RGPD y privacidad en webs y tiendas online: guía práctica para pymes

Una web corporativa recoge datos personales desde el primer día, aunque nadie lo haya planificado.

Un formulario de contacto guarda nombres y correos. Una tienda online almacena direcciones, teléfonos e historiales de compra. Incluso una web informativa instala cookies de analítica que identifican a cada visitante.

Todo ese tratamiento está sujeto al Reglamento General de Protección de Datos. Aplicar el RGPD en webs no es un trámite reservado a grandes empresas: afecta igual a un autónomo con un blog que a un ecommerce con miles de pedidos.

El problema habitual no es la mala fe, sino el desorden. Plugins instalados sin revisar, banners de cookies que solo ofrecen aceptar, políticas de privacidad copiadas de otra web y proveedores sin contrato.

Ese desorden es lo que detecta la Agencia Española de Protección de Datos cuando abre una investigación, y es lo que genera la mayoría de las sanciones a pymes.

La buena noticia es que el cumplimiento se puede ordenar por bloques. Primero se identifica qué datos se recogen, después se justifica cada tratamiento y por último se documenta y se revisa.

Esta guía recorre ese camino con criterios prácticos para una empresa pequeña o mediana: qué exige la norma, qué errores se repiten y qué conviene comprobar antes de que llegue un requerimiento.

Conviene aclarar un límite: nada de lo que sigue sustituye al asesoramiento jurídico de un delegado de protección de datos o de un abogado especializado cuando el caso es complejo.

Qué regula el RGPD en webs y a quién aplica

El RGPD es un reglamento europeo, de aplicación directa en todos los Estados miembros, que protege a las personas físicas en el tratamiento de sus datos personales. En España se complementa con la LOPDGDD y, para cookies y comunicaciones comerciales, con la LSSI.

Se considera dato personal cualquier información que identifique o haga identificable a una persona: nombre, correo, teléfono, dirección IP, identificador de cookie o historial de navegación.

Quién queda dentro

La norma alcanza a cualquier organización que trate datos de personas en la Unión Europea, con independencia de su tamaño o de si cobra por sus servicios.

• Autónomos y profesionales con formulario de contacto o agenda online.
• Pymes con web corporativa, bolsa de empleo o área de clientes.
• Tiendas online que gestionan pedidos, envíos y devoluciones.
• Webs sin venta directa que usan analítica, píxeles de publicidad o suscripción a newsletter.

Qué queda fuera

El tratamiento puramente doméstico y los datos de personas jurídicas, como el nombre de una sociedad, no entran en el ámbito del reglamento. En cambio, el correo de un empleado de esa sociedad sí es dato personal.

Los principios que se repiten en cada auditoría

El artículo 5 del reglamento fija los principios que sirven de criterio para cualquier revisión. Quien los entiende puede deducir la mayoría de las obligaciones concretas.

• Licitud, lealtad y transparencia: el usuario sabe quién trata sus datos y para qué.
• Limitación de la finalidad: los datos recogidos para atender una consulta no se reutilizan para publicidad.
• Minimización: solo se piden los campos necesarios; un formulario de contacto rara vez necesita el DNI.
• Exactitud: los datos erróneos se corrigen o se eliminan.
• Limitación del plazo de conservación: cada dato tiene una fecha de caducidad definida.
• Integridad y confidencialidad: el acceso está protegido con medidas técnicas razonables.

A estos se suma la responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo con documentación.

Responsable y encargado del tratamiento

El responsable del tratamiento decide para qué y cómo se usan los datos. En una web corporativa, es la empresa titular. El encargado del tratamiento es el proveedor que accede a esos datos por cuenta del responsable.

Qué contrato exige cada proveedor

Cuando un proveedor trata datos en nombre de la empresa, el artículo 28 exige un contrato o acuerdo de encargo de tratamiento por escrito. Debe recoger el objeto, la duración, el tipo de datos, las instrucciones del responsable y las medidas de seguridad.

Muchos proveedores de hosting, correo y email marketing ofrecen su acuerdo como anexo aceptable en línea. Lo importante es localizarlo, revisarlo y archivarlo.

Cuándo un proveedor es corresponsable

Algunas herramientas de publicidad o analítica usan los datos para fines propios. En ese caso, el proveedor puede ser un corresponsable o un responsable independiente, y la información al usuario debe reflejarlo.

Cookies y consentimiento

Las cookies están reguladas por la LSSI y se interpretan junto con el RGPD. La Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos es la referencia práctica para las webs españolas.

La regla básica es sencilla: salvo las cookies exentas, ninguna cookie se instala antes de obtener el consentimiento del usuario.

Cómo debe ser un banner correcto

1. Informa de las finalidades en una primera capa clara, con enlace a la política de cookies.
2. Ofrece un botón de rechazar todo tan visible como el de aceptar.
3. Permite configurar el consentimiento granular por finalidad: analítica, publicidad, personalización.
4. No marca casillas por defecto ni interpreta el scroll o la navegación como aceptación.
5. Guarda la prueba del consentimiento y permite retirarlo en cualquier momento.

