Com complir amb el RGPD a la teva web pas a pas

Avui dia els usuaris es pregunten cada cop més què fan les empreses amb les seves dades personals . No és només una qüestió legal: la privadesa s'ha convertit en un factor clau de confiança i en un criteri de qualitat per a qualsevol projecte digital que calgui. Si gestiones una web, encara que sigui petita, tens més responsabilitat de la que sembla.

Pensa un moment en tot el que utilitzes al teu lloc: formularis de contacte, analítica, cookies, eines de correu electrònic màrqueting, CRM per a empreses , passarel·les de pagament … Tots aquests elements recullen dades personals (nom, correu electrònic, IP, hàbits de navegació, etc.), així que el Reglament General de Protecció de Dades (RGPD) t'afecta de ple. Adaptar una web no és posar un avís genèric i una casella marcada, sinó implementar un sistema complet de compliment.

Què és el RGPD i per què la teva web no pot ignorar-ho

El Reglament General de Protecció de Dades és la norma europea que regula com es recullen, usen, emmagatzemen i comparteixen les dades personals de les persones que es troben a la Unió Europea. Va entrar en vigor el 2016, va començar a aplicar-se el maig del 2018 i va substituir l'antiga directiva del 1995 per adaptar-se al món digital actual.

S'aplica a qualsevol empresa, professional o entitat que tracti dades de persones a la UE , encara que la seu estigui fora d'Europa. És a dir, si vens productes o serveis a usuaris europeus o monitores el seu comportament en línia (cookies, publicitat, etc.), entres a l'àmbit del RGPD encara que el teu negoci estigui en un altre continent.

A més, el RGPD no va sol. A Espanya es complementa amb la LOPDGDD, la LSSI i els criteris de l'AEPD , cosa que fa que el marc normatiu sigui més exigent i concret. Això implica que no n'hi ha prou amb un text copiat de qualsevol lloc, ni banners de cookies ambigus; la llei exigeix ​​transparència real i traçabilitat del tractament.

Convé tenir molt present el règim sancionador: les multes per incompliment poden arribar a 20 milions d'euros o el 4% de la facturació global anual , cosa que abans passi. Més enllà de la sanció, un incident de privadesa pot destrossar la reputació d'una marca en qüestió de dies.

Per tant, complir el RGPD és alhora una obligació legal i una oportunitat per reforçar la confiança i la imatge professional del teu projecte digital. Les empreses que s'ho prenen de debò acaben sent més competitives, perquè gestionen millor la informació i reaccionen amb més rapidesa davant d'incidents.

Conceptes i figures clau del RGPD que has de conèixer

Per poder adaptar una web correctament, primer cal entendre el vocabulari bàsic del RGPD perquè es repeteix en tots els documents i decisions que hauràs de prendre.

L' interessat és la persona física titular de les dades, és a dir, el teu usuari, client, subscriptor o empleat. Les dades personals són qualsevol informació que identifiqui o pugui identificar algú de manera directa o indirecta: nom, adreça, email, IP, geolocalització, dades financeres, informació de salut, fotografia, etc.

El responsable del tractament és qui decideix per què i com es tracten aquestes dades. En un web corporatiu o un ecommerce, sol ser la pròpia empresa o el professional titular del lloc. L' encarregat del tractament és un tercer que tracta dades per compte del responsable, per exemple un proveïdor de hosting , un servei de correu electrònic màrqueting, un CRM al núvol o una agència que gestiona campanyes.

El tractament engloba qualsevol operació amb dades: recopilar-les mitjançant un formulari, emmagatzemar-les en una base de dades, consultar-les, modificar-les, cedir-les a un altre proveïdor, analitzar-les, esborrar-les, etc. Gairebé tot allò que es fa amb la informació entra en aquest concepte i, per tant, queda sotmès al RGPD.

La normativa defineix també categories especials de dades , especialment sensibles: origen racial o ètnic, opinions polítiques, religió, salut, dades biomètriques, orientació sexual o dades relatives a condemnes penals. El tractament exigeix ​​cauteles addicionals, consentiment explícit i, en molts casos, bases jurídiques molt taxades.

Principis del RGPD que han de guiar la teva web

El cor del RGPD són set principis que marquen com cal gestionar qualsevol dada personal. La teva web els ha de respectar des del disseny i en tot el cicle de vida de la informació.

