Política de privacidad del sitio web: cuándo es obligatoria, qué debe contener y qué te juegas sin ella
Si tienes un sitio, un blog o una tienda online, seguro que te has preguntado alguna vez si de verdad necesitas una política de privacidad. La respuesta corta es casi siempre la misma: sí. La política de privacidad del sitio web es obligatoria en la inmensa mayoría de los casos, y hace falta mucho menos de lo que crees para que se active la obligación. Un simple formulario de contacto, Google Analytics, una newsletter o una cookie de terceros bastan para convertir la información en un deber legal, no en un extra.
En esta guía vemos con claridad cuándo hace falta la política de privacidad, qué debe contener, por qué copiarla de otro sitio es una pésima idea y qué sanciones te arriesgas si no la tienes.
Nota: este artículo tiene finalidad informativa y divulgativa. No es asesoramiento jurídico. Para situaciones complejas o dudas concretas, acude a un profesional.
Por qué la política de privacidad es obligatoria (y casi siempre)
El fundamento normativo es doble: el RGPD (Reglamento UE 2016/679) y la LOPDGDD española (Ley Orgánica 3/2018). Ambos imponen un principio sencillo: quien recoja o trate datos personales debe informar a las personas afectadas de forma transparente, antes de iniciar el tratamiento.
Los artículos 13 y 14 del RGPD son explícitos: la información es una obligación del responsable del tratamiento, no una concesión al usuario. Y aquí está el punto que a muchos se les escapa: el concepto de "dato personal" es amplísimo. No hablamos solo de nombre, apellidos y correo. Una dirección IP es un dato personal. Un identificador de cookie lo es. La combinación de datos de navegación que hace identificable a una persona lo es.
Por eso, en la práctica, la política de privacidad es obligatoria prácticamente siempre: es casi imposible tener un sitio moderno que no recoja al menos un dato personal, aunque sea de forma indirecta.
Aunque creas que no recoges datos, probablemente sí lo haces
Muchos makers y pequeños empresarios se creen "exentos" porque no tienen un formulario de pedido ni un área privada. Se equivocan. Estos son los casos más comunes que hacen obligatoria la política de privacidad sin que te des cuenta:
- Google Analytics o cualquier herramienta de estadísticas: recoge IP y datos de navegación.
- Formularios de contacto: nombre y correo son datos personales a todos los efectos.
- Newsletter / alta por correo: recogida y conservación de datos con finalidad de marketing.
- Cookies de terceros: píxel de Meta, etiquetas publicitarias, vídeos de YouTube o mapas incrustados.
- E-commerce: datos de facturación, envío y pago (aquí la obligación es total).
- Comentarios del blog, login social, chat: cada uno trata datos personales.
- Fuentes o librerías cargadas desde servidores externos (p. ej. Google Fonts vía CDN): transmiten la IP del usuario a terceros.
Si tu sitio entra aunque sea en una de estas categorías —y casi con seguridad entra— entonces la respuesta a cuándo hace falta la política de privacidad es: ahora.
Qué debe contener obligatoriamente la política de privacidad
Tener un documento llamado "Política de privacidad" no basta. Debe contener una serie de informaciones precisas; de lo contrario se considera incompleto y, por tanto, no conforme. Esto es lo que debe contener la política de privacidad según los artículos 13-14 del RGPD:
| Elemento obligatorio | Qué debe indicar |
|---|---|
| Responsable del tratamiento | Nombre/razón social, dirección, contacto (correo electrónico) |
| Datos de contacto del DPD | Si se ha designado (obligatorio en algunos casos) |
| Tipos de datos recogidos | Datos identificativos, de navegación, de pago, etc. |
| Finalidades del tratamiento | Por qué recoges los datos (contacto, envío, marketing…) |
| Base jurídica | Consentimiento, contrato, obligación legal, interés legítimo |
| Destinatarios de los datos | A quién se comunican (proveedores, transportistas, plataformas) |
| Transferencias fuera de la UE | Si los datos salen del Espacio Económico Europeo |
| Plazo de conservación | Cuánto tiempo conservas los datos |
| Derechos del interesado | Acceso, rectificación, supresión, oposición, portabilidad |
| Derecho a reclamar | Posibilidad de dirigirse a la AEPD |
| Forma de ejercer los derechos | Cómo puede contactarte el usuario para hacerlos valer |
El lenguaje cuenta tanto como el contenido
El RGPD no solo pide la información correcta, sino que se exprese de forma concisa, transparente, inteligible y fácilmente accesible, con un lenguaje claro y sencillo. Una política de privacidad en jerga jurídica incomprensible o escondida en un enlace imposible de encontrar puede considerarse no conforme aunque, sobre el papel, lo contenga todo.
Por qué copiar la política de privacidad de otro sitio es peligroso
Es el atajo más extendido y más arriesgado. Copiar la información de un competidor parece gratis y rápido, pero te expone a problemas serios:
- Los datos no coinciden. Su documento describe sus tratamientos, proveedores y herramientas. Si tú usas Mailchimp y ellos Brevo, si tú vendes y ellos no, la información copiada declara en falso sobre tus tratamientos reales.
- Responsable equivocado. Te quedas con el nombre y los contactos de otra empresa, un error que invalida el documento entero.
- Vulneración de derechos de autor. Un texto legal es igualmente una obra intelectual.
- Te pierdes las actualizaciones. Las normas cambian; una copia estática envejece mal.
