Cualquier web con un simple formulario de contacto trata datos personales, y eso activa el deber de información del artículo 13 del RGPD y del artículo 11 de la LOPDGDD: el usuario debe saber quién es el responsable, para qué se usan sus datos, con qué base jurídica, cuánto tiempo se conservan, quién los recibe y cómo ejercer sus derechos. La política de privacidad es el documento que cumple ese deber, y su ausencia o su copia genérica mal adaptada son de las infracciones más fáciles de detectar para la AEPD: basta visitar la web.
Este generador construye la política a la medida de su sitio: usted marca qué hace su web (contacto, newsletter, ventas, cuentas de usuario, cookies analíticas) y el documento incorpora solo los tratamientos reales, cada uno con su finalidad, su base jurídica correcta y su plazo de conservación, además del bloque de derechos, la vía de reclamación ante la AEPD y el tratamiento de las transferencias internacionales si usa herramientas americanas.
Publíquela en un enlace visible desde todas las páginas (el pie es el estándar) y enlácela desde cada formulario. Le contamos debajo los errores que más sanciones generan y cómo mantener el documento vivo.
Lo que debe contener una política de privacidad conforme al RGPD
- Identidad y datos de contacto del responsable (y del delegado de protección de datos, si existe).
- Finalidades de cada tratamiento: contacto, newsletter, gestión de clientes, registro de usuarios...
- Base jurídica de cada finalidad: consentimiento, ejecución de contrato, obligación legal o interés legítimo (artículo 6.1 del RGPD).
- Plazos o criterios de conservación de los datos.
- Destinatarios: cesiones legales y encargados del tratamiento (hosting, email marketing, pasarela de pago, gestoría).
- Transferencias internacionales y sus garantías, si usa proveedores fuera del EEE.
- Derechos del usuario y canal para ejercerlos, con el plazo de respuesta de un mes.
- Derecho a reclamar ante la Agencia Española de Protección de Datos.
La estructura importa tanto como el contenido: el RGPD exige información concisa, transparente y de fácil acceso (artículo 12.1). Una política por capas (resumen por tratamientos, como la que genera este modelo) cumple mejor que un muro de texto jurídico copiado de otra web, que además suele delatar su origen citando tratamientos que su sitio no realiza.
Los errores que más sanciones generan
- No tener política de privacidad teniendo formularios: infracción del deber de información, visible desde fuera y frecuente origen de denuncias de competidores.
- Copiar la política de otra web sin adaptarla: responsables equivocados, tratamientos inexistentes y bases jurídicas incorrectas. La AEPD la trata como información engañosa.
- Pedir consentimiento para todo: la base de la venta es el contrato, la de la factura es la obligación legal. El consentimiento solo es la base correcta cuando el usuario es libre de negarse.
- Casillas premarcadas o consentimiento «implícito» para la newsletter: el consentimiento debe ser una acción afirmativa clara (artículo 4.11 del RGPD).
- Olvidar las cookies: las analíticas y publicitarias exigen banner de consentimiento previo (artículo 22.2 de la LSSI) y política de cookies; la de privacidad no las sustituye.
- No atender los derechos en el plazo de un mes: la falta de respuesta a un acceso o supresión es de las reclamaciones más estimadas por la AEPD.
Sanciones proporcionadas, pero reales
Las infracciones del deber de información pueden alcanzar los 20 millones de euros o el 4 por ciento de la facturación en los casos más graves, pero lo relevante para una pyme es el tramo real: la AEPD impone con regularidad multas de entre 1000 y 10000 euros a pequeños negocios por webs sin política de privacidad, formularios sin información o newsletters sin consentimiento. Es un riesgo barato de eliminar.
Cómo publicarla y mantenerla al día
Publique la política en una URL propia (/politica-de-privacidad) enlazada desde el pie de todas las páginas, y añada en cada formulario la información básica de primera capa: responsable, finalidad y enlace a la política completa, junto a la casilla de aceptación no premarcada cuando la base sea el consentimiento. Ese doble nivel es el estándar que la AEPD recomienda.
Después, manténgala viva: cada vez que incorpore una herramienta nueva (un CRM, una plataforma de email, un chat, publicidad de Meta o Google) está añadiendo un encargado del tratamiento o una transferencia internacional que la política debe reflejar. Revísela al menos una vez al año y siempre que cambie de proveedores, y firme con cada encargado el contrato del artículo 28 del RGPD, que casi todos los proveedores serios ofrecen como anexo de sus condiciones (DPA). Complete el cumplimiento con el registro de actividades de tratamiento (artículo 30) y, si su web usa cookies no técnicas, con el banner y la política de cookies.
Preguntas frecuentes
Mi web solo tiene un formulario de contacto, ¿necesito política de privacidad?
Sí: nombre y correo electrónico son datos personales, y recogerlos activa el deber de información del artículo 13 del RGPD. Su caso es además el más sencillo de cubrir: una política con el tratamiento de contacto, la base jurídica del consentimiento o las medidas precontractuales y el bloque de derechos. Este generador la produce marcando una sola casilla. Añada junto al formulario la información básica y el enlace a la política.
¿La política de privacidad y la de cookies son el mismo documento?
No: son obligaciones distintas y conviene mantenerlas separadas. La política de privacidad informa de los tratamientos de datos (artículo 13 del RGPD); la de cookies detalla qué cookies usa el sitio, su finalidad y duración, y acompaña al banner de consentimiento que exige el artículo 22.2 de la LSSI para las cookies no técnicas. Este modelo menciona el uso de cookies y remite a la política específica, que es la arquitectura correcta.
¿Necesito nombrar un delegado de protección de datos?
Solo en los supuestos del artículo 37 del RGPD y del artículo 34 de la LOPDGDD, que enumera casos concretos: centros sanitarios, colegios, aseguradoras, entidades financieras, empresas de publicidad con perfilados a gran escala, entre otros. La pyme o el autónomo con una web corporativa normal no está obligado. Si lo designa voluntariamente, inclúyalo en la política y comuníquelo a la AEPD: asume las mismas obligaciones que uno obligatorio.
Uso Google Analytics y Mailchimp, ¿qué implica para mi política?
Dos cosas: son encargados del tratamiento (necesita aceptar sus contratos de tratamiento de datos, los DPA que ambos ofrecen) y ambas empresas son estadounidenses, lo que supone transferencias internacionales. Actualmente se amparan en el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas o en cláusulas contractuales tipo. Marque la opción de proveedores fuera de la UE en el generador y la política incluirá el apartado con esas garantías. Analytics exige además consentimiento de cookies previo.
Un usuario me pide borrar sus datos, ¿qué hago y en cuánto tiempo?
Verifique su identidad, suprima los datos de todos sus sistemas (CRM, listas de correo, copias activas) y respóndale confirmándolo en el plazo máximo de un mes (artículo 12.3 del RGPD). Puede conservar bloqueados los datos necesarios para responsabilidades legales (facturas, por ejemplo, por obligación fiscal), explicándoselo así. Si no responde o se niega sin base, el usuario puede reclamar gratis ante la AEPD, y esas reclamaciones prosperan: monte un canal interno para atender derechos sin demoras.