El principi de licitud, lleialtat i transparència exigeix ​​que cada tractament tingui una base jurídica clara (consentiment, contracte, obligació legal, interès legítim, etc.) i que l'usuari sàpiga què fas amb les dades de manera comprensible. No valen textos enrevessats que ningú no entén o finalitats ocultes.

El principi de limitació de la finalitat estableix que només pots fer servir les dades per als fins que has declarat. Si reculls un email per enviar un pressupost, no pots aprofitar-lo sense més ni més per enviar publicitat si no ho has explicat i legitimat.

La minimització de dades implica demanar només allò estrictament necessari per a la finalitat prevista. Si en un formulari de contacte demanes dades que no calen (com DNI sense motiu raonable), podries estar vulnerant aquest principi.

Les dades han de ser exactes i estar actualitzades . Si mantens informació obsoleta que pugui perjudicar algú, has de corregir-la o suprimir-la. D'altra banda, el principi de limitació del termini de conservació obliga a conservar les dades només el temps necessari per a la finalitat i eliminar o anonimitzar passat aquest temps.

La integritat i la confidencialitat es tradueix en mesures de seguretat tècniques i organitzatives: xifrat al núvol , còpies de seguretat, control d'accessos, formació del personal, gestió de contrasenyes, etc. Finalment, la responsabilitat proactiva significa que no n'hi ha prou de complir, cal poder demostrar-ho amb registres, polítiques i evidències.

Drets dels usuaris: què ha de permetre la teva web

El RGPD reforça i amplia els drets de les persones sobre les seves dades . Qualsevol interessat ha de poder exercir els seus drets fàcilment i obtenir resposta sense cost en un termini màxim d'un mes.

El dret d'informació obliga que expliquis de manera clara, en el moment de la recollida, qui n'és el responsable, per a què es faran servir les dades, durant quant de temps, qui les rebrà i com poden exercir altres drets. Aquesta informació sol articular-se en dues capes: una breu al costat del formulari i una altra completa a la política de privadesa.

El dret d'accés permet a l'usuari saber si esteu tractant les vostres dades i, si escau, obtenir una còpia i detalls del tractament. El dret de rectificació us permet corregir dades inexactes o incomplets que tingueu registrades.

El dret de supressió , també anomenat dret a l'oblit, permet demanar que s'eliminin les dades en determinats supòsits: quan ja no siguin necessaris, s'hagi retirat el consentiment o el tractament sigui il·lícit, entre d'altres. No és absolut, perquè hi pot haver una obligació legal de conservar certa informació.

L'usuari també pot exercir el dret a la limitació del tractament , de manera que només es conservin les dades però no es facin servir per a determinades finalitats, i el dret d'oposició , molt rellevant en màrqueting directe, que obliga a deixar de tractar les dades amb aquesta finalitat si ho demana.

Finalment, el dret a la portabilitat de les dades permet que l'interessat rebi les dades en un format electrònic estructurat i d'ús comú o que es transfereixin directament a un altre responsable, quan el tractament es basi en el consentiment o en un contracte i es faci per mitjans automatitzats.

Consentiment vàlid segons el RGPD: adéu a les caselles premarcades

A molts llocs web el consentiment és la base jurídica principal, però el RGPD fixa unes condicions molt concretes perquè sigui vàlid. Ha de ser lliure, específic, informat i inequívoc , expressat mitjançant una clara acció afirmativa.

Això vol dir que no serveix el consentiment tàcit del tipus “si segueixes navegant acceptes…”, ni les caselles premarcades, ni amagar l'acceptació dins de textos genèrics. L'usuari ha de marcar voluntàriament una casella o fer una acció clara que demostri que hi està d'acord.

A més, el consentiment ha de ser granular : no pots agrupar diverses finalitats diferents en una sola casella. Per exemple, diferenciar clarament entre acceptar el tractament per respondre una consulta i acceptar l'enviament de comunicacions comercials.

Has de poder acreditar quan i com vas obtenir aquest consentiment , per si l'autoritat o el mateix usuari ho requereixen. I, de la mateixa manera que s'atorga, ha de ser senzill retirar-ho en qualsevol moment, sense penalitzacions ni tràmits enrevessats.

Què ha d'incloure la teva web per complir el RGPD

Passant a la part pràctica, adaptar la teva web al RGPD implica revisar i ajustar diversos elements visibles: textos legals, cookies, formularis, email marketing i processos interns . No és refer tot el lloc, però sí aquests punts clau.

