Política de privacidad web: elementos obligatorios

Sin embargo, muchas páginas siguen presentando la política de privacidad como un texto genérico, escondido en el pie de página y lleno de fórmulas que el usuario no puede relacionar con la acción que está realizando.

La política de privacidad web y sus requisitos legales no se resuelven copiando una plantilla. El documento debe describir los tratamientos que realmente realiza cada sitio: qué datos recoge, para qué los utiliza, durante cuánto tiempo los conserva, con quién los comparte y cómo puede la persona ejercer sus derechos. Bajo el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), la transparencia no es un adorno jurídico: es la forma concreta de devolver al usuario capacidad de decisión sobre su información personal.

Qué debe explicar una política de privacidad

Existe obligación de informar cuando una página web recoge o trata datos personales. Esto incluye los casos más evidentes, como un formulario de contacto, un registro de usuario o la suscripción a una newsletter, pero también tratamientos menos visibles. Por ejemplo, una dirección IP puede considerarse un dato personal y determinadas cookies no esenciales pueden implicar tratamiento de información del usuario.

La primera pregunta no es qué texto colocar en la web, sino qué ocurre técnicamente cuando alguien la utiliza. Para responderla, conviene revisar cada punto de entrada de datos:

• Formularios de contacto, solicitudes de información y presupuestos.
• Creación de cuentas, acceso a áreas privadas y recuperación de contraseñas.
• Suscripción a comunicaciones comerciales o boletines.
• Comentarios, reseñas y participación en comunidades digitales.
• Herramientas de analítica, publicidad comportamental y personalización.
• Registros de seguridad, direcciones IP y datos del dispositivo.
• Servicios externos integrados en la página, como plataformas de correo, alojamiento o gestión de formularios.

A partir de ahí, la política debe presentar la información de manera comprensible. El artículo 12 del RGPD exige que sea concisa, transparente, inteligible y accesible, con un lenguaje claro y sencillo. Esto tiene una consecuencia práctica: no basta con incluir todos los términos jurídicos si el usuario no puede entender qué decisión está tomando.

Una política de privacidad útil no describe una web imaginaria: explica, con palabras reconocibles, lo que sucede en esa web concreta.

La redacción de la política de privacidad debe seguir el recorrido real de los datos. Si el formulario solicita nombre, correo electrónico y teléfono, el documento debe explicar por qué se piden esos campos. Si después esos datos se almacenan en una herramienta externa, también debe indicarse. Y si el teléfono no es necesario para responder a una consulta, quizá la solución adecuada no sea justificarlo mejor, sino dejar de solicitarlo.

Identificación del responsable: quién decide sobre los datos

El usuario necesita saber quién está detrás del tratamiento. Por eso, la política debe identificar claramente al responsable, es decir, a la persona física o jurídica que determina para qué se recogen los datos y cómo se utilizan.

En el marco del RGPD y la LOPDGDD, esta identificación debe incluir, como mínimo:

• Nombre completo o razón social del responsable.
• NIF o CIF, cuando corresponda.
• Dirección postal.
• Dirección de correo electrónico u otro canal de contacto.
• Datos del Delegado de Protección de Datos, si existe y resulta aplicable.

La identificación no debería quedar diluida en un párrafo largo. Una persona que quiera saber quién trata sus datos tiene que poder localizar esa información sin interpretar la estructura corporativa del sitio. Cuando la página pertenece a una empresa, una asociación, una administración o una persona profesional, la política debe reflejar esa realidad y no limitarse a utilizar el nombre comercial de la web.

También conviene distinguir entre el titular del sitio y los proveedores que prestan servicios por su cuenta. La empresa que gestiona el alojamiento, la plataforma de correo electrónico o el sistema de atención puede actuar como encargada del tratamiento, pero eso no sustituye la identificación del responsable principal. Son papeles diferentes dentro del mismo recorrido de la información.

