RGPD para sitios web de empresas en España: lo que de verdad necesitas

Lanzas tu sitio web, añades un formulario de contacto, insertas Google Maps, instalas Analytics y sigues con tu día. Entonces alguien pregunta: “¿Esto cumple con el RGPD?”. Ese es el momento en el que la mayoría de empresarios en España se da cuenta de que en realidad no lo sabe.

Aquí va la respuesta práctica: si tu web recopila datos personales, usa cookies no esenciales o rastrea a los visitantes de cualquier forma, tienes que gestionarlo correctamente. Eso suele significar una política de privacidad real, una configuración adecuada del consentimiento de cookies y reglas claras en torno a tus formularios de contacto. Hemos auditado muchos sitios web de empresas en Almería, Murcia, Alicante y Granada, y los mismos problemas aparecen una y otra vez: banners que no bloquean las cookies, formularios sin aviso de protección de datos y políticas copiadas y pegadas que no se corresponden con el sitio.

Qué significa realmente el RGPD para una pequeña web de empresa en España

Si gestionas un sitio web de empresa en España, el RGPD es solo una parte del panorama. También tienes que tener en cuenta las normas españolas sobre cookies y comunicaciones electrónicas, además de la guía publicada por la AEPD.

En la práctica, tu sitio web normalmente tiene que hacer bien tres cosas:

1. Informar a la gente de qué datos recopilas y por qué
2. Recoger solo lo que necesitas, de forma lícita
3. Dar a los visitantes un control real sobre el rastreo y el marketing

Suena más grande de lo que es. Para la mayoría de pymes, negocios de alquiler vacacional, restaurantes, inmobiliarias, despachos de abogados, oficios y negocios de servicios gestionados por expatriados, los problemas suelen concentrarse en unos pocos puntos:

• banners de cookies
• herramientas de analítica
• formularios de contacto
• formularios de newsletter
• contenido incrustado de terceros
• políticas de privacidad y cookies

Si tu sitio tiene esos elementos, el RGPD importa. Si tu sitio es bilingüe, la información también tiene que ser clara en ambos idiomas. Esa es una de las razones por las que creamos webs bilingües de forma nativa en inglés y español, con la estructura legal y la configuración de hreflang planteadas desde el principio en lugar de traducidas después. Un sitio hecho con prisas suele generar problemas de cumplimiento antes incluso de que entren en juego el SEO o las conversiones.

Siguiente paso: haz una lista sencilla de todos los puntos en los que tu sitio web recopila, almacena o comparte datos de los visitantes. Esa lista es la base de todo lo demás.

Empieza por el mayor riesgo: el consentimiento de cookies

La parte en la que más empresarios se equivocan no es la política de privacidad. Es el banner de cookies.

Una configuración de cookies que cumpla en España no es simplemente un pop-up con un botón de “OK”. La AEPD lleva años dejándolo claro: si usas cookies no esenciales, los usuarios necesitan una elección real antes de que esas cookies se activen. Eso significa:

• nada de casillas premarcadas
• nada de consentimiento implícito por hacer scroll o seguir navegando
• no cargar cookies de analítica o publicidad antes del consentimiento
• una opción clara para rechazar además de aceptar
• acceso a información más detallada sobre las cookies

¿Qué se considera una cookie no esencial?

Normalmente:

• Google Analytics
• Meta Pixel
• seguimiento de Google Ads
• Hotjar y herramientas similares de comportamiento
• vídeos insertados de YouTube que colocan cookies de rastreo
• algunos widgets de reserva, herramientas de chat e inserciones de mapas

Las cookies estrictamente necesarias son distintas. Si una cookie es esencial para que el sitio funcione, como una cookie básica de sesión para un área de acceso seguro, puede que no requiera el mismo consentimiento. Pero muchos scripts de marketing y analítica sí lo requieren claramente.

Qué debería incluir un buen banner de cookies

Un banner usable y que cumpla debería ofrecer:

• Aceptar
• Rechazar
• Preferencias / personalizar
• un enlace a tu política de cookies
• un texto que explique claramente qué categorías existen

El diseño también importa. Muchas plantillas baratas hacen que “aceptar” sea brillante y evidente mientras esconden “rechazar” en texto diminuto. No es una buena dirección. La elección tiene que ser real, y la opción de rechazar no debería tratarse como un extra oculto.

