Adaptación web al RGPD: Evita multas y duerme tranquilo este fin de año

Principio de licitud, lealtad y transparencia

 Esto suena a película de caballeros, pero es simple. No puedes usar los datos para algo que no has dicho. Si pides el correo para enviar un presupuesto, no puedes usarlo para enviar una newsletter semanal sobre ofertas de zapatos, a menos que te hayan dado permiso explícito para eso también. En tu estrategia de adaptación web al RGPD, la transparencia es reina: di qué haces, por qué lo haces y hasta cuándo lo harás.

Minimización de datos

 Este es mi favorito porque, como informático, cuanto menos datos inútiles tengamos en la base de datos, mejor rendimiento tiene la web. No pidas el número de teléfono si solo necesitas el email. No pidas la fecha de nacimiento si no vas a enviar un regalo de cumpleaños. Pedir datos «por si acaso» es una práctica terrible que va en contra del reglamento. Solo lo justo y necesario.

Integridad y confidencialidad

 Aquí entra mi vena técnica. De nada sirve tener unos textos legales preciosos redactados por el mejor abogado de Valencia si luego tienes la base de datos abierta a todo internet o tu web no tiene un certificado de seguridad. La seguridad no es un extra, es una obligación legal. Debes garantizar que los datos no se pierden, no se alteran y no los ve quien no debe.

Los derechos de las personas en la adaptación web al RGPD

 Seguramente te suenen las siglas ARCO. Pues olvídalas, porque la cosa ha crecido. Ahora tenemos acceso, rectificación, supresión (el famoso derecho al olvido), limitación del tratamiento, portabilidad y oposición.

Cómo facilitar estos derechos en tu web

 No basta con decir «tienes derechos». Tienes que ponerlo fácil. Yo suelo recomendar a mis clientes que en la política de privacidad pongan una dirección de correo específica o un formulario sencillo. Si alguien quiere que borres sus datos, no puedes pedirle que te envíe un fax (¿alguien usa eso aún?) o una carta certificada con copia del DNI compulsada ante notario. Tiene que ser tan fácil salir como entrar.

Si un usuario te escribe diciendo «Josep, borra todo lo que tengas mío», tienes un plazo para hacerlo. Y ojo, que si usas herramientas de terceros como Mailchimp o un CRM en la nube, tienes que asegurarte de que allí también se borran. La responsabilidad es tuya.

El derecho al olvido y las copias de seguridad

 Aquí viene un tema peliagudo que me encuentro mucho. Tú borras al usuario de la base de datos activa, ¡genial! Pero, ¿qué pasa con las copias de seguridad de la semana pasada? Técnicamente, sus datos siguen ahí. Una buena política de cumplimiento implica tener un protocolo para que, si hay que restaurar una copia de seguridad, sepamos que esos datos «olvidados» no deben volver a la vida como si fueran zombies. Es complejo, pero hay que tenerlo en cuenta.

Pasos técnicos imprescindibles para la adaptación web al RGPD

 Vale, dejemos la teoría y vamos a la práctica, que es lo que nos gusta a los informáticos. ¿Qué tengo que tocar en la web para que Josep Miret me dé el visto bueno? Pues hay varias capas, desde lo que se ve hasta lo que está en las tripas del servidor.

El formulario de contacto: La puerta de entrada

 El formulario es el punto crítico. Es donde el usuario te entrega su información voluntariamente. Aquí es donde la mayoría de webs fallan estrepitosamente.

La casilla de verificación (Checkbox)

 Olvídate de las casillas pre-marcadas. Eso es ilegal desde hace tiempo. El usuario tiene que hacer el esfuerzo consciente de hacer clic en «He leído y acepto la política de privacidad». Y no vale con poner el texto; ese texto «política de privacidad» tiene que ser un enlace clicable que lleve al documento legal.

Además, debajo del formulario debe haber una «primera capa de información». Es un resumen pequeño, tipo tabla, que diga:

• Responsable: Quién eres tú o tu empresa.
• Finalidad: Para qué quieres el dato (contestar al formulario).
• Legitimación: Consentimiento del interesado.
• Destinatarios: Si vas a ceder los datos a alguien (o si usas un hosting fuera de la UE).
• Derechos: Que pueden acceder, rectificar y suprimir los datos.

El registro de consentimientos

 Esto es algo que muchos plugins de WordPress hacen ahora y es vital. Cuando alguien te envía el formulario, no solo debes recibir el email. Tu sistema debe guardar una prueba de que esa persona aceptó la política. Debe quedar registrado el día, la hora, la IP y exactamente qué texto legal aceptó. Si mañana viene una inspección y dicen «Oye, ¿por qué le envías correos a Pepito?», tú puedes sacar el registro y decir: «Mire señor inspector, Pepito aceptó estas condiciones el día tal a la hora tal desde esta IP». Eso es tu salvavidas.

Cifrado y Seguridad del Servidor

 Si tu web todavía pone «No es seguro» en la barra del navegador, tenemos un problema gordo.

Certificado SSL (HTTPS)

 A estas alturas, no tener el candadito verde es un suicidio digital. Pero no solo por el SEO o la imagen, sino porque si los datos viajan en texto plano (HTTP), cualquier espabilado en una red Wi-Fi pública puede interceptar ese formulario de contacto. El RGPD te exige medidas de seguridad «apropiadas al riesgo», y hoy en día, no tener SSL es una negligencia grave. En Gandia, cuando monto una web, el SSL va puesto antes incluso de subir el logotipo.

