Muchas pymes creen que cumplir el RGPD es poner un banner de cookies y una página de privacidad. El banner puede ser necesario, pero no es el punto de partida. El punto de partida es una pregunta más incómoda: ¿qué datos necesitas de verdad y por qué?
1. Haz un mapa de datos
Antes de redactar nada, apunta:
- Qué formularios tienes y qué recogen.
- A dónde se envían los datos.
- Quién tiene acceso.
- Cuánto tiempo los guardas.
- Con qué proveedores compartes datos.
Si no puedes responder esto, ningún texto legal te salvará.
2. Minimiza
No pidas teléfono si no lo necesitas. No pidas empresa si no cambia la respuesta. No guardes mensajes “por si acaso” durante años.
Cada campo debe tener una finalidad clara. Si no la tiene, elimínalo.
3. Elige una base legal
No todo se basa en el consentimiento. Un presupuesto puede basarse en medidas precontractuales. Una obligación fiscal, en una obligación legal. La seguridad del sitio, en interés legítimo.
El consentimiento es necesario para cosas como la newsletter o las cookies no esenciales. Y debe ser libre, específico, informado y reversible.
4. Cookies: solo las que hacen falta
Si solo usas cookies técnicas, no hace falta inventar un banner. Si usas analítica o publicidad, necesitas consentimiento previo y una opción de rechazo igual de visible.
No cargues Google Analytics antes de que el usuario acepte. No hagas que rechazar sea más difícil que aceptar.
5. Textos legales coherentes
La política de privacidad debe describir lo que haces de verdad:
- Responsable y contacto.
- Finalidades y bases legales.
- Categorías de datos.
- Destinatarios y proveedores.
- Transferencias internacionales, si las hay.
- Plazos de conservación.
- Derechos y cómo ejercerlos.
No copies una plantilla de otra empresa sin adaptarla.
6. Seguridad y proveedores
Cumplir también es proteger. HTTPS, accesos mínimos, contraseñas fuertes, 2FA, backups y actualizaciones. Y firmar o revisar los contratos de encargado del tratamiento con los proveedores que tratan datos por ti.
7. Registro y revisión
Guarda evidencia del consentimiento: versión de la política, fecha, formulario y, si hace falta, IP. Revisa el mapa de datos cuando cambies herramientas o formularios.
Conclusión
El RGPD no es un trámite estético. Es una manera de decidir qué datos necesitas y cómo los proteges. Si quieres revisarlo sin alarmismo, hablemos.