La finalidad debe corresponderse con el formulario

Una política de privacidad que afirma de forma general que los datos se utilizarán para «gestionar la relación con el usuario» deja demasiadas preguntas abiertas. La finalidad debe describirse con suficiente precisión para que la persona entienda qué uso se hará de sus datos.

No es lo mismo:

• Responder una consulta enviada mediante un formulario.
• Gestionar un pedido y sus incidencias.
• Enviar comunicaciones comerciales.
• Analizar el uso de la web.
• Crear perfiles para personalizar contenidos o publicidad.
• Cumplir una obligación legal.
• Prevenir accesos fraudulentos o incidentes de seguridad.

Cada una de estas finalidades puede requerir una base jurídica diferente. El consentimiento es una de las posibilidades, pero no la única. La política debe indicar si el tratamiento se apoya en el consentimiento del usuario, en la ejecución de un contrato, en un interés legítimo, en el cumplimiento de una obligación legal u otra base prevista por la normativa.

Esta explicación es especialmente importante cuando una misma página utiliza los datos con varios propósitos. El hecho de que una persona facilite su correo para recibir respuesta no significa automáticamente que haya aceptado recibir publicidad. La finalidad de contestar una solicitud y la finalidad de enviar comunicaciones comerciales deben aparecer separadas, con la correspondiente forma de elección cuando sea necesario.

Cómo aplicar el sistema de información en dos capas

La Agencia Española de Protección de Datos recomienda ofrecer la información en dos capas. Este método permite resolver una tensión habitual: el usuario necesita recibir la información antes de entregar sus datos, pero un documento completo puede resultar demasiado extenso para colocarlo dentro de un formulario.

La primera capa debe ser breve, visible y cercana al punto en el que se recogen los datos. La segunda desarrolla la información con mayor profundidad y puede estar disponible mediante un enlace a la política completa.

Primera capa: la explicación que aparece en el momento

La información básica debería acompañar al formulario, al registro o al mecanismo mediante el que se solicita el consentimiento. No tiene sentido que el usuario tenga que buscar en varias páginas qué uso se hará de los datos justo cuando está decidiendo si los facilita.

Esta primera capa puede resumir:

• Quién es el responsable del tratamiento.
• Para qué se utilizarán los datos.
• Cuál es la base jurídica.
• Si se prevén cesiones o transferencias internacionales.
• Cómo consultar la información completa.
• Cómo ejercer los derechos.

La primera capa no sustituye a la política extensa. Su función es que la decisión no se produzca a ciegas. Debe ser visible, legible y estar escrita en un lenguaje que no obligue a la persona a conocer la terminología del RGPD.

Un error frecuente consiste en colocar una frase ambigua junto a una casilla ya marcada. Esta práctica mezcla información y consentimiento de una manera poco transparente. Cuando el tratamiento exige consentimiento, la acción de aceptarlo debe ser clara y diferenciada de la simple lectura de las condiciones del servicio.

Segunda capa: el documento completo

La segunda capa reúne el detalle necesario para comprender el tratamiento. No tiene que ser una acumulación desordenada de cláusulas, sino un documento que permita seguir el camino de los datos desde la recogida hasta su eliminación o anonimización.

Una estructura útil puede incluir:

1. Responsable del tratamiento. Nombre o razón social, identificación, dirección y contacto.

2. Datos tratados. Categorías de datos que se recogen en cada canal o servicio.

3. Finalidades. Uso concreto de los datos para cada actividad.

4. Bases jurídicas. Fundamento que permite cada tratamiento.

5. Plazos de conservación. Tiempo previsto o criterios utilizados para determinarlo.

6. Destinatarios. Terceros que recibirán los datos y proveedores que intervienen.

7. Transferencias internacionales. Información sobre envíos fuera del Espacio Económico Europeo, si los hay.

8. Elaboración de perfiles. Existencia de perfiles o decisiones automatizadas y sus consecuencias.

9. Derechos de las personas. Procedimiento para ejercerlos.

10. Reclamación. Posibilidad de acudir a la autoridad de control competente.

Esta organización facilita la actualización. Si se incorpora una nueva herramienta de analítica o cambia el proveedor de correo, resulta más sencillo localizar el apartado afectado que revisar un texto construido como un único bloque.

