Sitio web conforme al RGPD: la guía completa de requisitos y la checklist 2026
Tener un sitio web conforme al RGPD no es un detalle burocrático que se pueda aplazar, sino una condición básica para operar online en España y en la Unión Europea. Si recoges aunque sea una dirección de correo mediante un formulario de contacto, si usas Google Analytics o un píxel publicitario, si vendes productos o gestionas cuentas de usuario, estás tratando datos personales. Y en el momento en que tratas datos personales, el Reglamento General de Protección de Datos (Reglamento UE 2016/679) te impone una serie de obligaciones precisas.
La buena noticia es que hacer un sitio conforme al RGPD no exige ser abogado. Hace falta entender cuáles son los requisitos fundamentales, ordenarlos y verificarlos con método. En esta guía completa —el artículo central de nuestro recorrido sobre cumplimiento— vemos qué hace falta de verdad, requisito por requisito, con una checklist práctica y los errores más comunes que hay que evitar.
Por qué el cumplimiento del RGPD también afecta a tu sitio
Mucha gente cree que el RGPD es un problema solo de las grandes empresas. Es al revés: el Reglamento se aplica a cualquiera que trate datos personales de personas que se encuentran en la UE, con independencia del tamaño. Un blog personal con newsletter, una pequeña tienda online, una landing con formulario, una app construida en un fin de semana con vibe coding: todos entran en el ámbito de aplicación.
El riesgo no es teórico. La Agencia Española de Protección de Datos puede imponer sanciones de hasta 20 millones de euros o el 4% de la facturación anual mundial, y en los últimos años las reclamaciones más frecuentes afectan precisamente a los sitios más pequeños: cookies no conformes, información ausente, rastreadores activados sin consentimiento. Son errores fáciles de cometer y, por suerte, igual de fáciles de corregir una vez identificados.
Los requisitos fundamentales de un sitio conforme al RGPD
Veamos los pilares sobre los que se apoya el cumplimiento. Cada uno es una pieza: que falte una significa exponerse a reclamaciones.
1. Política de privacidad clara y específica
La información de privacidad (o política de privacidad) es el documento con el que explicas a los usuarios qué datos recoges, por qué, cuánto tiempo los conservas, con quién los compartes y qué derechos pueden ejercer. Debe estar escrita en lenguaje claro, ser accesible desde cualquier página (normalmente en el pie) y —este es el punto crítico— debe reflejar lo que el sitio hace realmente.
Una política de privacidad copiada de otro sitio o generada con valores por defecto es inútil y potencialmente dañina: declara tratamientos que no existen o, peor, omite otros que sí se producen. Si quieres entender de verdad si es obligatoria, cuándo y qué debe contener, hemos dedicado un artículo específico a cuándo es obligatoria la política de privacidad de un sitio web.
2. Política de cookies y banner con consentimiento previo
Aquí se concentra la mayor parte de los incumplimientos. La normativa (el RGPD junto a la Directiva ePrivacy y las directrices de la autoridad) exige que las cookies y los rastreadores no técnicos —analítica de perfilado, píxeles publicitarios, herramientas de marketing— se activen solo después de que el usuario haya dado un consentimiento libre, específico e inequívoco.
Esto significa que en el primer acceso el banner debe:
- bloquear los rastreadores no necesarios hasta que el usuario elija;
- ofrecer un botón "Rechazar" tan visible como "Aceptar";
- permitir una elección granular por categoría;
- no usar casillas preseleccionadas ni el simple desplazamiento como forma de consentimiento.
La política de cookies, separada o integrada en la información de privacidad, detalla cada cookie con su finalidad y duración. Es el área más delicada porque exige una configuración técnica correcta, no solo un texto.
