¿Qué es el RGPD?

Te respondo a todas las preguntas o lo que necesitas saber sobre el RGPD como si se lo estuviera explicando a mi hija de 5 años, de forma clara y sencilla.

Sobre todo te vendrá muy bien si tienes una web o un blog y quieres saber si necesitas hacer algo. 👌

🔹 ¿Qué es RGPD?

RGPD son las siglas de Reglamento General de Protección de Datos, y es un conjunto de normas europeas que explican cómo hay que tratar y proteger los datos personales de la gente (nombre, email, teléfono, IP, cookies que le identifiquen, etc.).

– fuente: texto legal con la regulación del RGPD

🔹 ¿Para qué sirve el RGPD?

Si eres tú (seas de donde seas) quien va a pedir y usar datos personales de ciudadanos europeos (y da igual que seas una empresa, autónomo o simplemente tengas una web o blog), el RGPD sirve para decirte cómo tienes que hacerlo.

Y si tú eres un ciudadano europeo que va a dejar sus datos personales a alguna otra persona, web, blog, negocio o empresa (sea de donde sea), el RGPD sirve para que puedas controlar tus datos los dejes donde los dejes: si quieres que solo los usen para algunas cosas, que los eliminen, que los cambien, etc.

– fuente: RGPD para negocios

– fuente: RGPD para ciudadanos

🔹 ¿Es lo mismo RGPD y GDPR?

Sí. se refieren a lo mismo, solo que RGPD está en español (Reglamento General de Protección de Datos) y GDPR está en inglés (General Data Protection Regulation).

🔹 ¿Es lo mismo RGPD y LOPDGDD?

No. El RGPD es un conjunto de normas europeas, pero luego cada país hace sus propias leyes a partir de esas normas europeas. Pues la LOPDGDD es la ley española (Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales) que se basa en el RGPD europeo.

No es lo mismo, pero son muy parecidas.

– fuente: Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales

🔹 ¿Qué son datos personales según el RGPD?

Pues el RGPD dice que un “dato personal” es cualquier información que pueda identificar a una persona, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios datos físicos, fisiológicos, genéticos, psíquicos, económicos, culturales o sociales.

– fuente: Qué son los datos personales según el RGPD

🔹 ¿Cuántas categorías de datos personales hay según el RGPD?

Dentro de lo que el RGPD define como “dato personal”, diferencia la “categoría especial de datos personales” o “datos sensibles”, y tienen un tratamiento de mayor seguridad.

¡Así que cuidado si recoges estos datos!

– fuente: Qué datos personales se consideran sensibles

🔹 ¿Qué tiene que ver el RGPD con las cookies?

Pues que hay algunas cookies (unos ficheritos con datos que se guardan en nuestro navegador cuando visitamos algunas webs) que sirven para identificarte a ti como persona, así que eso también sería un dato personal y tendría que cumplir el RGPD.

– fuente: Punto (30) del RGPD

🔹 ¿Qué pasa si no cumplo el RGPD?

Pues ojito porque si en tu caso tienes obligación de cumplirlo y no lo haces, cualquiera podría denunciarte y luego las autoridades que se encargan de esto en cada país, podrían “avisarte” primero o multarte directamente, según lo grave que sea.

En España, por ejemplo, las denuncias se envían a la AEPD (Agencia Española de Protección de Datos), ellos se encargan de estudiar cada caso y deciden si te avisan primero para que lo arregles (lo que llaman “apercibimiento”) o si te sancionan con una multa que dependerá de lo que no estás cumpliendo, lo que hayas hecho, si es muy grave, si lo haces constantemente, etc.

💰 La cantidad de la multa según el RGPD según cada caso (más o menos grave) puede ser de:

• hasta 10 millones de € como máximo o, si eres una empresa, el 2% de tu facturación anual.
• hasta 20 millones de € como máximo o, si eres una empresa, el 4% de tu facturación anual.