Por qué esto importa más allá del cumplimiento

Una mala configuración de cookies también es mala UX. Ralentiza el sitio, genera ruido y daña la confianza. En nuestros propios proyectos, solemos reducir el problema antes incluso de que aparezca el banner eliminando scripts innecesarios, cargando de forma diferida las inserciones pesadas y activando solo las herramientas no esenciales después del consentimiento. Como creamos sitios en HTML prerenderizado con Astro y los servimos en la red edge de Cloudflare, nuestras webs alcanzan de forma constante 100/100 en Lighthouse y cargan en menos de 0,4 segundos de FCP. Ese enfoque centrado en el rendimiento también ayuda con el cumplimiento: menos herramientas de terceros significa menos dolores de cabeza con el consentimiento y el intercambio de datos.

Si la velocidad web ya te preocupa, nuestros artículos sobre por qué importa la velocidad de tu web en España y cómo superar Core Web Vitals explican por qué menos scripts suele significar también mejores rankings y mejores conversiones.

Si hoy haces solo una cosa: abre tu sitio en una ventana de incógnito, no aceptes nada y comprueba si Analytics, los píxeles publicitarios, YouTube, Maps o las herramientas de chat se siguen cargando igualmente.

Tu política de privacidad: qué debería decir realmente

Una política de privacidad no está ahí para impresionar a nadie. Existe para explicar a los visitantes, en un lenguaje claro, qué pasa con sus datos personales.

Para un sitio web típico de una pequeña empresa en España, tu política de privacidad debería cubrir:

1. Quién es responsable de los datos

Incluye claramente la identidad del negocio:

• nombre de la empresa
• identificación fiscal o mercantil cuando proceda
• dirección
• correo electrónico de contacto
• datos del responsable del tratamiento

2. Qué datos recopilas

Sé específico. Algunos ejemplos habituales:

• nombre
• dirección de correo electrónico
• número de teléfono
• dirección IP
• datos de reserva o consulta
• datos de facturación, si procede

No enumeres datos que en realidad no recopilas. Ahí es donde fallan muchas políticas de plantilla.

3. Por qué los recopilas

Tienes que explicar la finalidad, por ejemplo:

• responder a consultas de contacto
• gestionar reservas
• preparar presupuestos
• enviar información del servicio
• procesar pagos
• enviar correos de marketing, si se ha dado el consentimiento

4. Tu base jurídica

Esta es la parte que muchas empresas se saltan, pero importa. Según el caso, tu base jurídica puede incluir:

• consentimiento
• contrato
• obligación legal
• interés legítimo

Por ejemplo, si alguien rellena tu formulario de presupuesto, puedes tratar esos datos para responder a su solicitud. Si se suscribe a una newsletter, es probable que el consentimiento sea la base principal.

5. Con quién compartes los datos

Si utilizas proveedores externos, dilo. Eso puede incluir:

• proveedores de correo electrónico
• sistemas CRM
• herramientas de reservas
• procesadores de pago
• proveedores de analítica
• servicios de cloud hosting o infraestructura

De nuevo, la precisión importa. A menudo vemos webs usando herramientas que no se mencionan en ninguna parte de la política.

6. Cuánto tiempo conservas los datos

No hace falta escribir una novela. Sí necesitas una explicación razonable sobre la conservación. Por ejemplo: los datos de consultas pueden conservarse durante un periodo determinado para gestionar la comunicación con clientes y las obligaciones legales.

7. Derechos del usuario

Hay que informar a los visitantes de que pueden ejercer derechos como acceso, rectificación, supresión, limitación, oposición y portabilidad cuando proceda. También deberías mencionar su derecho a reclamar ante la AEPD.

8. Cómo contactarte sobre protección de datos

Hazlo fácil. Si la gente no sabe a qué correo escribir, la política no está haciendo su trabajo.

Si tu sitio web es bilingüe, no dejes la página en inglés actualizada y la española vaga, ni al revés. Nosotros integramos el contenido legal y de consentimiento en ambas versiones desde el principio para que los usuarios no reciban explicaciones materialmente distintas según dónde entren.