En primer lloc, necessites una sèrie de pàgines legals accessibles des del peu de pàgina : avís legal, política de privadesa, política de cookies i, si vens online, condicions de contractació. Cadascuna compleix una funció diferent i ha d'estar adaptada a la teva activitat concreta.

L' avís legal identifica el titular del web (nom o raó social, NIF, dades de contacte), indica la propietat intel·lectual dels continguts, la normativa aplicable i, si escau, la pertinença a col·legis professionals, número de registre mercantil, etc.

La política de privadesa és el document clau de protecció de dades. Ha d'explicar quines dades reculls, amb quines finalitats, sobre la base de quina legitimació, durant quant de temps, si hi ha cessions o transferències internacionals, quines mesures de seguretat apliques i com es poden exercir els drets.

La política de galetes ha de detallar quines galetes s'instal·len, la finalitat, si són pròpies o de tercers, la durada, així com com configurar-les o retirar-les. Heu d'anar lligada a un bàner o panell de gestió que permeti un consentiment realment informat.

Si teniu un ecommerce o oferiu serveis online de pagament, les condicions de contractació han d'informar de preus, impostos, despeses d'enviament, procés de compra, mitjans de pagament, terminis de lliurament, dret de desistiment, devolucions, garanties i altres extrems exigits per la normativa de consumidors.

Galetes, banner i bloqueig previ: el que exigeix ​​la normativa

Un dels punts on fallen més webs és en la gestió de cookies. Ja no és vàlid el típic missatge de “si segueixes navegant acceptes les galetes”. L'AEPD i la legislació europea exigeixen un sistema de consentiment granular, previ i revocable.

Has de mostrar un banner de cookies clar i visible que expliqui, de manera senzilla, que utilitzes cookies, per què i que ofereixi opcions reals per acceptar-les o rebutjar-les per categories (tècniques, analítiques, de personalització, publicitàries…).

És obligatori que, abans que l'usuari accepti, no s'activin galetes no tècniques . És a dir, no s'han de carregar Google Analytics, píxels de publicitat, eines de xat que rastregin, etc., fins que no hi hagi una acció afirmativa.

A més del banner inicial, hi ha d'haver un panell de configuració on l'usuari pugui modificar les preferències o retirar el consentiment en qualsevol moment. També és important revisar periòdicament les galetes reals que utilitza la web, incloent les que insereixen plugins i serveis de tercers.

Per gestionar tot això sol ser útil integrar el sistema de galetes amb Google Tag Manager o altres eines , de manera que només es disparin les etiquetes quan l'usuari hagi donat el vistiplau a cada categoria.

Formularis web, subscripcions i newsletters d'acord amb el RGPD

Cada formulari de la teva web és un punt crític de compliment. És igual que sigui un formulari de contacte, una sol·licitud de pressupost, un registre a un esdeveniment o una subscripció a la newsletter: tots han d' incloure la informació bàsica i una casella d'acceptació no premarcada.

Al costat del formulari, heu d'indicar de forma breu: qui és el responsable, amb quina finalitat es recullen les dades, quina és la base jurídica, si hi haurà cessions o ús d'eines externes i com exercir drets . Des d'aquí pots enllaçar a la política de privadesa per ampliar detalls.

No hauries de sol·licitar més dades de les necessàries per a la gestió concreta. Per exemple, en una subscripció a la newsletter n'hi ha prou amb el correu i, potser, el nom per personalitzar. En dissenyar formularis amb bons creadors de pàgines web , incloure una casella diferenciada per acceptar comunicacions comercials és clau per evitar confusions.

A email marketing, has d'obtenir consentiment exprés per poder enviar newsletters , especialment si els destinataris són particulars. A més, tots els correus han d'incloure un sistema senzill per donar-se de baixa, i és recomanable gestionar de manera traçable les altes, baixes i canvis de preferències.

Si ja teníeu una llista de subscriptors abans del RGPD, és possible que hagueu hagut de revalidar el consentiment d'aquells contactes l'autorització dels quals no complia els estàndards actuals, mitjançant campanyes de reconfirmació.

Registre d'activitats de tractament i documentació interna

Més enllà del que veu l'usuari, l'RGPD exigeix ​​que portis un registre intern d'activitats de tractament on descriguis quines dades tractes, amb quines finalitats, quins col·lectius hi estan implicats, a qui es comuniquen i quines mesures de seguretat apliques.

