RGPD y LDSI: cómo hacer que tu página web cumpla la ley sin volverte loco
Si tienes una página web o una tienda online en España, estás obligado a cumplir dos normativas fundamentales: el Reglamento General de Protección de ...
Tienes una web activa y dentro de ella ocurren cosas que quizá no te has plenamente: alguien rellena un formulario de contacto, un usuario acepta cookies, un cliente registra su correo para recibir ofertas. Todo eso, por separado, parece trivial. Pero cada una de esas acciones está regulada por dos normativas que no admiten excusas: el Reglamento General de Protección de Datos (RGPD) y la Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI). Y si crees que solo afecta a las grandes empresas, la cifra que sigue te hará pensar.
Según datos de la AEPD, más del 70 % de las páginas web españolas presentan al menos una deficiencia grave en su adaptación al RGPD o la LSSI. Las sanciones pueden alcanzar los 600.000 euros por infracciones graves del RGPD y 30.000 euros por incumplimientos de la LSSI.
Lo preocupante no es que la mayoría de las webs fallen en algún punto, sino que la mayoría de esos fallos son completamente evitables. Se resuelven con textos bien redactados, formularios correctamente configurados y un par de ajustes en la infraestructura del sitio. No se trata de ser abogado, sino de entender qué exige la ley y saber a quién acudir para que lo aplique a tu caso concreto.
Qué dice la ley y por qué debería importarte
Antes de meternos en textos legales y casillas de consentimiento, vale la pena entender la lógica que hay detrás de ambas normativas. El RGPD y la LSSI no nacieron para fastidiar al emprendedor medio. Responden a una preocupación real: proteger a las personas que navegan por internet de prácticas abusivas, mal uso de sus datos y falta de información esencial.
El RGPD: tu obligación de tratar los datos con respeto
El RGPD es un reglamento europeo, directamente aplicable en España desde mayo de 2018. Su principio fundamental es sencillo: los datos personales pertenecen al usuario, y tú solo puedes usarlos si tienes una base legal para hacerlo y siempre de forma transparente. Eso incluye desde la dirección de correo de un formulario de contacto hasta las cookies que rastrean el comportamiento de navegación.
La LSSI: la cara visible de la legalidad en tu web
La LSSI regula todo lo que tiene que ver con la prestación de servicios de la información y el comercio electrónico en España. En términos prácticos, te obliga a identificarte claramente como titular de la web, a informar sobre el uso de cookies antes de que se activen y a cumplir requisitos específicos si realizas ventas online. Sin estos elementos, tu web opera en un terreno que la ley considera irregular.
Por qué las dos normativas van siempre juntas
Aunque el RGPD protege datos y la LSSI regula la actividad informativa y comercial, en la práctica se solapan constantemente. Un formulario de contacto, por ejemplo, debe cumplir con el RGPD en lo relativo a consentimiento y tratamiento de datos, y con la LSSI en lo relativo a información del responsable. Tratar una normativa sin la otra es como construir una pared sin el techo: queda estructura, pero no protege.
RGPD: los cuatro pilares que toda web debe cumplir
El RGPD no es un documento con cientos de artículos abstractos. En su versión práctica para una web, se resume en cuatro obligaciones que cualquier propietario de un sitio puede entender y aplicar. Las cuatro están relacionadas entre sí: si cumples una, probablemente necesites las otras tres para estar completo.
Política de privacidad completa y comprensible
Tu web debe tener una política de privacidad publicada en un lugar accesible, preferiblemente enlazada desde el pie de página y desde cualquier formulario que recoja datos. Debe explicar con claridad qué datos recopilas (nombre, correo, dirección, cookies), para qué los usas (envío de boletines, gestión de pedidos, análisis de tráfico), cuánto tiempo los conservas y quién es el responsable del tratamiento.
Identificación del responsable del tratamiento y sus datos de contacto.
Categorías de datos recopilados y finalidad de cada una.
Base legal que ampara el tratamiento (consentimiento, obligación legal o interés legítimo).
Plazos de conservación de los datos.
Derechos del interesado: acceso, rectificación, supresión, limitación, portabilidad y oposición.
