Si tienes una p\u00e1gina web, aunque sea una web sencilla de cinco p\u00e1ginas, ya est\u00e1s tratando datos personales. Cada formulario de contacto, cada suscripci\u00f3n a la newsletter, cada comentario, cada cookie de anal\u00edtica y cada pedido recoge informaci\u00f3n de personas reales. Y eso significa que el RGPD aplicado a p\u00e1ginas web<\/strong> te afecta directamente, tengas una tienda online, una web de servicios o una consulta profesional.<\/p>\n La buena noticia es que cumplir no es tan complicado como parece. La mala es que muchos negocios creen que el RGPD es \u00abcosa de las grandes empresas\u00bb o de sus abogados, y van acumulando peque\u00f1os riesgos sin saberlo: formularios sin consentimiento, cookies que se activan antes de que el visitante decida, pol\u00edticas de privacidad copiadas de otra web o proveedores que tratan datos sin contrato.<\/p>\n En esta gu\u00eda te explico, sin lenguaje jur\u00eddico innecesario, qu\u00e9 exige el RGPD a una web de negocio, qu\u00e9 elementos son obligatorios, cu\u00e1les son los errores m\u00e1s frecuentes y c\u00f3mo poner orden en tu web de forma pr\u00e1ctica, paso a paso.<\/p>\n El Reglamento General de Protecci\u00f3n de Datos<\/strong> (Reglamento UE 2016\/679) es la norma europea que regula c\u00f3mo se recogen, usan, guardan y comparten los datos personales. Se aplica desde mayo de 2018 y es directamente aplicable en todos los Estados miembros, sin necesidad de que cada pa\u00eds lo adapte. En Espa\u00f1a, adem\u00e1s, convive con la Ley Org\u00e1nica de Protecci\u00f3n de Datos y Garant\u00eda de Derechos Digitales (LOPDGDD) y, en el \u00e1mbito de internet, con la Ley de Servicios de la Sociedad de la Informaci\u00f3n (LSSI-CE), que regula aspectos como las cookies o la informaci\u00f3n que debe aparecer en una web.<\/p>\n Un dato clave para los propietarios de webs: el RGPD no distingue por tama\u00f1o de empresa. Una persona aut\u00f3noma con una web de contacto trata datos personales exactamente igual que una gran corporaci\u00f3n. Lo que cambia es el volumen y el tipo de datos, no la obligaci\u00f3n de cumplir.<\/p>\n Todo el reglamento se apoya en unos principios que conviene entender bien, porque son la base de cualquier decisi\u00f3n pr\u00e1ctica:<\/p>\n El RGPD aplica a cualquier organizaci\u00f3n que trate datos personales de personas que est\u00e9n en la Uni\u00f3n Europea, en el contexto de un establecimiento en la UE o al ofrecer bienes y servicios a personas de la UE. En la pr\u00e1ctica, esto cubre:<\/p>\n Si tu web recoge un nombre, un email o un tel\u00e9fono, ya est\u00e1s dentro del \u00e1mbito de aplicaci\u00f3n. No existe un umbral m\u00ednimo de visitas o de facturaci\u00f3n que te deje fuera.<\/p>\n Antes de revisar documentos, merece la pena hacer inventario. Estos son los puntos donde se recogen datos personales en la mayor\u00eda de webs de negocio:<\/p>\n Este inventario, aunque sea una hoja de c\u00e1lculo sencilla, es la base de todo lo dem\u00e1s: sin saber qu\u00e9 datos tienes y para qu\u00e9, no puedes informar correctamente ni proteger lo que no conoces.<\/p>\n Estos son los elementos que, en la pr\u00e1ctica, se revisan siempre cuando se audita una web de negocio:<\/p>\n Debe explicar qui\u00e9n es el responsable del tratamiento, con qu\u00e9 finalidad se tratan los datos, cu\u00e1l es la base legal, cu\u00e1nto tiempo se conservan, a qui\u00e9n se comunican y c\u00f3mo ejercer tus derechos. Tiene que estar enlazada desde el pie de p\u00e1gina y desde los propios formularios.<\/p>\n La normativa espa\u00f1ola exige identificar al titular de la web, su actividad y una v\u00eda de contacto directa. Es un requisito independiente de la privacidad, pero se revisa junto con ella.<\/p>\n Las cookies no esenciales (anal\u00edtica, publicidad, redes sociales) no pueden activarse antes de que el visitante acepte. Esto significa que el banner de cookies debe permitir aceptar, rechazar y configurar por categor\u00edas con el mismo nivel de facilidad.<\/p>\n Una casilla que el usuario marca de forma activa, con un texto que explique para qu\u00e9 se usar\u00e1n sus datos y un enlace a la pol\u00edtica de privacidad. Las casillas premarcadas o el consentimiento \u00abimpl\u00edcito por enviar el formulario\u00bb no son v\u00e1lidos.<\/p>\n Los interesados tienen derecho de acceso, rectificaci\u00f3n, supresi\u00f3n, limitaci\u00f3n del tratamiento, portabilidad y oposici\u00f3n, entre otros. Debes indicar c\u00f3mo ejercerlos y disponer de un procedimiento real para atenderlos.<\/p>\n Tu proveedor de hosting, tu plataforma de email marketing, tu gestor de cookies o tu servicio de anal\u00edtica tratan datos personales en tu nombre. El RGPD exige un contrato de encargado del tratamiento (o un anexo de protecci\u00f3n de datos) con cada uno.<\/p>\n El art\u00edculo 32 del RGPD no fija una lista cerrada, pero s\u00ed exige medidas \u00abapropiadas al riesgo\u00bb. En una web eso se traduce en HTTPS, actualizaciones al d\u00eda, control de accesos, copias de seguridad y registro de actividad.<\/p>\nQu\u00e9 es el RGPD y por qu\u00e9 afecta a cualquier web, grande o peque\u00f1a<\/h2>\n
Los principios b\u00e1sicos que debes interiorizar<\/h3>\n
\n
\u00bfA qui\u00e9n aplica el RGPD? (aunque tu web sea peque\u00f1a)<\/h2>\n
\n
Los seis datos que tu web probablemente ya recoge sin que lo hayas pensado<\/h2>\n
\n
Qu\u00e9 debe tener tu web para cumplir con el RGPD<\/h2>\n
1. Pol\u00edtica de privacidad accesible y en lenguaje claro<\/h3>\n
2. Aviso legal y datos de contacto del titular<\/h3>\n
3. Pol\u00edtica de cookies y gesti\u00f3n del consentimiento<\/h3>\n
4. Consentimiento informado en los formularios<\/h3>\n
5. Informaci\u00f3n sobre los derechos de las personas<\/h3>\n
6. Contratos con proveedores que tratan datos por ti<\/h3>\n
7. Medidas de seguridad t\u00e9cnicas y organizativas<\/h3>\n
Tabla resumen: obligaciones, si aplican a tu web y c\u00f3mo cumplirlas<\/h2>\n