RGPD y cookies en tu web: lo mínimo que tienes que tener

Esto no es asesoría legal y no la sustituye: es la lista de lo que nos preguntan siempre y de lo que dejamos preparado en la web. Para tu caso concreto, un abogado o un asesor de protección de datos.

Las cuatro piezas

• Aviso legal: quién eres. Nombre o razón social, NIF, domicilio, correo de contacto y los datos de registro si te aplican.
• Política de privacidad: qué datos recoges, para qué, con qué base legal, cuánto los guardas, quién los trata por ti (tu hosting, tu correo, tu herramienta de formularios) y cómo se ejercen los derechos.
• Política de cookies: qué cookies usa la web, de quién son, para qué sirven y cuánto duran.
• El formulario: una casilla de aceptación que no viene marcada, el enlace a la privacidad al lado y una frase clara de qué vas a hacer con ese correo.

El aviso de cookies, bien hecho

Lo que se ve mal hecho todo el tiempo:

• Cargar las cookies de analítica o de publicidad antes de que la persona acepte. El aviso tiene que bloquear de verdad, no solo informar.
• Que rechazar sea más difícil que aceptar: dos clics para decir no y uno para decir sí.
• Un «Aceptar» sin opción de rechazar al mismo nivel.
• No guardar la elección, y no dejar cambiarla después desde algún sitio.

La autoridad de referencia en España es la AEPD, que publica una guía de cookies pública y gratuita y la va actualizando. Es el sitio donde mirar cuando alguien te diga que algo «hay que hacerlo así».

Lo que se olvida y sí cuenta

• El mapa y el vídeo incrustados, que suelen poner cookies de terceros antes de que nadie acepte nada.
• El chat, el píxel de publicidad y las tipografías cargadas desde un servidor ajeno.
• Los correos del formulario, que acaban en una bandeja: eso también es tratar datos, y hay que decir cuánto tiempo los guardas.
• El formulario sin cifrado. Si tu web no va por https, lo que la gente escribe viaja en claro.

Por qué no copiar el texto de otra web

Tres motivos: contiene los datos de otra empresa, describe tratamientos que no son los tuyos y suele estar desactualizado. Un aviso legal con el NIF de otro no te protege de nada, y además es contenido copiado, que tampoco te ayuda en Google.