Revisar y mantener actualizada la política de privacidad de su sitio web

Quien opera un sitio web trata automáticamente datos personales de sus visitantes y está obligado a informar de ello con transparencia. Eso es precisamente lo que regula la política de privacidad, que no puede faltar en ningún sitio web alemán.

Explicado en breve: La política de privacidad es una información exigida por ley conforme a los arts. 13/14 del RGPD que explica qué datos personales recoge un sitio web, con qué finalidad y sobre qué base jurídica. Afecta a todo operador de un sitio web, desde el autónomo hasta el grupo empresarial. Si falta o está desactualizada, se arriesgan multas y requerimientos de cese (Abmahnungen, en el derecho alemán de competencia).

¿A quién afecta la obligación de contar con una política de privacidad?

Toda persona y toda empresa que opere un sitio web y trate datos personales debe poner a disposición una política de privacidad. Esto afecta prácticamente a todos los sitios web, ya que incluso la simple visita a la página, un formulario de contacto, un formulario de suscripción a un boletín o las herramientas de seguimiento integradas tratan datos personales como direcciones IP o direcciones de correo electrónico. La forma jurídica y el tamaño de la empresa no influyen: la obligación rige tanto para autónomos y profesionales liberales como para pequeños negocios y grandes sociedades de capital. Tampoco quedan exentas las páginas puramente informativas sin tienda en línea ni área de inicio de sesión. Aunque un sitio web tenga pocos visitantes o parezca puramente privado, la obligación legal no cambia: lo decisivo es únicamente que se traten datos personales, no el tamaño de la audiencia.

¿Qué debe incluir la política de privacidad?

Para cada tratamiento de datos individual en el sitio web debe indicar la finalidad, la base jurídica, los posibles destinatarios de los datos y el plazo de conservación. Esto vale para cada tratamiento por separado: no basta con una indicación genérica de que los datos se tratan «en el marco de las disposiciones legales». Además, la política debe recoger los derechos de los interesados: el derecho de acceso, de rectificación, de supresión y de oposición al tratamiento. A ello se suman los datos de contacto del responsable y, si lo hay, del delegado de protección de datos, para que los interesados puedan ejercer realmente sus derechos. Es importante que sea completa a nivel de cada servicio: un formulario de contacto, una herramienta de boletín y un proveedor de alojamiento son tratamientos independientes, cada uno con su propia finalidad y su propia base jurídica, y deben figurar por separado.

¿Qué debe hacer en concreto?

Para elaborar una política de privacidad jurídicamente sólida y mantenerla actualizada de forma permanente, lo mejor es seguir estos pasos:

1. Registrar todos los tratamientos de datos del sitio web (formulario de contacto, boletín, seguimiento, alojamiento, servicios de pago).
2. Indicar para cada tratamiento la finalidad, la base jurídica, los destinatarios y el plazo de conservación.
3. Incluir los derechos de los interesados (acceso, supresión, oposición) y los datos de contacto del responsable.
4. Enlazar la política de privacidad de forma fácilmente localizable (por lo general, en el pie de página).
5. Actualizar la política sin demora cuando se incorporen nuevas herramientas o servicios, por ejemplo un nuevo proveedor de boletines.

¿Hasta cuándo y con qué frecuencia debe actualizarse?

No existe un plazo fijo para su primera elaboración: la obligación de informar existe desde el día en que su sitio web se publica y trata datos personales. Más decisivo que la primera fecha límite es el mantenimiento continuo: en cuanto cambie un tratamiento, por ejemplo por una nueva herramienta de seguimiento, un nuevo proveedor de boletines o un nuevo proveedor de alojamiento o de pagos, la política debe adaptarse sin demora. Además, es recomendable una revisión periódica, por ejemplo una vez al año, para detectar datos obsoletos aunque aparentemente nada haya cambiado. Quien añade los nuevos tratamientos con retraso corre el riesgo de tener una política que, en el momento de su uso, ya no se corresponde con la realidad; eso es precisamente lo que examinan por igual las autoridades de control y los competidores.

¿Qué se arriesga en caso de infracción?

Si falta la política de privacidad, está desactualizada o incompleta, se arriesgan multas de hasta 20 millones de euros o el 4 % del volumen de negocios anual mundial. En la práctica, sin embargo, no suelen ser las autoridades de control las primeras en reaccionar: con más frecuencia se producen requerimientos de cese por parte de competidores o asociaciones de defensa de los consumidores, que consideran la ausencia o el error de una política de privacidad una infracción de las normas de competencia. Ambos riesgos existen de forma independiente y pueden materializarse a la vez si una infracción se hace pública y después es retomada por una autoridad. Qué obligaciones de este tipo se aplican concretamente a su empresa lo muestra una herramienta como Company Audit, que comprueba de forma individualizada los requisitos de cumplimiento normativo de su negocio.

Preguntas frecuentes

¿Basta con un generador para la política de privacidad?

Los generadores solo ofrecen un esqueleto. Los tratamientos concretos de su sitio web debe registrarlos usted mismo correctamente; de lo contrario, la política quedará incompleta o será incorrecta. Un modelo generado no sustituye, por tanto, el inventario propio de todas las herramientas y servicios realmente utilizados.

¿Debo tener una política de privacidad aunque no utilice un formulario de contacto?

Sí. Ya la mera visita a la página suele tratar datos personales como la dirección IP a través del proveedor de alojamiento, de modo que la obligación de informar rige con independencia de que exista un formulario de contacto. Tampoco quedan exentas las páginas de solo texto o de portafolio sin posibilidad de interacción.

¿Dónde debe estar enlazada la política de privacidad?

Lo habitual y recomendable es un enlace bien visible en el pie de página, accesible desde cualquier subpágina del sitio web. Así los visitantes encuentran la política sea cual sea la página por la que entren, sin tener que buscarla activamente.

¿Qué es mejor: enumerar todo lo imaginable o solo los servicios realmente utilizados?

En caso de duda, es más razonable redactar de forma concisa y veraz, en lugar de enumerar de manera genérica todos los tratamientos imaginables que en el sitio web ni siquiera se producen. Una enumeración demasiado amplia y preventiva puede inducir a error igual que una incompleta.

¿Quién es responsable de que la política de privacidad esté actualizada?

El responsable es el propio operador del sitio web. Debe actualizar la política por su cuenta con cada nuevo tratamiento, por ejemplo una herramienta o un proveedor adicional; se trata de una obligación que no puede delegarse en agencias ni en proveedores de alojamiento.

Fuente: arts. 13/14 RGPD. Este artículo es una información general y no sustituye el asesoramiento jurídico en un caso concreto. Fecha: julio de 2026.