Siguiente paso: abre tu política de privacidad actual y compárala línea por línea con las herramientas reales instaladas en tu sitio. La mayoría de los huecos se hacen evidentes en 10 minutos.

Formularios de contacto: el pequeño detalle que causa grandes problemas

Un formulario de contacto básico parece inocente. Nombre, email, mensaje, listo. Pero desde el punto de vista del RGPD, ese formulario está recopilando datos personales. Tienes que gestionarlo correctamente.

Qué debería incluir tu formulario

Como mínimo, tu formulario debería dejar claro:

• quién está recopilando los datos
• por qué los recopilas
• qué vas a hacer con ellos
• dónde puede leer más el usuario
• si los datos se usarán solo para responder a la consulta o también para marketing

Un aviso breve bajo el formulario suele funcionar, con un enlace a la política de privacidad completa.

¿Necesitas una casilla de verificación?

Muchas veces sí, pero no siempre por el mismo motivo que la gente cree.

Si el formulario es únicamente para responder a una consulta, puede que no necesites una casilla de consentimiento solo para tratar el mensaje en sí, siempre que la base jurídica esté clara y el aviso lo explique correctamente. Pero si además quieres añadir a esa persona a una newsletter o lista de marketing, eso es distinto. Ahí sí necesitas un consentimiento separado y explícito.

Lo que no deberías hacer es mezclarlo todo. Alguien que pide un presupuesto a tu restaurante, despacho o negocio de alquiler vacacional no debería acabar añadido en silencio a envíos promocionales.

Mantén tus formularios ligeros

Pide solo lo que necesitas. Si un formulario de contacto necesita nombre, email y mensaje, no pidas también fecha de nacimiento, dirección completa y número de pasaporte. La minimización de datos forma parte del buen cumplimiento y de una buena práctica de conversión.

Diseñamos formularios así en todos nuestros proyectos de servicios de diseño web porque un formulario debería hacer dos trabajos a la vez: convertir al visitante y proteger al negocio.

Piensa en adónde van los envíos del formulario

Muchos propietarios se centran en el formulario en sí y se olvidan de lo que pasa después. Pregúntate:

• ¿Los envíos llegan por email a una bandeja de Gmail compartida por tres empleados?
• ¿Se almacenan dentro de un CRM?
• ¿Se envían a WhatsApp?
• ¿Se reenvían mediante un flujo de automatización?
• ¿Los eliminas después de usarlos?

Estas preguntas importan. Si usas automatizaciones, también tienen que estar configuradas correctamente. En CostaDelClicks, nuestro trabajo de automatización empresarial suele incluir enrutado de formularios, captura de leads, sincronización con CRM y notificaciones mediante n8n autohospedado o Make.com. Zapier puede servir para una tarea simple de un solo paso, pero a escala solemos evitarlo porque los costes suben rápido y el flujo de datos a menudo se vuelve más difícil de gestionar. Para un negocio de alquiler vacacional, un flujo limpio de consulta a confirmación puede ahorrar de 3 a 5 horas por semana, pero solo si el tratamiento de los datos personales está bien documentado desde el principio.

Antes de cambiar el diseño del formulario, traza exactamente adónde va cada envío después de que el usuario pulse enviar. Ahí es donde suele estar el verdadero riesgo de cumplimiento.

Herramientas incrustadas, mapas, vídeos y widgets de chat

Aquí es donde muchos sitios web aparentemente ordenados se vuelven un caos.

Tu sitio puede parecer simple, pero por detrás podría estar cargando:

• Google Maps
• vídeos de YouTube
• Meta Pixel
• reCAPTCHA
• widgets de WhatsApp
• Calendly
• sistemas de reservas
• plugins de reseñas
• herramientas de chat en vivo

Cada uno de ellos puede afectar a la privacidad, las cookies, el intercambio de datos o el consentimiento.

Puntos conflictivos habituales

Inserciones de Google Maps

Son útiles, pero pueden implicar transferencias de datos y rastreo. Si los insertas directamente, revisa si primero hace falta consentimiento. En muchos casos, un simple enlace para abrir el mapa con un clic es más limpio y ligero.

