Sitio web conforme al RGPD: revisar servicios, diseñar el consentimiento, limitar los flujos de datos

Abra su propia página de inicio en una ventana de navegador nueva, sin hacer clic en ningún botón del banner de cookies, y mire en la pestaña de red de las herramientas de desarrollo adónde van las solicitudes. En muchos casos se ven más destinos de los que nadie en la empresa espera. Archivos de fuentes de un servidor externo, un servicio de teselas de mapas, un reproductor de vídeo, un script de estadísticas de visitantes, un widget de chat. Es la imagen inicial típica en este escenario.

Supongamos que una empresa con un sitio web que ha ido creciendo llega a nosotros así. El banner procede del último rediseño y enumera tres categorías, pero dos de los servicios integrados hoy se añadieron después, mediante un plugin o una línea de código que alguien añadió para un objetivo de campaña. La política de privacidad no se adaptó. La causa no es mala fe ni descuido, sino simplemente la falta de responsabilidad asignada.

Un sitio web respetuoso con la privacidad es, por tanto, ante todo una cuestión de visión de conjunto. Quien no sabe qué hace su sitio no puede explicarlo correctamente ni limitarlo con criterio. Este artículo describe cómo procedemos en un inventario así, qué puede cambiarse técnicamente y dónde están los límites de una visión puramente técnica. Las valoraciones jurídicas en cada caso corresponden a su delegado de protección de datos o a su abogado, no a un artículo especializado.

Que la brecha entre el banner y la realidad sea tan frecuente tiene un motivo sencillo: los sitios web se construyen por etapas y falta responsabilidad sobre la imagen completa. Quien trabaja en una pequeña empresa mantiene el sitio como tarea secundaria. Quien lo atiende en una agencia suele conocer solo su propia parte. La comparación cae entre las responsabilidades, y ahí es donde arranca un inventario.

En las cuestiones de protección de datos de los sitios web casi siempre existen tres descripciones de la misma realidad. La primera es el banner de cookies, que menciona servicios y categorías concretos. La segunda es la política de privacidad, que explica esos mismos servicios en texto corrido. La tercera es el comportamiento real del sitio en el navegador. Cada una de estas listas fue mantenida en un momento distinto por personas distintas y, en consecuencia, rara vez coinciden.

Especialmente traicioneros son los servicios que no se reconocen como tales. Un tema carga fuentes desde un servidor externo porque el desarrollador lo configuró así durante la construcción. Un código de inserción de un vídeo establece cookies antes de que nadie pulse reproducir. Un plugin de formularios integra un captcha que envía datos a un tercero. Los responsables no decidieron nada de esto de forma consciente y, aun así, responden de ello.

A esto se suma el factor tiempo. Cada actualización de un plugin, cada página nueva con un contenido incrustado, cada componente de marketing adicional puede cambiar el panorama. Un estado que hoy es correcto puede estar desfasado dentro de seis meses. El desafío no consiste, por tanto, solo en una revisión puntual, sino en crear un estado que pueda mantenerse al día con un esfuerzo asumible.

La distinción más importante al ordenar los servicios es esta: ¿qué es técnicamente necesario para el funcionamiento del sitio y qué sirve a otros fines, como la medición de audiencia, la publicidad o la comodidad? Para el primer grupo, por lo general no se solicita consentimiento; para el segundo, a menudo ocurre lo contrario. Esta línea general es ampliamente conocida. Pero dónde discurre exactamente en cada caso es una valoración jurídica que no sustituimos.

En la práctica ayuda un experimento mental: ¿seguiría funcionando el sitio para un visitante si faltara este servicio? Un selector de idioma, un carrito de la compra o una sesión para un inicio de sesión forman parte del funcionamiento. Una estadística de visitas, un píxel publicitario, un vídeo de una plataforma o un mapa de un proveedor externo, más bien no. Además, surge la cuestión de si un servicio transmite datos a terceros y de si esos terceros usan los datos para sus propios fines.

