Quan una empresa publica la seva web —una simple pàgina corporativa, un formulari de contacte, una newsletter o una botiga en línia— comença a tractar dades personals de les persones que la visiten. Des d'aquell moment, la política de privacitat deixa de ser un adorn del peu de pàgina i passa a ser el document amb què l'organització compleix el seu deure d'informació davant de qui li confia les seves dades.
Aquesta guia està pensada per a l'empresa que necessita entendre què ha de contenir la política de privacitat de la seva web: què és exactament, per què la normativa l'exigeix, quina informació mínima ha de recollir i en què es diferencia de l'avís legal i de la política de galetes. L'enfocament és operatiu i divulgatiu, sense to alarmista.
Què és la política de privacitat d'una web (i què no és)
La política de privacitat és el document en què el responsable del tractament —l'empresa titular de la web— explica de manera clara i accessible quines dades personals recull a través del lloc, amb quines finalitats les tracta, sobre quina base jurídica se sustenta, amb qui les comparteix i quins drets pot exercir l'usuari. En termes jurídics, és l'instrument amb què es compleix el deure d'informació que el RGPD imposa al responsable.
Convé aclarir d'entrada el que la política de privacitat no és:
- No és un contracte que l'usuari signi ni un text que li imposi obligacions. És informació que l'empresa li proporciona.
- No és l'avís legal. L'avís legal identifica l'empresa com a prestadora del servei; la política de privacitat explica el tractament de dades.
- No és la política de galetes. Les galetes i altres dispositius de seguiment tenen el seu propi règim i el seu propi document.
- No és un formalisme copiable. Ha de reflectir els tractaments reals d'aquesta web concreta, no els d'una plantilla aliena.
Per què és obligatòria: el deure d'informació de l'art. 13 RGPD
L'obligació de tenir una política de privacitat no neix d'una norma que digui literalment «tota web tindrà una política de privacitat». Neix del deure d'informació que l'art. 13 del RGPD (Reglament UE 2016/679) imposa al responsable sempre que obté dades personals directament de l'interessat. I una web que té un formulari de contacte, una alta de newsletter, un registre de client o un carretó de compra obté dades directament de l'interessat.
L'art. 13 RGPD exigeix que, en el moment en què s'obtenen les dades, es faciliti a l'interessat una informació determinada. La política de privacitat és simplement la manera habitual i ordenada de lliurar aquesta informació en l'entorn web. A això s'hi sumen dues peces més del marc espanyol:
- Art. 12 RGPD: la informació s'ha de facilitar de manera concisa, transparent, intel·ligible i de fàcil accés, amb un llenguatge clar i senzill. No n'hi ha prou que la informació existeixi: ha de ser comprensible.
- Art. 14 RGPD: quan les dades no s'obtenen del mateix interessat sinó d'un tercer (per exemple, un llistat professional o un intermediari), el deure d'informació continua existint, amb algunes particularitats sobre el termini i sobre l'origen de les dades. Una política de privacitat completa contempla també aquest supòsit quan l'empresa capta dades per aquestes vies.
- Art. 11 de la LOPDGDD (Llei Orgànica 3/2018): regula la transparència i el dret d'informació de l'afectat i habilita el model d'informació per capes, molt útil a la web: una primera capa breu al punt de recollida, amb la informació essencial i un enllaç a la política completa com a segona capa.
Al costat de la política de privacitat, la web necessita també el seu avís legal, que respon a una norma diferent: l'art. 10 de la Llei 34/2002 (LSSI-CE), que obliga el prestador de serveis de la societat de la informació a identificar-se (denominació, NIF/CIF, domicili, dades de contacte i, si escau, dades registrals o de col·legiació). Són dos deures diferents que conviuen en el mateix peu de pàgina.
Per al detall de les obligacions que imposa la LSSI-CE a una web, es pot consultar la guia completa de la LSSI-CE. I per a la fotografia de totes les peces legals que necessita una web, el checklist de requisits legals d'una web.
Què ha d'incloure la política de privacitat: contingut mínim
El contingut mínim de la política de privacitat es deriva de l'art. 13 RGPD (i de l'art. 14 quan aplica). Traduït a la web d'una empresa, la política completa ha d'informar, com a mínim, del següent:
- Responsable del tractament. Identitat i dades de contacte de l'empresa titular de la web. És el «qui tracta les meves dades».
