Si diseñas webs, gestionas tiendas online, llevas campañas de marketing digital o trabajas como freelance creativo, el Reglamento General de Protección de Datos (RGPD) no es solo “papeles legales”: es una norma que condiciona cómo captas contactos, cómo analizas el tráfico de tu web y hasta cómo guardas los datos de tus propios clientes. Ignorarlo puede costarte muy caro, tanto en multas como en reputación.
En esta guía básica te voy a explicar, con lenguaje claro y aplicado al mundo online, qué es el RGPD, a quién se aplica, qué obligaciones introduce y qué tienes que hacer en tu web o proyecto digital para cumplirlo. Verás que hay conceptos legales, pero también mucha práctica: formularios, cookies, banners de consentimiento, derechos de los usuarios, contratos con proveedores y más.
Qué es el RGPD y por qué te afecta como creativo o webmaster
El RGPD es una norma europea de protección de datos personales (Reglamento (UE) 2016/679) que regula cómo deben recogerse, usarse, almacenarse y compartirse los datos de las personas físicas. Entró en vigor plenamente el 25 de mayo de 2018 y sustituyó a la antigua Directiva de 1995 y a muchas leyes nacionales dispersas.
Se considera dato personal cualquier información sobre una persona identificada o identificable: nombre y apellidos, email, DNI, dirección postal, IP, datos de localización, identificadores online, datos de salud, datos biométricos, información económica, de comportamiento, preferencias, etc. Incluso datos seudonimizados o cifrados pueden ser personales si es posible revertir el proceso mediante una clave.
El objetivo del RGPD es reforzar los derechos de las personas sobre sus datos y obligar a empresas y profesionales a tratar esa información de forma responsable. No se queda en teoría: fija obligaciones concretas, impone medidas de seguridad y prevé sanciones que pueden llegar a 20 millones de euros o al 4 % de la facturación global anual, escogiendo la cifra más alta.
Para el mundo creativo y web, esto significa que cada formulario de contacto, newsletter, píxel de seguimiento o herramienta de analítica debe encajar en este marco. El RGPD no es solo para grandes corporaciones: también se aplica a autónomos, estudios de diseño, agencias pequeñas, asociaciones, ONGs o comunidades que manejen datos personales.
Ámbito de aplicación: cuándo tienes que cumplir el RGPD
El RGPD se aplica de dos formas: por el tipo de tratamiento que haces (ámbito material) y por dónde estás tú o tus usuarios (ámbito territorial). Entender esto es clave para saber si tu web está dentro del juego, aunque la respuesta, casi siempre, es que sí.
Desde el punto de vista material, el RGPD se aplica a cualquier tratamiento de datos personales: recopilación, registro, organización, estructuración, almacenamiento, consulta, uso, comunicación, combinación, limitación, supresión o destrucción, ya sea de forma automatizada o en archivos que formen parte de un sistema de registro. Quedan fuera solo los tratamientos para fines puramente personales o domésticos, ciertas actividades policiales o judiciales y casos muy específicos.
Desde el punto de vista territorial, el RGPD se aplica a responsables o encargados establecidos en la UE, con independencia de dónde traten físicamente los datos (servidores en otro país, por ejemplo). Y también alcanza a organizaciones fuera de la UE o del EEE que ofrezcan bienes o servicios a personas que se encuentren en la UE (aunque sea gratis) o monitoricen el comportamiento de usuarios localizados en la UE, por ejemplo mediante cookies o herramientas de analítica avanzada.
Esto implica que una tienda online en Latinoamérica que vende a España, una app estadounidense con usuarios europeos o una web de un estudio de diseño en la UE que acepta encargos internacionales pueden quedar sometidos al RGPD. Lo relevante es dónde está la persona cuyos datos tratas, no solo dónde está registrada tu empresa.
No se aplica, en cambio, al tratamiento de datos de personas jurídicas (datos puramente corporativos), a datos de personas ya fallecidas o a tratamientos domésticos sin relación con una actividad profesional o comercial. Pero en la práctica, en un entorno web, casi cualquier dato se vincula a una persona física, de modo que es raro quedar totalmente fuera.
Conceptos clave: responsable, encargado, DPD y tipos de datos
Para manejar bien el RGPD necesitas dominar cierta terminología básica. No es pura teoría: te sirve para saber qué papel juegas tú y qué puedes exigir o te pueden exigir tus proveedores.
