En España se cruzan dos cosas: el RGPD europeo, que va de datos personales, y la LSSI-CE, que va de comercio electrónico. Para una web de negocio normal se traduce en cuatro elementos concretos.
Los cuatro que tienen que estar
| Qué | Dónde | Qué tiene que decir |
|---|---|---|
| Aviso legal | Enlace en el pie | Quién eres: nombre o razón social, NIF, dirección y contacto |
| Política de privacidad | Pie y bajo cada formulario | Qué datos pides, para qué y cuánto los guardas |
| Política de cookies | Pie y desde el aviso | Qué cookies usas y para qué |
| Aviso de cookies | Al entrar | Con aceptar y rechazar igual de fáciles |
El error más multado en España no es no tener el aviso: es que rechazar sea más difícil que aceptar. Si tienes un botón grande de «Aceptar» y para rechazar hay que entrar en preferencias, eso ya es sanción. Los dos botones, mismo tamaño y misma pantalla.
El formulario de contacto
- Una casilla de aceptación sin marcar de antemano, enlazando a la política de privacidad.
- Pedir solo lo que necesitas de verdad. Si con nombre y teléfono contestas, no pidas DNI ni dirección.
- Decir para qué vas a usarlo. «Para responder a tu consulta» vale si es la verdad.
- Si vas a mandar promociones después, eso es una segunda casilla aparte. Un consentimiento no sirve para dos cosas.
Analytics y las cookies
Google Analytics no puede cargar antes de que el usuario acepte. La forma correcta hoy es el modo consentimiento: la etiqueta se carga con todo denegado por defecto y solo pasa a permitido si la persona acepta. Así mides sin incumplir. Cargarlo directamente y enseñar el aviso de adorno es lo que hace casi todo el mundo y es exactamente lo que se sanciona.
Las multas, sin dramatizar
A un negocio pequeño no le van a caer veinte millones. Las sanciones reales de la Agencia por webs pequeñas van de unos cientos a unos pocos miles de euros, y casi siempre llegan por una denuncia de un particular o de un competidor, no por una inspección de oficio. Es un riesgo bajo pero muy fácil de eliminar.