¿Cómo determinar la conformidad con el GDPR? Claves de la autoevaluación del cumplimiento del sitio web, explicadas de una vez

¿Qué hay que revisar primero para determinar si un sitio web cumple básicamente con el RGPD?

　　El error más común al evaluar el cumplimiento del RGPD es centrarse únicamente en la ventana emergente de cookies y en la página de política de privacidad. Para el personal de control de calidad o de gestión de la seguridad, lo realmente importante no es “si está escrito”, sino “si los datos se recopilan legalmente, se informa de ello con claridad, se transmiten adecuadamente y se puede demostrar”.

　　Si el sitio web está dirigido a usuarios de la Unión Europea o realmente procesa datos personales de la UE, durante la autoevaluación conviene revisar primero cuatro aspectos: qué datos personales se recopilan, cuál es la base jurídica de la recopilación, a quién se envían los datos y si el usuario puede retirar su consentimiento o solicitar la eliminación. Este orden resulta muy práctico, porque muchos sitios web parecen tener todos los textos necesarios, pero los problemas reales se encuentran en los formularios, los códigos de análisis y los complementos de terceros.

　　En pocas palabras, para determinar si un sitio puede considerarse “básicamente conforme”, no hay que fijarse en si la página es atractiva, sino en si se puede seguir el recorrido de un dato desde que entra en el sitio web hasta su almacenamiento, uso, intercambio y eliminación.

¿Basta con publicar una política de privacidad para cumplir la normativa?

　　No. La política de privacidad solo constituye una parte de la obligación de informar; no equivale por sí misma al cumplimiento normativo.

　　Una política de privacidad utilizable debe cubrir, como mínimo, varias cuestiones fundamentales: quién trata los datos, qué datos se tratan, con qué finalidad, cuál es la base jurídica, durante cuánto tiempo se conservan, si se transfieren a terceros o al extranjero, y cómo puede el usuario ejercer sus derechos de acceso, rectificación, supresión y oposición.

　　Sin embargo, el problema de muchos sitios web no es que “no esté escrito”, sino que “lo escrito no coincide con el comportamiento real”. Por ejemplo, la página indica que los datos se utilizan “únicamente para responder al contacto”, pero el sistema interno sincroniza los datos de los formularios con el CRM, la plataforma de email marketing y las herramientas de remarketing publicitario; o se afirma que “no se comparten datos con terceros”, mientras en la práctica se cargan complementos externos de chat, mapas, vídeos y scripts de análisis. Esta incoherencia entre la documentación y la práctica constituye por sí misma un punto de alto riesgo.

Si aparece una ventana emergente de cookies, ¿por qué el sitio aún puede no cumplir con el RGPD?

　　Porque la cuestión clave no es “si aparece”, sino “cuál es el comportamiento predeterminado”. Si las cookies no necesarias ya se escriben en el dispositivo antes de que el usuario dé su consentimiento, la ventana emergente seguirá presentando problemas aunque esté completa.

　　Durante la revisión práctica, conviene dividir las cookies en dos categorías:

• Cookies necesarias: por ejemplo, las sesiones de inicio de sesión, el mantenimiento del carrito de compra y la protección básica de seguridad. Por lo general, pueden configurarse sobre la base de las necesidades operativas del sitio web.
• Cookies no necesarias: como las de análisis estadístico, seguimiento publicitario, uso compartido en redes sociales y grabación de mapas de calor. En muchos casos, primero es necesario obtener un consentimiento válido.

　　También hay que prestar atención a tres detalles: si el botón de rechazo es claramente visible, si se puede elegir por categorías y si el usuario puede modificar posteriormente su selección. Ofrecer únicamente “Aceptar” sin “Rechazar”, o esconder demasiado la opción de rechazo, son problemas frecuentes.

¿Es el formulario la parte del sitio web más propensa a presentar problemas?

　　Por lo general, sí. Esto se debe a que los formularios recopilan directamente el nombre, el correo electrónico, el teléfono, el nombre de la empresa y el cargo; en ocasiones también recogen el presupuesto, las necesidades de compra, la región y archivos adjuntos. Cuando esta información permite identificar a una persona, queda dentro del ámbito de aplicación del RGPD.