El responsable del tratamiento es quien decide la finalidad y los medios del tratamiento de datos. Si tú, como creativo o agencia, decides por qué recoges datos (por ejemplo, para gestionar pedidos, mandar newsletters o analizar el tráfico) y cómo lo haces, tu negocio es responsable del tratamiento.
El encargado del tratamiento es quien trata datos personales por cuenta del responsable siguiendo sus instrucciones. Aquí entran muchos proveedores externos que usas en tus proyectos: plataformas de email marketing, servicios de hosting, CRMs, pasarelas de pago, soluciones de analítica, gestores de consentimiento, etc. Con ellos debes firmar contratos de encargo de tratamiento que recojan obligaciones específicas de seguridad, confidencialidad y apoyo en el ejercicio de derechos.
En ciertos casos, el RGPD obliga a designar a un Delegado de Protección de Datos (DPD o DPO). Es una figura independiente que asesora, supervisa el cumplimiento, forma al personal, revisa evaluaciones de impacto y actúa de enlace con las autoridades y con los interesados. Es obligatorio, por ejemplo, cuando la actividad principal implique observación sistemática a gran escala, tratamiento masivo de categorías especiales de datos (salud, biometría, ideología, etc.) o cuando se trate de una autoridad u organismo público.
Además, el RGPD distingue las categorías especiales de datos: origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos para identificación unívoca, datos de salud u orientación sexual, así como datos relativos a infracciones y condenas penales. Estos datos están mucho más protegidos y solo se pueden tratar bajo condiciones muy concretas (consentimiento explícito, razones de interés público esencial, salud pública, investigación, etc.).
Los siete principios de protección de datos que debe seguir tu proyecto
Todo el RGPD gira alrededor de siete principios que deben guiar cualquier tratamiento. Si aplicas estos principios en tu web o negocio digital, tendrás medio camino hecho hacia el cumplimiento.
Primer principio: licitud, lealtad y transparencia. Siempre debes tener una base jurídica válida (consentimiento, contrato, obligación legal, interés vital, misión de interés público o intereses legítimos), actuar de forma honesta con las personas afectadas y explicarles de forma clara qué haces con sus datos.
Segundo principio: limitación de la finalidad. Los datos solo se pueden recoger para fines determinados, explícitos y legítimos, y luego no se pueden utilizar de manera incompatible con esos fines iniciales. Si quieres nuevos usos, tendrás que justificarlo y, a menudo, volver a informar o recabar consentimiento.
Tercero: minimización de datos. Recoge únicamente los datos que sean adecuados, pertinentes y limitados a lo necesario para el objetivo que persigues. Si un formulario de contacto pide DNI o fecha de nacimiento sin motivo, estás acumulando riesgos sin necesidad.
Cuarto: exactitud. Hay que mantener los datos actualizados y corregir o borrar lo que sea inexacto. Para ello, debes ofrecer mecanismos sencillos para que el usuario ejerza sus derechos de rectificación y, en general, revisar periódicamente la información almacenada.
Quinto: limitación del plazo de conservación. No puedes guardar los datos personales para siempre “por si acaso”. Debes definir plazos o criterios de conservación y aplicar borrados o anonimización cuando dejen de ser necesarios para la finalidad inicial.
Sexto: integridad y confidencialidad. Estás obligado a proteger los datos mediante medidas técnicas y organizativas adecuadas: cifrado, control de accesos, copias de seguridad, seudonimización, políticas internas, pruebas de seguridad periódicas, etc. El objetivo es evitar accesos no autorizados, pérdidas, destrucción o alteración.
Séptimo: responsabilidad proactiva. No basta con cumplir; tienes que ser capaz de demostrar que cumples. Esto implica documentar tratamientos, mantener registros, hacer evaluaciones de impacto cuando proceda, formar al equipo, conservar evidencias de consentimientos y de cómo respondes a los derechos de los usuarios.
Los derechos de los usuarios: lo que tus formularios y sistemas deben permitir
El RGPD reconoce un catálogo muy amplio de derechos para los interesados. Como responsable del tratamiento, tienes que habilitar canales para que se ejerzan, informar sobre ellos y responder en plazos determinados (generalmente un mes, ampliable a dos más en casos complejos).
El derecho de información exige que al recoger datos expliques quién eres, con qué finalidad tratas los datos, la base jurídica, si habrá cesiones o transferencias internacionales, el plazo de conservación, los derechos disponibles, la posibilidad de retirar el consentimiento y el derecho a reclamar ante la autoridad de control. Esta información debe presentarse con lenguaje claro, conciso y accesible, muchas veces usando un modelo de capas: un aviso básico junto al formulario y un enlace a una política de privacidad más extensa.
