Cando unha empresa publica a súa web —unha simple páxina corporativa, un formulario de contacto, unha newsletter ou unha tenda en liña— empeza a tratar datos persoais das persoas que a visitan. Desde ese momento, a política de privacidade deixa de ser un adorno do pé de páxina e pasa a ser o documento co que a organización cumpre o seu deber de información ante quen lle confía os seus datos.
Esta guía está pensada para a empresa que necesita entender que debe conter a política de privacidade da súa web: que é exactamente, por que a normativa a esixe, que información mínima debe recoller e en que se diferencia do aviso legal e da política de cookies. O enfoque é operativo e divulgativo, sen ton alarmista.
Que é a política de privacidade dunha web (e que non é)
A política de privacidade é o documento no que o responsable do tratamento —a empresa titular da web— explica de forma clara e accesible que datos persoais recolle a través do sitio, con que finalidades os trata, sobre que base xurídica se apoia, con quen os comparte e que dereitos pode exercer o usuario. En termos xurídicos, é o instrumento co que se cumpre o deber de información que o RGPD impón ao responsable.
Convén aclarar de entrada o que a política de privacidade non é:
- Non é un contrato que o usuario asine nin un texto que lle impoña obrigas. É información que a empresa lle proporciona.
- Non é o aviso legal. O aviso legal identifica á empresa como prestadora do servizo; a política de privacidade explica o tratamento de datos.
- Non é a política de cookies. As cookies e demais dispositivos de seguimento teñen o seu propio réxime e o seu propio documento.
- Non é un formalismo copiable. Debe reflectir os tratamentos reais desa web concreta, non os dunha plantilla allea.
Por que é obrigatoria: o deber de información do art. 13 RGPD
A obriga de ter unha política de privacidade non nace dunha norma que diga literalmente «toda web terá unha política de privacidade». Nace do deber de información que o art. 13 do RGPD (Regulamento UE 2016/679) impón ao responsable sempre que obtén datos persoais directamente do interesado. E unha web que ten un formulario de contacto, unha alta de newsletter, un rexistro de cliente ou un carriño de compra obtén datos directamente do interesado.
O art. 13 RGPD esixe que, no momento en que se obteñen os datos, se facilite ao interesado unha información determinada. A política de privacidade é simplemente a forma habitual e ordenada de entregar esa información no contorno web. A isto súmanse dúas pezas máis do marco español:
- Art. 12 RGPD: a información debe facilitarse de forma concisa, transparente, intelixible e de fácil acceso, cunha linguaxe clara e sinxela. Non abonda con que a información exista: ten que ser comprensible.
- Art. 14 RGPD: cando os datos non se obteñen do propio interesado senón dun terceiro (por exemplo, unha listaxe profesional ou un intermediario), o deber de información segue existindo, con algunhas particularidades sobre prazo e sobre a orixe dos datos. Unha política de privacidade completa contempla tamén este suposto cando a empresa capta datos por esas vías.
- Art. 11 da LOPDGDD (Lei Orgánica 3/2018): regula a transparencia e o dereito de información do afectado e habilita o modelo de información por capas, moi útil en web: unha primeira capa breve no punto de recollida, coa información esencial e unha ligazón á política completa como segunda capa.
Xunto á política de privacidade, a web necesita tamén o seu aviso legal, que responde a unha norma distinta: o art. 10 da Lei 34/2002 (LSSI-CE), que obriga ao prestador de servizos da sociedade da información a identificarse (denominación, NIF/CIF, domicilio, datos de contacto e, no seu caso, datos rexistrais ou de colexiación). Son dous deberes diferentes que conviven no mesmo pé de páxina.
Para o detalle das obrigas que impón a LSSI-CE a unha web, pode consultarse a guía completa da LSSI-CE. E para a fotografía de todas as pezas legais que necesita unha web, o checklist de requisitos legais dunha web.
Que debe incluír a política de privacidade: contido mínimo
O contido mínimo da política de privacidade derívase do art. 13 RGPD (e do art. 14 cando aplica). Traducido á web dunha empresa, a política completa debe informar, como mínimo, do seguinte:
- Responsable do tratamento. Identidade e datos de contacto da empresa titular da web. É o «quen trata os meus datos».