　　Para evaluar si un formulario cumple la normativa, se puede revisar siguiendo esta lógica:

1. Si los campos son necesarios. Si se puede prescindir del número de teléfono móvil, no debe marcarse como obligatorio por defecto.
2. Si se informa claramente de la finalidad antes del envío. Por ejemplo, si los datos se utilizarán para elaborar un presupuesto, contactar con el servicio posventa o suscribirse a comunicaciones comerciales.
3. Si la suscripción a comunicaciones comerciales se selecciona por separado. No se puede vincular la solicitud de contacto con el consentimiento para comunicaciones comerciales.
4. Si la transmisión está cifrada. Tanto la página del formulario como la interfaz de envío deben utilizar HTTPS.
5. Si el sistema interno cuenta con controles de acceso y plazos de conservación.

　　Muchos equipos preparan avisos completos en el frontend, pero el reenvío automático de correos desde el buzón interno, la acumulación prolongada de archivos exportados de formularios y el uso compartido de cuentas de prueba siguen siendo puntos débiles desde el punto de vista de la seguridad y el cumplimiento normativo.

¿Hasta qué punto deben revisarse las herramientas de terceros?

　　Como mínimo, deben ser “visibles, explicables y desactivables”. Entre las herramientas de terceros habituales de un sitio web se encuentran las de análisis estadístico, píxeles publicitarios, atención al cliente en línea, suscripciones por correo electrónico, CDN, reproductores de vídeo, complementos de mapas y componentes de redes sociales. No todas son necesariamente ilegales; el problema es que muchas empresas ni siquiera saben qué datos concretos obtienen estas herramientas.

　　Durante la autoevaluación, no hay que limitarse a revisar lo que aparece en el código fuente de la página; también hay que comprobar las solicitudes de red reales, el momento de carga de los scripts y el destino de los datos. El personal de gestión de la seguridad suele prestar atención a los siguientes elementos de esta tabla:

¿Cuál es el error de juicio más común en los sitios web de marketing dirigidos al mercado europeo?

　　Un error frecuente es pensar que, si el servidor del sitio web no está en Europa, el RGPD no tiene mucho que ver con la empresa. En realidad, el criterio no depende únicamente de dónde se encuentra el servidor, sino también de si se ofrecen productos o servicios a usuarios de la UE o se supervisa su comportamiento.

　　Por ejemplo, si el sitio web admite idiomas de la UE, publica anuncios dirigidos a Europa, acepta pagos en euros, recopila consultas de visitantes europeos o realiza seguimiento para remarketing, el RGPD puede resultar aplicable. Para los sitios web dedicados a captar clientes en el extranjero, cuanto más completa sea la cadena de marketing, menos se puede reducir el cumplimiento a “completar la página legal”. La creación del sitio web, el SEO, la publicidad y las estadísticas de datos forman una misma cadena. Lo más conveniente es revisar conjuntamente los métodos de recopilación del frontend, las normas de conservación del backend y los permisos de las interfaces de terceros. Este es también uno de los aspectos que deben gestionarse simultáneamente antes de poner en marcha muchos proyectos integrales de sitios web y servicios de marketing.

Durante una auditoría interna, ¿deben revisarse primero los documentos o los sistemas?

　　Primero hay que elaborar una lista y después contrastar los documentos con los sistemas. Revisar únicamente los documentos puede hacer que se pasen por alto los aspectos técnicos; revisar solo los sistemas dificulta determinar si la base jurídica del tratamiento está completa.

　　Un método práctico consiste en elaborar primero una lista de las actividades de tratamiento de datos: entrada de la página, nombre de los campos, finalidad de la recopilación, sistema receptor, ubicación del almacenamiento, plazo de conservación, método de eliminación y terceros relacionados. A continuación, hay que comparar esta lista con la política de privacidad, la configuración de cookies, los ajustes de permisos, los registros de actividad y los acuerdos con los proveedores.

　　Algunos equipos elaboran documentos normativos muy detallados, pero en sus sistemas siguen existiendo bases históricas de formularios que nadie depura, cuentas de empleados que han dejado la empresa y datos reales de clientes copiados en entornos de prueba. Para los puestos de seguridad, estos problemas suelen merecer una atención prioritaria frente al contenido de las páginas.