Consentimiento informado sin trampas
El consentimiento debe ser libre, específico, informado e inequívoco. Esto significa que la casilla de aceptación no puede estar premarcada, que el usuario debe poder entender fácilmente a qué está dando su visto bueno y que no puedes condicionar la prestación del servicio principal a la aceptación de tratamientos que no sean estrictamente necesarios.
En la práctica, eso se traduce en formularios con una casilla desmarcada que enlace a la política de privacidad, en suscripciones a newsletters que confirmen la doble aceptación (double opt-in) y en procesos de registro que no obliguen al usuario a aceptar el envío de publicidad para poder crear su cuenta.
Contratos de encargado de tratamiento con terceros
Si utilizas Google Analytics, Mailchimp, un CRM, un servicio de email marketing o incluso un plugin de chat en tu web, estás cediendo datos personales de tus usuarios a un tercero. El RGPD exige que tengas un contrato formal con cada uno de esos proveedores, documentando exactamente qué datos se transfieren, con qué finalidad y qué medidas de seguridad aplican.
Este es uno de los puntos que más sorprenden a las pymes. Muchas creen que basta con usar un servicio de terceros que tenga su propia política de privacidad, pero la ley establece que la responsabilidad recae en ti como responsable del tratamiento. Si tu proveedor incumple, la AEPD puede sancionarte a ti primero.
Registro de actividades de tratamiento
El RGPD exige que lleves un registro documentado de todas las actividades de tratamiento de datos que realizas en tu web. No se trata de un libro grueso y burocrático, sino de una tabla clara donde figuren las categorías de datos tratados, la finalidad, los destinatarios, los plazos de conservación y las medidas de seguridad aplicadas.
Si tu web es pequeña y solo recopila correos de contacto, el registro será breve. Si gestionas una tienda online con miles de clientes, el registro crecerá en complejidad, pero sigue siendo obligatorio. La buena noticia es que la propia AEPD ofrece modelos de registro que puedes adaptar a tu caso.
LSSI: los tres documentos que necesitas publicar
Mientras el RGPD se centra en el tratamiento de datos, la LSSI exige que tu web muestre información concreta sobre quién la gestiona, cómo usa las cookies y, si vendes online, bajo qué condiciones se realizan las transacciones. Estos tres documentos no son negociables: sin ellos, tu web está incumpliendo la ley española.
Aviso legal: quién está detrás de la web
El aviso legal es la página donde identificas al titular de la web con todos sus datos registrales: nombre o razón social, NIF, domicilio social, correo electrónico de contacto y, si ejerces una profesión regulada, los datos del colegio profesional y tu número de colegiado. Es el documento que acredita que hay una persona o empresa real detrás del sitio.
Muchas pymes omiten este dato pensando que no es importante, o lo colocan en un rincón oscuro del sitio. Sin embargo, la AEPD y los tribunales consideran la ausencia de aviso legal una infracción grave, precisamente porque impide al usuario saber contra quién puede dirigirse en caso de problema.
Política de cookies: informar antes de rastrear
La política de cookies explica qué cookies utilizas en tu web, con qué finalidad (analíticas, publicitarias, funcionales), cuál es su duración y cómo puede el usuario gestionarlas. Pero no basta con publicar la política: necesitas un banner que aparezca antes de que se active cualquier cookie no esencial y que ofrezca la opción de aceptar, rechazar o configurar cada categoría.
El banner debe ser tan funcional como accesible: sin botones ocultos, sin aceptar todo con un clic y rechazar con tres, y sin prejudicar la experiencia del usuario que elige no aceptar. El browsing debe funcionar igual con todas las cookies rechazadas que con todas aceptadas, salvo en lo estrictamente necesario para el servicio.
