¿Cumple la página web de tu empresa con el RGPD?

Las empresas se preocupan por tener una página web que impacte y atraiga clientes, dado que es su carta de presentación en internet y, por tanto, en todo el mundo. Sin embargo, muchas empresas descuidan los textos legales que debe contener la página web para cumplir con la normativa de protección de datos.

Proyectar una buena imagen en internet requiere ser consciente de la importancia de cumplir con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en adelante, «RGPD», así como con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Por tanto, debe prestarse especial atención a la redacción de la política de privacidad y la política de cookies, así como a la correcta identificación de la empresa a través del aviso legal.

Pero, además, como veremos a continuación, descuidar estos textos legales puede conllevar la imposición de sanciones por parte de la autoridad competente en materia de protección de datos.

Política de privacidad y cumplimiento del RGPD

La política de privacidad es esencial en la página web, puesto que permite cumplir con el deber de información que imponen los artículos 13 y 14 del RGPD. A través de ella, se informa a los usuarios de la web y a los clientes sobre cómo se tratan sus datos personales.

El artículo 13 del RGPD resulta aplicable cuando los datos personales se obtienen directamente del interesado, por ejemplo, a través de un formulario de contacto. Por su parte, el artículo 14 se aplica cuando los datos no se han obtenido directamente de la persona afectada.

La preocupación de las personas físicas por que se recaben más datos personales de los necesarios, por que estos se utilicen para finalidades distintas de aquellas para las que fueron inicialmente recogidos o por que se vendan o cedan a terceros crece día a día. Por tanto, las empresas y organizaciones deben ser conscientes de la importancia de cumplir escrupulosamente con la normativa de protección de datos.

Si un cliente tiene una incidencia o controversia con una empresa, examinará con lupa su comportamiento, y el escaparate que supone una página web es una buena manera de verificarlo.

La política de privacidad debe ser visible y accesible desde cualquier parte de la página web, normalmente mediante una pestaña o enlace independiente. Además, debe ser sencilla y estar redactada de forma clara, de modo que resulte comprensible para cualquier persona física y no induzca a confusión ni desanime al usuario de la web a leerla por ser demasiado extensa.

La información incluida debe reflejar los tratamientos que la empresa realiza realmente. Por tanto, no es suficiente utilizar una política de privacidad genérica que no se corresponda con el funcionamiento efectivo de la página web.

¿Qué debe reflejar la política de privacidad de una web conforme al RGPD?

Hay determinada información que, en todo caso, debe reflejar la política de privacidad de una web, como:

• La identidad del responsable del tratamiento y sus datos de contacto y, en su caso, los de su representante, cuando el responsable no esté establecido en la Unión Europea.
• Los datos de contacto del delegado de protección de datos, cuando su designación sea obligatoria o cuando la empresa lo haya nombrado voluntariamente.
• La finalidad para la que se utilizan los datos que se recogen a través de la página web e información, en su caso, sobre los fines ulteriores para los que se usarán los datos recogidos.
• La legitimación del tratamiento, que está íntimamente ligada a su finalidad. Si la base de legitimación es el interés legítimo, este deberá identificarse debidamente.
• El plazo de conservación de los datos o, en su defecto, los criterios utilizados para determinarlo.
• Los destinatarios de los datos o las categorías de destinatarios, indicando si el responsable va a comunicar los datos a terceros o si tiene intención de realizar transferencias internacionales.
• La existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, su rectificación o supresión, la limitación de su tratamiento, la oposición al tratamiento y el derecho a la portabilidad de los datos.
• La posibilidad de retirar el consentimiento en cualquier momento cuando este haya sido la base de legitimación del tratamiento, sin que dicha retirada afecte a la licitud del tratamiento realizado con anterioridad.
• El derecho a presentar una reclamación ante una autoridad de control.
• Si la comunicación de datos personales es un requisito legal o contractual o un requisito necesario para suscribir un contrato, así como si el interesado está obligado a facilitar dichos datos y cuáles serían las posibles consecuencias de no hacerlo.
• La existencia, en su caso, de decisiones automatizadas, incluida la elaboración de perfiles, así como información significativa sobre la lógica aplicada y las consecuencias previstas para el interesado.

