Web en regla: qué hace falta de verdad entre privacidad, cookies y RGPD (sin alarmismos)
Las sanciones por cookies no afectan solo a las grandes empresas: los controles arrancan por denuncias y por verificaciones automáticas. Qué hay que tener, en concreto, y cómo comprobar en un minuto si tu web está descubierta.
Sobre la conformidad de las webs circulan dos posturas opuestas, ambas equivocadas: "total, no controla nadie" y "te arriesgas a multas millonarias mañana".
La realidad está en medio, y es más sencilla de lo que se cuenta. Los controles arrancan casi siempre por denuncias — un competidor, un usuario atento, un cliente descontento — o por verificaciones automáticas sobre categorías de webs. Y cuando llegan, las infracciones de cookies son las más fáciles de acreditar: bastan diez segundos con las herramientas del navegador.
La buena noticia: ponerse en regla es un trabajo con final, no un problema perpetuo.
Qué hay que tener (la lista concreta)
1. Política de privacidad
Obligatoria para cualquier web que recoja aunque sea un email de un formulario. Debe decir quién eres (datos completos de la empresa), qué datos recoges, para qué, cuánto tiempo los conservas, a quién los comunicas y qué derechos tiene el usuario.
No basta con copiarla de otra web: si declara cosas distintas de lo que tu web hace realmente, es peor que no tenerla — porque documenta la infracción.
2. Política de cookies + banner bien hecho
Aquí se concentra la mayoría de los errores. Un banner conforme debe:
- Bloquear las cookies no técnicas hasta que el usuario acepte. Es el punto crítico: muchos banners son decorativos y los trackers arrancan igualmente. Es la infracción más denunciada de todas.
- Tener "Rechazar" tan fácil como "Aceptar", ya en el primer nivel. Un banner con solo "Aceptar" no es válido.
- Permitir cambiar de opinión después, de forma sencilla.
- Ir acompañado de una política de cookies que liste las cookies: nombre, proveedor, finalidad, duración.
3. Transferencias fuera de la UE declaradas
Si usas Google Analytics, Meta Pixel o herramientas similares, los datos van a Estados Unidos. Hay que declararlo en la política, con la base jurídica que lo ampara. Es un detalle que casi nadie escribe, y de los primeros que un control revisa.
4. Condiciones de venta (si vendes)
Para el e-commerce: derecho de desistimiento, plazos de entrega, garantía, devoluciones, fuero competente. Y los datos societarios completos visibles en la web.
5. Seguridad mínima (art. 32)
HTTPS en toda la web, cabeceras de seguridad, accesos protegidos. No es burocracia: es el requisito de "medidas adecuadas" que el RGPD exige expresamente.
El error más común (y más caro)
No es la ausencia de documentos. Es la contradicción: una política que declara "solo usamos cookies técnicas" mientras la web carga Google Analytics y el píxel de Meta.
