RGPD

Qué es exactamente

El RGPD es el Reglamento (UE) 2016/679, aplicable en toda la Unión Europea desde el 25 de mayo de 2018. Regula qué se puede hacer con los datos personales de las personas físicas y bajo qué condiciones. En España no viene solo: lo complementa la LOPDGDD, la Ley Orgánica 3/2018, que desarrolla algunos puntos y añade el capítulo de derechos digitales.

Antes de seguir, una aclaración que hago siempre en las reuniones y que hago también aquí:

No soy abogado ni delegado de protección de datos: escribo desde el lado de quien implanta la medición. Para decidir qué es lícito en tu caso, consulta con un profesional del derecho.

La palabra clave es dato personal, y casi todo el mundo la interpreta más estrecha de lo que es. No es solo el nombre y el DNI. Es cualquier información que permita identificar a alguien, directa o indirectamente: un correo, un teléfono, una dirección IP, el identificador que una cookie deja en el navegador. Ese último punto es el que convierte al RGPD en un asunto de analítica y no solo de formularios.

El consentimiento es una base legal, no la única

Conviene deshacer pronto la confusión más extendida, porque condiciona todo lo demás. El RGPD no obliga a pedir permiso para tratar datos: obliga a tener una base legal que ampare el tratamiento. Su artículo 6.1 enumera seis, y el consentimiento es solo la primera. Las otras cinco son la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el interés público y el interés legítimo. Gestionar el pedido de un cliente, conservar una factura o responder a quien te escribe no dependen de que nadie marque una casilla.

Entonces, ¿de dónde sale el aviso de cookies? De otra norma. En España, de la Ley 34/2002 (LSSI), cuyo artículo 22.2 —trasposición de la directiva ePrivacy— exige informar y obtener consentimiento antes de acceder o almacenar información en el dispositivo del usuario. Es una obligación sobre el dispositivo, no sobre el dato, y por eso alcanza también a identificadores que aún no sabes a quién pertenecen. El RGPD entra después, para regular qué haces con los datos personales que esa cookie te acaba trayendo.

Qué implica de verdad para una web

En la práctica, una web media toca la norma en tres sitios:

1. Los formularios. Contacto, presupuesto, alta en newsletter. Hay que informar de quién trata los datos, para qué, cuánto tiempo y cómo ejercer los derechos de acceso, rectificación o supresión. Y no vale meter la newsletter dentro del formulario de contacto sin una casilla aparte: son dos finalidades distintas.
2. Las cookies y los identificadores. Aquí manda el artículo 22.2 de la LSSI, y el criterio de cómo aplicarlo lo concreta la AEPD en su guía de cookies. Las cookies técnicas necesarias para que la web funcione no requieren consentimiento; las de medición, personalización y publicidad, sí.
3. Los encargados del tratamiento. Todo proveedor que toca datos por tu cuenta —el hosting, la herramienta de email, la plataforma de analítica— necesita un contrato de encargo. Si el proveedor está fuera del Espacio Económico Europeo, hay que mirar además cómo se garantiza la transferencia.

Cuando el consentimiento sí es la vía que aplicas —y en cookies no técnicas lo es—, tres condiciones que conviene tener grabadas porque son las que más veces se incumplen:

• Debe ser libre, específico, informado e inequívoco. Nada de casillas premarcadas ni de «si sigues navegando, aceptas».
• Rechazar tiene que ser tan fácil como aceptar. Si hay un botón grande de «Aceptar» y para rechazar hay que entrar en un panel de configuración y desmarcar seis interruptores, ese banner no cumple.
• Tiene que poder retirarse después con la misma facilidad con la que se dio, y tú tienes que ser capaz de demostrar que se otorgó.

Cómo lo trabajo yo al implantar medición

Mi orden de trabajo es siempre el mismo, y empieza por el inventario, no por el banner. Antes de instalar nada, listo qué se dispara en la web, quién lo dispara y qué finalidad tiene: analítica, publicidad, mapas de calor, chat, vídeos embebidos, píxeles de redes sociales. Ese inventario es el 80 % del trabajo, y es el que casi nadie hace: he auditado webs con nueve herramientas cargándose y una política de cookies que mencionaba dos.

Con el inventario hecho, todo lo que no sea estrictamente técnico se mueve a Google Tag Manager y se bloquea hasta que llega el consentimiento. Nada se dispara antes. Después conecto la plataforma de consentimiento con las etiquetas —ahí es donde entra el modo de consentimiento de Google— y compruebo el resultado navegando yo mismo en tres escenarios: aceptando todo, rechazando todo y aceptando solo una categoría. Es un cuarto de hora de trabajo y es la única forma de saber si el banner hace lo que dice que hace.

El hallazgo más repetido de esa comprobación: banners que efectivamente guardan la decisión de la persona y aun así cargan las etiquetas igual, porque el aviso y las etiquetas nunca llegaron a estar conectados. El cartel estaba puesto, la puerta seguía abierta.

Por qué le importa a un negocio

Lo obvio es el riesgo sancionador, y no voy a poner cifras que no pueda verificar: para eso está el abogado. Lo que sí puedo cuantificar es el otro lado, el que nadie mira hasta que duele.

Sin consentimiento no hay datos, y sin datos las decisiones de inversión se toman a ciegas. Cuando una parte de tus visitantes rechaza las cookies, esa parte desaparece de los informes. No es que se mida mal: es que no está. Si tú decides cuánto invertir en cada canal mirando un panel que solo ve a una fracción de la gente, estás repartiendo presupuesto real con información parcial. Y el sesgo no es aleatorio: el perfil de quien rechaza no es el mismo que el de quien acepta.

Por eso la conversación sobre el RGPD no debería ser «cómo cumplo lo mínimo para que no me multen», sino «cómo diseño un aviso honesto que la gente entienda y acepte, y cómo modelo lo que falta». Un banner claro, corto y sin trampas obtiene mejor tasa de aceptación que uno diseñado para confundir, y además no da sustos. Cumplir bien es, en este caso, la opción que más datos te deja.

Errores frecuentes

Creer que todo tratamiento necesita consentimiento. Es la confusión de la que sale la mitad de los avisos mal montados. El consentimiento es una de las seis bases legales del artículo 6.1; lo que sí exige permiso previo, casi siempre, es escribir o leer algo en el dispositivo de quien te visita, y eso viene del artículo 22.2 de la LSSI.

Confundir la política de privacidad con el cumplimiento. Un texto largo copiado de una plantilla no protege nada si las etiquetas se disparan antes de que nadie pulse nada. La norma mira el comportamiento real de la web, no el documento.

Cargar la analítica antes del consentimiento «porque es anónima». Si la herramienta guarda un identificador en el navegador para reconocer a la misma persona en dos visitas, no es anónima. La palabra que aplica es seudonimizada, y sigue dentro del reglamento.

Diseñar el banner para que rechazar cueste. Botón de aceptar en color y grande, rechazar en gris pequeño o escondido en un submenú. Es el patrón que más veces he tenido que rehacer y el que peor defensa tiene: incumple el principio de que rechazar sea tan fácil como aceptar, y encima genera desconfianza en quien lo ve.

Olvidar a los proveedores. El chat, el formulario incrustado, el mapa, el vídeo. Cada uno mete sus propias cookies y muchos ni aparecen en la política. Si no está en el inventario, no está controlado.

No revisarlo nunca más. Se instala el banner, se da por hecho y pasan dos años. Mientras tanto alguien añadió un píxel nuevo para una campaña, se cambió de herramienta de email y se rehízo media web. La medición legal no es un proyecto que se cierra: es algo que se revisa cada vez que se toca el sitio.