Adecuar una página web al RGPD consiste en saber qué datos recoge, justificar por qué los trata, informar a las personas, darles medios para ejercer sus derechos y poder demostrarlo. No hay un trámite único ni un certificado: es un conjunto de decisiones que se ordenan en una lista y se repiten con el tiempo.

Esta guía te da esa lista en ocho pasos. En cada paso marcamos qué viene de la ley y qué es una recomendación práctica, porque no todo lo útil es obligatorio y conviene no confundirlo. Si prefieres entender primero las normas, empieza por qué es la LOPDGDD.

Cada paso de la lista lleva una etiqueta:

• Ley: deriva de un artículo del RGPD, de la LOPDGDD o de la LSSI, y se cita.
• Recomendación: es una práctica que facilita cumplir y demostrar, pero la norma no la impone tal cual.

El principio de fondo es la responsabilidad proactiva. El artículo 5.2 del RGPD dice que el responsable debe cumplir los principios y ser capaz de demostrarlo. Cada paso de abajo te ayuda a que esa demostración sea posible.

Recomendación, con una base legal clara: la Guía de cookies de la AEPD (p. 15) recomienda revisar las cookies que usas, ya sea internamente o con ayuda especializada, e identificar si son propias o de terceros, de sesión o persistentes, y cuál es su función. También recomienda repetir esa revisión periódicamente.

Haz dos listas:

1. Datos que recoges: formularios de contacto, registros, newsletter, pedidos, comentarios.
2. Cookies y tecnologías similares: las que instala tu web y las de terceros (analítica, publicidad, vídeo, mapas, chat).

Para la segunda, un escáner de cookies te da el inventario real, que casi nunca coincide con el que recuerdas.

Ley. El artículo 6.1 del RGPD exige que cada tratamiento se apoye en al menos una de las seis bases legales. Para cada fila de tu inventario, anota cuál aplica: consentimiento, contrato, obligación legal, interés legítimo u otra.

Dos reglas te ahorran dudas. Si instalas cookies no exceptuadas, la base es el consentimiento por el artículo 22.2 de la LSSI. Y si usas el interés legítimo, necesitas una evaluación y debes informar de él. Te lo explicamos en interés legítimo o consentimiento.

Ley. El artículo 13 del RGPD exige facilitar la información cuando recoges datos de la persona. La LOPDGDD (art. 11) permite hacerlo por capas: una información básica y un medio para acceder de forma sencilla e inmediata al resto.

La información básica debe incluir, como mínimo, la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. Si elaboras perfiles, hay que indicarlo.

En una web esto se traduce en:

• Un texto breve junto a cada formulario, con esos tres elementos y un enlace.
• Una política de privacidad completa, accesible desde el pie de todas las páginas.
• Un aviso de cookies que cumpla lo mismo para las cookies, con enlace a la política de cookies.

Para esta última, tienes un modelo en política de cookies: ejemplo.

Ley, en lo esencial: el artículo 22.2 de la LSSI y el RGPD exigen consentimiento informado para las cookies no exceptuadas. La guía de la AEPD (p. 23) precisa que hace falta una clara acción afirmativa, que rechazar debe poder hacerse en la misma capa y al mismo nivel que aceptar y que seguir navegando no vale.

Recomendación, para comprobarlo: antes de publicar, abre tu web en una ventana privada y verifica que no se instala ninguna cookie no exceptuada antes de elegir. El detalle de cada requisito está en guía de cookies de la AEPD.

Ley. El artículo 12 de la LOPDGDD establece cuatro cosas que afectan a tu web:

• Debes informar de los medios disponibles para ejercer los derechos.
• Esos medios deben ser fácilmente accesibles.
• No puedes denegar el ejercicio por el solo motivo de que la persona haya elegido otro medio.
• La prueba de haber cumplido el deber de responder recae sobre ti.

También dice que las actuaciones para atender las solicitudes son gratuitas, con las excepciones previstas en el RGPD y en el artículo 13 de la propia ley.

Recomendación: publica una dirección de contacto o un formulario específico, nombra a la persona o al equipo que lo atiende y anota la fecha de cada solicitud y de cada respuesta. Si no puedes demostrar cuándo contestaste, el reparto de la prueba juega en tu contra.

