Aviso legal, política de privacidad y política de cookies no son tres nombres para el mismo documento. Cada texto explica una parte distinta del funcionamiento de la web y debe coincidir con la empresa, los formularios y las tecnologías que realmente utiliza.
Cuando renovamos una web de una pyme de Badajoz, es frecuente encontrar textos copiados de otro sitio, datos de una empresa anterior o un banner que permite pulsar «aceptar» y «rechazar», pero carga las mismas cookies en ambos casos. La apariencia de cumplimiento no corrige el problema técnico ni la información incorrecta.
Esta guía ofrece una visión conjunta. El funcionamiento específico del consentimiento se desarrolla en cookies, RGPD y aviso legal para webs de pymes. La adaptación definitiva debe realizarse según los tratamientos, proveedores y obligaciones concretas de cada negocio.
Tres documentos con funciones diferentes
Aviso legal
Identifica al responsable del sitio y reúne la información exigida a quien presta servicios de la sociedad de la información.
Política de privacidad
Explica cómo se tratan los datos personales: quién los trata, para qué, con qué base, durante cuánto tiempo y qué derechos tiene la persona.
Política de cookies
Describe los dispositivos de almacenamiento y recuperación utilizados en el navegador y, cuando corresponde, cómo se obtiene y gestiona el consentimiento.
Los tres documentos se relacionan, pero no deben contradecirse. Si el aviso legal identifica a una sociedad, la privacidad no puede atribuir el tratamiento a un autónomo distinto. Si la política de cookies declara que solo existen cookies técnicas, el navegador no debería cargar herramientas de medición o publicidad no exceptuadas antes de que el usuario las acepte.
Un texto correcto comienza con un inventario real. Hay que saber quién es el titular, qué formularios existen, qué datos se solicitan, dónde se reciben, qué proveedores intervienen y qué cookies se instalan.
Qué debe contener el aviso legal
El artículo 10 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico —LSSI-CE— exige que determinada información del prestador sea accesible de forma permanente, fácil, directa y gratuita.
Para una empresa, esto incluye normalmente denominación social, domicilio, correo electrónico u otro medio de contacto directo, datos registrales y número de identificación fiscal. Si la actividad necesita autorización administrativa o corresponde a una profesión regulada, existen datos adicionales que pueden resultar aplicables. Cuando se muestran precios, también deben comunicarse con claridad los impuestos y gastos que correspondan.
El aviso suele añadir condiciones de acceso y uso, propiedad intelectual, responsabilidades y reglas sobre enlaces. Esas cláusulas deben responder al sitio concreto.
La identificación no debería quedar escondida únicamente en esta página. El pie de la web y la página de contacto deben conducir hasta ella sin rodeos.
Qué debe explicar la política de privacidad
El Reglamento (UE) 2016/679 —RGPD— regula el tratamiento de datos personales. Sus artículos 12, 13 y 14 establecen cómo debe facilitarse la información, según los datos se obtengan directamente de la persona o procedan de otra fuente. En España, la Ley Orgánica 3/2018 completa este marco.
La política debe identificar al responsable y sus datos de contacto; al delegado de protección de datos, cuando exista; las finalidades del tratamiento; la base jurídica; los destinatarios; las transferencias internacionales previstas; el plazo de conservación o sus criterios; y los derechos de la persona. También debe explicar la posibilidad de retirar el consentimiento cuando esa sea la base utilizada y el derecho a reclamar ante la autoridad de control.
Una clínica, una tienda online y una instaladora reciben datos diferentes y pueden utilizar proveedores distintos. No existe una política universal que se resuelva cambiando el nombre en la primera línea.
La información debe corresponder con la operativa. Si se afirma que los mensajes solo se usan para responder una consulta, no deberían incorporarse después a una lista comercial sin una base que lo permita y sin informar adecuadamente.
La política de cookies debe describir lo que carga la web
El artículo 22.2 de la LSSI-CE regula el almacenamiento o acceso a información en el equipo del usuario. Las cookies utilizadas únicamente para permitir la comunicación o prestar un servicio solicitado pueden quedar exceptuadas del consentimiento. Para otras finalidades es necesario informar y obtener una decisión válida antes de utilizarlas.
