Por qué la política de privacidad no es un simple aviso legal
Muchas empresas tratan la política de privacidad como un formulario que hay que rellenar una vez y olvidar. La realidad es otra. La Agencia Española de Protección de Datos ha sancionado a organizaciones cuyas políticas existían pero contenían información incorrecta, incompleta o copiada de otra empresa sin adaptación. Tener algo colgado en la web no garantiza el cumplimiento.
El artículo 13 del RGPD establece una lista de información que el responsable del tratamiento tiene que proporcionar en el momento en que recoge datos personales. Esa lista es larga y tiene consecuencias jurídicas. Si un usuario no puede saber quién trata sus datos, para qué, cuánto tiempo los vas a guardar o cómo puede ejercer sus derechos, tu política incumple el reglamento, aunque ocupe cuatro páginas.
En 2026 la situación se ha complicado además por la proliferación de herramientas de inteligencia artificial integradas en webs y CRMs, que añaden nuevas capas de tratamiento que pocas políticas recogen todavía.
Qué información debe incluir obligatoriamente según el RGPD
El artículo 13 del RGPD establece los requisitos mínimos cuando los datos se recogen directamente del interesado. Hay que informar de los siguientes elementos:
Identidad del responsable del tratamiento. Nombre completo o razón social, domicilio social y, si lo tienes, datos del delegado de protección de datos (DPD). No vale solo el nombre comercial si la empresa tiene otra denominación legal.
Finalidades del tratamiento y base jurídica. Para qué usas los datos y en qué te basas legalmente: consentimiento, ejecución de contrato, interés legítimo u obligación legal. No puedes poner “para mejorar nuestros servicios” sin indicar la base del artículo 6 RGPD que lo sostiene.
Intereses legítimos, si los usas como base. Si el tratamiento se basa en el artículo 6.1.f, tienes que detallar cuáles son esos intereses. No sirve mencionarlos de forma genérica.
Destinatarios o categorías de destinatarios. A quién vas a ceder o comunicar los datos, incluidas las transferencias internacionales fuera del Espacio Económico Europeo.
Plazos de conservación. Cuánto tiempo guardas cada tipo de dato. Si no puedes concretarlo, tienes que indicar los criterios que usarás para determinarlo.
Derechos de los interesados. Acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. También el derecho a retirar el consentimiento cuando el tratamiento se base en él, sin que eso afecte a lo anterior.
Derecho a reclamar ante la autoridad de control. En España, la AEPD. Tienes que informar expresamente de que el usuario puede presentar una reclamación ante la Agencia.
Si hay decisiones automatizadas o elaboración de perfiles. Incluida la lógica aplicada y las consecuencias previstas para el interesado.
Los errores más frecuentes que detecta la AEPD
Después de analizar centenares de resoluciones, hay un patrón claro en los incumplimientos más habituales:
Bases legales incorrectas o ausentes. Empresas que dicen tratar datos “con el fin de” sin indicar ninguna base del artículo 6. O que usan el consentimiento como base cuando en realidad el tratamiento es necesario para la ejecución de un contrato.
Plazos de conservación sin concretar. Frases como “durante el tiempo necesario” o “mientras dure la relación comercial” no cumplen el artículo 13.2.a. La AEPD exige concreción o, como mínimo, una referencia a la normativa sectorial que fija el plazo.
Ausencia de información sobre encargados del tratamiento. Si tu CRM lo gestiona un tercero, si usas una plataforma de envío de email marketing o si un proveedor cloud almacena tus datos, eso tiene que aparecer o al menos mencionarse como categoría de destinatarios.
Política copiada de otra empresa sin adaptación. Se detecta fácilmente porque aparecen datos de otra empresa, textos contradictorios o referencias a tratamientos que la empresa no realiza.
Sin mención a las transferencias internacionales. Si usas Google Analytics, Meta Pixel, HubSpot, Mailchimp o cualquier servicio con servidores fuera del EEE, tienes que informar y documentar las garantías adecuadas.
Diferencia entre política de privacidad, aviso legal y política de cookies
Tres documentos distintos con funciones distintas. El aviso legal identifica al titular del sitio web según la LSSI y recoge las condiciones de uso. La política de cookies informa sobre los rastreadores que se instalan en el dispositivo del usuario y recoge su consentimiento. La política de privacidad explica qué haces con los datos personales recogidos en tu web.
Los tres tienen que estar accesibles desde cualquier página del sitio, generalmente en el pie de página. No es válido unirlos todos en un solo documento sin diferenciar qué parte corresponde a cada obligación normativa, porque responden a marcos legales distintos: el aviso legal a la LSSI, las cookies a la LSSI y la Ley de Servicios de la Sociedad de la Información, y la política de privacidad al RGPD y la LOPDGDD.
Tratamientos específicos que tienes que incluir en 2026
En los últimos dos años han aparecido situaciones de tratamiento que pocas políticas de privacidad recogen todavía:
Formularios con IA integrada. Si tu chatbot de atención al cliente usa un modelo de lenguaje que procesa las consultas de los usuarios, ese tratamiento tiene que estar descrito. La AEPD publicó en octubre de 2026 un decálogo específico para delegar tareas en asistentes y agentes de IA que incluye la obligación de informar a los afectados.
Herramientas de análisis con IA. CRMs que puntúan leads automáticamente, sistemas que analizan el comportamiento del usuario para personalizar contenido o que generan perfiles comerciales. Si el resultado puede tener efectos significativos sobre las personas, puede requerirse una evaluación de impacto.
Videovigilancia con análisis de imágenes. Si la cámara de seguridad no solo graba sino que analiza automáticamente quien entra o detecta comportamientos, la base jurídica y las obligaciones de información son más exigentes.