El derecho de acceso permite que la persona te pida confirmación de si estás tratando sus datos y, en su caso, recibir una copia de esos datos junto con información adicional sobre el tratamiento (finalidades, categorías, destinatarios, origen, plazo de conservación, etc.). Estás obligado a facilitarlo sin coste, salvo que la solicitud sea infundada o repetitiva.
El derecho de rectificación da a los usuarios la posibilidad de corregir o completar datos inexactos o incompletos. Si ya has compartido esos datos con terceros, debes comunicarles la rectificación, salvo que sea imposible o requiera un esfuerzo desproporcionado.
El derecho de supresión o “derecho al olvido” permite pedir que borres datos cuando ya no sean necesarios para la finalidad inicial, se haya retirado el consentimiento, el tratamiento sea ilícito o exista una obligación legal de suprimirlos. Hay excepciones importantes, como la libertad de expresión, obligaciones legales de conservación, motivos de salud pública o defensa de reclamaciones.
El derecho a la limitación del tratamiento permite al interesado exigir que solo se conserven los datos sin darles uso en ciertos escenarios: impugnación de exactitud, oposición pendiente de valoración, tratamiento ilícito pero voluntad de conservar datos para reclamaciones, o cuando tú ya no los necesitas pero el usuario sí para ejercer o defender reclamaciones.
El derecho a la portabilidad te obliga, en determinados casos, a entregar los datos personales en un formato estructurado, de uso común y lectura mecánica, o a transmitirlos a otro responsable si es técnicamente posible. Se aplica cuando el tratamiento se basa en el consentimiento o en un contrato y se realiza por medios automatizados.
El derecho de oposición permite a la persona oponerse al tratamiento en situaciones basadas en intereses legítimos o en misiones de interés público, así como a la elaboración de perfiles ligada a estas bases. En el caso del marketing directo (incluido el email marketing), la oposición es absoluta: si alguien dice que no quiere más comunicaciones comerciales, debes dejar de enviarlas.
El RGPD reconoce también el derecho a no ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente al interesado, salvo que concurran condiciones muy estrictas (contrato, ley o consentimiento explícito) y se garantice la intervención humana y la posibilidad de impugnar la decisión.
Consentimiento y otras bases jurídicas: cuándo puedes tratar datos 
Cualquier tratamiento de datos personales necesita una base jurídica válida. El RGPD contempla seis: consentimiento, contrato, obligación legal, intereses vitales, misión de interés público y interés legítimo. En el entorno de creativos y webmasters, las más habituales son las tres primeras y, en algunos casos, el interés legítimo.
El consentimiento tiene que ser libre, específico, informado e inequívoco. Se expresa mediante una clara acción afirmativa: marcar una casilla no preseleccionada, hacer clic en un botón del tipo “Acepto”, configurar de forma granular un panel de cookies, etc. No puedes usar casillas premarcadas, ni textos ambiguos, ni condicionar servicios que no necesitan ese tratamiento a que el usuario acepte todo.
Además, debes poder demostrar que has obtenido válidamente ese consentimiento. Esto exige llevar un registro: quién lo dio, cuándo, desde qué formulario o interfaz, qué texto legal estaba vigente en ese momento y qué preferencias seleccionó. Y, muy importante, la persona tiene derecho a retirarlo en cualquier momento, de forma tan sencilla como fue otorgarlo.
Junto al consentimiento, el contrato es una base fundamental. Cuando tratas datos porque son necesarios para prestar un servicio (por ejemplo, enviar un pedido, crear una cuenta de usuario, gestionar un proyecto de diseño) no necesitas un consentimiento adicional para esos tratamientos estrictamente vinculados al contrato.
La obligación legal cubre tratamientos necesarios para cumplir con normas tributarias, laborales, contables, de facturación, prevención de blanqueo, etc. Tampoco requieren consentimiento, pero debes explicar la base jurídica en tu política de privacidad y cumplir el principio de minimización.
El interés legítimo puede servir en ciertos supuestos, como la seguridad de la red, prevención del fraude o alguna analítica básica, pero exige un análisis previo: hay que valorar si tu interés empresarial no queda superado por los derechos y libertades del usuario. Este análisis conviene documentarlo, porque puede ser revisado por la autoridad de control.
Transparencia e información en tu web: formularios, capas y textos legales
Cada vez que en tu web pides datos personales, el RGPD te obliga a dar una información clara, completa y fácilmente accesible en el mismo momento de la recogida. Esto no se deja para un enlace perdido en el pie sin más contexto.