3. Base jurídica del tratamiento
Cada tratamiento de datos debe apoyarse en una de las bases jurídicas del artículo 6 del RGPD: el consentimiento, la ejecución de un contrato, una obligación legal, el interés legítimo y otras. No puedes tratar datos "porque los necesitas": debes saber sobre qué base lo haces. Para una newsletter la base es el consentimiento; para tramitar un pedido es la ejecución del contrato; para la facturación es la obligación legal. Mapear correctamente las bases jurídicas es lo que hace defendible cada una de tus decisiones.
4. Registro de actividades de tratamiento
El registro de actividades de tratamiento es un documento interno en el que enumeras todos los tratamientos que realizas: qué datos, con qué finalidades, con qué bases jurídicas, durante cuánto tiempo y con qué terceros los compartes. Para organizaciones muy pequeñas hay algunas simplificaciones, pero en la práctica es una herramienta valiosa incluso para la actividad más modesta, porque te obliga a poner orden y te sirve para demostrar tu cumplimiento en caso de control.
5. Gestión de los derechos de los interesados
Los usuarios tienen derechos concretos: acceso a sus datos, rectificación, supresión ("derecho al olvido"), limitación, portabilidad y oposición al tratamiento. Un sitio conforme debe prever un canal sencillo para ejercerlos —normalmente una dirección de correo dedicada indicada en la información— y un procedimiento interno para responder dentro de los plazos legales (por regla general, un mes).
6. Seguridad de los datos
El RGPD exige medidas técnicas y organizativas adecuadas para proteger los datos. En el plano del sitio significa, como mínimo: certificado HTTPS activo, software y plugins actualizados, contraseñas robustas, copias de seguridad, control de accesos y atención a posibles vulnerabilidades. Un fallo de seguridad que lleva a una brecha de datos conlleva obligaciones de notificación y puede convertirse en sanción. La seguridad y el cumplimiento van de la mano: un sitio vulnerable nunca está realmente en regla.
7. Contratos con encargados externos
Cada proveedor que trata datos por tu cuenta —el hosting, el servicio de email marketing, la pasarela de pago, los sistemas de analítica— es un "encargado del tratamiento". Con cada uno debes tener en vigor un contrato de encargo del tratamiento (Data Processing Agreement, DPA). Muchos proveedores lo ponen a disposición con un clic en los ajustes de la cuenta: la clave es saber qué actores están implicados y asegurarse de que el contrato existe.
8. Designación del DPD, si procede
El delegado de protección de datos (DPD) es obligatorio solo en casos concretos: tratamientos a gran escala de categorías especiales de datos, observación sistemática a gran escala, o cuando el responsable es una autoridad pública. La mayoría de los sitios pequeños no están obligados a designarlo, pero conviene valorar la propia situación en lugar de darlo por hecho.
Checklist de conformidad con el RGPD
Esta es una lista sintética para hacer balance de tu sitio. Cada casilla marcada es un paso hacia un sitio conforme al RGPD.
- Política de privacidad presente, específica y enlazada desde el pie de cada página
- Política de cookies detallada con la lista de cookies, finalidad y duración
- Banner de cookies con consentimiento previo, botón "Rechazar" y elección granular
- Rastreadores no técnicos bloqueados hasta el consentimiento
- Ninguna casilla preseleccionada en los formularios
- Base jurídica identificada para cada tratamiento
- Registro de actividades de tratamiento cumplimentado y actualizado
- Canal activo para el ejercicio de los derechos de los interesados
- Certificado HTTPS activo y software actualizado
- Contrato de encargo en vigor con todos los proveedores externos
- Valoración realizada sobre la necesidad de un DPD
Si quieres ver de un vistazo en qué estado está tu sitio, puedes empezar por una auditoría RGPD del sitio que analiza en pocos minutos los puntos más expuestos.
