El RGPD para sitios web puede parecer un texto abstracto hasta que lo aplicas a tu propio proyecto. Esta guía traduce sus principios, bases jurídicas y derechos a ejemplos concretos que puedes reconocer en tu día a día como titular de un sitio web.
Qué es el RGPD para sitios web y a quién se aplica
El RGPD (Reglamento UE 2016/679) regula cómo deben tratarse los datos personales de las personas que se encuentran en la Unión Europea, con independencia de dónde esté establecido tu sitio web. Si tu página recibe visitas de personas en la UE, el RGPD te aplica, sea cual sea el tamaño de tu proyecto.
Los seis principios centrales, con ejemplos
| Principio | Ejemplo en un sitio web |
|---|---|
| Licitud y transparencia | Explicar en la política de privacidad qué datos tratas y por qué |
| Limitación de la finalidad | No usar el correo de una consulta de contacto para enviar publicidad sin consentimiento |
| Minimización de datos | Pedir solo nombre y correo en un formulario, no el teléfono si no lo necesitas |
| Exactitud | Permitir que un usuario corrija su dirección de facturación desde su cuenta |
| Limitación del plazo | Eliminar los registros del servidor pasadas unas semanas |
| Integridad y confidencialidad | Usar HTTPS y mantener el software actualizado |
Las seis bases jurídicas, explicadas con casos reales
Todo tratamiento de datos necesita apoyarse en una base jurídica del artículo 6.1 del RGPD. El consentimiento cubre la suscripción a una newsletter o las cookies no esenciales. La ejecución de un contrato cubre procesar el pedido de una tienda online. La obligación legal cubre la conservación de facturas por motivos fiscales. El interés legítimo cubre los registros de seguridad del servidor o la prevención de fraude, siempre que supere el test de ponderación frente a los derechos de la persona.
Los derechos de las personas interesadas, uno por uno
El RGPD reconoce varios derechos que cualquier visitante de tu sitio web puede ejercer. El derecho de acceso permite saber qué datos tratas. El derecho de rectificación permite corregir datos incorrectos. El derecho de supresión permite pedir su eliminación. El derecho de oposición permite frenar el marketing directo sin dar explicaciones. El derecho de portabilidad permite recibir los datos en un formato reutilizable para llevarlos a otro proveedor. Todos ellos deben poder ejercerse en el plazo de un mes desde la solicitud, tal y como explicamos paso a paso en derecho de acceso: cómo responder paso a paso.
RGPD y LOPDGDD: por qué debes citar las dos
El RGPD es de aplicación directa en toda la UE, pero deja margen a cada Estado miembro para desarrollar ciertos aspectos. En España ese desarrollo lo hace la LOPDGDD, que entre otras cosas fija en 14 años la edad de consentimiento propio de un menor y añade un catálogo de derechos digitales. Citar solo el RGPD es incompleto para un sitio web español; el detalle completo está en RGPD y LOPDGDD: en qué se diferencian.
Sanciones: qué pasa si no cumples
Las infracciones más graves pueden sancionarse con multas de hasta 20 millones de euros o el 4% de la facturación anual global, la cifra que resulte mayor. En España es la AEPD quien instruye y resuelve estos expedientes. En la práctica, la mayoría de los expedientes contra sitios web pequeños no llegan a esas cifras máximas, pero sí pueden suponer sanciones proporcionales a la infracción cometida.
Aplicación práctica según el tipo de sitio web
El RGPD se aplica igual a todos, pero los tratamientos concretos cambian mucho según el proyecto: una tienda online debe prestar especial atención al pago y al envío, un SaaS a su doble papel de responsable y encargado, y una comunidad online a las publicaciones y los mensajes privados entre miembros. Consulta los seis ejemplos por tipo de sitio para ver la aplicación práctica en cada caso.