Actualizaciones y parches

 Una web desactualizada es un coladero. Si usas WordPress, Joomla o PrestaShop, tienes la obligación de mantenerlo al día. Si te hackean la web porque tenías un plugin sin actualizar desde 2018 y roban los datos de tus clientes, la culpa es tuya. Y te toca notificar a la Agencia Española de Protección de Datos en menos de 72 horas. Menudo marrón, ¿verdad? Mejor darle al botón de actualizar.

Errores frecuentes en la adaptación web al RGPD

 He visto cosas que no creeríais, como decía aquel replicante. Pero en temas de leyes webs, los errores se repiten más que el ajo.

Copiar y pegar textos de otras webs

 Esto es un clásico. Veo webs de fontaneros en Gandia que en su política de privacidad dicen que se rigen por las leyes de… ¡México! O que mencionan una empresa de zapatos de Madrid. Copiar textos legales es peligroso porque no reflejan TU realidad. ¿Tú cedes datos a una gestoría? ¿Usas Google Analytics? Tu texto debe decirlo. Si copias el de otro, estás mintiendo legalmente.

El aviso de Cookies mal hecho

 Aunque esto toca más la LSSI (que veremos en otro artículo si Josep se anima), está muy ligado. El típico aviso que dice «Usamos cookies, si sigues navegando aceptas» ya no vale. El usuario tiene que poder rechazar o configurar. Y sobre todo, las cookies no se pueden instalar hasta que el usuario diga «SÍ». Veo muchas webs que te saltan el aviso, pero por debajo ya te han metido 20 cookies de rastreo. Eso es sancionable.

Descuidar a los Encargados del Tratamiento

 ¿Quién aloja tu web? ¿Quién lleva tu contabilidad? ¿Qué herramienta de email marketing usas? Todas esas empresas externas que tocan tus datos son «Encargados del Tratamiento». El RGPD dice que debes tener un contrato con cada uno de ellos donde se comprometan a cumplir la ley. Muchas veces este contrato está en los «Términos y Condiciones» que aceptamos sin leer al contratar el servicio, pero debes asegurarte de que está ahí.

Formularios de suscripción sin doble Opt-in

 Si captas correos para una newsletter, el Doble Opt-in es tu mejor amigo. Significa que el usuario pone su correo, y tú le envías un email automático con un enlace para confirmar. Hasta que no hace clic ahí, no está suscrito. Esto evita que alguien suscriba a su enemigo para molestarle y te asegura que el correo es real y pertenece a quien dice ser.

Para ir cerrando

 Mirad, la adaptación web al RGPD puede parecer un monstruo burocrático, lo entiendo. A nadie le gusta gastar tiempo en papeles y avisos legales cuando lo que quiere es vender sus naranjas o sus servicios de consultoría. Pero os lo digo como informático y como alguien que ve los problemas cuando ya han explotado: la prevención es baratísima comparada con la cura.

Tener tu web al día no solo te evita multas que pueden llegar a ser astronómicas (hablamos de porcentajes de facturación global), sino que transmite una imagen de profesionalidad brutal. Cuando entro en una web y veo que cuidan mis datos, que me explican las cosas claras y que no intentan engañarme con casillas ocultas, compro más tranquilo. Y seguro que a ti te pasa lo mismo.

Así que, ahora que se acerca el fin de año, tómate una tarde, siéntate delante de tu web y revísala con los ojos de un inspector… o mejor, con los ojos de un cliente desconfiado. Si ves algo que no te cuadra, arréglalo. Y si no sabes cómo, pues ya sabes que los informáticos estamos para algo más que para decirte que reinicies el router.

Preguntas Frecuentes (FAQ) sobre la Adaptación web al RGPD

1. ¿Es obligatorio contratar a un abogado para adaptar mi web? No es estrictamente obligatorio por ley que lo haga un abogado, pero sí es muy recomendable si tu negocio trata datos sensibles (salud, menores, etc.) o tiene cierto volumen. Para webs corporativas sencillas, un buen gestor o un informático con conocimientos sólidos en normativa (y colaborando con servicios legales) puede dejarte la web muy bien encarrilada. Lo que está prohibido es no hacer nada.
2. ¿Qué pasa si mi web no guarda datos, solo es informativa? Incluso si no tienes formulario de contacto, es probable que tu servidor registre IPs (que son datos personales) por seguridad, o que uses alguna cookie de análisis. Como mínimo necesitarás un Aviso Legal y una Política de Cookies básica. Raro es el caso de una web que sea 100% exenta de todo.
3. ¿Las multas son reales o son leyendas urbanas? Son muy reales. La Agencia Española de Protección de Datos publica sus resoluciones y hay sanciones a pymes y autónomos constantemente. No hace falta ser Google para que te multen; basta con que un vecino enfadado o un competidor te denuncie porque tu formulario no tiene la casilla de verificación.
4. Si mi servidor está en Estados Unidos, ¿incumplo el RGPD? Depende. Estados Unidos y la UE tienen acuerdos que van cambiando (como el reciente Data Privacy Framework). Lo ideal y más sencillo para evitar líos es alojar tu web en servidores dentro del Espacio Económico Europeo. Si usas un servidor en EE. UU., debes asegurarte de que esa empresa esté adherida a los marcos de seguridad aceptados por la UE o firmar cláusulas contractuales tipo.
5. ¿Tengo que adaptar mi web si solo vendo a nivel local en Gandia? Sí, rotundamente. La ley aplica a cualquier tratamiento de datos de ciudadanos europeos. Da igual que vendas zapatos en la calle Mayor de Gandia o software en Berlín. Si tu web es accesible y tratas datos, te toca cumplir.