Qué cookies están exentas

Las cookies estrictamente necesarias no requieren consentimiento: sesión de usuario, carrito de compra, equilibrado de carga o preferencia de idioma elegida por el visitante. La analítica y la publicidad no figuran en esa lista, salvo supuestos muy concretos que conviene verificar en la guía.

Cómo auditar las cookies de una web

Una revisión fiable no parte de lo que dice la política, sino de lo que ocurre en el navegador. Con las herramientas para desarrolladores se puede abrir la web en una ventana limpia, rechazar el banner y comprobar qué cookies y qué peticiones a terceros se producen.

• Si aparecen cookies de analítica o publicidad antes de aceptar, el banner no está bloqueando nada.
• Si el botón de rechazar existe pero las cookies se instalan igualmente, el consentimiento es meramente decorativo.
• Los scripts incrustados, como mapas, vídeos o botones sociales, también instalan cookies de terceros.

Esta revisión debe repetirse tras cada cambio relevante: un plugin nuevo, un píxel de campaña o una actualización del tema pueden reintroducir cookies sin que nadie lo note.

La política de privacidad y la información por capas

Los artículos 13 y 14 obligan a informar al usuario en el momento de recoger sus datos. La fórmula más extendida es la información por capas: un resumen visible junto al formulario y una política completa a un clic de distancia.

Qué debe incluir la primera capa

• Identidad del responsable y datos de contacto.
• Finalidad del tratamiento.
• Base legal que lo justifica.
• Destinatarios y posibles transferencias internacionales.
• Cómo ejercer los derechos y enlace a la información completa.

Qué añade la segunda capa

La política completa detalla los plazos de conservación, el origen de los datos cuando no los facilita el usuario, la existencia de decisiones automatizadas y el derecho a reclamar ante la AEPD. Debe estar redactada en lenguaje claro y adaptarse a los tratamientos reales de la web, no a una plantilla genérica.

La ficha de datos y el registro de actividades

Internamente, la empresa necesita una ficha de datos por cada tratamiento: contacto web, clientes, pedidos, newsletter, candidatos. Es la base del registro de actividades de tratamiento previsto en el artículo 30.

Cada ficha recoge qué datos se tratan, con qué finalidad, sobre qué base legal, durante cuánto tiempo, quién accede y con qué medidas de seguridad. Las organizaciones de menos de 250 empleados tienen una exención parcial, pero pierden esa exención si el tratamiento no es ocasional o incluye datos sensibles.

En la práctica, una hoja de cálculo bien mantenida suele bastar para una pyme. Lo decisivo es que refleje la realidad y que se actualice cuando cambia un proveedor o aparece un formulario nuevo.

Base legal de cada tratamiento

Todo tratamiento necesita una base legal del artículo 6. Elegirla bien evita pedir consentimientos innecesarios y evita también escudarse en una base que no corresponde.

• Ejecución de un contrato: gestión de un pedido, envío o servicio contratado.
• Obligación legal: conservación de facturas por normativa fiscal y mercantil.
• Interés legítimo: prevención del fraude o seguridad de la web, tras una ponderación documentada.
• Consentimiento: newsletters, cookies no exentas y comunicaciones comerciales no vinculadas a un cliente.

Un error frecuente consiste en pedir consentimiento para todo. Si el tratamiento es necesario para ejecutar el contrato, el consentimiento no es la base adecuada y, además, puede retirarse y dejar sin cobertura un proceso esencial.

Derechos de los usuarios y plazos de respuesta

El reglamento reconoce derechos que la empresa debe poder atender sin demoras.

• Acceso: conocer qué datos se tratan y con qué fin.
• Rectificación: corregir datos inexactos.
• Supresión: eliminar los datos cuando ya no son necesarios o se retira el consentimiento.
• Limitación: congelar el tratamiento mientras se resuelve una reclamación.
• Portabilidad: recibir los datos en un formato estructurado y de uso común.
• Oposición: negarse a tratamientos basados en interés legítimo o dirigidos a marketing.

El plazo general de respuesta es de un mes desde la recepción de la solicitud, ampliable en dos meses más si es compleja y se comunica al interesado. Conviene designar un buzón específico y un procedimiento interno para identificar al solicitante, localizar sus datos en todos los sistemas y dejar constancia de la respuesta.

Proveedores que tratan datos

Una web moderna depende de muchos servicios externos, y cada uno puede implicar un tratamiento de datos que debe reflejarse en la documentación.

• Herramientas de analítica y mapas de calor.
• CRM y sistemas de gestión de clientes.
• Pasarelas de pago y plataformas antifraude.
• Servicios de hosting, copias de seguridad y correo.
• Plataformas de newsletter y automatización de marketing.
• Asistentes y chatbots basados en inteligencia artificial.

Las herramientas de IA merecen una atención especial. Si un empleado pega en un asistente externo datos de clientes o currículums, está comunicando datos personales a un tercero, y la empresa necesita contrato, base legal e información al afectado.

Un inventario de proveedores, con el país de tratamiento y el contrato firmado, evita la mayoría de los descubrimientos incómodos durante una inspección.