Condiciones de venta para tiendas online
Si tu web tiene tienda online, además del aviso legal y la política de privacidad necesitas unas condiciones de venta claras que incluyan: precios con IVA incluido, métodos de pago aceptados, plazos y costes de envío, política de devoluciones y derecho de desistimiento (14 días desde la recepción del producto), y procedimientos de reclamación. Estas condiciones deben estar accesibles antes de que el usuario confirme la compra.
| Documento | Obligatorio para | Qué incluye | Dónde se publica |
|---|---|---|---|
| Aviso legal | Todas las webs | Datos del titular, NIF, domicilio, correo, datos registrales | Página accesible desde el pie de página |
| Política de privacidad | Todas las webs que recopilan datos | Finalidad del tratamiento, base legal, derechos del usuario, plazos de conservación | Enlace permanente en el pie y en cada formulario |
| Política de cookies | Todas las webs que usan cookies | Tipos de cookies, finalidad, duración, gestión por el usuario | Banner + página dedicada |
| Condiciones de venta | Tiendas online | Precios, envíos, devoluciones, pago, reclamaciones | Antes de la pantalla de pago y accesible permanentemente |
Derechos ARCO: cómo facilitarlos sin morir en el intento
El acrónimo ARCO ha quedado algo obsoleto con la actualización del RGPD, pero sigue siendo útil para recordar los derechos fundamentales de los usuarios sobre sus datos: Acceso, Rectificación, Cancelación (ahora Supresión), Oposición y, como novedad con el RGPD, Limitación y Portabilidad. Tu web debe permitir que cualquier usuario ejerza estos derechos sin tener que mandar un burofax.
Canal de contacto para el ejercicio de derechos
La forma más sencilla es incluir un formulario específico o una dirección de correo electrónico visible en la política de privacidad, etiquetada claramente como canal para ejercer derechos ARCO. Debes responder en un plazo máximo de un mes desde la solicitud, ampliable a dos meses si la complejidad lo requiere (en cuyo caso debes informar al usuario dentro del primer mes).
Procedimiento de verificación de identidad
Cuando un usuario solicita el acceso a sus datos o su supresión, debes verificar su identidad para evitar que un tercero acceda información ajena. El procedimiento más habitual es solicitar una copia de un documento oficial (con los datos no esenciales tachados) o utilizar un enlace de confirmación enviado al correo registrado. El proceso debe ser proporcional: no puedes pedir un pasaporte para borrar un correo de una newsletter.
Qué hacer cuando la solicitud es infundada o excesiva
El RGPD permite rechazar solicitudes manifiestamente infundadas o excesivas (por ejemplo, un usuario que solicita el acceso a sus datos una vez por semana). En ese caso, debes informar al usuario del motivo del rechazo y ofrecerle la posibilidad de presentar una reclamación ante la AEPD. Nunca ignores la solicitud: el silencio siempre se interpreta en tu contra.
Sanciones reales: lo que puede costarte ignorar la ley
Las sanciones del RGPD no son una amenaza lejana. La AEPD ha impuesto multas a empresas de todos los tamaños, desde grandes corporaciones hasta pequeños autónomos. La cuantía depende de la gravedad de la infracción, el volumen de datos afectados y si ha habido daño a los interesados, pero el mensaje es claro: la impunidad no existe.
| Gravedad | Cuantía RGPD | Cuantía LSSI | Ejemplo práctico |
|---|---|---|---|
| Leve | Hasta 40.000 euros | Hasta 30.000 euros | Falta de aviso legal accesible, formulario sin casilla de consentimiento clara |
| Grave | 40.000 a 300.000 euros | 30.000 a 150.000 euros | Ausencia de política de privacidad, banner de cookies que no funciona, envío de publicidad sin consentimiento |
| Muy grave | 300.000 a 600.000 euros | 150.000 a 600.000 euros | Tratamiento de datos sensibles sin base legal, transferencia internacional sin garantías, vulneración masiva de derechos |
La mayor sanción impuesta por la AEPD hasta la fecha supera los 8 millones de euros, impuesta a una empresa de telecommunications por compartir datos personales con terceros sin consentimiento suficiente.
Lo más llamativo es que muchas de las sanciones no se deben a actos malintencionados, sino a negligencia: no tener los textos legales actualizados, usar cookies de rastreo sin el banner correspondiente o haber contratado un proveedor de hosting fuera de la UE sin las garantías adecuadas. Son errores fáciles de cometer y más fáciles de evitar con una revisión profesional de tu web.