Luego cada país tiene sus propios “rangos” según la gravedad. En España, por ejemplo, la ley española del RGPD (la LOPDGDD) parece que define 3 niveles:

• infracciones leves: hasta 40.000€
• infracciones graves: desde 40.001€ hasta 300.000€
• infracciones muy graves: desde 300.001€ hasta los 20 millones de € que define el RGPD

– fuente: Artículo 83 del RGPD sobre las sanciones

– fuente: Buscador público de sanciones que ha dictado la AEPD en los últimos años

– fuente: Listado de últimas multas que han dictado las distintas autoridades en paises europeos

🔹 ¿Qué ventajas tiene el RGPD?

Pues a parte de que el RGPD son normas que tienes que cumplir sí o sí obligatoriamente (si es tu caso, claro) y que te pueden multar si no, hacer que tu web o blog cumpla esas normas siendo lo más transparente posible ayuda a:

• Generar confianza y credibilidad
• Diferenciarte de tu competencia
• Ganar reputación
• Evitar multas

En mi caso, si tuviera que quedarme con 1 de estas, sería sin duda la de generar confianza y la credibilidad en las personas que te visitan, que te dejan comentarios, que se suscriben a tu lista de correos, que compran tus productos, que contratan tus servicios, etc.

🔹 ¿En qué casos debo cumplir el RGPD?

Pues aquí el propio reglamento dice que va dirigido a personas, empresas u organizaciones que están en Europa o gestionan datos personales de ciudadanos de la Unión Europea.

Si es para cosas “personales” tuyas, no tienes por qué cumplirlo, pero en el resto de casos que salgan de ese “ámbito personal”, SÍ hay que cumplirlo.

– fuente: Qué rige el RGPD

🔸 ¿Si mi web o blog está en Europa?

Si tu web o blog está en Europa y recoge datos personales de alguna forma (formularios, comentarios, estadísticas de las visitas, etc.), entonces SÍ estás obligado a cumplir el RGPD.

– fuente: A quién se aplica el RGPD

🔸 ¿Si mi web o blog está fuera de Europa?

Si tu web o blog está fuera de Europa y recoge datos personales de ciudadanos europeos de alguna forma (formularios, comentarios, estadísticas de las visitas, etc.), entonces SÍ estás obligado a cumplir el RGPD.

– fuente: A quién se aplica el RGPD

🔸 ¿Si mi web o blog solo tiene comentarios activados?

Si tu web o blog está en Europa, o está fuera de Europa pero recibe visitas de ciudadanos europeos, y pueden dejar comentarios con su nombre o email, entonces SÍ estás obligado a cumplir el RGPD.

– fuente: A quién se aplica el RGPD

🔸 ¿Si mi web o blog solo tiene formularios activados?

Si tu web o blog está en Europa, o está fuera de Europa pero recibe visitas de ciudadanos europeos, y pueden enviarte mensajes con su nombre o email usando esos formularios, entonces SÍ estás obligado a cumplir el RGPD.

– fuente: A quién se aplica el RGPD

🔸 ¿Si mi web o blog no tiene formularios ni comentarios activados?

Si tu web o blog está en Europa, o está fuera de Europa pero recibe visitas de ciudadanos europeos, no recoge datos personales con formularios ni comentarios, pero por ejemplo sí que usa alguna herramienta para medir visitas (como Google Analytics) que instale cookies que identifiquen a los usuarios, SÍ estás obligado a cumplir el RGPD.

– fuente: A quién se aplica el RGPD

🔸 ¿Si mi blog en Blogger muestra un aviso de cookies?

Si es el que pone Blogger por defecto para que aparezca cuando lo visitan ciudadanos europeos, y efectivamente está instalando cookies o recoge información personal como la IP, SÍ tiene que cumplir la RGPD.

Y el gran problema es que ese banner NO cumple la RGPD. 😲

-fuente: El RGPD y las cookies

🔸 ¿Si no gano dinero con mi web o blog?