Conservación, destinatarios y proveedores: la parte que suele quedar incompleta

Decir que los datos se conservarán «durante el tiempo necesario» puede ser insuficiente si no se explica qué significa ese tiempo. La política debe indicar los plazos aplicables o, cuando no sea posible fijar una duración exacta, los criterios utilizados para establecerla.

Por ejemplo, el tiempo puede depender de que la consulta siga abierta, de la vigencia de una relación contractual, de una obligación legal de conservación o de la necesidad de atender posibles responsabilidades. Lo esencial es que la persona pueda entender por qué sus datos no se eliminan inmediatamente y qué circunstancia determina su conservación.

La misma precisión debe aplicarse a los destinatarios. Si los datos se comunican a terceros, la política debe indicarlo. Esto puede incluir proveedores de alojamiento, plataformas de envío de correos, servicios de atención al cliente, herramientas de gestión interna o empresas que prestan soporte tecnológico.

No todos esos proveedores utilizan los datos con la misma autonomía. Algunos actúan siguiendo las instrucciones del responsable y otros pueden tratar información para sus propios fines. La política no necesita convertir al usuario en especialista en contratos tecnológicos, pero sí debe describir de forma honesta quién interviene y con qué función.

Cesión de datos y acceso de terceros

Una expresión como «los datos no se venderán a terceros» no explica todo lo que puede suceder. Puede haber accesos necesarios para prestar un servicio, comunicaciones exigidas por una autoridad o proveedores que operan sistemas esenciales de la web. La política tiene que reflejar esos supuestos sin esconderlos detrás de una fórmula tranquilizadora.

La revisión puede apoyarse en preguntas concretas:

• ¿Qué empresa aloja la web y dónde se encuentran sus servidores?
• ¿Qué plataforma envía los boletines?
• ¿Quién gestiona los formularios o las solicitudes de soporte?
• ¿Qué herramientas reciben datos de navegación?
• ¿Se comparte información con redes publicitarias?
• ¿Existe una obligación legal de comunicar determinados datos?
• ¿Puede un proveedor acceder a la información desde otro país?

Estas preguntas conectan la protección de datos personales en la web con la realidad técnica de la página. También ayudan a detectar una dificultad habitual: la política se redactó al crear el sitio, pero después se añadieron herramientas y servicios sin actualizar la información.

Transferencias internacionales y elaboración de perfiles

Los datos pueden salir del Espacio Económico Europeo cuando se utiliza un proveedor situado fuera de ese territorio o cuando una empresa internacional accede a la información desde otro país. Si existe una transferencia internacional, la política debe informar de ello y explicar las garantías aplicables según el caso.

No es suficiente con mencionar el nombre de una plataforma. El usuario necesita saber que sus datos pueden ser tratados fuera del Espacio Económico Europeo y qué marco permite esa transferencia. La explicación debe mantenerse clara, sin ocultar la información dentro de un listado de proveedores difícil de interpretar.

También deben describirse las elaboraciones de perfiles y las decisiones automatizadas cuando se realicen. Un perfil puede construirse a partir de hábitos de navegación, intereses, historial de interacción o datos facilitados en distintos servicios. No es lo mismo mostrar una página igual para todas las personas que clasificar a los usuarios para personalizar contenidos, publicidad o condiciones.

Cuando existen decisiones automatizadas con efectos relevantes, la información debe explicar que se utiliza ese mecanismo y aportar una descripción comprensible de su lógica y de sus consecuencias. La persona no necesita recibir una fórmula técnica ilegible, pero sí saber que una herramienta automática participa en la decisión y qué opciones tiene para solicitar intervención o ejercer sus derechos cuando proceda.

Si una herramienta influye en lo que una persona ve, recibe o puede hacer, su presencia pertenece a la política de privacidad, no a la letra pequeña escondida fuera de la conversación.

