Las webs conformes al RGPD necesitan seis cosas: política de privacidad legalmente correcta, banner de cookies con elección real, hosting cifrado en la UE, contratos de tratamiento de datos con proveedores, formularios de contacto seguros y procesos de protección de datos documentados. Las multas llegan hasta el 4 por ciento de la facturación anual.
RGPD. Cuatro letras que asustan a muchos propietarios de webs. Y no sin razón: las multas son altas, las normas complejas y las oleadas de requerimientos no paran. Pero sin pánico. En este artículo recibes una lista de verificación clara y práctica para trabajar punto por punto.
No soy abogado y esto no sustituye el asesoramiento jurídico. Pero como alguien que crea webs para negocios locales, conozco las trampas típicas y cómo evitarlas.
Por qué cumplir el RGPD en 2026 es más importante que nunca
El Reglamento General de Protección de Datos rige desde 2018, pero la aplicación se endurece cada año. En 2025 y 2026 hay varios desarrollos que debes conocer:
- Nuevo nombre para la ley alemana de cookies: desde el 14 de mayo de 2024, la TTDSG se llama TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, ley alemana de protección de datos en telecomunicaciones y servicios digitales). Solo cambió el nombre, la regla de cookies del § 25 sigue igual
- Multas más altas: las autoridades imponen cada vez más multas también a pequeñas empresas. Hasta 20 millones de euros o el 4% de la facturación anual
- Olas de requerimientos: los despachos especializados ganan dinero con denuncias RGPD. Cada web sin un banner de cookies correcto es un blanco fácil
- IA y protección de datos: llegan nuevas reglas para el tratamiento de datos con IA en webs
La buena noticia: si aplicas los puntos siguientes, vas seguro.
Parte 1: implementar correctamente el cookie consent
El banner de cookies es lo primero que ven los visitantes. Y es la causa más frecuente de requerimientos. Cómo hacerlo bien:
Lo que debe contener un banner de cookies
- Información clara sobre qué cookies se establecen y para qué
- Un botón "Rechazar" tan visible como el "Aceptar"
- Posibilidad de elegir categorías individuales de cookies, control granular
- Enlace a la política de privacidad
- Sin casillas premarcadas: nada de opt-out, solo opt-in
Lo que NO está permitido
- Dark patterns: el botón Rechazar no puede ser más pequeño o menos visible
- Muros de cookies: no puedes condicionar el acceso a la web a la aceptación de cookies
- Nudging: formulaciones como "Para la mejor experiencia, acepta todas las cookies" son problemáticas
- Carga previa: las cookies solo pueden establecerse tras el consentimiento, no antes
Cookies técnicamente necesarias vs. opcionales
No todas las cookies necesitan consentimiento. Las técnicamente necesarias puedes ponerlas sin consentimiento. Entre ellas:
- Cookies de sesión para el carrito
- Cookies de login para el área de usuario
- Ajustes de idioma
- El propio estado del consentimiento de cookies
Todo lo demás: tracking, analytics, marketing, redes sociales, requiere consentimiento explícito.
Parte 2: política de privacidad
Toda web necesita una política de privacidad. Debe ser accesible desde cada página, normalmente en el footer. Y debe ser completa y actual.
Qué debe figurar en la política
- Nombre y datos de contacto del responsable: tu nombre, dirección, email
- DPO: si tienes o necesitas uno
- Qué datos recoges: IPs, datos de formularios, cookies, etc.
- Base jurídica: por qué los recoges (consentimiento, contrato, interés legítimo)
- Destinatarios: hoster, herramienta de newsletter, analytics, etc.
- Plazo de conservación: ¿cuánto tiempo se guardan?
- Derechos del interesado: acceso, supresión, oposición, portabilidad
- Transferencia fuera de la UE: ¿se procesan datos fuera de la UE? Si sí, ¿con qué base?
Parte 3: aviso legal (Impressum)
No es un tema RGPD en sentido estricto, pero igual de importante y a menudo defectuoso. Toda web comercial en Alemania necesita un aviso legal según §5 DDG (antes TMG).
- Nombre completo y dirección
- Dirección de correo y teléfono
- Registro mercantil y número, si aplica
- NIF-IVA, si aplica
- Datos profesionales en profesiones reguladas
El aviso legal debe ser accesible desde cualquier página con un máximo de dos clics. Un enlace en el footer basta.
Parte 4: formularios de contacto y email
Todo formulario de contacto en tu web procesa datos personales. Debes tener en cuenta:
- Aviso sobre tratamiento directamente en el formulario, no solo en la política
- Casilla de consentimiento casi nunca necesaria: si usas los datos solo para responder a la consulta, normalmente la propia consulta es la base legal. Entonces suele bastar con un aviso bien visible a la política de privacidad
- Transmisión cifrada: el formulario debe ir por HTTPS
- Minimización: solo pide los datos realmente necesarios. ¿Teléfono obligatorio en una suscripción a newsletter? No permitido
- Plazo de borrado: define cuándo borrarás los datos
Parte 5: hosting y requisitos técnicos
El certificado SSL es obligatorio
Una web sin HTTPS en 2026 no solo es un problema SEO sino una violación de protección de datos. Toda transmisión debe ir cifrada. La mayoría de hosters ofrece SSL gratis vía Let's Encrypt.
