Política de privacidad de tu web o app: qué exige la ley

Una web o una aplicación que recoge un nombre, un correo o un teléfono está tratando datos personales, y eso tiene consecuencias desde el primer día. La política de privacidad es el documento que explica qué se hace con esa información, pero no es un adorno legal que se coloca al pie de la página: es la descripción pública del tratamiento y, si está mal redactada, describe algo distinto de lo que la empresa hace en realidad.

Qué es la política de privacidad

Es el documento mediante el cual la empresa informa a sus usuarios sobre cómo recabará los datos personales, cuál será su tratamiento y, en su caso, solicita el consentimiento para cederlos a terceros. Su función es doble: dar garantía jurídica y generar confianza en quien visita o utiliza el servicio.

La norma aplicable es la Ley Orgánica de Protección de Datos de carácter personal, junto con la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico, que ordena las obligaciones de información en el entorno digital. Ambas exigen coherencia con lo que la web hace realmente.

Cuándo es obligatoria

Lo es cuando la página o la aplicación recoge datos personales, por ejemplo a través de un formulario de contacto, de un registro de usuario o de la suscripción a una newsletter. Si no se recogen datos, no hay tratamiento que informar, aunque en la práctica casi cualquier web comercial termina recogiendo alguno.

La obligación no depende del tamaño del proyecto. Una web pequeña que pide un correo para enviar un archivo está tratando datos igual que una plataforma con miles de usuarios.

Las cuatro funciones del documento

• Informar del proceso. Explicar cómo se obtienen los datos: formulario, registro, cookies o fuentes externas.
• Identificar al titular. Comunicar quién es responsable de esos datos y del tratamiento.
• Pedir consentimiento. Cuando la cesión a terceros lo requiere, debe solicitarse de forma expresa.
• Informar de derechos. Acceso, rectificación, cancelación y oposición, y cómo ejercerlos.

Estas cuatro funciones se traducen en contenidos concretos. Si falta alguno, el documento informa peor de lo que la empresa necesita.

La tabla recoge el contenido mínimo. Un documento que no responde a esas seis filas no está incompleto por detalle, sino por estructura.

Datos especialmente protegidos

No todos los datos exigen el mismo nivel de cuidado. La normativa distingue derechos especialmente protegidos: salud, ideología, afiliación sindical, religión, creencias, origen racial o étnico y vida sexual. Cuando una web recoge información de ese tipo, las medidas de protección deben ser más exhaustivas y el consentimiento más explícito.

Es un punto que se pasa por alto en proyectos que parecen neutros. Un formulario de reservas puede revelar una condición de salud; una encuesta de satisfacción puede recoger creencias. Si el dato sensible no es necesario, lo más prudente es no pedirlo.

Los errores más frecuentes

El primero es copiar la política de otra web. El texto puede ser impecable y, aun así, describir un tratamiento que no coincide con el propio: otros formularios, otras cesiones, otros plazos. El segundo es encargar la redacción a quien desarrolla la web sin conocimientos de cumplimiento, con el resultado de un documento bonito y jurídicamente frágil.

El tercero es escribirla y no volver a mirarla. Si se añade una herramienta de analítica, un sistema de comentarios o un proveedor de correo, el tratamiento cambia y el documento debería cambiar con él.

Cómo revisarla antes de publicar

Haz una lista de todos los puntos donde se recogen datos y compárala con el texto. Revisa quién recibe esa información y si aparece identificado. Comprueba que los derechos se explican con una vía real de ejercicio y que el documento es accesible desde cualquier pantalla, no solo desde el pie de la página de inicio.

Y si el proyecto trata datos sensibles, opera en varios países o cede información a terceros, conviene una revisión profesional. La política de privacidad es barata de escribir bien al principio y cara de corregir cuando ya hay una reclamación encima de la mesa. Si el documento lleva tiempo sin revisarse, el momento de actualizarlo es antes del próximo lanzamiento, no después.