Necesito adaptar mi web al RGPD y LSSI: qué hacer

¿Tienes razón?

Tres factores deciden si el RGPD te obliga: a quién diriges servicios, a quién procesas datos y si ofreces bienes o seguimiento de comportamiento de personas en la UE. Si tu web solo ofrece información en español y no tiene targeting a la UE, lo más probable es que el RGPD no sea aplicable. Pero si vendes productos a clientes europeos, aceptas pagos en moneda o publicidad dirigida, el RGPD entra en juego. La LSSI española regula comunicaciones comerciales por medios electrónicos y obliga a identificar al prestador, obligaciones sobre publicidad y el consentimiento previo para newsletters. Aunque seas empresa chilena, si haces negocio con usuarios españoles, conviene adaptar ciertos requisitos para evitar sanciones y problemas contractuales con socios europeos. Además, hay medidas prácticas: nombrar responsable de tratamiento, tener contratos con proveedores (hosting, analítica) y asegurar transferencias internacionales de datos.

Cómo se soluciona

1. Haz un inventario de datos: lista los formularios, registros de usuario, logs, sistemas de pago y herramientas de analítica. Anota qué datos personales se recogen y para qué finalidades.
2. Valora la base legal para cada tratamiento: consentimiento válido, ejecución contractual, cumplimiento de una obligación legal o interés legítimo. Para tratamientos de marketing y cookies no esenciales, necesitas consentimiento informado y verificable.
3. Revisa la política de privacidad y los avisos: deben describir finalidades concretas, bases legales, plazos de conservación y derechos de los titulares. Si aplicas RGPD, añade información sobre transferencias internacionales y base jurídica para ellas.
4. Cookies y rastreadores: identifica cookies necesarias y no necesarias. Implementa un sistema de gestión de consentimiento que permita aceptar o rechazar categorías y que registre la elección. Asegúrate de que herramientas de terceros respeten la elección del usuario.
5. Contratos con proveedores: firma acuerdos que incluyan cláusulas de encargado del tratamiento y obligaciones mínimas de seguridad. Para proveedores fuera de la UE, exige garantías adecuadas o mecanismos permitidos para transferencias.
6. Medidas técnicas y organizativas: cifrado, control de accesos, copias y gestión de incidentes. Define un procedimiento de respuesta a brechas de seguridad y un responsable de privacidad.
7. Si el RGPD aplica, valora nombrar un representante en la UE si no tienes establecimiento allí. Para la LSSI, asegúrate de incluir identificación completa del prestador y el procedimiento de desuscripción para comunicaciones comerciales.

Qué puedes hacer ahora: inventaria formularios y cookies, descarga e imprime las condiciones actuales y documenta los proveedores de analítica y hosting. Si hay contratos con empresas europeas o clientes de la UE, prioriza la adaptación.

Qué puede pasar

1) Se arregla por ajustes técnicos y cláusulas: muchas infracciones se corrigen con un aviso actualizado, un gestor de cookies y contratos con proveedores. Es lo más habitual cuando la falta es formal.

2) Acuerdo o requerimiento de autoridad: una autoridad europea o un socio comercial puede pedir correcciones y un compromiso. Aceptar una corrección suele evitar sanciones mayores y permite seguir operando.

3) Sanción o litigio: si hay incumplimientos graves (por ejemplo, filtración por falta de medidas) puedes enfrentarte a sanciones administrativas en la UE y reclamaciones de afectados. Si pierdes, podrías pagar indemnizaciones y costes; la ejecución depende de la relación entre jurisdicciones y activos.

Y si ganas, ¿cobras? En temas de privacidad, incluso ganando puede ser difícil ejecutar contra un proveedor extranjero; por eso prevenir y documentar es esencial.

Errores que arruinan el caso

• No documentar el flujo de datos: sin mapa de datos no puedes demostrar cumplimiento.
• Usar plantillas genéricas de privacidad sin adaptarlas a tus procesos y proveedores.
• No registrar el consentimiento: un banner que no almacena la elección del usuario es inútil.
• Ignorar contratos con terceros: si el proveedor incumple, responderás como responsable.
• Tratar datos sensibles sin bases legales clarísimas o sin medidas técnicas proporcionales.