Aquest registre sol ser obligatori per a la majoria de les empreses i autònoms que tracten dades de manera no ocasional. Serveix per tenir un mapa clar dels fluxos d'informació dins de l'organització i és un dels primers documents que l'autoritat de control pot sol·licitar en cas d'inspecció.

Juntament amb aquest registre, és recomanable documentar polítiques internes de seguretat, procediments d'exercici de drets, protocols de resposta davant de bretxes de dades i registres de formació realitzada al personal. Tot això ajuda a demostrar la responsabilitat proactiva.

Quan un nou projecte o tecnologia suposi un alt risc per als drets i les llibertats de les persones (per exemple, monitorització massiva, elaboració de perfils complexos o ús intensiu de dades sensibles), hauràs de fer una avaluació d'impacte en protecció de dades abans de posar-lo en marxa.

Delegat de Protecció de Dades, proveïdors i transferències internacionals

No totes les organitzacions ho han de tenir, però en molts casos és obligatori nomenar un Delegat de Protecció de Dades (DPD o DPO) . És imprescindible quan es tracta d'autoritats o organismes públics, quan es monitoritza de manera habitual i sistemàtica a gran escala o quan es tracten categories especials de dades a gran escala.

El DPD és una figura independent que supervisa el compliment intern, assessora sobre obligacions legals, revisa les avaluacions dimpacte i actua com a punt de contacte amb lautoritat de protecció de dades i amb els interessats . Pot ser un empleat o un professional extern contractat per serveis.

En paral·lel, has de revisar tots els proveïdors que actuen com a encarregats del tractament (hosting, eines al núvol, agències, programari de gestió, etc.) i signar-hi contractes on es regulin clarament les obligacions de confidencialitat, seguretat i retorn o destrucció de les dades en acabar el servei.

Si algun d'aquests proveïdors és fora de l'Espai Econòmic Europeu, t'has d'assegurar que hi ha un mecanisme vàlid de transferència internacional : decisió d'adequació de la Comissió Europea, clàusules contractuals tipus, normes corporatives vinculants o, en casos residuals, excepcions com ara el consentiment explícit de l'interessat.

Recorda que, a ulls del RGPD, el principal responsable davant d'una bretxa en un proveïdor ets tu com a responsable del tractament, per la qual cosa avaluar bé el risc en triar eines i socis és fonamental per evitar sorpreses desagradables.

Seguretat, bretxes de dades i sistema de revisió contínua

El RGPD no diu exactament quines mesures tècniques has d'aplicar, però sí que obliga a adoptar controls de seguretat proporcionats al risc : autenticació multifactor , xifrat d'informació sensible, polítiques de contrasenyes robustes, còpies de seguretat periòdiques, segmentació d'accessos, auditories i proves.

Quan passi un incident de seguretat que afecti dades personals —accés no autoritzat, filtració, pèrdua, destrucció accidental—, has de tenir un protocol de gestió de bretxes que permeti analitzar què ha passat, contenir el dany i registrar tot el que ha passat. Consulteu un checklist d'accions clau després d'un incident per estructurar aquest protocol.

Si la bretxa suposa un risc per als drets i les llibertats dels afectats, hauràs de notificar-la a l'autoritat de protecció de dades en un màxim de 72 hores des que en tinguis coneixement. I si el risc és alt, també hauràs d'informar les persones afectades de manera clara i directa.

El compliment del RGPD no és una cosa que es faci una vegada i ja està. Cal establir un sistema de seguiment i auditoria periòdica : revisar el registre d'activitats almenys una vegada a l'any, actualitzar polítiques quan canviïn processos o la normativa, comprovar l'eficàcia real de les mesures de seguretat i revisar contractes amb proveïdors.

Moltes organitzacions es recolzen en solucions especialitzades de privadesa i gestió de dades que automatitzen l'inventari de dades, la gestió de consentiments, la resposta a drets dels interessats o la preparació d'informes de compliment. No són obligatòries, però poden estalviar temps i reduir errors.

Dissenyar una web que respecti el RGPD suposa entendre la norma, identificar quines dades manegues, documentar els teus tractaments, adaptar textos i formularis, configurar correctament cookies i eines de tercers, signar contractes adequats amb proveïdors i mantenir un sistema de seguretat i revisió contínua; en fer-ho, no només et protegeixes davant de multes, sinó que consolidaràs una relació de confiança estable amb els teus usuaris i clients , que percebran el teu projecte com un entorn seriós, segur i professional on la seva informació està realment cuidada.