Vídeos de YouTube

Las inserciones estándar pueden colocar cookies antes de que el usuario acepte. El modo de privacidad mejorada ayuda, pero no es una solución mágica para todas las configuraciones. A veces la mejor respuesta es usar una imagen de vista previa y cargar el vídeo solo después de la interacción del usuario.

Widgets de chat

Muchos sistemas de chat en vivo recopilan datos personales y cargan scripts de terceros de inmediato. Si no los necesitas, no los añadas. Un formulario de contacto bien hecho suele cumplir la misma función con mucho menos riesgo y menos ruido.

reCAPTCHA

La protección contra spam es importante, pero reCAPTCHA introduce la infraestructura de Google en el proceso. Deberías reflejarlo en tu información de privacidad y revisar si una alternativa más ligera encajaría mejor en tu sitio.

Esa es una de las razones por las que los sitios estáticos son una opción tan sólida para las pymes. Reducen el exceso de plugins, limitan scripts innecesarios y simplifican la superficie de cumplimiento. Los sitios WordPress cargados de plugins pueden hacerse conformes, por supuesto, pero añaden mantenimiento extra, riesgo de seguridad por plugins y retos de rendimiento que muchas pequeñas empresas subestiman. Nosotros desarrollamos en Astro precisamente por eso: menos piezas en movimiento, salida más limpia y mucho menos misterio cuando necesitas auditar lo que está haciendo el sitio. Si estás valorando enfoques, nuestra guía sobre sitios estáticos frente a WordPress explica por qué menos piezas en movimiento suele significar menos dolores de cabeza.

Siguiente paso: revisa cada herramienta incrustada en tu sitio y hazte una pregunta directa: ¿esto ayuda de verdad al negocio o solo está ahí porque venía en la plantilla?

Un checklist práctico de RGPD para el sitio web de tu empresa en España

Si quieres la versión en lenguaje claro, usa este checklist.

Tu sitio web probablemente necesita estas páginas y controles

• Una política de privacidad que se corresponda con el sitio real
• Una política de cookies que explique categorías, duraciones y servicios de terceros
• Un banner de cookies que bloquee las cookies no esenciales hasta el consentimiento
• Un aviso legal claro si se aplica a tu estructura empresarial y obligaciones locales
• Avisos en formularios y textos de consentimiento donde sea necesario

Tus formularios deberían hacer estas cosas

• explicar por qué se recogen los datos
• enlazar a la política de privacidad
• separar la gestión de consultas del consentimiento para marketing
• recopilar solo los campos necesarios
• enviar los datos solo a sistemas aprobados

Tu configuración de seguimiento debería hacer estas cosas

• evitar cargar la analítica antes del consentimiento
• evitar píxeles publicitarios ocultos
• revisar las herramientas incrustadas de terceros
• permitir a los usuarios cambiar o retirar el consentimiento más tarde

Tu proceso interno debería hacer estas cosas

• saber quién recibe las consultas del sitio web
• saber dónde se almacenan los datos
• saber cuánto tiempo se conservan
• saber cómo responder si alguien pide acceso o supresión
• saber quién actualiza la política cuando cambia el sitio web

Ese último punto importa más de lo que la mayoría cree. Un sitio web no cumple una vez y para siempre. Si añades un nuevo motor de reservas, una campaña de Meta, un CRM, un chatbot o una automatización, tu tratamiento de datos cambia. Los documentos y controles tienen que mantenerse al día.

Idea clave: si no puedes explicar claramente el flujo de datos de tu sitio web en cinco minutos, probablemente la configuración es más complicada de lo que necesita ser.

Lo que la AEPD espera que te tomes en serio

La AEPD — Agencia Española de Protección de Datos — es la autoridad de protección de datos de España. Si operas en España, su guía importa.

