El RGPD se aplica a cualquier sitio que trate datos de residentes de la UE, sea cual sea el país donde esté alojada la empresa. Las multas pueden llegar a 20 millones de euros o al 4% de la facturación mundial anual, la cifra que sea más alta. Ocho años después de su entrada en vigor, la mayoría de los sitios e-commerce que audito todavía presentan al menos tres o cuatro incumplimientos significativos. Esta es la checklist concreta, punto por punto, para estar en regla sin necesidad de ser abogado.
1. El banner de cookies
Es el punto más visible y el que peor se implementa habitualmente. La regla es simple: rechazar las cookies no esenciales debe ser tan fácil como aceptarlas, en la misma pantalla y con un solo clic. Ninguna casilla debe estar premarcada para las cookies no esenciales. Debe haber una distinción clara entre las cookies estrictamente necesarias para el funcionamiento del sitio (que no requieren consentimiento) y las cookies de medición de audiencia, marketing o redes sociales (que sí lo requieren). El consentimiento debe guardarse con una marca de tiempo precisa y una prueba técnica (identificador de sesión, versión del texto mostrado), para poder presentarse en caso de inspección.
2. Aviso legal y política de privacidad
Dos documentos distintos, a menudo confundidos erróneamente. El aviso legal identifica a la empresa (razón social, identificador fiscal, dirección, proveedor de hosting). La política de privacidad debe precisar la identidad del responsable del tratamiento, la finalidad exacta de cada tratamiento de datos, el plazo de conservación de cada categoría de datos, los destinatarios (incluidos los subencargados), y el detalle de los derechos de los usuarios: acceso, rectificación, supresión, portabilidad, oposición y limitación del tratamiento, junto con las vías concretas para ejercerlos.
3. Formularios de recogida de datos
Cada formulario (contacto, registro, reseñas) debe incluir una casilla clara y no premarcada para cualquier consentimiento opcional, con una mención explícita y comprensible del uso real que se dará a los datos. Recoge solo los datos estrictamente necesarios para la finalidad declarada: es el principio de minimización, a menudo ignorado por un exceso de prudencia comercial ("nunca se sabe, puede servir").
4. Newsletter y emailing de marketing
El doble opt-in es obligatorio en la práctica: debe enviarse un email de confirmación tras el registro, con un enlace de validación explícito. Cada email posterior debe incluir un enlace de baja claro, funcional en un solo clic, sin necesidad de iniciar sesión en una cuenta. El plazo para procesar una baja no debe superar unos pocos días laborables.
5. Subencargados y herramientas de terceros
Elabora una lista exhaustiva de todas las herramientas de terceros que tratan datos personales por tu cuenta: solución de analítica, CRM, proveedor de pago, hosting, solución de emailing, chatbot, módulo de reseñas. Para cada una, debe firmarse un acuerdo de tratamiento de datos (DPA), que precise las garantías de seguridad y el lugar donde se tratan los datos (especialmente importante si el proveedor está fuera de la UE).
6. Seguridad técnica
El HTTPS es obligatorio en todo el sitio, sin excepciones. Las contraseñas almacenadas deben cifrarse con un algoritmo robusto (bcrypt como mínimo, nunca MD5 o SHA1 solo). En caso de incidente de seguridad que afecte a datos personales, es obligatorio notificar a la autoridad de protección de datos en un plazo de 72 horas, y se requiere notificar a los afectados si el riesgo para sus derechos y libertades es alto.
7. Registro de actividades de tratamiento
Toda empresa, incluidas las microempresas y autónomos, debe mantener un registro de actividades de tratamiento que recoja cada tipo de dato recogido, su finalidad, su plazo de conservación y las medidas de seguridad asociadas. Este documento, a menudo olvidado por las pequeñas estructuras, es lo primero que se pide en una inspección de la autoridad de protección de datos.
Consecuencias concretas de un incumplimiento
Más allá del riesgo económico directo, un requerimiento formal de la autoridad de protección de datos se hace público y perjudica la reputación de la empresa. En los casos que gestiono, una puesta en conformidad completa suele llevar entre 2 y 4 semanas de trabajo, repartidas entre la auditoría inicial, la actualización de los documentos legales, la reconfiguración del banner de cookies y la protección técnica del sitio.
