RGPD en una web pequeña: qué te obliga de verdad y qué no

Si has llegado hasta aquí es porque alguien te ha dicho que tu web «no cumple el RGPD» y no sabes si eso significa que mañana te multan o que te están intentando vender algo. La respuesta corta: una web pequeña de empresa o de autónomo tiene cinco obligaciones reales, y las cinco se resuelven en una tarde de trabajo. Casi todo lo demás que te cuentan por teléfono es un servicio opcional, una recomendación o directamente algo que dejó de existir en 2018.

Aquí tienes cuáles son esas cinco obligaciones, dónde suele estar el incumplimiento de verdad y qué papeles tienes que poder enseñar si alguien te reclama. Al final, una lista de 15 puntos para revisar hoy.

Aviso: es una guía práctica escrita desde el lado técnico, no asesoramiento jurídico. Si tratas datos de salud, de menores o biométricos, tu caso se sale de este artículo y necesitas un abogado especializado.

Qué datos personales trata tu web aunque creas que ninguno

La frase que más se oye es «yo no guardo datos, solo tengo una web de presentación». Casi nunca es cierto. Un dato personal es cualquier información que permita identificar a una persona, directa o indirectamente. Con ese criterio, una web de cinco páginas normalmente trata:

El formulario de contacto: nombre, correo, teléfono y el texto libre que escriba el visitante, que a veces incluye cosas que preferirías no tener guardadas.
Los comentarios del blog, si los tienes abiertos: WordPress guarda nombre, correo, web y dirección IP en la tabla wp_comments.
Los registros del servidor (los logs de acceso), que guardan la IP de cada visita. La IP es un dato personal a estos efectos.
Las cookies y los identificadores de analítica o publicidad, que son la parte que más problemas da.
Los usuarios de WordPress, incluidos los de la agencia que te hizo la web y siguen dados de alta.
Los pedidos y clientes si tienes tienda, con dirección postal y a veces datos de facturación.

Con que se cumpla uno solo de esos puntos, el RGPD (Reglamento europeo 2016/679) y la LOPDGDD (Ley Orgánica 3/2018) te aplican. No hay un umbral de tamaño por debajo del cual quedes fuera. Lo que sí cambia con el tamaño es cuánto te exigen, porque la norma es proporcional al riesgo.

Las bases de legitimación explicadas con ejemplos de una pyme

Para tratar un dato personal necesitas una razón legal, que la norma llama base de legitimación. Son seis, pero en una web pequeña solo se usan cuatro y conviene no confundirlas, porque de esto depende si necesitas o no una casilla que el usuario tenga que marcar.

Ejecución de un contrato. Alguien te compra y necesitas su dirección para el envío. No hace falta consentimiento: sin dirección no hay envío. De ahí el error clásico de la casilla «acepto que trates mis datos» en el proceso de compra.
Obligación legal. Guardas las facturas porque la normativa fiscal y mercantil te obliga a conservarlas. Aquí el cliente no puede pedirte que las borres.
Consentimiento. Es la base de la newsletter y de las cookies no necesarias. Tiene que ser libre, específico, informado e inequívoco: una casilla vacía que el usuario marca, nunca una casilla premarcada ni un «al enviar aceptas».
Interés legítimo. El cajón más abusado. Sirve para la seguridad de tu propia web o para responder a quien te escribe, pero exige que puedas explicar que tu interés no aplasta los derechos de la persona. Como comodín para hacer publicidad a todo el que pase, no se sostiene.

Regla práctica: una base por finalidad. Responder a un formulario y apuntar a esa persona en la newsletter son dos cosas distintas. Meterlas en la misma casilla es el incumplimiento que más se reclama.

Las cinco obligaciones que sí aplican a una web de cinco páginas

1. Informar antes de recoger nada

Tiene que haber una política de privacidad accesible desde cualquier página y, en cada formulario, una información básica (quién eres, para qué, con qué base legal, a quién cedes los datos y cómo ejercer los derechos) con enlace a la política completa. En el formulario basta la primera capa. El detalle de qué exige cada norma está en la guía de qué textos legales son obligatorios en la web de una empresa.

2. Tener una base legal para cada tratamiento

Lo que acabamos de ver. En la práctica: casilla de consentimiento solo donde de verdad haga falta, y nunca premarcada.

3. El registro de actividades de tratamiento

Es un documento interno donde apuntas qué datos tratas, para qué, cuánto los guardas y a quién se los cedes. La norma exime de llevarlo por debajo de 250 empleados, pero con tantas excepciones (tratamientos no ocasionales, con riesgo para los derechos, con categorías especiales) que casi cualquier negocio con clientes acaba teniendo que llevarlo. Es un folio, no un tratado: aquí tienes cómo se monta el registro de actividades de tratamiento de una pyme.

4. Atender los derechos de las personas

Acceso, rectificación, supresión, oposición, limitación y portabilidad. Tienes que poder recibir esas peticiones y responder en el plazo de un mes. No hace falta un formulario sofisticado: vale un correo, siempre que exista y alguien lo lea.

5. Medidas de seguridad proporcionadas al riesgo

El RGPD no da una lista cerrada, pero sí te obliga a poder explicar qué has hecho. En una web pequeña eso es HTTPS, contraseñas distintas y fuertes en panel y hosting, verificación en dos pasos, actualizaciones al día, copias de seguridad que se puedan restaurar y no tener a media agencia con permisos de administrador tres años después. Y si algo sale mal, notificar la brecha en plazo. Lo desarrollamos en la guía de normativa de protección de datos y ciberseguridad para pymes.