La práctica recomendada es el sistema de información por capas. En la primera capa, junto al formulario, añades un texto breve que indique quién es el responsable, para qué se usarán los datos, la base jurídica, un resumen de derechos y si habrá cesiones o envíos comerciales, junto con un enlace visible a la política de privacidad completa.
En la segunda capa, ya en la política de privacidad, despliegas toda la información exigida por los artículos 13 y 14 del RGPD: datos de contacto del responsable y, en su caso, del DPD, finalidades detalladas, bases jurídicas, destinatarios y encargados, transferencias internacionales, plazos de conservación, descripción de los derechos, derecho a retirar el consentimiento, derecho a reclamar ante la autoridad de protección de datos, origen de los datos si no provienen del propio interesado y existencia de decisiones automatizadas o elaboración de perfiles.
Además, tus formularios deben dejar claro qué campos son obligatorios y cuáles opcionales, qué ocurre si no se facilitan los datos y, cuando uses el consentimiento, incluir casillas diferenciadas para cada finalidad independiente: no vale una única casilla para todo. Y recuerda que el lenguaje debe ser comprensible, evitando jerga legal innecesaria.
Si tratas datos de menores de edad, la cosa se complica. Cuando el tratamiento se basa en el consentimiento (por ejemplo, alta en una red social o servicio online), hay que obtener la autorización verificable de los padres o tutores cuando el menor no alcanza la edad mínima fijada por la normativa nacional (entre 13 y 16 años, según el país).
Cookies, analítica y tracking: cumplimiento en webs y tiendas online
Más allá del RGPD, entra en juego la normativa de privacidad en las comunicaciones electrónicas y la famosa “Ley de Cookies”. En la práctica, esto significa que no puedes instalar cookies o tecnologías similares que no sean estrictamente necesarias sin haber obtenido previamente el consentimiento informado del usuario.
Las cookies técnicas necesarias para que la web funcione (recordar el carrito, iniciar sesión, ajustar el idioma básico, etc.) suelen estar exentas de consentimiento, pero cookies de analítica, publicidad, remarketing o perfiles de usuario sí requieren un consentimiento específico y granular.
Para cumplir, debes mostrar un banner o panel de consentimiento que explique de forma comprensible qué tipos de cookies usas, con qué finalidad y qué terceros intervienen, ofreciendo la opción de aceptarlas todas, rechazarlas o configurarlas por categorías antes de que se instalen. Además, hay que facilitar un centro de preferencias para que el usuario pueda modificar su elección más adelante.
Esta información debe complementarse con una política de cookies detallada, enlazada desde el banner y desde zonas visibles de la web, donde describas cada categoría, el tiempo de conservación, si hay transferencias a terceros países y cómo revocar el consentimiento.
Si el consentimiento para cookies sirve de base para otros tratamientos (por ejemplo, campañas de remarketing muy perfiladas), recuerda que también debes respetar los derechos del interesado vinculados a esos datos: acceso, supresión, oposición, etc., y que un incidente de seguridad puede obligarte a notificar una violación de datos.
Seguridad, brechas de datos y notificación en 72 horas
El RGPD obliga a implementar medidas de seguridad técnicas y organizativas acordes al riesgo del tratamiento. No hay un listado cerrado, pero el propio reglamento menciona la seudonimización y el cifrado, garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, tener mecanismos de restauración tras incidentes y procedimientos para probar y evaluar periódicamente esas medidas.
En el día a día de un proyecto digital, esto se traduce en contraseñas robustas, autenticación de dos factores, copias de seguridad, actualizaciones de software, segmentación de accesos, políticas internas, acuerdos de confidencialidad y revisión de proveedores. También en una buena gestión de permisos en paneles de herramientas SaaS que uses para email marketing, CRM o almacenamiento.
Una violación de datos personales es cualquier incidente de seguridad que provoque destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado a datos personales, ya sea de forma accidental o ilícita. Si esa violación puede suponer un riesgo para los derechos y libertades de las personas, debes notificarla a la autoridad de protección de datos competente en un plazo máximo de 72 horas desde que tengas conocimiento.
Cuando el riesgo sea alto para las personas afectadas, tienes además la obligación de comunicar la brecha a los propios interesados lo antes posible, explicando qué ha pasado, qué datos se han visto afectados, qué consecuencias puede tener para ellos y qué medidas has adoptado o piensas adoptar.