- Delegat de Protecció de Dades (DPD). Les seves dades de contacte, si l'empresa el té designat. No totes les organitzacions estan obligades a nomenar-lo; si existeix, cal informar-ne.
- Finalitats del tractament. Per a què s'usen les dades, de manera concreta: respondre a una consulta del formulari, gestionar la relació amb el client, enviar la newsletter, tramitar una comanda, etc. No val un «gestionar la relació» genèric que no digui res.
- Base jurídica de cada finalitat (art. 6 RGPD). Cada finalitat necessita la seva base: execució d'un contracte o de mesures precontractuals, consentiment, interès legítim, obligació legal. Una mateixa web sol combinar-ne diverses.
- Destinataris o categories de destinataris. A qui es comuniquen o cedeixen les dades, inclosos els encarregats del tractament (proveïdors d'allotjament, plataformes d'email màrqueting, CRM, passarel·les de pagament) que hi accedeixen per prestar un servei a l'empresa.
- Transferències internacionals. Si algun proveïdor tracta dades fora de l'Espai Econòmic Europeu, cal informar-ne i indicar la garantia en què es basa la transferència. És habitual quan s'utilitzen eines amb servidors als Estats Units.
- Terminis de conservació. Durant quant de temps es conserven les dades o, si no és possible donar un termini tancat, els criteris per determinar-lo.
- Drets de l'interessat. Accés, rectificació, supressió, limitació del tractament, oposició i portabilitat, amb explicació de com exercir-los i davant de qui.
- Dret a reclamar davant l'autoritat de control. L'usuari ha de saber que pot presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (AEPD) si considera que els seus drets no es respecten.
- Origen de les dades, quan no s'han obtingut del mateix interessat (supòsit de l'art. 14 RGPD).
Un detall important sobre els proveïdors i eines al núvol: quan l'empresa usa un CRM, una plataforma de newsletter o un allotjament, aquests proveïdors actuen com a encarregats del tractament (art. 28 RGPD). La relació es regula amb un contracte d'encàrrec, i la política de privacitat ha de reflectir que aquests tercers accedeixen a les dades. En finalitzar la relació amb un proveïdor, la regla és que aquest retorni o permeti exportar les dades a l'empresa abans de procedir a la seva destrucció, mai que simplement les esborri i deixi l'empresa sense elles.
Política de privacitat, avís legal i política de galetes: tres documents diferents
Un dels equívocs més freqüents és tractar aquests tres textos com si fossin un de sol o com si fossin intercanviables. Cadascun respon a una norma i a una finalitat diferents:
| Document | Norma de referència | Per a què serveix |
|---|---|---|
| Avís legal | Art. 10 LSSI-CE | Identifica qui hi ha darrere de la web: denominació, NIF/CIF, domicili, contacte i dades registrals o de col·legiació. |
| Política de privacitat | Arts. 12 a 14 RGPD + art. 11 LOPDGDD | Informa de quines dades personals es tracten, amb quina finalitat, sobre quina base jurídica i quins drets té l'usuari. |
| Política de galetes | Art. 22.2 LSSI-CE | Informa dels dispositius d'emmagatzematge i seguiment a l'equip de l'usuari, i recull el seu consentiment quan no són estrictament necessaris. |
La regla pràctica és senzilla: l'avís legal parla de l'empresa, la política de privacitat parla de les dades de les persones i la política de galetes parla de la tecnologia de seguiment. Els tres han d'estar accessibles de manera permanent des del peu de pàgina, i cap no cobreix la funció dels altres.
Errors comuns en la política de privacitat d'una web
La major part dels problemes no es deuen a mala fe, sinó a copiar sense analitzar. Aquests són els errors que es repeteixen amb més freqüència:
- La plantilla genèrica que no reflecteix els tractaments reals. És l'error d'arrel. Es descarrega una plantilla i es publica tal qual. El resultat és una política que descriu tractaments inexistents i omet els que sí que es fan. El deure d'informació de l'art. 13 RGPD es compleix informant del que realment passa en aquesta web, i això exigeix partir del registre d'activitats de tractament real de l'empresa.
- Finalitats vagues. «Gestionar la relació comercial» no diu res. Cada finalitat ha de ser concreta i estar associada a la seva base jurídica de l'art. 6 RGPD.
- Bases jurídiques mal assignades. Demanar el consentiment per a alguna cosa que en realitat es basa en l'execució d'un contracte, o a l'inrevés, és un error freqüent que confon l'usuari sobre les seves opcions reals.