Además del consentimiento existe el interés legítimo como otra base jurídica. En la medición de audiencia sigue siendo discutido cuándo es suficiente. Por eso nos atenemos a una regla pragmática: cuantos menos datos personales trata un servicio y cuantos menos terceros intervienen, más probable es que pueda funcionar sin solicitar consentimiento. Quien quiera tener seguridad hace que un profesional cualificado confirme por escrito la clasificación de los servicios delicados.

La consecuencia de esta clasificación es menos jurídica que de diseño. Todo servicio que se pueda sustituir o eliminar técnicamente ya no hay que solicitarlo, explicarlo ni documentarlo. La medida más sencilla para un sitio web conforme con el RGPD suele ser, por tanto, no un banner mejor, sino prescindir de un componente que nadie echa en falta.

Del orden se deriva una secuencia de medidas que concebimos en tres niveles. Primero comprobamos si un servicio es realmente necesario. Después, si puede funcionar en local o con un tratamiento mínimo de datos. Solo para los servicios que quedan y que no se pueden sustituir sin más diseñamos el consentimiento. Esta secuencia evita que un banner complejo gestione cosas que es mejor no cargar.

La alternativa sería el camino más cómodo: integrar una herramienta de gestión del consentimiento que cubra lo máximo posible y dejar el resto del sitio como está. Técnicamente funciona, pero tiene inconvenientes. El banner se vuelve complejo, el manejo resulta engorroso para los visitantes y cada script adicional aumenta el mantenimiento y el riesgo. Una herramienta documenta decisiones, pero no las toma por usted.

Un tercer camino sería prescindir de todo lo externo: sin estadística, sin mapa, sin vídeo. Para algunos negocios es coherente, por ejemplo para una empresa artesanal con una presentación clara de servicios y un formulario de contacto. Para otros, falta conocimiento sobre el propio sitio, y un mapa de cómo llegar tiene un valor práctico real. Nuestra recomendación no es, por tanto, una doctrina, sino una ponderación servicio por servicio.

Un ejemplo de esta ponderación: los clientes usan realmente un mapa de cómo llegar, mientras que un feed de redes sociales en el pie de página apenas se utiliza. El mapa se queda entonces como solución de dos clics y el feed se sustituye por un simple enlace. El resultado es un sitio que carga menos, tiene menos que explicar y apenas pierde función para los visitantes. Precisamente esta comparación entre utilidad y esfuerzo de explicación aporta la base para decidir.

Donde se necesita consentimiento, el diseño decide si se toma en serio. El principio es ampliamente conocido: el consentimiento debe ser libre, informado e inequívoco, y rechazar no debe ser más laborioso que aceptar. En la práctica esto significa botones equivalentes, es decir, «Aceptar todo» y «Solo necesarias» del mismo tamaño, con la misma visibilidad y en el mismo nivel, no un botón llamativo junto a un enlace de texto escondido.

Forma parte del diseño, además, que las finalidades sean comprensibles y no jerga técnica. «Medimos de forma anonimizada qué páginas se visitan» solo es honesto si es cierto; si no, la descripción debe ser otra. La selección por categoría debe poder alcanzarse sin rodeos, y la posibilidad de revocar el consentimiento debe estar como enlace permanente en el menú del pie de página, para que la decisión, una vez tomada, pueda cambiarse más tarde.

También cuenta cómo se presenta. En el smartphone, el banner no debe bloquear toda la pantalla sin que se pueda manejar la página que hay detrás, y debe ser accesible con el teclado y con lectores de pantalla. Esto afecta a la accesibilidad del sitio y muestra lo entrelazados que están los temas. Un banner que no se puede manejar no puede obtener una decisión válida.

Por último, el lenguaje de los textos: breve, concreto, sin fórmulas de presión como «Ayúdenos a mejorar». Frases así ocultan para qué se consiente. Preferimos escribir qué ocurre: qué servicio, qué datos, qué finalidad. Quien redacta así puede trasladar casi sin cambios los mismos datos a la política de privacidad, lo que simplifica notablemente el mantenimiento.