Ley, en parte: cada responsable responde del tratamiento en el que interviene. La Guía de la AEPD (pp. 31 a 33) explica que, cuando usas cookies de terceros, editor y terceros tienen que garantizar que se informa y se obtiene el consentimiento, y añade que la responsabilidad administrativa no se puede desplazar por contrato.

Recomendación: la guía aconseja incluir en los contratos con terceros cláusulas que aseguren la información a los usuarios, la forma de obtener un consentimiento válido y de revocarlo, y las consecuencias de la revocación. El artículo 28 de la LOPDGDD, además, pide a responsables y encargados determinar las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento cumple la norma, y valorar si procede una evaluación de impacto.

Haz una lista de los proveedores que reciben datos de tu web (analítica, correo, publicidad, alojamiento) y comprueba que tienes el contrato o las condiciones de cada uno.

Ley. El artículo 7 de la LOPDGDD fija en 14 años la edad desde la que un menor puede consentir el tratamiento de sus datos. Por debajo, el tratamiento fundado en consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

Si tu web no está dirigida a menores ni permite registros, anota que has valorado el punto y por qué no aplica. Si lo está, diseña el alta para pedir ese consentimiento.

Ley. El artículo 7.1 del RGPD obliga a poder demostrar que la persona consintió, y el 5.2 recoge la responsabilidad proactiva. Para las cookies, eso significa un registro individual de cada elección. Cómo montarlo está en registro de consentimientos.

Recomendación: fija una fecha de revisión. La Guía de la AEPD (p. 15) recomienda revisar las cookies periódicamente, porque la gestión y el uso cambian. Una buena regla es repetir la revisión cada vez que añadas una herramienta, cambies un proveedor o modifiques un formulario.

Si solo puedes hacer tres cosas esta semana, haz estas:

1. Escanea tu web y comprueba qué cookies instala de verdad.
2. Revisa el aviso de cookies con la lista del paso 4 y corrige lo que falle.
3. Publica o actualiza tu política de privacidad con la información básica del paso 3 y un medio claro para ejercer derechos.

Con eso cubres lo que más se ve desde fuera. El resto lo irás ordenando.

1. Copiar una política de otra web. Describe lo que hace la tuya, no la de otro.
2. Hacer la adecuación una vez y olvidarla. El inventario cambia cada vez que se añade una herramienta.
3. Dar por buena la configuración sin probarla. Comprueba en una ventana privada qué se carga antes de elegir.
4. No guardar pruebas. Sin registro, la responsabilidad proactiva se queda en una frase.

En AdOpt puedes hacer los pasos 1, 4 y 8 en un mismo sitio: la prueba de 30 días incluye el análisis de cookies de tu web y el Consent Log, donde ves cada elección con fecha, hora y versión de los documentos. Prueba AdOpt gratis y empieza por el escáner.

• LOPDGDD: qué es y en qué se diferencia del RGPD
• Base legal del RGPD: interés legítimo o consentimiento

Inventariar los datos y las cookies, asignar una base legal a cada tratamiento, informar por capas, configurar el consentimiento de cookies, facilitar el ejercicio de derechos, revisar los contratos con terceros, tener en cuenta a los menores y guardar pruebas. Después, revisar todo periódicamente.

Si tu web recoge datos personales, debes informar a las personas conforme al artículo 13 del RGPD. La LOPDGDD (art. 11) permite hacerlo por capas, con una información básica y un acceso sencillo al resto. En la práctica, eso se materializa en una política de privacidad accesible desde todas las páginas.

El artículo 7.1 del RGPD obliga a poder demostrar que la persona consintió. La norma no impone un formato, pero un registro individual de cada elección, con fecha, hora, categorías y versión de los documentos, es la forma habitual de poder demostrarlo.

La ley no fija una periodicidad. La Guía de cookies de la AEPD recomienda revisar las cookies periódicamente porque su gestión y su uso cambian. Una buena práctica es repetir la revisión cada vez que añadas una herramienta, cambies de proveedor o modifiques un formulario de tu web.

Cada parte responde de los tratamientos en los que interviene, y el editor debe asegurar que se informa y se pide el consentimiento sobre las cookies de terceros que incluye. La responsabilidad administrativa no se puede desplazar por contrato, aunque este sirva para repartir las tareas.

¿Quieres ayuda para ordenar la adecuación de tu web? Habla con el equipo de AdOpt y lo vemos juntos.