RGPD en tu web: cookies, formularios y analítica

Cumplir el RGPD en una página web de marketing se reduce a tres cosas: qué guardas en el navegador del visitante, qué recoges en los formularios y a qué terceros llegan los datos. Pide el consentimiento antes de cargar cookies y etiquetas no esenciales. Pide en cada formulario solo lo necesario y explica para qué. Conoce cada proveedor al que llaman tus páginas. El resto es trabajo de desarrollo cuidadoso.

Este texto es la versión práctica para fundadores y responsables de marketing. No es asesoramiento legal. Tu política de privacidad y tus contratos de tratamiento merecen un abogado. Las decisiones técnicas de abajo merecen un desarrollador que las conozca, y es ahí donde fallan la mayoría de las webs.

Qué exige el RGPD a una página web de marketing

El Reglamento General de Protección de Datos se aplica desde mayo de 2018. Protege los datos personales de las personas en la UE y alcanza a empresas de fuera de la UE que les ofrecen servicios o siguen su comportamiento. Una empresa SaaS de Estados Unidos con clientes potenciales en Europa está dentro. Una empresa latinoamericana que vende en España, también.

En una web de marketing típica, los datos personales aparecen en más sitios de lo que parece:

• Identificadores. ID de cookies, ID de dispositivo y, en muchos casos, la dirección IP.
• Campos de formulario. Nombre, email de trabajo, teléfono, mensaje libre.
• Comportamiento. Visitas y clics asociados a un identificador.
• Peticiones a terceros. Cada script, fuente o vídeo cargado desde otro servidor ve la IP del visitante.

Las multas del artículo 83 pueden llegar a 20 millones de euros o al 4% de la facturación anual mundial. La mayoría de las webs pequeñas nunca verá esas cifras. Lo habitual es otra cosa: una reclamación, una venta que se atasca en la revisión de seguridad del cliente o rehacer la web porque el consentimiento se añadió al final.

¿Necesitas un banner de cookies?

No siempre. La norma sobre cookies viene de la Directiva ePrivacy, artículo 5(3), tal como la aplica cada país de la UE. Guardar o leer algo en el dispositivo del visitante requiere consentimiento, salvo que sea estrictamente necesario para un servicio que la persona pidió. El RGPD define después qué es un consentimiento válido.

Lo estrictamente necesario incluye el carrito, la sesión de inicio o la cookie del balanceador de carga. No incluye analítica, píxeles publicitarios, mapas de calor ni chats que siguen al usuario entre visitas.

Si tu web solo usa almacenamiento estrictamente necesario, no necesitas banner de consentimiento. Sí necesitas explicar las cookies en tu política. Si usas cualquier otra cosa, el banner debe cumplir el estándar de consentimiento:

1. Aceptación activa. El Tribunal de Justicia de la UE resolvió en el caso Planet49 (2019) que una casilla premarcada no es consentimiento.
2. Antes de que se ejecute la etiqueta. Los scripts que crean cookies no se cargan hasta que la persona acepta.
3. Rechazar tan fácil como aceptar. Un botón «Rechazar todo» al mismo nivel que «Aceptar todo».
4. Por categorías. Opciones separadas para analítica y para marketing.
5. Fácil de retirar. El artículo 7(3) exige que retirar el consentimiento sea tan fácil como darlo. Un enlace «Configurar cookies» en el pie lo resuelve.
6. Registrado. Guarda qué eligió la persona y cuándo.

Un banner que crea cookies de seguimiento al cargar la página y luego pregunta con educación es un fallo habitual, y fácil de detectar.

Analítica sin adivinar

Hay dos patrones que funcionan.

Analítica condicionada al consentimiento. Google Analytics o similar se carga solo cuando el visitante acepta. Pierdes los datos de quien rechaza, pero conservas la herramienta completa. Es la opción correcta si tu equipo depende de los informes de GA4 o de la atribución publicitaria.