La política debe indicar qué cookies existen, quién las gestiona, para qué se usan y cuánto tiempo permanecen. Si intervienen terceros, debe permitir identificarlos.
La Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos establece criterios para presentar las opciones. Aceptar y rechazar deben ofrecerse de forma clara, sin empujar al usuario hacia una elección mediante un diseño engañoso. Configurar por finalidades solo sirve si el sistema respeta después esa selección.
El texto no sustituye al mecanismo. Si una herramienta de analítica empieza a funcionar antes de la decisión, añadir un párrafo al documento no cambia ese comportamiento.
El banner debe bloquear y recordar la elección
Un banner correcto informa en una primera capa, permite aceptar, rechazar o configurar cuando procede y conserva la elección durante el periodo definido. También ofrece una forma accesible de modificarla más adelante.
La comprobación se realiza en el navegador. Hay que verificar qué se carga antes de interactuar, después de aceptar y al rechazar. Si todos los botones producen el mismo resultado, el sistema no gestiona el consentimiento.
Otro fallo habitual es incorporar un vídeo, un mapa o una herramienta externa meses después y no revisar las cookies que añade. La política puede haber sido correcta al publicar la web y dejar de describirla tras una modificación.
Formularios: informar no siempre significa pedir consentimiento
Todo formulario que recoge datos personales necesita información sobre el tratamiento. Esta suele ofrecerse mediante una primera capa junto al formulario y un enlace a la política completa. Debe quedar claro quién trata los datos, con qué finalidad y cómo puede ejercer derechos la persona.
La casilla de consentimiento es necesaria cuando el consentimiento es la base jurídica utilizada. Sin embargo, no debe añadirse de forma automática a cualquier formulario. Una solicitud de presupuesto puede implicar medidas precontractuales solicitadas por el interesado; el análisis depende de la finalidad concreta. Lo incorrecto es no informar, mezclar finalidades o utilizar una casilla premarcada.
Si además se quiere enviar publicidad, esa finalidad debe diferenciarse de la respuesta a la consulta. Una sola casilla obligatoria para todo impide saber qué ha aceptado realmente el usuario.
Errores que encontramos al renovar webs de Badajoz
El caso más evidente es una política copiada que conserva el nombre, el correo o el domicilio de otra empresa. También aparecen formularios enviados a cuentas que ya no existen, herramientas no mencionadas, enlaces legales rotos y textos que describen un gestor o una tienda eliminados hace años.
Pensemos en una empresa de instalaciones de Badajoz que renueva su página y añade un formulario para adjuntar planos. Ya no está recogiendo solo nombre y teléfono: también puede recibir documentos con datos de terceros. El formulario, el acceso a los archivos, la conservación y la información facilitada deben revisarse como parte del cambio.
El banner puramente decorativo es otro problema recurrente. Puede mostrar tres botones y, sin embargo, cargar recursos no exceptuados desde la primera visita. Esa diferencia solo se detecta probando la configuración.
Cómo lo integramos en el proyecto web
En nuestros trabajos de diseño web para empresas de Badajoz revisamos titular, formularios, proveedores, cookies y enlaces legales. Configuramos el mecanismo técnico y adaptamos los textos a la información facilitada por el cliente. Los datos empresariales, las finalidades y las condiciones propias deben ser validados por el titular y, cuando el tratamiento lo requiera, por su asesor jurídico o de protección de datos.
La revisión continúa después de publicar. El mantenimiento web para empresas no debería limitarse a actualizar programas: cuando se incorpora una herramienta, un formulario o un proveedor, hay que comprobar si altera la información o el consentimiento.
Los tres textos legales no son un trámite que se añade al final. Son la descripción pública de quién gestiona la web, qué hace con los datos y qué ocurre en el navegador. Si esa descripción no coincide con la realidad, el problema no se arregla redactando más; se arregla revisando también la configuración.
¿Tus textos legales describen tu web actual?
En cada proyecto revisamos titular, formularios, proveedores, cookies y enlaces legales, y configuramos el mecanismo de consentimiento. Los datos y las finalidades los valida el titular y, si procede, su asesor.