Datos de menores. Si tu web puede ser usada por menores de 14 años, tienes que adaptar los mecanismos de consentimiento y la política de privacidad a los requisitos específicos del artículo 8 RGPD y el artículo 7 de la LOPDGDD.
Cómo redactar la política de privacidad paso a paso
Antes de escribir una sola línea, hay que mapear todos los tratamientos que realiza tu empresa. No puedes informar de lo que no conoces. El registro de actividades de tratamiento (artículo 30 RGPD) es el punto de partida: si lo tienes actualizado, la política de privacidad se puede construir directamente desde él.
Una vez tienes el mapa de tratamientos, para cada uno hay que responder: quién es el responsable, qué datos se recogen, de dónde vienen, para qué se usan, en qué te basas legalmente, cuánto tiempo los guardas, a quién los cedes y si se transfieren fuera del EEE.
Con esa información, la redacción de la política tiene que ser clara y sencilla. El artículo 12 RGPD exige que la información se facilite de “forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo”. Un documento de 40 páginas lleno de jerga legal no cumple ese requisito aunque incluya toda la información.
La estructura recomendada para una política eficaz y legible incluye: un apartado inicial sobre quién es el responsable, luego un apartado por cada tipo de tratamiento o por cada formulario o punto de recogida de datos, seguido de los derechos de los usuarios y cómo ejercerlos, y un apartado final sobre modificaciones y vigencia.
Política de privacidad para tiendas online
Una tienda online recoge datos en varios momentos distintos: al crear una cuenta, al realizar un pedido, al contactar con atención al cliente, al suscribirse al boletín y al navegar por el sitio con cookies de análisis o de marketing. Cada uno de esos momentos puede tener bases legales distintas y plazos de conservación diferentes.
Los datos del pedido se conservan por obligación legal hasta que prescriban las acciones civiles y mercantiles, generalmente cinco años. Los datos fiscales, hasta que prescriban las obligaciones tributarias. Los datos de la cuenta pueden conservarse mientras esté activa, pero hay que informar qué pasa cuando se elimina la cuenta.
Si tienes programa de fidelización, si usas datos de navegación para remarketing personalizado o si compartes datos de pedidos con plataformas de logística externas, todo eso tiene que estar recogido en la política.
Política de privacidad para apps móviles
Las apps tienen requisitos adicionales. Las tiendas de aplicaciones (App Store y Google Play) exigen una URL de política de privacidad en el momento de publicar la app. Pero más allá de eso, las apps suelen recoger datos que una web no recoge: localización, contactos, cámara, micrófono, identificadores de dispositivo.
Para cada permiso que solicita la app, el usuario tiene que saber por qué lo pides y qué haces con esa información. La AEPD ha sancionado apps que solicitaban más permisos de los necesarios para la función declarada, lo que infringe el principio de minimización de datos del artículo 5.1.c RGPD.
Cuándo y cómo actualizar la política de privacidad
Hay situaciones que obligan a revisar la política: cuando cambias de proveedor de servicios que accede a datos, cuando añades nuevas funcionalidades a la web o app que implican nuevos tratamientos, cuando cambia la normativa aplicable o cuando detectas que la información que ofreces ya no es exacta.
Si el cambio afecta a tratamientos que antes no existían o modifica los derechos de los usuarios, tienes que comunicárselo de forma activa: por email a los que se suscribieron, con un aviso en la web o mediante notificación push si tienes app. No basta con cambiar silenciosamente el documento.
Si el cambio modifica tratamientos para los que obtuviste consentimiento, puede que tengas que volver a recabar ese consentimiento. Depende de si el cambio es sustancial respecto a lo que el usuario aceptó.
Qué consecuencias tiene no tener política de privacidad
La ausencia de política de privacidad o una política que no cumple los requisitos del artículo 13 RGPD constituye una infracción del principio de transparencia. En la escala sancionadora del RGPD, eso puede llegar a 20 millones de euros o el 4% de la facturación anual global, aunque las sanciones que la AEPD impone a empresas medianas y pequeñas por este tipo de infracción son habitualmente más bajas y en muchos casos se resuelven con apercibimientos o multas de entre 1.000 y 50.000 euros.
Pero hay otro riesgo que las empresas suelen ignorar: una política de privacidad deficiente puede invalida el consentimiento que hayas recabado para usos de marketing, lo que significa que todos esos contactos de tu base de datos no pueden recibir comunicaciones comerciales de forma legítima.
La reclamación ante la AEPD que puede presentar cualquier usuario cuya solicitud de ejercicio de derechos no haya sido atendida o cuya información sea incorrecta es la vía más habitual de inicio de un expediente sancionador. Y en 2026 el número de reclamaciones sigue en niveles históricos.
Cómo saber si tu política actual es suficiente
Una revisión básica debería comprobar: si el documento menciona todas las bases jurídicas utilizadas, si los plazos de conservación son concretos, si hay referencia a todos los encargados del tratamiento con acceso a datos, si las transferencias internacionales están documentadas y si los derechos de los usuarios están completos con el canal para ejercerlos.
La AEPD ofrece en su web herramientas de ayuda al cumplimiento que permiten autoevaluar si la información proporcionada a los usuarios es suficiente. También ha publicado guías específicas sobre el cumplimiento del deber de información que conviene tener como referencia al redactar o revisar la política.
Si la última revisión de tu política de privacidad fue hace más de dos años, o si has incorporado nuevas herramientas de marketing, analítica o atención al cliente desde entonces, es probable que necesite una actualización.
]]>