Los errores más comunes (y cómo reconocerlos)
Algunos incumplimientos se repiten con una regularidad asombrosa. Estos son los tres más frecuentes.
| Error | Por qué es un problema | Cómo se reconoce |
|---|---|---|
| Rastreadores activados antes del consentimiento | Google Analytics, el píxel de Meta o similares se activan al cargar la página, antes de que el usuario elija | El sitio envía datos a terceros ya en el primer acceso, sin interacción |
| Política de privacidad copiada o por defecto | Declara tratamientos inexistentes u omite los reales | Nombres de otras empresas, direcciones o herramientas que no usas |
| Casillas premarcadas | El consentimiento no es libre ni inequívoco | En los formularios la casilla ya está marcada al abrir la página |
El primer error es con diferencia el más extendido y el más difícil de detectar a simple vista, porque ocurre "entre bastidores", en el código. Es exactamente el tipo de problema para el que resulta útil un escáner automático como Appurai: analiza el sitio, detecta los rastreadores que se activan antes del consentimiento y señala el banner de cookies no conforme y las políticas ausentes o genéricas, sin que tengas que inspeccionar el código a mano.
Adecuación al RGPD: por dónde empezar
Si partes de cero, el orden más eficaz es este: primero mapea qué hace el sitio y qué datos recoge, después arregla la política de privacidad y la de cookies, luego configura correctamente el banner y bloquea los rastreadores, y por último pon en orden los contratos de encargo, el registro y la gestión de derechos. La adecuación del sitio al RGPD es un recorrido iterativo, no una intervención única: cada vez que añades una herramienta nueva —un chat, un nuevo píxel, un plugin— vuelves a comprobar.
Para generar los documentos que faltan de modo que reflejen tu sitio real, existen generadores de política de privacidad que parten de tus actividades de tratamiento efectivas, un enfoque mucho más sólido que copiar el texto de otro. Quien tiene una tienda online tiene además requisitos específicos adicionales, que tratamos en la guía dedicada al RGPD para e-commerce.
Preguntas frecuentes
¿El RGPD se aplica también a un pequeño blog personal?
Sí, si tratas datos personales de visitantes que se encuentran en la UE, y una newsletter, los comentarios o incluso solo la analítica lo implican. El tamaño reduce algunos trámites, pero no excluye la aplicación del Reglamento.
¿La política de privacidad y la de cookies son lo mismo?
No. La política de privacidad describe todos los tratamientos de datos del sitio; la de cookies es específica sobre cookies y rastreadores. Pueden convivir, pero cubren ámbitos distintos y hacen falta las dos.
¿Puedo usar una plantilla gratuita para la política de privacidad?
Una plantilla puede ser un punto de partida, pero siempre hay que adaptarla a los tratamientos reales de tu sitio. Una información que no refleja lo que haces es, de hecho, un incumplimiento.
¿Qué me arriesgo si mi sitio no cumple?
Las sanciones pueden llegar a 20 millones de euros o al 4% de la facturación anual. En los casos más comunes se trata de importes menores, pero incluso una sola reclamación puede desencadenar una comprobación.
¿Mejor una herramienta todo en uno o soluciones separadas?
Depende de las necesidades. Algunos prefieren plataformas integradas; para una comparación razonada puedes leer nuestro análisis de las alternativas a iubenda y valorar qué se adapta mejor a tu caso.
En resumen
Hacer un sitio conforme al RGPD significa cubrir de forma ordenada ocho áreas: información de privacidad, cookies, base jurídica, registro, derechos, seguridad, encargados externos y, si procede, DPD. Ninguna es insalvable, pero juntas exigen método y comprobaciones periódicas. El primer paso concreto es saber exactamente dónde están hoy los problemas: un escáner como Appurai te los muestra gratis y, si quieres, te guía sobre cómo resolverlos y generar los documentos que faltan. A partir de ahí, el cumplimiento se convierte en una cuestión de mantenimiento y no de ansiedad.
Este artículo tiene finalidad meramente informativa y no sustituye el asesoramiento jurídico profesional. Para situaciones concretas acude a un abogado o a un DPD cualificado.