Ubicación del servidor
Lo ideal es que tu servidor web esté en la UE. Si usas un proveedor de hosting fuera de la UE, p. ej., en EE. UU., necesitas una base legal válida para la transferencia de datos. El EU-US Data Privacy Framework ofrece esa base desde 2023. El Tribunal General de la UE lo confirmó el 3 de septiembre de 2025, aunque todavía es posible un recurso ante el TJUE.
Contrato de tratamiento de datos (DPA)
Con cada proveedor que trata datos personales por tu cuenta necesitas un DPA. Afecta a:
- Tu hoster
- Tu proveedor de email marketing
- Tu herramienta de analytics, si recoge datos personales
- Cualquier herramienta externa que recopile datos en tu web
La mayoría de proveedores serios tienen un DPA listo para firmar.
Parte 6: Google Analytics y tracking
Google Analytics es la herramienta de tracking más usada y peor configurada en webs alemanas.
Usar Google Analytics 4 conforme al RGPD
- Obtener consentimiento: GA4 solo puede cargarse tras el consent
- Direcciones IP: GA4 no guarda direcciones IP completas, ya no existe un ajuste propio para eso
- Desactivar Google Signals: habilita tracking cross-device y es problemático
- Limitar la retención: ajustar a 14 meses o menos
- Firmar DPA con Google: posible desde la configuración de GA
Alternativas a Google Analytics
Si quieres ir sobre seguro hay alternativas amigables con la privacidad:
- Matomo: open source, puede alojarse en tu propio servidor, sin consent de cookies con la configuración correcta
- Plausible: ligero, sin cookies, RGPD-compliant, servidor UE
- Fathom: similar a Plausible, fácil de usar, servidor UE disponible
Parte 7: redes sociales y embebidos externos
Todo elemento externo en tu web que envía datos a terceros es relevante para la privacidad:
Botones de redes sociales
Los clásicos botones de Like y Compartir de Facebook, Instagram & co. envían datos a las plataformas antes incluso del clic. Solución: Shariff o similares de dos clics, donde solo tras un clic se establece la conexión.
Google Maps
Los embebidos de Google Maps transmiten IP y datos de uso a Google. Solución RGPD-compliant: cargar Maps solo tras el consent. Antes mostrar un placeholder estático con botón.
Vídeos de YouTube
Los vídeos de YouTube también envían datos a Google. Usa el modo de privacidad mejorada de YouTube (youtube-nocookie.com) y carga los vídeos solo tras el consent.
Google Fonts
Desde la famosa sentencia del LG Múnich 2022 está claro: las Google Fonts no pueden cargarse desde servidores de Google sin consentimiento. Solución: alojar Google Fonts localmente. Es fácil y además mejora el tiempo de carga.
Parte 8: newsletter y email marketing
Si ofreces una newsletter rigen reglas especiales:
- Double opt-in: obligatorio en Alemania. Tras el alta debe enviarse un email de confirmación
- Enlace de baja: cada email debe llevar un enlace de baja funcional
- Registro: debes poder probar el consentimiento: hora, IP, email confirmado
- No eludir la prohibición de vinculación: no puedes condicionar una descarga o servicio al alta en la newsletter
La checklist RGPD completa para tachar
Aquí tu checklist práctica. Trabájala punto por punto:
Fundamentos
- Aviso legal completo y accesible desde cada página
- Política de privacidad completa y actualizada
- Certificado SSL activo, toda la web por HTTPS
- Servidor en la UE o base jurídica válida para transferencia a terceros países
Cookies y tracking
- Banner de cookies con botones de Aceptar y Rechazar equivalentes
- Ninguna cookie antes del consentimiento, salvo las técnicamente necesarias
- Selección granular de categorías de cookies posible
- Herramienta de analytics configurada conforme al RGPD
- DPA firmado con todos los encargados del tratamiento
Formularios y comunicación
- Aviso de privacidad en cada formulario de contacto
- Casilla de consentimiento solo donde haga falta (p. ej., newsletter), y nunca marcada de antemano
- Minimización: solo campos necesarios
- Newsletter con double opt-in y enlace de baja
Servicios externos
- Google Fonts alojadas localmente
- Google Maps cargado solo tras el consent
- Vídeos de YouTube en modo de privacidad mejorada
- Botones de redes como solución a dos clics
¿Qué pasa si no lo haces?
Las consecuencias son reales y pueden ser caras:
- Multas: hasta 20 millones o el 4% de la facturación anual
- Requerimientos (Abmahnungen): costes del requerimiento por cada infracción, más honorarios de abogado
- Indemnización: los afectados pueden reclamar daños
- Daño reputacional: una infracción pública daña la confianza
En la práctica no afecta solo a grandes empresas. También pequeñas empresas y autónomos reciben requerimientos con regularidad, a menudo por infracciones triviales como banners de cookies defectuosos o Google Fonts no locales.
Conclusión: el RGPD no es un monstruo, es una checklist
Sí, el RGPD es complejo. Pero si lo tratas como checklist en lugar de amenaza, se hace en una tarde. La mayoría de puntos son únicos y luego solo requieren actualizaciones ocasionales.
Y no olvides: cumplir el RGPD no es solo una obligación legal. Es también una señal de confianza para tus clientes. Quien ve que tratas los datos con cuidado confía en ti también en otros aspectos.
La protección de datos no es un obstáculo para tu negocio. Es un sello de calidad.
Stefanos Svarnas, Knusperholz en Ludwigsburg. Creo páginas web y me encargo de que los negocios aparezcan en Google. En persona, sin rodeos de agencia.