Una política de privacidad debe reflejar exactamente lo que tu sitio hace con los datos. Por eso hay que construirla a partir de las herramientas realmente instaladas en tu sitio, no pegarla de otro sitio. Herramientas como Appurai escanean el sitio para detectar qué rastreadores, cookies y servicios de terceros están activos de verdad, de modo que la información parte de lo que hay y no de una plantilla genérica. Si quieres profundizar en el tema de las plantillas automáticas, lo tratamos en detalle en la guía sobre los generadores de política de privacidad.
Las sanciones: qué te arriesgas sin política de privacidad (o con una equivocada)
Aquí muchos subestiman el asunto. Las sanciones por una política de privacidad ausente o no conforme no son teóricas. El RGPD prevé dos tramos de sanciones administrativas:
- Hasta 10 millones de euros o el 2% de la facturación anual mundial por infracciones de obligaciones como la información.
- Hasta 20 millones de euros o el 4% de la facturación por las infracciones más graves (p. ej. principios básicos y derechos de los interesados).
Para un sitio pequeño o un maker las cifras de récord no son el escenario habitual, pero las multas siguen siendo concretas y proporcionadas, y la Agencia Española de Protección de Datos puede intervenir de varias formas:
- Apercibimientos y requerimientos para regularizar la situación en un plazo.
- Sanciones económicas de miles de euros incluso para organizaciones pequeñas.
- Limitación o bloqueo del tratamiento, que en la práctica puede significar tener que apagar funciones del sitio.
A esto se suma el riesgo más insidioso: la denuncia de un usuario o de un competidor. Basta un cliente descontento o un competidor atento para presentar una reclamación y que se inicie una comprobación. Y la falta de política de privacidad es lo primero que se nota, porque es pública y visible para cualquiera.
Cómo conseguir una política de privacidad conforme
Aclarado que la política de privacidad del sitio web es obligatoria, quedan dos vías principales para conseguir una válida:
1. El asesor jurídico o el DPD
La vía más sólida, sobre todo para organizaciones estructuradas, e-commerce con tratamientos complejos, datos sensibles o perfilado. Un profesional redacta una información a medida y te acompaña en los trámites relacionados. Cuesta más, pero es insustituible en los casos delicados. Si gestionas un e-commerce, lee también la guía dedicada al RGPD para e-commerce, donde las obligaciones se multiplican.
2. La generación automática a partir del sitio
Para blogs, sitios corporativos, porfolios y pequeñas actividades, un documento generado a partir de lo que tu sitio hace de verdad cubre la mayor parte de las necesidades de forma rápida y económica. La diferencia entre una buena herramienta y una mala está aquí: debe partir de un escaneo real del sitio, no de un cuestionario genérico.
Con Appurai la versión gratuita escanea el sitio y te muestra los problemas (política de privacidad ausente o por defecto, banner de cookies no conforme, rastreadores que se activan antes del consentimiento); el plan de pago genera los documentos legales personalizados a partir del escaneo. En ambos casos, el valor está en verificar que lo escrito se corresponde con lo que el sitio hace realmente.
La verificación: el paso que casi todo el mundo se salta
Incluso la mejor política de privacidad envejece. Instalas un plugin nuevo, cambias de proveedor de email marketing, añades un píxel publicitario: desde ese momento la información puede haber dejado de estar actualizada. El cumplimiento no es un evento puntual, sino un proceso. Una revisión periódica te dice si el documento sigue reflejando la realidad: tienes un recorrido completo en la guía sobre cómo tener un sitio conforme al RGPD.
Preguntas frecuentes
¿La política de privacidad es obligatoria también para un simple blog personal?
Si el blog usa Google Analytics, muestra publicidad, tiene un formulario de contacto, permite comentarios o carga recursos externos (fuentes, vídeos incrustados), entonces sí. Es muy raro que un blog moderno no recoja ningún dato personal.
¿Basta con escribir "No recogemos datos" para estar en regla?
No. Si esa afirmación es falsa —y casi siempre lo es, porque hasta una IP es un dato— sigues sin cumplir y, además, estás dando una información engañosa al usuario y a la autoridad.
¿Política de privacidad y política de cookies son lo mismo?
No, son dos documentos distintos aunque relacionados. La política de privacidad afecta a todos los tratamientos de datos personales; la política de cookies se refiere específicamente a las cookies y tecnologías de seguimiento. Muchos sitios necesitan ambas, además del banner de cookies.
Tengo un sitio pequeño, la AEPD nunca vendrá a revisarme. ¿Cierto?
El mayor riesgo no es una inspección aleatoria, sino la denuncia de un usuario o de un competidor. Una reclamación puede llegar de cualquiera que visite tu sitio, y la política de privacidad es lo primero público y comprobable. El tamaño de la actividad no te libra de la obligación.
¿Cada cuánto hay que actualizar la política de privacidad?
Cada vez que cambies algo en los tratamientos: nueva herramienta de analítica, nuevo proveedor, nueva finalidad de marketing, nuevo servicio externo. Si no hay cambios, sigue siendo buena práctica revisarla al menos una vez al año y tras cada actualización normativa relevante.
En resumen
La política de privacidad del sitio web es obligatoria en casi todos los casos reales: basta un formulario, una analítica o una cookie para activar la obligación del RGPD y de la LOPDGDD. Debe contener elementos precisos —responsable, datos, finalidades, base jurídica, conservación, derechos— y ser clara. Copiarla de otros es arriesgado, las sanciones son concretas y el cumplimiento hay que mantenerlo en el tiempo.
El primer paso útil es entender qué hace de verdad tu sitio con los datos. Un escaneo gratuito te muestra en pocos minutos si tu política de privacidad está ausente, es genérica o está desalineada de la realidad, y a partir de ahí puedes decidir cómo ponerte en regla.