Para poder reaccionar a tiempo, resulta muy útil tener un procedimiento interno de respuesta a incidentes: cómo se detectan, quién los valora, cómo se recaba la información necesaria, quién decide si se notifica y en qué términos y cómo se documenta todo para poder demostrar que has actuado conforme al RGPD.
Registro de actividades, evaluaciones de impacto y protección de datos desde el diseño
El RGPD exige que responsables y encargados mantengan un registro de las actividades de tratamiento. En ese registro se documentan, para cada tratamiento, la identidad del responsable, las finalidades, las categorías de interesados y de datos, los destinatarios, las transferencias a terceros países, los plazos de conservación y una descripción general de las medidas de seguridad.
Aunque hay una excepción formal para pequeñas organizaciones con menos de 250 empleados, en la práctica casi todos los negocios que realizan tratamientos no ocasionales, implican riesgos o manejan categorías especiales deberán contar con ese registro. Además, tenerlo actualizado permite entender mejor qué datos manejas, para qué y con quién los compartes.
Cuando un tratamiento puede suponer un alto riesgo para los derechos y libertades de las personas (por ejemplo, uso de tecnologías innovadoras, observación sistemática de espacios públicos, elaboración de perfiles intensivos, tratamiento masivo de datos sensibles), es obligatorio realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD o DPIA).
La EIPD describe con detalle el tratamiento previsto, evalúa la necesidad y proporcionalidad, analiza los riesgos para las personas y define las medidas técnicas y organizativas previstas para mitigarlos. Si, aun así, persisten riesgos elevados, hay que consultar a la autoridad de protección de datos antes de iniciar el tratamiento.
Todo esto conecta con el principio de protección de datos desde el diseño y por defecto. Desde el momento en que imaginas una nueva funcionalidad, campaña o servicio, debes integrar la privacidad: escoger solo los datos imprescindibles, definir plazos de conservación cortos, configurar la máxima privacidad como opción por defecto y limitar el acceso a quien realmente lo necesita.
Aplicar este enfoque te ayuda a evitar problemas posteriores y demuestra a tus clientes que tratas los datos con respeto y profesionalidad, algo cada vez más valorado en el entorno digital.
Relación con terceros: contratos, encargados y transferencias internacionales
En la práctica, casi nadie trata datos en solitario. Tus proyectos probablemente usan hosting externo, servicios de mailing, herramientas de automatización, plataformas de pago, CRMs, soluciones de consentimiento o analítica. En todos esos casos, esas empresas actúan como encargados del tratamiento o, a veces, como responsables independientes.
Cuando un tercero trata datos por tu cuenta, el RGPD exige firmar un Acuerdo de Encargo de Tratamiento que recoja, entre otros puntos, que el encargado solo tratará los datos siguiendo tus instrucciones, que guardará confidencialidad, que aplicará medidas de seguridad adecuadas, que no subcontratará sin autorización, que te ayudará a responder derechos de los interesados y a gestionar incidentes, que borrará o devolverá los datos al finalizar el servicio y que permitirá auditorías.
Si esos terceros se encuentran fuera de la UE/EEE, entra en juego el capítulo de transferencias internacionales. Solo puedes transferir datos si el país ofrece un nivel de protección adecuado reconocido por la Comisión Europea, si utilizas mecanismos como cláusulas contractuales tipo o normas corporativas vinculantes, o si concurre alguna de las excepciones previstas (consentimiento explícito, necesidad para un contrato, motivos importantes de interés público, etc.).
En la práctica, muchas herramientas SaaS usan cláusulas contractuales tipo para legitimar transferencias a países como Estados Unidos. Aun así, estás obligado a valorar si, en la realidad, puede mantenerse un nivel de protección equivalente al europeo y, si es necesario, adoptar medidas adicionales (cifrado fuerte, seudonimización, limitación de datos, etc.).
No olvides que, como responsable, respondes también por lo que hacen tus encargados. Elegir proveedores serios, revisar sus políticas y certificados de seguridad, y documentar bien los contratos es parte esencial de tu cumplimiento RGPD. Además, presta atención a herramientas y plugins y extensiones que puedan introducir riesgos en tus sistemas.
En definitiva, si trabajas con datos personales en tus proyectos digitales, asumir el RGPD como una pieza más de tu flujo de trabajo —igual que la usabilidad o el SEO— te permitirá evitar sanciones, mejorar la confianza de tus clientes y usuarios y diferenciarte como profesional que cuida de verdad la privacidad, algo que, lejos de ser un obstáculo, puede convertirse en una ventaja competitiva muy potente.