- Delegado de Protección de Datos (DPD). Os seus datos de contacto, se a empresa o ten designado. Non todas as organizacións están obrigadas a nomealo; se existe, hai que informalo.
- Finalidades do tratamento. Para que se usan os datos, de forma concreta: responder a unha consulta do formulario, xestionar a relación co cliente, enviar a newsletter, tramitar un pedido, etc. Non vale un «xestionar a relación» xenérico que non diga nada.
- Base xurídica de cada finalidade (art. 6 RGPD). Cada finalidade necesita a súa base: execución dun contrato ou de medidas precontractuais, consentimento, interese lexítimo, obriga legal. Unha mesma web adoita combinar varias.
- Destinatarios ou categorías de destinatarios. A quen se comunican ou ceden os datos, incluídos os encargados do tratamento (provedores de hosting, plataformas de email marketing, CRM, pasarelas de pago) que acceden a eles para prestar un servizo á empresa.
- Transferencias internacionais. Se algún provedor trata datos fóra do Espazo Económico Europeo, hai que informalo e indicar a garantía na que se apoia a transferencia. É habitual cando se usan ferramentas con servidores en Estados Unidos.
- Prazos de conservación. Durante canto tempo se conservan os datos ou, se non é posible dar un prazo pechado, os criterios para determinalo.
- Dereitos do interesado. Acceso, rectificación, supresión, limitación do tratamento, oposición e portabilidade, con explicación de como exercelos e ante quen.
- Dereito a reclamar ante a autoridade de control. O usuario debe saber que pode presentar unha reclamación ante a Axencia Española de Protección de Datos (AEPD) se considera que os seus dereitos non se respectan.
- Orixe dos datos, cando non se obtiveron do propio interesado (suposto do art. 14 RGPD).
Un detalle importante sobre os provedores e ferramentas na nube: cando a empresa usa un CRM, unha plataforma de newsletter ou un hosting, eses provedores actúan como encargados do tratamento (art. 28 RGPD). A relación regúlase cun contrato de encarga, e a política de privacidade debe reflectir que eses terceiros acceden aos datos. Ao finalizar a relación cun provedor, a regra é que este devolva ou permita exportar os datos á empresa antes de proceder á súa destrución, nunca que simplemente os borre e deixe á empresa sen eles.
Política de privacidade, aviso legal e política de cookies: tres documentos distintos
Un dos equívocos máis frecuentes é tratar estes tres textos coma se fosen un só ou coma se fosen intercambiables. Cada un responde a unha norma e a unha finalidade diferentes:
| Documento | Norma de referencia | Para que serve |
|---|---|---|
| Aviso legal | Art. 10 LSSI-CE | Identifica quen está detrás da web: denominación, NIF/CIF, domicilio, contacto e datos rexistrais ou de colexiación. |
| Política de privacidade | Arts. 12 a 14 RGPD + art. 11 LOPDGDD | Informa de que datos persoais se tratan, con que fin, sobre que base xurídica e que dereitos ten o usuario. |
| Política de cookies | Art. 22.2 LSSI-CE | Informa dos dispositivos de almacenamento e seguimento no equipo do usuario, e recolle o seu consentimento cando non son estritamente necesarios. |
A regra práctica é sinxela: o aviso legal fala da empresa, a política de privacidade fala dos datos das persoas e a política de cookies fala da tecnoloxía de seguimento. Os tres deben estar accesibles de forma permanente desde o pé de páxina, e ningún cobre a función dos outros.
Erros comúns na política de privacidade dunha web
A maior parte dos problemas non se deben a mala fe, senón a copiar sen analizar. Estes son os fallos que se repiten con máis frecuencia:
- A plantilla xenérica que non reflicte os tratamentos reais. É o erro de raíz. Descárgase unha plantilla e publícase tal cal. O resultado é unha política que describe tratamentos inexistentes e omite os que si se fan. O deber de información do art. 13 RGPD cúmprese informando de o que realmente ocorre nesa web, e iso esixe partir do rexistro de actividades de tratamento real da empresa.
- Finalidades vagas. «Xestionar a relación comercial» non di nada. Cada finalidade debe ser concreta e estar asociada á súa base xurídica do art. 6 RGPD.
- Bases xurídicas mal asignadas. Pedir o consentimento para algo que en realidade se basea na execución dun contrato, ou ao revés, é un erro frecuente que confunde ao usuario sobre as súas opcións reais.