No necesitas convertirte en especialista legal, pero sí deberías saber esto:

• en España el consentimiento de cookies se toma en serio
• los trucos de diseño que empujan al usuario hacia “aceptar” son arriesgados
• el texto legal vago y genérico no basta
• las empresas deben poder explicar qué datos recopilan y por qué

Si diriges un negocio orientado a expatriados con clientes angloparlantes y proveedores hispanohablantes, la claridad de tu sitio web importa todavía más. A menudo recomendamos que la información clave sobre privacidad y consentimiento esté disponible tanto en inglés como en español, especialmente en sitios bilingües. Si tu público abarca ambos mercados, eso no es solo un buen servicio. Es una reducción de riesgo sensata.

Para las empresas que están creando o rehaciendo su presencia digital, merece la pena leer después nuestros artículos sobre crear una presencia digital como expatriado en España y ¿debería tu sitio web ser bilingüe?.

Toma la guía de la AEPD como tu referencia, no como una lectura opcional después del lanzamiento. Es mucho más fácil construir en torno a esas expectativas que adaptarse a ellas más tarde.

Los errores que vemos más a menudo en webs de negocios locales

Después de revisar sitios web de empresas en Almería y más allá, estos son los reincidentes habituales:

1. Banners de “Aceptar cookies” que no permiten rechazar ni personalizar

Esto sigue estando por todas partes.

2. Analítica que se carga antes del consentimiento

El banner aparece, pero el rastreo ya ha empezado.

3. Políticas de privacidad copiadas de otro sitio

Nombre de empresa incorrecto, herramientas incorrectas, base jurídica incorrecta.

4. Formularios de contacto sin aviso de protección de datos

Los visitantes envían datos personales sin ninguna explicación de lo que ocurre después.

5. Consentimiento para la lista de correo mezclado con el contacto general

Eso no es un consentimiento limpio.

6. Herramientas incrustadas de terceros que no se mencionan en ninguna parte

Mapas, vídeos, widgets de reserva y plugins de chat suelen olvidarse.

7. Versión española actualizada, versión inglesa desactualizada

En sitios bilingües, la consistencia importa. Si la página legal existe solo en un idioma, o el texto difiere de forma material, eso genera confusión. Cuando creamos sitios en inglés y español, las páginas legales se planifican en ambos idiomas desde el primer día, y la estructura de hreflang se asegura de que los usuarios y los motores de búsqueda lleguen a la versión correcta.

Esta es exactamente la razón por la que preferimos desarrollos limpios y a medida en lugar de sitios inflados basados en temas. Cuantos más plugins y complementos de terceros utiliza un sitio, más fácil es perder la pista de qué datos se están tratando.

Corrige los tres primeros puntos de esta lista y la mayoría de webs de pymes ya estarán en una posición mucho más segura.

Qué hacer ahora si quieres arreglar esto bien

No empieces descargando otra plantilla legal y esperando que funcione. Empieza por mapear tu sitio web real.

Haz una lista de:

• cada formulario del sitio
• cada plataforma de analítica o publicidad instalada
• cada inserción o widget
• cada lugar donde se almacenan o reenvían datos personales
• cada página en la que aparece información de privacidad o consentimiento

Después revisa si tu sitio web:

• bloquea las cookies no esenciales antes del consentimiento
• explica claramente el tratamiento de datos
• utiliza los formularios de forma responsable
• refleja las herramientas reales que usas
• da a los usuarios una forma de gestionar el consentimiento

Si de todos modos vas a rehacer el sitio, corrígelo en la fase de desarrollo. Es mucho más fácil crear una estructura que cumpla desde el primer día que parchear una desordenada después. Así es como enfocamos los proyectos de diseño web en Almería y el trabajo más amplio en Murcia, Alicante y Granada: velocidad, claridad, estructura bilingüe, formularios y cumplimiento se planifican juntos desde el primer wireframe. En la práctica, eso suele significar un stack más ligero, menos scripts de terceros, políticas más limpias y un sitio web que a tu equipo le resulta más fácil gestionar después del lanzamiento.

Empieza con una auditoría de lo que existe hoy y luego reconstruye solo lo que el negocio necesita de verdad.

Preguntas frecuentes

Si todavía no tienes claro cuáles de estas normas se aplican a tu sitio, empieza por lo básico: audita tus formularios, cookies, herramientas incrustadas y páginas de privacidad antes de tocar cualquier otra cosa.