Se empieza con el inventario, con herramientas que cualquiera puede seguir: la pestaña de red del navegador con la caché vacía y sin consentimiento, la vista de cookies en el área de almacenamiento de las herramientas de desarrollo y una revisión del código fuente en busca de scripts, iframes y hojas de estilo incrustados. El resultado es una tabla con servicio, finalidad, ubicación y proveedor. Se convierte en la fuente para todo lo demás.

Las fuentes son la mejora más sencilla. En lugar de cargarlas desde un servidor externo en cada visita, los archivos están en el propio proyecto y se sirven con la página. Eso ahorra una conexión, puede mejorar el tiempo de carga y elimina una transmisión a terceros. Es importante comprobar que la licencia de la fuente permita el alojamiento propio y eliminar limpiamente la incrustación antigua, que de otro modo seguiría funcionando sin que nadie lo note.

Los mapas y los vídeos los resolvemos normalmente con una solución de dos clics. En lugar del código de incrustación, aparece primero un marcador con un aviso de lo que ocurre al cargar. Solo el clic del visitante carga el contenido externo. Para los vídeos se pueden considerar variantes de incrustación con mínimo tratamiento de datos, y una indicación de cómo llegar a menudo se puede mostrar igual de bien con la dirección, un enlace y una imagen estática propia, sin que fluyan datos en absoluto.

Para la estadística hay dos caminos: un servicio con consentimiento o una solución propia con mínimo tratamiento de datos, que funcione sin identificadores personales. Si esto último es admisible sin solicitar consentimiento en un caso concreto, lo aclara usted con un profesional cualificado. Técnicamente, en ambos casos: los scripts se cargan solo tras el consentimiento, no se cargan y luego se «desactivan». El banner controla la entrega; no es una decoración sobre una página que ya ha enviado sus peticiones.

Si usa servicios de Google con consentimiento, entra en juego el Consent Mode. Transmite el estado del consentimiento como señales, por ejemplo para el almacenamiento con fines publicitarios y analíticos, a los scripts de Google, que adaptan su comportamiento. Lo importante es el orden correcto: los valores predeterminados «denegado» se establecen antes de cargar los scripts y solo la elección del visitante los cambia. Quien configura mal este flujo crea un banner que solo parece controlar algo.

Además de los componentes evidentes, hay casos especiales que, según la experiencia, se olvidan. Un formulario de contacto procesa nombres y mensajes, y el recorrido de estos datos no termina en el botón de enviar: ¿llegan a un buzón, a un CRM, a un sistema de tickets? Cada etapa es un destinatario, y la política de privacidad debe describir el recorrido real, no el imaginado.

Los widgets de chat y los asistentes de IA merecen especial atención, porque los visitantes introducen texto libre y revelan más que en un campo de formulario. Aquí surge la pregunta de dónde se tratan los datos, cuánto tiempo se conservan y si el proveedor los usa para sus propios fines. Un aviso sobre el tratamiento antes de la primera entrada es una medida de diseño razonable, pero no sustituye la aclaración contractual.

Con este aspecto contractual nos referimos al encargo de tratamiento: si un proveedor trata datos personales por encargo suyo, por lo general se requiere un contrato por escrito. Afecta a proveedores de alojamiento, de newsletter, servicios de chat y algunas herramientas de estadística. Parte del mantenimiento consiste en reunir estos contratos y asignarlos a los proveedores en la lista de servicios, para que ante una solicitud no haya que buscar nada.

Otro caso marginal son los servicios con sede o servidor fuera de la UE. La cuestión de las transferencias a terceros países es jurídicamente cambiante y evoluciona con el tiempo. No la valoramos, sino que marcamos tales servicios en la lista y recomendamos hacerlos revisar por separado. También aquí vale: si una alternativa europea o local cumple la misma finalidad, suele ser el camino más sencillo.