Analítica propia sin cookies. Cuenta visitas y eventos clave en tu propio servidor, sin cookies ni identificadores persistentes. A muchos equipos les basta para sus preguntas reales: qué páginas reciben tráfico, qué formularios convierten, qué campañas traen visitas. En las webs que construimos solemos activar este tipo de medición interna por defecto y dejar las etiquetas de terceros apagadas hasta el consentimiento.

Elijas lo que elijas, revisa a dónde van los datos. Las transferencias a proveedores de EE. UU. se apoyan en el Marco de Privacidad de Datos UE-EE. UU., adoptado en julio de 2023, o en cláusulas contractuales tipo. Tu lista de encargados debe nombrar cada proveedor y la base de cada transferencia.

Formularios de contacto: pedir menos, explicar más

Los formularios son donde una web de marketing recoge más datos personales, y donde los arreglos son más sencillos.

• Pide solo lo que usas. Una consulta comercial rara vez necesita teléfono. Haz opcionales los campos extra, o quítalos.
• Explica en el momento de recoger. El artículo 13 obliga a decir quién eres, para qué recoges los datos y cuánto tiempo los guardas. Una línea bajo el botón con un enlace a la información sobre cookies y datos cubre el propio formulario.
• Separa los consentimientos. Responder una consulta y enviar un boletín son dos fines. Nunca los juntes en una sola casilla.
• Registra bien el consentimiento. Guarda la fecha y hora del consentimiento junto al envío.
• Protege los datos en tránsito y en reposo. HTTPS, una base de datos con control de acceso y, si puedes evitarlo, nada de datos del formulario en texto plano a buzones compartidos.
• Fija un plazo de conservación. Borra los contactos que no avanzaron pasado un tiempo definido.

La protección antispam también toca datos personales. Limitar peticiones por IP está bien si aplicas a la dirección un hash con un secreto y nunca guardas el valor original. Un campo trampa oculto frena a la mayoría de los bots sin captcha de terceros.

Terceros: inserciones, fuentes y encargados

Cada petición externa es una transferencia de datos. Haz un inventario de lo que carga cada página y decide caso por caso.

• Fuentes. En 2022, un tribunal de Múnich consideró que cargar Google Fonts desde los servidores de Google sin consentimiento vulneraba el RGPD. Aloja tus fuentes. Además, es más rápido.
• Vídeo. Usa una vista previa que cargue YouTube o Vimeo solo cuando el visitante pulse reproducir.
• Mapas, chats y widgets de agenda. Igual que el vídeo: carga al interactuar o tras el consentimiento.
• Encargados del tratamiento. Tu hosting, tu servicio de email, tu CRM y tu analítica tratan datos por ti. El artículo 28 exige un contrato de encargo con cada uno. La mayoría publica el suyo.

Lista de comprobación antes del lanzamiento

Esta es la lista corta que repasamos antes de publicar una web. Complementa los puntos técnicos de nuestro checklist de seguridad web, porque privacidad y seguridad comparten casi todos los puntos débiles.

1. Abre la web en un perfil de navegador limpio. Comprueba que no hay cookies no esenciales ni peticiones a terceros antes del consentimiento.
2. Pulsa «Rechazar todo». Comprueba que nada cambia en el almacenamiento ni en la red.
3. Pulsa «Aceptar todo». Comprueba que solo cargan los proveedores de tu política.
4. Abre «Configurar cookies» en el pie y retira el consentimiento. Comprueba que las etiquetas se detienen.
5. Envía cada formulario. Revisa el registro guardado, la hora del consentimiento y el email de aviso.
6. Lista cada encargado con su contrato y la base de la transferencia.
7. Comprueba que la política de privacidad coincide con lo que la web hace de verdad.

Siguiente paso: inclúyelo desde el primer sprint

El consentimiento y el tratamiento de datos cuestan mucho menos cuando definen el desarrollo que cuando se parchean encima. En cada página web corporativa que desarrollamos planificamos la capa de consentimiento, los formularios y la revisión anterior desde el primer sprint.

En nuestra página de precios ves qué cubre cada producto y qué nunca cobramos aparte. Si tu web actual no pasa el primer punto de la lista, ahí está el mejor punto de partida para hablar.