Necesito adaptar mi web al RGPD y LSSI: qué hacer

¿Tienes razón?

No existe una respuesta automática. Lo que determina si necesita adaptar su web al RGPD y a la normativa sobre servicios de la sociedad de la información son tres cosas combinadas: quiénes son los usuarios, qué tipos de datos procesa y qué servicios presta.

• Usuarios en la Unión Europea: si su sitio ofrece bienes o servicios a personas situadas en la UE, o monitoriza su comportamiento, el RGPD puede aplicarse incluso si la empresa está en Ecuador. Así que el origen del operador no lo decide todo.

• Tipos de datos: no es lo mismo procesar solo correos electrónicos para una newsletter que tratar datos especialmente sensibles (salud, orientación sexual, creencias, etc.). Cuanto más sensible o identificable sea la información, más exigencias legales y técnicas se activan.

• Finalidades y transferencias: si combina datos para perfilar usuarios, personalizar publicidad o comparte información con terceros fuera de Ecuador o de la UE, necesita bases legales claras, contratos de encargo o mecanismos que legitimen las transferencias.

Con esas tres piezas puede trazar si su web debe adaptarse y hasta qué punto: desde cambios en un aviso de privacidad hasta redacción de contratos y medidas técnicas.

Cómo se soluciona

1. Mapee qué datos recoge y por qué. Haga una lista de los formularios, cookies, plugins y APIs que recopilan información. Para cada elemento apunte: datos exactos, finalidad (ej.: autenticación, marketing), destinatarios (proveedores, redes publicitarias), y si hay transferencia fuera de Ecuador.

1. Clasifique la base legal para cada tratamiento. Las bases pueden ser el consentimiento del usuario, el cumplimiento de un contrato, una obligación legal o intereses legítimos. Sea honesto: el consentimiento requiere información previa y libre. Para el marketing y el perfilado suele ser necesario el consentimiento explícito.

1. Audite las cookies y mecanismos de seguimiento. Use una herramienta para identificar cookies de terceros y scripts que rastrean comportamiento. Documente el propósito, proveedor y duración técnica de cada cookie para el registro interno.

1. Actualice los textos legales. Redacte un aviso de privacidad claro y separado la política de cookies. Explique en lenguaje sencillo qué datos recoge, por qué, con qué base legal y cómo ejercer derechos. Indique proveedores y enlaces a políticas de terceros cuando proceda.

1. Implemente mecanismos de consentimiento. Si usa consentimiento como base, la interfaz debe permitir aceptación granular: aceptar solo cookies técnicas y rechazar las de marketing debe ser tan sencillo como aceptarlas. Evite preselecciones que supongan silencio.

1. Contratos con proveedores. Para quienes actúan como responsables y contratan servicios de hosting, analítica o email marketing, firme contratos de tratamiento de datos que concreten instrucciones, medidas de seguridad y subencargados autorizados.

1. Evaluación de impacto cuando procede. Para actividades que suponen alto riesgo para derechos y libertades (perfilado masivo, tratamiento sistemático de datos sensibles), realice una evaluación que documente riesgos y medidas de mitigación.

1. Medidas técnicas y organizativas. Aplique controles: cifrado de bases de datos, acceso por roles, registros de acceso, copias de seguridad y protocolos de gestión de incidentes. Mantenga registros de las decisiones clave.

1. Procedimiento para ejercer derechos. Defina cómo recibir y responder solicitudes de acceso, rectificación, supresión o limitación. Proporcione canales y la información mínima que solicitará al reclamante para verificar identidad.

1. Formación y registro. Forme al personal que maneje datos y mantenga un registro actualizable de las actividades de tratamiento.

Qué puede hacer usted solo: inventario básico, actualizar textos y ajustar el banner de cookies. Cuándo conviene un abogado: si hay transferencia de datos a la UE, si su negocio depende del perfilado o si ya ha recibido reclamaciones o un incidente de seguridad.

Qué puede pasar

1) Se arregla con correcciones en la web. Muchas veces bastan un aviso claro y el ajuste del mecanismo de consentimiento para eliminar el incumplimiento, especialmente cuando el problema detectado es meramente informativo.

2) Acuerdo o sanción administrativa. Si una autoridad competente recibe una queja, es frecuente que busque un acuerdo que implique rectificar prácticas y proporcionar pruebas de cumplimiento. Un acuerdo aceptable puede evitar una sanción mayor; por eso valorar ofertas de cumplimiento con asistencia legal es razonable.

3) Procedimiento sancionador o litigio privado. Si hay una infracción grave —por ejemplo, tratamiento de categorías especialmente protegidas sin base legal, o falta de medidas en una transferencia internacional—, la vía administrativa puede imponer medidas y multas. En procesos judiciales, la disputa gira en torno a la proporcionalidad de las medidas de seguridad y la licitud del tratamiento. Si pierde la empresa, puede enfrentar medidas correctoras y, en su caso, responsabilidad civil por daños.

En caso de sentencia favorable, cobrar de una parte insolvente puede resultar difícil: una resolución no garantiza el cobro si el responsable carece de activos suficientes.

Errores que arruinan el caso

• Confiar en plantillas sin adaptar: copiar avisos de otra empresa que tiene otro modelo de negocio deja huecos legales.

• No documentar decisiones: si solo hizo cambios en la web sin guardar versiones y registros, no podrá probar diligencia ante una denuncia.

• Consentimiento preseteado: dejar casillas marcadas o usar un “aceptar todo” que no informe por capas invalida el consentimiento.

• No revisar proveedores: olvidar que un plugin de terceros envía datos a servidores fuera de control crea una transferencia no justificada.

• Tratar datos sensibles sin evaluación de impacto: esto aumenta el riesgo de sanciones y de responsabilidad civil.