La mayoría de las webs que reviso no incumplen porque a sus propietarios no les importe. Incumplen porque el derecho llegó al final. Se aprobó el diseño, el desarrollador lo construyó, la web se publicó — y entonces alguien se acordó del banner de cookies y lo pegó encima.
Ese orden es el problema. Cuando llega el banner, las fuentes ya se cargan desde un servidor de otro país, el mapa ya instala cookies y el script de analítica ya se ejecuta antes de que nadie haya hecho clic en nada. El banner se convierte en una decoración colocada sobre decisiones que se tomaron sin él.
Una web no es un folleto con una política de privacidad adjunta. Cada elemento que contiene es una decisión sobre los datos de otra persona.
Cada elemento es una decisión jurídica
Quien construye una web no solo decide cómo se ve. Decide qué empresas reciben los datos de sus visitantes, cuándo y con qué base jurídica. Algunos ejemplos corrientes:
- Fuentes web. Cargar fuentes directamente desde el servidor de un tercero envía la dirección IP de cada visitante a ese proveedor. En 2022 un tribunal alemán (LG München I) concedió una indemnización a un visitante precisamente por eso. Alojar las fuentes en su propio servidor no cuesta nada y elimina el problema.
- Vídeos y mapas incrustados. Un vídeo de YouTube o un mapa de Google pueden instalar cookies y contactar con servidores externos en cuanto se carga la página. Un simple marcador «haga clic para cargar» lo resuelve.
- Analítica. Las herramientas de seguimiento que guardan identificadores en el dispositivo suelen necesitar consentimiento previo. Las soluciones respetuosas con la privacidad y sin cookies a menudo no — es una decisión de diseño, no un tecnicismo jurídico.
- Formularios de contacto. Cada formulario es un punto de recogida de datos personales. ¿Quién recibe los envíos, dónde se guardan y durante cuánto tiempo?
- Chats, herramientas de newsletter, sistemas de reservas. Cada uno suele ser un encargado del tratamiento que necesita un contrato (artículo 28 RGPD) y una línea en su política de privacidad.
Nada de esto es exótico. Es la anatomía normal de una web de empresa. Precisamente por eso el conocimiento jurídico pertenece al briefing, junto a la paleta de colores y el mapa del sitio.
Lo que la ley realmente exige
Sin jerga, las normas para una web de empresa típica se reducen a unos pocos principios:
- Consentimiento antes de las cookies no esenciales. Según las normas de ePrivacy (artículo 5.3 de la Directiva ePrivacy, transpuesta en cada país — en España, el artículo 22.2 de la LSSI), almacenar o leer información en el dispositivo requiere consentimiento, salvo que sea estrictamente necesario para el servicio solicitado por el visitante.
- Consentimiento real, no un truco. El Tribunal de Justicia de la UE declaró en Planet49 (2019) que las casillas premarcadas no son un consentimiento válido. Las autoridades europeas esperan que «rechazar» sea tan fácil como «aceptar».
- Una base jurídica para cada tratamiento. Artículo 6 RGPD: consentimiento, contrato, obligación legal, interés legítimo — necesita una y debe saber cuál.
- Transparencia. Artículo 13 RGPD: explique con lenguaje claro qué recoge, para qué, quién lo recibe y cuánto tiempo lo conserva.
- Protección de datos desde el diseño y por defecto. El artículo 25 RGPD exige literalmente que la protección de datos se integre en el sistema desde el principio. La propia ley lo dice: primero diseñar, no parchear después.
- Cuidado con las transferencias fuera de la UE. Muchas herramientas envían datos a EE. UU. El Marco de Privacidad de Datos UE-EE. UU. (desde julio de 2023) cubre a las empresas certificadas, pero usted sigue necesitando saber qué herramientas usa y con qué base.
Por qué arreglarlo después cuesta más
El riesgo de los titulares es la multa del RGPD: hasta 20 millones de euros o el 4 % de la facturación anual mundial. Para una pequeña empresa rara vez es la amenaza realista. Las amenazas realistas son menores y más frecuentes:
- requerimientos de competidores o asociaciones — habituales en Alemania y Austria;
- reclamaciones de visitantes por daños inmateriales según el artículo 82 RGPD;
- reclamaciones ante la autoridad de protección de datos, que luego hace preguntas que usted debe responder;
- y el coste silencioso: reconstruir partes de una web que podrían haberse hecho bien desde el principio.
Sustituir un mapa incrustado, alojar de nuevo las fuentes, rehacer la analítica y reescribir la política de privacidad después del lanzamiento lleva más tiempo que hacerlo durante la construcción. El conocimiento jurídico aplicado a tiempo es, sencillamente, más barato.
Lo que cambia — y lo que no
En noviembre de 2025 la Comisión Europea propuso un «Digital Omnibus» que, entre otras cosas, trasladaría las normas sobre cookies al RGPD e introduciría algunas excepciones, por ejemplo para cierta medición de audiencia. A octubre de 2026 esta parte sigue siendo un borrador: el Consejo no ha acordado su posición negociadora y no se ha adoptado nada.
La regla práctica es sencilla: construya para la ley vigente, no para una propuesta. Las normas actuales de consentimiento se aplican hoy. Si cambian, una web diseñada con una lógica de consentimiento limpia será también la más fácil de adaptar.
Una lista breve para su próxima web
- Enumere todos los servicios de terceros que cargará la web — antes de aprobar el diseño.
- Aloje usted mismo las fuentes y los scripts esenciales siempre que pueda.
- Ponga vídeos, mapas y contenidos de redes sociales detrás de un marcador de «clic para cargar».
- Bloquee las cookies no esenciales hasta obtener el consentimiento; haga «rechazar» tan visible como «aceptar».
- Firme contratos de encargo con los proveedores de formularios, alojamiento, newsletter y chat.
- Redacte la política de privacidad a partir de la configuración real — no de una plantilla.
Lo esencial
El derecho no es enemigo del buen diseño. Las webs limpias y rápidas que solo cargan lo que necesitan suelen ser a la vez más conformes y más agradables de usar. El mejor momento para pensar en el RGPD es cuando todavía está decidiendo qué será la web. Después ya no diseña — repara.
¿Quiere saber en qué situación está su web actual? Nuestra revisión gratuita de RGPD y cookies muestra qué se carga, qué instala cookies y qué hay que corregir — y por 99 € lo corregimos por usted.
Jurista de formación, creador de webs de profesión. Goran escribe sobre el derecho digital de la UE — el RGPD, la DSA y la Ley de IA — y lo que significa para quienes crean y gestionan sitios web.
Fuentes
Este artículo es información general, no asesoramiento jurídico. Refleja la normativa vigente en la fecha de publicación.