- Omitir aos encargados do tratamento. Non mencionar os provedores (hosting, email marketing, CRM, analítica) que acceden aos datos deixa incompleta a información sobre destinatarios.
- Ignorar as transferencias internacionais. Usar ferramentas con servidores fóra do EEE sen informalo nin indicar a garantía aplicable é unha omisión habitual.
- Confundir a política co aviso legal ou fundir ambos nun único texto que non cumpre do todo ningunha das dúas funcións.
- Publicala e esquecela. Cando a empresa engade un novo formulario, cambia de CRM ou incorpora unha nova finalidade, a política debe actualizarse. Unha política conxelada acaba describindo unha web que xa non existe.
"Unha política de privacidade non se copia, levántase desde os tratamentos reais da empresa. O texto é a última capa; debaixo ten que haber unha análise de que datos entran pola web, para que e con quen se comparten. Sen esa análise, o documento informa dunha web que non existe."
Mario P. Talamillo · Socio director, Certix®
Checklist rápido para revisar a túa política de privacidade
Unha comprobación rápida que un responsable de proxecto pode facer sobre a política de privacidade da súa web:
- Identifica con claridade ao responsable do tratamento (a empresa) e os seus datos de contacto?
- Describe as finalidades reais, unha a unha, coa súa base xurídica do art. 6 RGPD?
- Menciona aos provedores que acceden aos datos como encargados do tratamento?
- Informa de transferencias internacionais se se usan ferramentas fóra do EEE?
- Indica prazos de conservación ou os criterios para fixalos?
- Enumera os dereitos do interesado e como exercelos?
- Informa do dereito a reclamar ante a AEPD?
- Está accesible de forma permanente desde o pé de páxina e ligada desde cada formulario (información por capas)?
- Coincide o que di co que a web fai de verdade hoxe?
Preguntas frecuentes
Que debe incluír a política de privacidade da web dunha empresa?
A información que esixe o art. 13 RGPD: responsable do tratamento, datos do DPD se existe, finalidades e base xurídica de cada unha (art. 6 RGPD), destinatarios, transferencias internacionais, prazos de conservación, dereitos do interesado (acceso, rectificación, supresión, limitación, oposición e portabilidade) e o dereito a reclamar ante a AEPD. Todo referido aos tratamentos reais desa web.
É o mesmo a política de privacidade que o aviso legal?
Non. O aviso legal identifica á empresa como prestadora do servizo (art. 10 LSSI-CE: denominación, NIF/CIF, domicilio, contacto). A política de privacidade cumpre o deber de información sobre o tratamento de datos (art. 13 RGPD). A política de cookies é un terceiro documento (art. 22.2 LSSI-CE). Son tres textos distintos con funcións distintas.
Serve unha plantilla xenérica descargada de internet?
Como orientación pode servir; como documento definitivo case nunca. O art. 13 RGPD obriga a informar dos tratamentos reais da empresa. Unha plantilla describe tratamentos que quizais non se realizan e omite outros que si. A política debe partir do rexistro de actividades de tratamento propio da organización.
Onde debe estar accesible a política de privacidade?
De forma permanente, normalmente mediante ligazón no pé de páxina de todo o sitio. Ademais, o art. 11 LOPDGDD permite o modelo por capas: unha primeira capa breve xunto a cada formulario, cunha ligazón á política completa. A información debe estar dispoñible no momento en que se recollen os datos.
Como aborda Certix a protección de datos dunha web
En Certix o punto de partida nunca é a plantilla, senón a análise: que datos entran pola web, por que formularios, con que finalidade, sobre que base xurídica e con que provedores. A partir de aí redáctanse as cláusulas informativas e a política de privacidade que reflicten de verdade os tratamentos da organización. O contacto inicial realízase directamente cun especialista en protección de datos, sen intermediarios comerciais nin documentos xenéricos.
Se queres revisar como está formulada a privacidade da web da túa empresa, podes coñecer a nosa consultoría de protección de datos ou escribirnos a través da páxina de contacto.
Referencias e recursos para afondar
- Que necesita a túa web para cumprir o RGPD e a LSSI-CE (checklist completo)
- Guía completa da LSSI-CE
- Consultoría de protección de datos de Certix
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar os requisitos xerais descritos.