Además, en todos los formularios de la web a través de los cuales se recojan datos personales debe incluirse un enlace a la política de privacidad y facilitarse la información correspondiente antes de que el usuario envíe sus datos.

No es obligatorio incluir en todos los casos una casilla mediante la que el usuario confirme que ha leído la política de privacidad. Lo esencial es que la información se haya puesto a su disposición de forma clara, accesible y previa al tratamiento.

Sin embargo, cuando sea necesario obtener el consentimiento para determinadas finalidades, como el envío de comunicaciones comerciales o la comunicación de datos a terceros, deberán incluirse casillas adicionales, específicas y no premarcadas.

La aceptación de la política de privacidad no debe confundirse con la prestación del consentimiento. La política cumple una función informativa, mientras que el consentimiento constituye una base jurídica para realizar determinados tratamientos.

Asimismo, la empresa debe aplicar el principio de protección de datos desde el diseño y por defecto, de manera que la web se configure para recoger únicamente los datos necesarios y utilizar las opciones más respetuosas con la privacidad.

El aviso legal de la página web y su relación con el RGPD

Además de la información que debe proporcionarse al usuario de la web a través de la política de privacidad, debe facilitarse información adicional que permita identificar de forma sencilla a la empresa que presta o publicita un producto o servicio.

La información que debe proporcionarse es la señalada en el artículo 10 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, en adelante, «LSSI»:

• La denominación social, el domicilio y los datos de contacto de la empresa.
• El NIF de la empresa.
• Los datos de inscripción en el Registro Mercantil o en cualquier otro registro público en el que la empresa esté inscrita para la adquisición de personalidad jurídica o a efectos de publicidad.
• Los datos de la autorización administrativa, cuando la actividad esté sujeta a un régimen de autorización previa, así como los datos identificativos del órgano competente encargado de su supervisión.
• Los datos relativos a la profesión regulada, cuando se ejerza una actividad de esta naturaleza.
• Información clara y exacta sobre el precio del producto o servicio cuando este se indique, señalando si incluye o no los impuestos aplicables y, en su caso, los gastos de envío.
• Los códigos de conducta a los que se haya adherido la empresa y la forma de consultarlos electrónicamente, cuando proceda.

Además de la información referida, resulta recomendable que la página web contenga unas condiciones o términos de uso, incluya información sobre la responsabilidad por los hipervínculos e indique la legislación y jurisdicción aplicables.

Estos últimos contenidos pueden ser aconsejables desde un punto de vista preventivo o contractual, pero no constituyen obligaciones generales impuestas por el artículo 10 de la LSSI a todas las páginas web.

Asimismo, es recomendable incluir enlaces claramente visibles a la política de privacidad y a la política de cookies.

Al proporcionar la información del aviso legal, la empresa cumple principalmente con las obligaciones de identificación y transparencia establecidas en la LSSI, permitiendo a los usuarios identificar debidamente al prestador del servicio.

Por su parte, la política de privacidad es la que permite conocer quién va a gestionar y tratar los datos personales y en qué condiciones. Ambos documentos pueden aparecer vinculados o incluso integrados en una misma pestaña, siempre que su contenido se encuentre claramente diferenciado.

Política de cookies y consentimiento conforme al RGPD

El uso de cookies está regulado por el artículo 22.2 de la LSSI. La página web debe facilitar al usuario información clara y completa sobre qué son las cookies, sus clases, funciones y finalidades, su duración, quién las instala, si son propias o de terceros y cómo pueden configurarse o deshabilitarse.

No todas las cookies requieren consentimiento. Las cookies técnicas o estrictamente necesarias para permitir la comunicación entre el equipo del usuario y la red o para prestar un servicio expresamente solicitado pueden quedar exceptuadas.

Sin embargo, antes de instalar cookies no exceptuadas, como determinadas cookies de analítica, publicidad comportamental o seguimiento, es necesario obtener el consentimiento previo del usuario.

La necesidad de consentimiento no depende únicamente de que una cookie sea propia o de terceros, sino de su finalidad y de si se encuentra comprendida dentro de alguna de las excepciones legalmente admitidas.