Una revisión de privacidad no proporciona ninguna certificación ni salvoconducto. Si un sitio web resiste en caso de controversia lo deciden las autoridades y los tribunales según cada caso concreto, y la situación jurídica y su interpretación siguen en movimiento. Un objetivo honesto es, por tanto: el comportamiento real del sitio es conocido, limitado, documentado y coincide con lo que los visitantes leen en el banner y en la política.

Este estado se puede comprobar. En la pestaña de red se ve que antes del consentimiento no se envían a terceros peticiones no necesarias. El número de servidores externos contactados en la primera visita es menor que antes. La lista de servicios, la política de privacidad y el banner mencionan los mismos servicios. Además, tras cada cambio importante se puede repetir una comprobación por muestreo con un perfil de navegador nuevo.

El rendimiento del sitio también puede beneficiarse cuando se eliminan recursos externos. Menos conexiones externas suelen significar tiempos de carga más cortos, medibles con Lighthouse o PageSpeed Insights. Es un efecto secundario, no una promesa, porque el efecto depende de qué se haya eliminado exactamente. En el otro lado hay una limitación: quien opera la estadística solo con consentimiento ve solo una parte de las visitas y debería interpretar las cifras con cautela.

No debe esperar que se puedan eliminar todos los riesgos. Incluso un sitio depurado con cuidado puede ser criticado, por ejemplo por un proveedor cuya clasificación cambia. Lo único fiable es la capacidad de reaccionar a tales cambios: quien tiene la visión de conjunto sustituye un servicio en una tarde, en lugar de empezar una búsqueda de semanas.

La lección más importante es poco espectacular: la mayoría de los problemas surgen por añadir cosas sin autorización. Una regla fija de que toda nueva incrustación se anote primero en la lista de servicios evita más que cualquier auditoría posterior. La regla no necesita software, sino un responsable y un hábito que se aplique a cada plugin y a cada elemento de marketing.

En segundo lugar, merece la pena mantener el banner y la política de privacidad desde la misma fuente. Si se elaboran por separado, se desvían. Si surgen de una lista con servicio, finalidad, proveedor y plazo de conservación, la conciliación se hace en minutos. Esto vale también para el aviso legal y otros datos obligatorios, que suelen olvidarse en mudanzas o cambios de forma jurídica.

En tercer lugar, se comprueba que la equidad en el banner no está reñida con el negocio. Un rechazo en igualdad de condiciones cuesta, según la experiencia, algo de alcance en la estadística, pero crea una imagen del sitio en la que los visitantes no se sienten tratados con paternalismo. Para un negocio que vive de la confianza, eso puede pesar más que un análisis algo más completo.

Un sitio web conforme con el RGPD no surge de un único banner, sino de una secuencia: conocer los servicios, eliminar los superfluos, alojar los recursos en local, solicitar el resto de forma equitativa y reflejarlo todo de manera coherente en el banner y en la política. Cada uno de estos pasos es abarcable por sí solo. Juntos dan como resultado un sitio cuyo comportamiento puede explicar sin consultar nada.

El siguiente paso es pequeño. Abra su página de inicio en una ventana privada, abra la pestaña de red y cuente los dominios contactados antes de cualquier consentimiento. Compárelos con su banner y su política de privacidad. Si las cifras no cuadran, tiene sentido hacer un inventario, y con gusto lo realizamos con usted.

Para situarlo bien, hay que señalar el límite de nuestra aportación: diseñamos y construimos la parte técnica y preparamos los datos. La valoración jurídica vinculante de su caso concreto, la clasificación de servicios delicados y la redacción de los textos definitivos corresponden a especialistas en derecho de protección de datos. Con un inventario limpio, su trabajo resulta más rápido y barato.

Una advertencia más sobre las expectativas: la protección de datos no es un proyecto con fecha de fin. Las nuevas normas de los navegadores, los servicios modificados y los cambios de interpretación hacen que incluso un sitio bien planteado necesite una revisión periódica. Planifique para ello una cita fija y breve al año. El esfuerzo es pequeño si la lista de servicios está al día, y crece si se aplaza.