El cumplimiento no es un documento en el pie de página, es cómo se comporta la web antes de que el visitante acepte nada. Ahí es donde están casi todas las sanciones.
El banner de cookies: lo que lo invalida
Un banner solo es válido si rechazar es tan fácil como aceptar. Eso significa un botón de rechazo visible en el primer nivel, no escondido en un segundo panel de configuración.
Y significa algo más importante: nada de analítica ni de píxeles publicitarios se carga antes del consentimiento. Un banner correcto sobre una web que ya ha disparado el seguimiento no cumple nada, solo lo documenta.
Formularios: base legal y finalidad
Cada formulario necesita decir quién trata los datos, para qué y durante cuánto tiempo. Una casilla marcada por defecto no es consentimiento. Y el consentimiento para contactar no cubre el envío de una newsletter: son finalidades distintas y necesitan casillas distintas.
Encargados de tratamiento
Su alojamiento, su herramienta de correo, su CRM y su analítica tratan datos por usted. Cada uno necesita un contrato de encargado y debe figurar en su registro de actividades. Si alguno está fuera de la Unión Europea, hace falta además una base para la transferencia.
Esta es la parte que más se omite y la más sencilla de comprobar en una inspección.
Los errores más habituales
- Analítica cargando antes del consentimiento.
- Política de privacidad copiada de otra web, con el nombre de otra empresa dentro.
- Formularios sin información de tratamiento.
- Ausencia de un procedimiento para responder a una solicitud de supresión.
- Copias de seguridad indefinidas sin plazo de conservación.
Lo mínimo viable para una web de empresa
- Gestor de consentimiento que bloquea de verdad hasta que se acepta.
- Política de privacidad y de cookies escritas para su caso.
- Información de tratamiento en cada formulario.
- Registro de actividades y contratos con sus proveedores.
- Un correo de contacto para ejercer derechos que alguien lea.
Preguntas frecuentes
¿Necesito banner si solo uso analítica?
Sí, si esa analítica usa cookies o identificadores. Existen configuraciones sin cookies que reducen la obligación, pero hay que implementarlas correctamente, no asumirlas.
¿Sirve una política de privacidad genérica?
Solo como punto de partida. Tiene que reflejar sus finalidades y sus proveedores reales, y esos son suyos y de nadie más.
