de privacidad que no dice la verdad
Es sorprendentemente frecuente encontrar una política de privacidad copiada de otra empresa, con el nombre cambiado y poco más. El problema no es solo ético: si tu política dice que “no cedes datos a terceros” pero usas Google Analytics o envías los correos del formulario a través de un proveedor externo, la política está diciendo algo que no es verdad, y eso es exactamente lo que revisa la Agencia Española de Protección de Datos (AEPD) cuando investiga una denuncia.
¿Por qué es un problema grave? Porque la política de privacidad no es un trámite decorativo: es el documento donde declaras, con validez legal, qué haces con los datos de quien confía en ti. Si no coincide con la realidad técnica de tu web, no proteges a nadie, incluido tú mismo.
2. El consentimiento que no es consentimiento de verdad
Aquí hay un matiz que se pasa por alto constantemente: un banner de cookies con la casilla de “analíticas” ya marcada por defecto no es un consentimiento válido. La normativa (y el criterio de la propia AEPD) es clara: las casillas no esenciales tienen que empezar desmarcadas, y el usuario tiene que poder rechazar con la misma facilidad con la que acepta. Lo mismo pasa con el checkbox de un formulario de contacto: si es opcional o viene premarcado, no cuenta como el consentimiento que luego vas a necesitar demostrar si alguien pregunta.
- Casillas desmarcadas por defecto, siempre, para cualquier tratamiento que no sea estrictamente necesario.
- Rechazar tan fácil como aceptar, sin menús ocultos ni pasos adicionales para decir que no.
- El checkbox de consentimiento tiene que ser obligatorio para poder enviar un formulario, y el propio servidor debería rechazar el envío si no llega marcado, no solo el formulario visual.
”Pero mi web solo tiene un formulario de contacto, ¿de verdad me afecta el RGPD?”
Es la objeción que más escuchamos, y entendemos por qué: “cumplir el RGPD” suena a un aparato pensado para bancos y hospitales, no para un negocio con tres empleados. La realidad es más sencilla y más exigente a la vez: la ley no distingue por tamaño de empresa para las obligaciones básicas (informar, pedir consentimiento, proteger lo que recoges), aunque sí simplifica algunos trámites para negocios pequeños. Y a veces la respuesta honesta es que, si tu web no recoge ningún dato —ni formulario, ni analítica, ni cookies—, el RGPD apenas te afecta. Pero eso describe muy pocas webs reales hoy en día.
3. Los encargados de tratamiento que casi nadie declara
Cada herramienta externa que procesa datos de tus visitantes en tu nombre —Google Analytics, tu proveedor de envío de correo, un chat de atención al cliente, una pasarela de pago— es lo que la normativa llama un “encargado de tratamiento”, y tiene que aparecer declarado en tu política de privacidad, con su base legal y, si transfiere datos fuera de Europa, con las garantías correspondientes. Esto conecta directamente con algo que ya contamos al hablar de ciberseguridad para pymes: no basta con proteger tu propio servidor si no sabes (ni declaras) qué terceros tienen también acceso a esos datos.
Es también, muchas veces, lo primero que falla en las webs producidas en cadena con plantillas genéricas: se instala una herramienta de analítica de serie, sin que nadie se pare a comprobar si la política de privacidad la menciona siquiera.
4. Cómo lo hacemos nosotros: el trabajo invisible
Poner en orden el RGPD de una web no es escribir un documento largo y olvidarse. Es revisar, uno por uno, qué datos se recogen, con qué finalidad, durante cuánto tiempo se conservan y qué terceros los tocan en algún punto del camino, y hacer que la política de privacidad, el banner de cookies y el propio código del formulario digan exactamente lo mismo. No te vamos a prometer que cumplir el RGPD te vuelva invulnerable a una denuncia; quien lo prometa, miente. Lo que sí te prometemos es que, si alguien lo revisa, lo que encuentre coincida con lo que dice tu propia política.
Conclusión: el resguardo importa tanto como el guardarropa
Si te quedas con una sola idea, que sea esta: no se trata de tener muchos papeles legales, se trata de que lo que dicen esos papeles sea exactamente lo que tu web hace. Un formulario de contacto sencillo puede estar perfectamente en orden con muy poco esfuerzo, siempre que ese poco esfuerzo se dedique a las cosas correctas.
¿Sabes si tu política de privacidad dice la verdad sobre lo que hace tu web? Cuéntanos qué formularios, herramientas o cookies usa tu web hoy. Lo revisamos y te decimos con honestidad qué está en orden y qué no. Sin tecnicismos, sin sorpresas y sin compromiso.