Da igual que no ganes dinero con tu web o blog, da igual si lo estás monetizando o si lo que ofreces es contenido gratuito. No depende de eso.

El RGPD se debe cumplir cuando se recogen datos personales de ciudadanos europeos, aunque sea un blog gratuito que no vende nada, aunque no tenga anuncios ni nada por el estilo.

– fuente: A quién se aplica el RGPD

🔸 ¿Si mi web o blog no tiene formularios ni comentarios activados ni instala cookies de terceros?

Si tu web o blog está en Europa, o está fuera de Europa pero recibe visitas de ciudadanos europeos y no recoge datos personales de ninguna forma (ni con formularios, ni comentarios, ni instala cookies para identificar a los usuarios, etc.), entonces NO estás obligado a cumplir el RGPD.

– fuente: A quién se aplica el RGPD

🔸 ¿Si contactan conmigo directamente por email y sin formularios en la web?

Si en la web no tienes formularios para que los usuarios te envíen mensajes y solo pones tu email para que te manden un correo directamente, en ese caso no te haría faltar adaptar tu web al RGPD (ojo, si tampoco recoges datos personales de ninguna otra forma en la web con comentarios, cookies, etc.).

Pero SÍ tendrías que cumplir el RGPD cuidando los datos personales (nombre, email, etc.) de quien te mande un email. Y de hecho hay que informarle a esa persona de que efectivamente lo cumples cuando le respondas.

Lo que se suele hacer es añadir un texto en la firma de tus emails, y explicar ahí que cumples con el RGPD, para qué usarás sus datos, los derechos que tiene, un enlace a tu política de privacidad más detallada, etc.

👉 En estos kits legales (de los que soy afiliado) tienes plantillas RGPD también para los emails.

🔹 ¿Cómo puedo saber si mi web o blog cumple el RGPD?

Pues lo ideal sería que un experto en la RGPD analizara tu web para saber si la cumple, pero también hay formas más sencillas (y baratas) con las que puedes hacerte una idea de si una web o blog cumple el reglamento:

• Test gratuito de comprobación: te recomiendo este test de Marina Brocca, porque ella es la experta en RGPD que me ayudó a adaptar mi blog al RGPD. Con 10 preguntas que te hace puede indicarte si efectivamente cumples el reglamento o no. 👌
• Análisis gratuito de Cookiebot: otra forma es comprobar desde esta web de Cookiebot si por ejemplo tienes cookies de terceros que se instalan sin que el usuario las haya aceptado antes (una de las cosas donde fallan más webs). Ojo, el tema de las cookies es solo una parte del cumplimiento total del RGPD, pero es un comienzo para saber si lo cumples.

🔹 ¿Cómo cumplir el RGPD en una web o blog?

Pues esto depende de cada tipo de web o blog y sobre todo de la forma en la que esté recogiendo y usando los datos personales de los usuarios.

Resumiendo muy mucho, estas son algunas de las cosas más “generales” que hay que hacer, con ejemplos de mi blog:

Mi recomendación es que uses alguno de los kits legales (de los que soy afiliado) de la experta en RGPD que justamente me ayudó a mí a adaptar mi blog al reglamento (por eso la recomiendo, claro). 👌

Tiene kits según el tipo de web:

• si ofreces servicios online
• si se trata de un sitio con afiliación o publicidad
• para tiendas online
• si vendes infoproductos o cursos online

En fin, ahora mismo es de las mejores opciones que hay y de las más baratas. Por menos de 100€ te puedes evitar multas de miles de euros, así de sencillo. 🤷

🔹 ¿Qué plugins de WordPress usar para cumplir el RGPD?

Antes de nada decirte que los plugins por sí solos no hacen que cumplas el RGPD, pero sí que te ayudan mucho a que tu web lo cumpla. Por ejemplo, si un usuario te pide que elimines sus datos personales, por mucho plugin que tengas instalado tienes que ser tú quien se encarga de hacerlo. 🙂

Estos son algunos de los plugins que te pueden ayudar:

• Para aviso y control de cookies
  • GDPR Cookie Compliance: de los mejores y más completos para gestionar y bloquear las cookies de terceros hasta que el usuario las acepta.