El delegado de protección de datos: cuándo hace falta
El RGPD exige un delegado de protección de datos en tres supuestos: administraciones públicas, seguimiento habitual y sistemático a gran escala, y tratamiento a gran escala de categorías especiales de datos. La mayoría de sitios web pequeños no entran en ninguno de estos tres supuestos, pero conviene comprobarlo caso por caso, como explicamos en el delegado de protección de datos: cuándo es obligatorio tenerlo.
Transferencias internacionales, un punto que se olvida
Muchas herramientas habituales, como el hosting en la nube o el email marketing, alojan datos fuera del Espacio Económico Europeo. Aunque tú no gestiones directamente esa transferencia internacional de datos, sigues siendo responsable de comprobar que tu proveedor la realiza con garantías adecuadas, normalmente mediante cláusulas contractuales tipo aprobadas por la Comisión Europea.
Brechas de seguridad: el plazo de 72 horas
Si sufres una brecha de seguridad que suponga un riesgo probable para las personas afectadas, debes notificarlo a la AEPD en un plazo máximo de 72 horas desde que tuviste conocimiento del incidente. Documentamos el proceso completo, paso a paso, en qué hacer ante una brecha de seguridad.
Errores habituales al aplicar el RGPD
El error más frecuente es tratar el RGPD como un simple trámite de texto legal, copiando cláusulas genéricas sin comprobar si realmente se aplican a tu sitio web. Le sigue de cerca usar el consentimiento como base jurídica por defecto, incluso cuando el tratamiento en realidad se apoya en la ejecución de un contrato, lo que genera obligaciones innecesarias, como poder revocar un consentimiento que ni siquiera hacía falta pedir.
El interés legítimo, la base más malinterpretada
El interés legítimo permite tratar datos sin consentimiento en casos como la seguridad del servidor o la prevención de fraude, pero exige antes un test de ponderación documentado: qué interés persigues, si el tratamiento es necesario y si prevalece sobre los derechos de la persona. Usarlo sin ese análisis previo, solo porque parece más cómodo que pedir consentimiento, es un error que la AEPD detecta con facilidad en una inspección.
Portabilidad: el derecho menos conocido
El derecho de portabilidad permite a una persona recibir sus datos en un formato estructurado, como CSV, para trasladarlos a otro proveedor. Se aplica solo cuando la base jurídica es el consentimiento o la ejecución de un contrato, y solo a los datos que la persona facilitó activamente, no a los que el propio sitio web ha inferido o calculado.
Auditoría rápida: seis preguntas antes de seguir
Antes de dar por cumplida tu obligación con el RGPD, respóndete con sinceridad: ¿tu política de privacidad cita el RGPD y la LOPDGDD? ¿Cada tratamiento tiene una base jurídica identificada? ¿Tu panel de cookies permite rechazar tan fácilmente como aceptar? ¿Sabes a quién dirigir una solicitud de derecho de acceso? ¿Tienes un plan mínimo para una brecha de seguridad? ¿Revisaste la política en el último año? Si alguna respuesta es negativa, ya sabes por dónde empezar.
Cómo empezar a cumplir hoy mismo
Si estás empezando de cero, el camino más rápido es: identifica qué datos tratas realmente, elige la base jurídica correcta para cada tratamiento, redacta tu política de privacidad citando el RGPD y la LOPDGDD, y revisa tu panel de cookies. Nuestro generador te ayuda con el primer documento en pocos minutos, y nuestra guía completa de la política de privacidad profundiza en cada sección con ejemplos reales.
Un último consejo: revisa antes de copiar
Ninguna guía, por completa que sea, sustituye una revisión final de tu propio caso antes de publicar. Lee tu política entera en voz alta una vez, comprueba que cada herramienta mencionada sigue en uso, y confirma que citas correctamente tanto el RGPD como la LOPDGDD. Ese último repaso, de apenas diez minutos, es el que marca la diferencia entre un documento genérico y uno realmente adaptado a tu sitio web.
Puedes consultar el texto oficial completo del reglamento en EUR-Lex.
Sigue explorando
Más artículos: Cookies y consentimiento en España: guía completa con ejemplos de paneles conformes.