- Ometre els encarregats del tractament. No esmentar els proveïdors (allotjament, email màrqueting, CRM, analítica) que accedeixen a les dades deixa incompleta la informació sobre destinataris.
- Ignorar les transferències internacionals. Usar eines amb servidors fora de l'EEE sense informar-ne ni indicar la garantia aplicable és una omissió habitual.
- Confondre la política amb l'avís legal o fondre'ls tots dos en un únic text que no compleix del tot cap de les dues funcions.
- Publicar-la i oblidar-la. Quan l'empresa afegeix un nou formulari, canvia de CRM o incorpora una nova finalitat, la política s'ha d'actualitzar. Una política congelada acaba descrivint una web que ja no existeix.
"Una política de privacitat no es copia, s'aixeca des dels tractaments reals de l'empresa. El text és l'última capa; a sota hi ha d'haver una anàlisi de quines dades entren per la web, per a què i amb qui es comparteixen. Sense aquesta anàlisi, el document informa d'una web que no existeix."
Mario P. Talamillo · Soci director, Certix®
Checklist ràpid per revisar la teva política de privacitat
Una comprovació ràpida que un responsable de projecte pot fer sobre la política de privacitat de la seva web:
- Identifica amb claredat el responsable del tractament (l'empresa) i les seves dades de contacte?
- Descriu les finalitats reals, una a una, amb la seva base jurídica de l'art. 6 RGPD?
- Esmenta els proveïdors que accedeixen a les dades com a encarregats del tractament?
- Informa de transferències internacionals si s'usen eines fora de l'EEE?
- Indica terminis de conservació o els criteris per fixar-los?
- Enumera els drets de l'interessat i com exercir-los?
- Informa del dret a reclamar davant l'AEPD?
- Està accessible de manera permanent des del peu de pàgina i enllaçada des de cada formulari (informació per capes)?
- Coincideix el que diu amb el que la web fa de veritat avui?
Preguntes freqüents
Què ha d'incloure la política de privacitat de la web d'una empresa?
La informació que exigeix l'art. 13 RGPD: responsable del tractament, dades del DPD si existeix, finalitats i base jurídica de cadascuna (art. 6 RGPD), destinataris, transferències internacionals, terminis de conservació, drets de l'interessat (accés, rectificació, supressió, limitació, oposició i portabilitat) i el dret a reclamar davant l'AEPD. Tot referit als tractaments reals d'aquesta web.
És el mateix la política de privacitat que l'avís legal?
No. L'avís legal identifica l'empresa com a prestadora del servei (art. 10 LSSI-CE: denominació, NIF/CIF, domicili, contacte). La política de privacitat compleix el deure d'informació sobre el tractament de dades (art. 13 RGPD). La política de galetes és un tercer document (art. 22.2 LSSI-CE). Són tres textos diferents amb funcions diferents.
Serveix una plantilla genèrica descarregada d'internet?
Com a orientació pot servir; com a document definitiu gairebé mai. L'art. 13 RGPD obliga a informar dels tractaments reals de l'empresa. Una plantilla descriu tractaments que potser no es realitzen i omet d'altres que sí. La política ha de partir del registre d'activitats de tractament propi de l'organització.
On ha d'estar accessible la política de privacitat?
De manera permanent, normalment mitjançant un enllaç al peu de pàgina de tot el lloc. A més, l'art. 11 LOPDGDD permet el model per capes: una primera capa breu al costat de cada formulari, amb un enllaç a la política completa. La informació ha d'estar disponible en el moment en què es recullen les dades.
Com aborda Certix la protecció de dades d'una web
A Certix el punt de partida mai no és la plantilla, sinó l'anàlisi: quines dades entren per la web, per quins formularis, amb quina finalitat, sobre quina base jurídica i amb quins proveïdors. A partir d'aquí es redacten les clàusules informatives i la política de privacitat que reflecteixen de veritat els tractaments de l'organització. El contacte inicial es fa directament amb un especialista en compliment, sense intermediaris comercials ni documents genèrics.
Si vols revisar com està plantejada la privacitat de la web de la teva empresa, pots conèixer la nostra consultoria de protecció de dades o escriure'ns a través de la pàgina de contacte.
Referències i recursos per aprofundir
- Què necessita la teva web per complir el RGPD i la LSSI-CE (checklist complet)
- Guia completa de la LSSI-CE
- Consultoria de protecció de dades de Certix
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar els requisits generals descrits.