Lo que te venden como obligatorio y no lo es

Esta es la parte que suele ahorrarte dinero:

«Hay que registrar los ficheros en la AEPD». No. La inscripción de ficheros desapareció con la normativa anterior. Hoy el registro es interno y tuyo; no se presenta en ningún sitio.
«Necesitas un delegado de protección de datos (DPD)». Solo es obligatorio en supuestos concretos: organismos públicos, seguimiento habitual y sistemático a gran escala, o tratamiento a gran escala de categorías especiales. Una asesoría, un restaurante o una tienda con una web normal no entran ahí. Puedes designarlo voluntariamente, pero entonces asumes las obligaciones asociadas.
«El sello RGPD». No existe un sello oficial de cumplimiento. Hay esquemas de certificación regulados, pero no es lo que te ofrecen por teléfono.
«Auditoría bienal obligatoria». Venía del reglamento de la ley anterior. El RGPD no impone una auditoría periódica como tal: impone poder demostrar que cumples, que no es lo mismo.
«Cuota mensual para estar al día». Puede ser un servicio razonable, pero no es una obligación legal.

Formulario, newsletter y chat: dónde suele estar el incumplimiento real

Cuando reviso webs pequeñas, el problema casi nunca es la falta de documentos. Es esto:

Una sola casilla para todo. «Acepto la política de privacidad y recibir comunicaciones comerciales.» Son dos consentimientos y tienen que ir separados.
Casillas premarcadas o formularios sin ninguna casilla que asumen la aceptación por el hecho de enviar.
El plugin de formularios guarda copia en la base de datos y nadie lo sabe. Contact Form 7 por defecto no, pero WPForms, Forminator, Gravity Forms o Fluent Forms sí guardan las entradas en wp-admin → menú del plugin → Entradas. Ahí llevas años acumulando datos que nadie ha borrado. Entra y mira cuántos hay.
El chat de terceros (widget de soporte, chatbot) que carga antes de que nadie acepte nada y manda la IP del visitante fuera.
La newsletter alimentada a mano con las tarjetas de un evento o con correos de clientes antiguos. Eso no es consentimiento y, si te reclaman, no tienes nada que enseñar.
Cookies de analítica y de píxeles publicitarios que se cargan antes del consentimiento. Es el punto donde más pymes españolas incumplen sin saberlo, y merece su propio artículo: cómo poner el banner de cookies conforme a la guía de la AEPD sin quedarte sin analítica.

Qué documentación tienes que poder enseñar si te reclaman

El principio clave del RGPD es la responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo. Si mañana llega una reclamación, esto es lo que te van a pedir y lo que deberías tener guardado en una carpeta:

La política de privacidad vigente y, si puedes, las versiones anteriores con su fecha.
El registro de actividades de tratamiento.
Los contratos de encargado del tratamiento con hosting, agencia, plataforma de correo y gestoría.
La prueba del consentimiento de cada suscriptor: fecha, hora, dirección IP y el texto exacto que aceptó.
El registro interno de brechas de seguridad, aunque esté vacío y aunque no hayas tenido que notificar ninguna.
La justificación de las medidas de seguridad que has adoptado y de las que has descartado.
Un procedimiento, aunque sea de media página, de cómo atiendes una petición de derechos.

Seamos honestos con el reparto: los puntos 1, 2, 5 y 7 los redactas tú en una tarde. El 3 depende de que tus proveedores te den los papeles, y ahí hay que insistir. El 4 es técnico y depende de cómo esté montado el formulario. Si tienes tienda, tratas datos de muchas personas o ya te ha llegado una reclamación, habla con un abogado de protección de datos: no es caro para una pyme y es dinero bien gastado.

Checklist final de 15 puntos para revisar hoy

La política de privacidad existe, está enlazada en el pie y se abre.
El aviso legal tiene tus datos identificativos reales y actualizados.
Hay política de cookies y coincide con las cookies que de verdad usas.
Cada formulario tiene información básica en primera capa y enlace a la política.
Ninguna casilla está premarcada.
El consentimiento comercial va separado del envío del formulario.
Sabes dónde se guardan las entradas del formulario y has borrado las antiguas.
Hay una dirección de contacto real para ejercer derechos y alguien la lee.
Tienes contrato de encargado con el hosting y con quien te lleva la web.
Has revisado la lista de usuarios de WordPress y no queda nadie de más.
El sitio va por HTTPS en todas las páginas, sin contenido mixto.
Hay copias de seguridad y alguna vez has probado a restaurar una.
El banner de cookies bloquea de verdad los scripts antes de aceptar.
Tienes el registro de actividades escrito, aunque sea un folio.
Tienes el registro de brechas creado, aunque esté vacío.

Con los quince en verde, tu web está en una situación defendible. Si fallan tres o cuatro, son un par de horas de trabajo, no un proyecto.

Buena parte de esa lista se comprueba desde fuera, sin instalar nada: qué cookies se cargan antes de que nadie acepte, si el HTTPS está bien resuelto y qué servicios de terceros reciben la IP de tus visitantes. Comprueba gratis qué expone tu web ahora mismo y usa el resultado como punto de partida del checklist de arriba.

Seguir leyendo en esta sección

Ver todo en RGPD y protección de datos → · Mapa completo del sitio