Cómo saber si tu web cumple con la normativa
Si has llegado hasta aquí y estás pensando en si tu web tiene todo en regla, hay una forma rápida de hacer un inventario básico. No sustituye una auditoría profesional, pero te da una idea clara del estado de tu sitio.
Checklist rápido de cumplimiento
Revisa tu web con estos puntos en mente. Si alguno falla, estás expuesto a una sanción que podrías haber evitado con un trabajo relativamente sencillo.
Tu web incluye un aviso legal accesible desde el pie de página con todos los datos del titular.
Existe una política de privacidad publicada y enlazada desde cada formulario que recoja datos.
Los formularios tienen una casilla de consentimiento desmarcada que enlaza a la política de privacidad.
El banner de cookies aparece antes de que se activen cookies no esenciales y ofrece aceptar, rechazar y configurar.
Si vendes online, las condiciones de venta están accesibles antes de la pantalla de pago.
Dispones de un canal (correo o formulario) para que los usuarios ejerzan sus derechos ARCO.
Tienes contratos de encargado de tratamiento con los proveedores que procesan datos de tus usuarios.
Errores más frecuentes que la AEPD detecta
La Agencia Española de Protección de Datos publica periódicamente informes con las infracciones más habituales. Conocerlas te permite evitarlas sin necesidad de esperar a que te llegue una notificación.
| Error frecuente | Por qué es grave | Cómo se soluciona |
|---|---|---|
| Falta de aviso legal | Impide al usuario identificar al titular de la web | Añadir página de aviso legal con datos registrales completos |
| Banner de cookies inexistente o defectuoso | Se rastrea al usuario sin su consentimiento previo | Instalar un gestor de cookies conforme a la LSSI y la directiva europea |
| Formularios sin casilla de consentimiento | Se recogen datos sin base legal | Añadir casilla desmarcada que enlace a la política de privacidad |
| Política de privacidad genérica o inexistente | No informa al usuario sobre el tratamiento de sus datos | Redactar política específica adaptada a los tratamientos reales de la web |
| Uso de Google Analytics sin contrato de encargado | Transferencia de datos a terceros sin garantías documentales | Firmar el contrato de procesador con Google y configurar la anonimización de IP |
Cómo Din Multimedia te pone a salvo
En Din Multimedia llevamos años diseñando y desarrollando páginas web y tiendas online para empresas en España, y el cumplimiento legal siempre forma parte del proyecto desde el primer día. No lo dejamos para la fase final ni lo tratamos como un añadido: es un pilar fundamental de cada sitio que construimos.
Textos legales redactados por profesionales
Cada proyecto incluye aviso legal, política de privacidad y política de cookies redactados específicamente para tu negocio. No usamos plantillas genéricas: adaptamos cada documento a la actividad concreta de tu empresa, a los datos que realmente recopilas y a los proveedores con los que trabajas. Así te asegurás de que la documentación refleja tu realidad y no una abstracción legal.
Infraestructura hosting dentro de la UE
Configuramos el alojamiento en servidores ubicados dentro de la Unión Europea, lo que garantiza que los datos de tus clientes están bajo la jurisdicción europea y no quedan sujetos a leyes de terceros países con menos protección. Además, configuramos los formularios para que incluyan las casillas de consentimiento necesarias y el enlace directo a la política de privacidad.
Tiendas online con condiciones de venta completas
Si tu proyecto incluye comercio electrónico, diseñamos las condiciones de venta, envío y devoluciones de forma completa y accesible. Incluimos la información sobre precios, métodos de pago, plazos de entrega, derecho de desistimiento y procedimientos de reclamación, todo ello ubicado antes de la pantalla de pago para que el cliente pueda revisarlo antes de confirmar su compra.
Además, te asesoramos para que mantengas la documentación actualizada a medida que tu negocio evoluciona: si cambias de proveedor de hosting, añades una nueva herramienta de email marketing o modificas los tratamientos de datos, ajustamos la documentación para que siga reflejando tu situación real.
¿Quieres que revisemos si tu web cumple con el RGPD y la LSSI? Hablemos sin compromiso y te damos un diagnóstico en 48 horas.