Por ello, la web debe contener un banner o ventana emergente en el que aparezca:

a) Una solicitud clara del consentimiento.

b) Un botón o mecanismo que permita aceptar las cookies.

c) Un botón o mecanismo que permita rechazarlas.

d) Un enlace o botón que permita configurarlas por categorías.

e) Un enlace visible a la política de cookies.

Las opciones de aceptar y rechazar deben aparecer al mismo nivel y con una presentación similar, sin que resulte más difícil rechazar las cookies que aceptarlas.

No deben utilizarse colores, tamaños, contrastes, diseños o recorridos de navegación que induzcan al usuario a aceptar las cookies o dificulten su rechazo.

Dentro del panel de configuración únicamente podrán aparecer activadas por defecto las cookies técnicas o necesarias. Las cookies sujetas a consentimiento no podrán estar premarcadas.

La política de cookies, al igual que la política de privacidad, debe aparecer en una pestaña o enlace independiente y ser accesible desde cualquier lugar de la web.

Además, el usuario debe poder retirar o modificar su consentimiento en cualquier momento y de forma tan sencilla como lo prestó. Para ello, resulta recomendable mantener un enlace o icono visible que permita acceder nuevamente al panel de configuración.

La empresa también debe revisar las herramientas y servicios integrados en la página web, como plataformas de analítica, píxeles publicitarios, mapas, vídeos incrustados o complementos de redes sociales, ya que pueden instalar cookies o realizar tratamientos de datos personales antes de que el usuario haya prestado su consentimiento.

Sanciones por incumplir el RGPD en una página web

Carecer de política de privacidad en la web o no cumplir debidamente con el deber de información a través de dicha política supone una infracción de los artículos 13 o 14 del RGPD.

La Agencia Española de Protección de Datos, AEPD, ha impuesto en distintos procedimientos multas de varios miles de euros por incumplimientos del deber de información, sin perjuicio de que las cuantías máximas previstas en el RGPD sean considerablemente superiores y dependan de la gravedad, duración y circunstancias de cada caso.

Además, distintas infracciones pueden acumularse y sancionarse de forma independiente.

Un buen ejemplo es la Resolución de la AEPD PS/00080/2023, que sancionó con un total de 12.000 euros a una empresa por la comisión de las siguientes infracciones:

Por la infracción del artículo 13 del RGPD, consistente en la falta de claridad y precisión de la política de privacidad sobre las finalidades del tratamiento y sus bases jurídicas, la falta de identificación clara de los intereses legítimos y la ausencia de información suficiente sobre las transferencias internacionales, se impuso una multa de 2.000 euros.

Por la infracción del artículo 5.1.a) del RGPD, al incumplir los principios de licitud, lealtad y transparencia mediante la utilización de patrones oscuros de sobrecarga, overloading, y ocultación, skipping, se impuso una multa de 5.000 euros.

En este caso, el interesado se encontraba con una lista de aproximadamente 130 proveedores, muchos de los cuales tenían marcada por defecto la opción de aceptar el tratamiento de datos por interés legítimo, obligando al usuario que quisiera oponerse a marcar las opciones una a una, sin que existiera una alternativa sencilla para oponerse a todos los tratamientos.

Esta infracción, al considerarse grave, podría haber sido sancionada con una multa de hasta 20.000.000 de euros o, tratándose de una empresa, con una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, de acuerdo con el artículo 83.5.a) del RGPD.

No obstante, la AEPD, atendiendo a las circunstancias concretas del caso, graduó la sanción e impuso una multa de 5.000 euros.

Por la infracción del artículo 22.2 de la LSSI, como consecuencia de la utilización de cookies de terceros que no eran técnicas o necesarias, la imposibilidad de rechazarlas y la falta de información suficiente en la política de cookies, se impuso una multa de 5.000 euros.

La infracción de las obligaciones relativas a las cookies se encuentra tipificada en el artículo 38.4.g) de la LSSI y puede ser sancionada, de acuerdo con el artículo 39 de la misma norma, con una multa de hasta 30.000 euros cuando tenga la consideración de infracción leve.

FAQ sobre el RGPD en páginas web

¿Necesitas asesoramiento? Accede a nuestra área relacionada con el cumplimiento del RGPD:

Compliance normativo