Transferencias internacionales

Enviar datos fuera del Espacio Económico Europeo exige una garantía adicional. Muchos servicios de analítica, correo o CRM tienen servidores o soporte técnico en terceros países.

Las vías habituales son una decisión de adecuación de la Comisión Europea, que reconoce un nivel de protección equivalente en un país concreto, o las cláusulas contractuales tipo, publicadas por la Comisión Europea.

Las decisiones de adecuación pueden modificarse con el tiempo, de modo que conviene consultar el listado vigente en la web de la Comisión en lugar de fiarse de documentación antigua. Cuando se usan cláusulas tipo, suele ser necesario evaluar el impacto de la transferencia y aplicar medidas complementarias, como el cifrado.

Seguridad técnica de la web

El artículo 32 exige medidas técnicas y organizativas adecuadas al riesgo. No fija una lista cerrada, pero una web que gestiona datos personales debería cumplir unos mínimos.

1. Certificado SSL activo y redirección de todo el tráfico a HTTPS.
2. Actualización periódica del CMS, los plugins y el tema.
3. Contraseñas robustas, doble factor para administradores y usuarios con los permisos mínimos.
4. Copias de seguridad cifradas y pruebas de restauración.
5. Registro de accesos y alertas ante comportamientos anómalos.

Un hosting profesional con aislamiento entre cuentas, cortafuegos y monitorización reduce de forma notable el riesgo de que un fallo en una web ajena acabe comprometiendo los datos propios.

Brechas de seguridad: las primeras 72 horas

Una brecha es cualquier incidente que provoca la destrucción, pérdida, alteración o acceso no autorizado a datos personales. El robo de una base de clientes, un ransomware o un correo enviado al destinatario equivocado entran en esa definición.

El responsable debe notificar a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tiene constancia, salvo que sea improbable que la brecha suponga un riesgo para los afectados.

1. Contener el incidente: aislar sistemas, cambiar credenciales y cerrar el acceso explotado.
2. Registrar qué ha pasado, cuándo se detectó y qué datos están afectados.
3. Evaluar el riesgo para las personas: suplantación, fraude económico, exposición de datos sensibles.
4. Notificar a la AEPD a través de su sede electrónica cuando proceda.
5. Informar a los afectados si el riesgo es alto, con lenguaje claro y recomendaciones concretas.

Aunque no haya obligación de notificar, toda brecha debe quedar documentada internamente. Disponer de este protocolo escrito antes del incidente ahorra horas críticas.

Errores frecuentes en webs y tiendas online

Las revisiones de RGPD en webs de pymes repiten casi siempre los mismos fallos.

• Banner de cookies que muestra solo el botón de aceptar o esconde el rechazo en una segunda capa.
• Casilla de consentimiento premarcada en formularios y en el checkout.
• Política de privacidad copiada que menciona tratamientos inexistentes y omite los reales.
• Formularios que piden más datos de los necesarios.
• Newsletter sin doble confirmación ni forma sencilla de darse de baja.
• Proveedores sin contrato de encargo de tratamiento.
• Datos de clientes conservados indefinidamente sin ningún criterio.

Muchos de estos fallos son técnicos y se corrigen en el propio desarrollo de la web, antes de que se conviertan en un problema legal.

Lista de comprobación de RGPD en webs para poner orden

Una revisión inicial razonable del RGPD en webs puede organizarse en pasos ordenados por prioridad.

1. Inventariar formularios, cookies, plugins y servicios externos de la web.
2. Asignar una base legal a cada tratamiento y eliminar los campos que no se justifican.
3. Reconfigurar el banner de cookies y bloquear los scripts hasta el consentimiento.
4. Actualizar la política de privacidad, el aviso legal y la política de cookies con datos reales.
5. Firmar y archivar los contratos de encargo con cada proveedor.
6. Redactar el procedimiento de derechos y el protocolo de brechas.
7. Fijar una revisión periódica, por ejemplo cada seis meses o tras cambios importantes.

La Agencia Española de Protección de Datos publica herramientas gratuitas como Facilita, pensada para tratamientos de bajo riesgo, y guías sectoriales en su sede oficial. Para el texto completo de la norma, el Reglamento (UE) 2016/679 en EUR-Lex es la fuente de referencia.

Qué se juega una pyme si no ordena su privacidad

El reglamento prevé multas de hasta 20 millones de euros o el 4 % de la facturación anual global, según cuál sea mayor, en las infracciones más graves. Para una pyme que descuida el RGPD en webs, las sanciones reales suelen ser inferiores, pero siguen siendo desproporcionadas frente al coste de prevenir.

Además de la multa, existen otros costes: pérdida de confianza de los clientes, bloqueos en procesos de compra con empresas que exigen garantías y tiempo de gestión durante una inspección.

Tratar la privacidad como parte del diseño de la web, y no como un parche posterior, resulta más barato y más estable a medio plazo.

En Calltek, el cumplimiento técnico se integra en el desarrollo web desde el inicio: formularios con los campos mínimos, banner de cookies que bloquea realmente los scripts, SSL, copias y actualizaciones controladas. Para revisar una web existente o plantear un proyecto nuevo, el equipo puede analizarlo a través de la página de contacto.