Derechos del usuario y vías para ejercerlos

La política de privacidad debe explicar los derechos que puede ejercer la persona y el procedimiento para hacerlo. Entre ellos se encuentran el acceso, la rectificación, la supresión, la oposición, la limitación del tratamiento y la portabilidad. En algunos contextos también se habla de derechos ARCO ampliados o de la denominación POLARIS, que reúne estas facultades.

La enumeración por sí sola no basta. El usuario necesita saber a qué dirección puede enviar la solicitud, qué información debe aportar para identificar su petición y qué ocurrirá después. El canal debe ser razonablemente accesible: una dirección de correo específica suele ser más útil que una referencia genérica a «contactar con la empresa».

Qué debe contener la explicación de cada derecho

Una descripción práctica puede organizarse así:

• Acceso: permite conocer si se están tratando datos personales y obtener información sobre ese tratamiento.
• Rectificación: sirve para corregir datos inexactos o completar información incompleta.
• Supresión: permite solicitar la eliminación de los datos cuando concurra alguno de los supuestos previstos.
• Oposición: permite pedir que cese un tratamiento en determinadas circunstancias, especialmente cuando se basa en intereses legítimos o se utiliza con fines concretos.
• Limitación: restringe temporalmente el uso de los datos mientras se resuelve una cuestión sobre su exactitud, legalidad u oposición.
• Portabilidad: permite recibir determinados datos en un formato estructurado y solicitar su transmisión a otro responsable cuando se cumplan los requisitos.

La política también debería indicar que el ejercicio de un derecho no siempre conduce a la eliminación inmediata de toda la información. Puede existir una obligación legal de conservar determinados datos o una razón legítima para mantenerlos durante un periodo. Explicar estos límites evita crear expectativas que después no puedan cumplirse.

El canal de ejercicio debe coincidir con la organización real. Si nadie revisa una dirección de correo, el mecanismo existe solo sobre el papel. La apropiación tecnológica también consiste en poder reclamar, corregir y decidir sobre la propia información sin atravesar una barrera innecesaria de lenguaje o de procedimiento.

Política de privacidad, aviso legal y cookies no son lo mismo

Estos documentos suelen aparecer juntos en el pie de página, pero responden a obligaciones y contenidos diferentes.

La política de privacidad explica cómo se tratan los datos personales. El aviso legal, relacionado con las obligaciones de identificación del titular y otras exigencias aplicables a los servicios de la sociedad de la información, cumple una función distinta. La política de cookies informa sobre el uso de cookies y tecnologías similares, especialmente cuando no son necesarias para prestar el servicio solicitado.

Confundirlos produce dos problemas. Por un lado, el usuario no sabe dónde encontrar la información que necesita. Por otro, el titular de la web puede creer que una cláusula cubre tratamientos que en realidad no ha descrito.

Las cookies no esenciales merecen una revisión específica. Si una herramienta de analítica o publicidad almacena información que no resulta necesaria para prestar el servicio solicitado, no debería presentarse como una parte inevitable de la navegación. La política de cookies y el mecanismo de elección deben informar de forma separada y coherente con lo que ocurre técnicamente.

Errores habituales al redactar la política

Una buena revisión no consiste únicamente en buscar palabras que faltan. También hay que identificar contradicciones entre el documento y el funcionamiento de la página.

Estos son algunos de los fallos más frecuentes:

1. Copiar una plantilla sin adaptarla. El documento puede mencionar servicios, datos o finalidades que la web no utiliza, mientras omite herramientas que sí están instaladas.

2. Usar finalidades demasiado amplias. Expresiones como «mejorar la experiencia» no explican si se analizan visitas, se crean perfiles o se envían comunicaciones.

3. No indicar la base jurídica. El usuario debe saber por qué el tratamiento está permitido y cuándo su consentimiento es necesario.

4. Ocultar la información en un texto ilegible. Una política extensa puede ser válida en su contenido, pero poco transparente si está escrita con frases interminables y términos innecesariamente técnicos.