Durante la autoevaluación del cumplimiento del RGPD, ¿qué pruebas conviene conservar con antelación?

　　No todos los problemas pueden resolverse con explicaciones verbales; siempre que sea posible, conviene dejar constancia documental. Entre los materiales importantes se incluyen: registros del consentimiento de cookies, historial de versiones de la política de privacidad, lista de herramientas de terceros, registros de actividades de tratamiento de datos, procedimientos para gestionar las solicitudes de los usuarios, asignación de permisos de las cuentas y registros de ejecución de eliminaciones o anonimizaciones.

　　Esta es una experiencia práctica: al rediseñar el sitio web, integrar un nuevo complemento o modificar los campos de un formulario, el estado de cumplimiento puede verse afectado silenciosamente. Si los registros de cambios son demasiado generales, posteriormente será muy difícil investigar los problemas. Incluso en las páginas de marketing, los textos de privacidad, las estrategias de etiquetado y los cambios de interfaces deberían incluirse en los elementos de comprobación previos a la puesta en producción.

　　Por cierto, si los materiales de formación interna o los contenidos informativos implican procesos normativos, también hay que prestar atención a que la forma de vinculación y el contexto sean adecuados. Contenidos como Investigación sobre la gestión financiera de las infraestructuras hospitalarias en el contexto del nuevo sistema contable, si solo se muestran en una página informativa, no necesariamente constituyen por sí mismos un riesgo elevado; lo realmente importante es comprobar si la página incluye formularios, scripts de seguimiento, descargas a cambio de datos de contacto o redirecciones mediante enlaces externos.

Si se detecta un incumplimiento, ¿hay que desactivar primero la función o completar primero la documentación?

　　Depende del nivel de riesgo, pero el principio es claro: cuando existe una recopilación ilícita continuada o un tratamiento de datos que ya se ha activado sin consentimiento, primero hay que controlar el riesgo y después completar la documentación.

　　Estos son algunos escenarios que deben tratarse prioritariamente:

• Los scripts publicitarios o de análisis comienzan a realizar el seguimiento antes de que el usuario haya dado su consentimiento.
• El formulario recopila información sensible que no guarda relación con la actividad empresarial.
• Los datos se transmiten sin cifrar por correo electrónico o mediante interfaces.
• El origen del complemento de terceros es desconocido y continúa enviando datos de los visitantes al exterior.

　　Estos problemas no deben “solucionarse” únicamente modificando la política de privacidad. Primero hay que pausar los scripts correspondientes, desactivar los campos, restringir el acceso y cortar la sincronización; después se completan la información, las autorizaciones y los registros. Ese es el orden adecuado de actuación.

¿Se puede estar tranquilo a largo plazo después de realizar una revisión?

　　No. El cumplimiento del RGPD de un sitio web no es un estado permanente, sino más bien el resultado de un mantenimiento continuo. Especialmente en los sitios web de marketing, donde los rediseños son frecuentes, hay muchos complementos, numerosas páginas de destino y cadenas de campañas extensas, cumplir hoy no significa que se siga cumpliendo el próximo mes.

　　Un enfoque más fiable consiste en integrar el ritmo de revisión en los procesos cotidianos: revisar antes de publicar una nueva página, revisar al añadir una herramienta de terceros, revisar cuando se modifican los campos de un formulario y realizar una revisión general cada trimestre. Para el personal de gestión de la seguridad, lo más valioso no es memorizar las cláusulas, sino establecer un mecanismo de revisión capaz de detectar desviaciones, rastrear responsabilidades y corregir los problemas a tiempo.

　　En última instancia, la idea más práctica es la siguiente: para determinar si un sitio web cumple el RGPD, no hay que preguntar primero “¿la página contiene toda la información necesaria?”, sino “¿de dónde procede este dato personal, adónde va, por qué se puede tratar y quién puede demostrarlo?”. Si se aclaran estas cuatro cuestiones, será posible conocer básicamente el estado de cumplimiento del sitio web.