5. Olvidar las direcciones IP y las herramientas de analítica. El hecho de que el usuario no escriba personalmente esos datos no significa que la web no los trate.

6. No explicar la conservación. Mantener los datos indefinidamente no se justifica con una fórmula genérica.

7. Confundir consentimiento con aceptación de condiciones. Son decisiones distintas y deben presentarse como tales cuando el tratamiento lo requiera.

8. No revisar los proveedores. Los servicios tecnológicos cambian, y cada modificación puede afectar a los destinatarios o a las transferencias internacionales.

9. Prometer derechos sin ofrecer un canal operativo. Una dirección que no se atiende convierte el procedimiento en una formalidad vacía.

10. Dejar la política sin fecha ni revisión. El texto debe mantenerse alineado con los formularios, las cookies, las herramientas y las prácticas actuales de la entidad.

La frase «esta política puede cambiar» tampoco sustituye a una actualización responsable. Cuando el cambio afecta a una finalidad, a un proveedor o a una transferencia internacional, la persona usuaria debe recibir información adecuada y, cuando corresponda, poder tomar una nueva decisión.

Una revisión práctica antes de publicar

Para comprobar si la política refleja de verdad el tratamiento, se puede recorrer la web como lo haría cualquier usuario. Primero se localizan todos los formularios y mecanismos de registro. Después se anotan los campos solicitados y se compara cada uno con la finalidad declarada.

La revisión puede seguir este orden:

• Abrir la página en la que se solicita cada dato.
• Identificar qué información es obligatoria y cuál es opcional.
• Comprobar qué aviso aparece antes del envío.
• Revisar si la base jurídica está relacionada con la finalidad.
• Seguir el enlace hasta la política completa.
• Comparar los proveedores mencionados con las herramientas instaladas.
• Confirmar que se explica la conservación.
• Localizar el canal para ejercer derechos.
• Revisar las transferencias internacionales y los perfiles automatizados.
• Comprobar que la política de privacidad no está sustituyendo al aviso legal ni a la información sobre cookies.

Este recorrido debe repetirse cuando se incorpora un formulario nuevo, se cambia el sistema de boletines, se instala una herramienta de medición o se modifica la forma de prestar el servicio. La privacidad no es una página estática separada del diseño y del mantenimiento: forma parte del funcionamiento cotidiano del sitio.

En España, el RGPD fue aprobado el 27 de abril de 2016 y comenzó a aplicarse el 25 de mayo de 2018. La LOPDGDD se aprobó el 5 de diciembre de 2018. Estas normas establecen el marco de referencia de la información, pero no ofrecen una plantilla universal que pueda servir sin cambios para cualquier web. Cada entidad debe adaptar el documento a sus tratamientos reales.

El criterio final: que la persona pueda decidir

Una política de privacidad web cumple su función cuando permite responder, sin esfuerzo desproporcionado, a cinco preguntas: quién trata los datos, qué datos utiliza, para qué los necesita, cuánto tiempo los conservará y cómo puede la persona ejercer control sobre ellos.

La claridad no reduce la protección jurídica. Al contrario, ayuda a que los derechos sean utilizables por personas con distintos niveles de experiencia digital. Una comunidad conectada no se construye solo ampliando el acceso a Internet; también necesita que quienes participan en ella comprendan las reglas del entorno y puedan actuar con autonomía.

Por eso, la redacción de una política de privacidad debería comenzar con un inventario honesto de los tratamientos y terminar con una lectura desde el punto de vista del usuario. ¿Entendería qué ocurrirá al enviar el formulario? ¿Sabría a quién reclamar? ¿Encontraría una explicación si sus datos se comparten con una plataforma externa? Si la respuesta es negativa, todavía no estamos ante un documento transparente, aunque la página contenga todas las palabras jurídicas esperadas.

La mejor política no es la más larga ni la que acumula más referencias normativas. Es la que acompaña a la persona en el momento de decidir y mantiene esa promesa cuando llega el momento de consultar, corregir, limitar o eliminar sus datos.