  • CookieYes | GDPR Cookie Consent & Compliance Notice: otro de los más usados y también permite controlar y bloquear cookies de terceros.

  • Cookiebot | GDPR/CCPA Compliant Cookie Consent and Control: es el plugin oficial de Cookiebot, el sistema que yo uso en mi blog (aunque yo lo añado de otra forma sin el plugin).

• Para información y aceptación en formularios
  • Contact Form 7: es uno de los más famosos para crear formularios (le uso en mi blog) y trae ya opciones para añadir la información de la “primera capa” y la casilla para aceptar la política de privacidad. 👌

  • Contact Form 7 Database Addon – CFDB7: es una extensión muy buena para que guarde un registro de los mensajes enviados con los formularios creados con Contact Form 7.

  • Gravity Forms: otro de los plugins más famosos y completos para hacer formularios de todo tipo, y por supuesto también puedes adaptarlos al RGPD.

  • Contact Form by WPForms: un buen plugin también para crear formularios y con opciones para adaptarlo al reglamento.

• Plugins para temas de seguridad

  • WP Activity Log: es un plugin que va registrando todo lo que pasa en tu WordPress como inicios de sesión, si alguien ha editado un post, si lo ha publicado, si un usuario ha hecho cambios, etc. Muy recomendable si hay varios usuarios en un mismo WordPress.

  • iThemes Security: es un plugin que uso en mi blog también, y trae muchas opciones de seguridad para tu WordPress.

  • Duo Two-Factor Authentication: es un plugin de “verificación en 2 pasos” que uso en mi blog para que cada vez que entre al panel de control me pida confirmación con una app instalada en mi móvil. Hay más plugins del mismo estilo como el miniOrange’s Google Authenticator o el Wordfence Login Security.

🔹 ¿Qué hay que hacer si comparto los datos personales que tengo con un tercero?

Pues por un lado tienes que informar a los dueños de esos datos personales de lo que vas a hacer con sus datos, y eso significa explicarles también que vas a compartirlos con ese tercero, quién es, por qué, para qué, etc., y por supuesto que los contactos te den su consentimiento.

Se hace básicamente como lo explico en uno de los puntos de este apartado: añadir esa info y la casilla de aceptación en los formularios (por ejemplo).

Y por otro lado, tienes que asegurarte de que ese tercero efectivamente también cumple con el RGPD, porque si no lo hace, no puedes compartirle esos datos. Dentro de los kits legales que recomiendo hay también una plantilla para hacer un contrato de confidencialidad con tus colaboradores o terceros, y asegurarte así tu responsabilidad por esa parte.

* Por cierto, si ese tercero al que le compartes los datos a su vez los va a compartir con otra persona o empresa (lo que llaman una “cadena de subcontratación”), ésta también debe cumplir con el RGPD y a ti tiene que avisarte y pedirte tu consentimiento antes de hacerlo.

🔹 ¿No basta con un plugin de cookies para cumplir el RGPD?

No. El tema de las cookies es solo una parte para cumplir con el RGPD al completo. Podrías estar cumpliendo lo de las cookies y tener mal tu política de privacidad o los formularios web, por ejemplo.

👉 Échale un vistazo a este otro apartado sobre cómo cumplir el RGPD.

🔹 ¿Dónde conseguir plantillas de textos legales para el RGPD?

Personalmente recomiendo las plantillas RGPD que traen los kits legales de Marina Brocca, que es la experta en RGPD que me ayudó a adaptar mi blog al reglamento, y por eso soy afiliado de sus kits.

Hay 4 kits distintos a elegir según el tipo de web que tengas, y luego lleva una Guía con la que te va indicando lo que debes hacer (y cómo hacerlo) paso a paso según tu caso concreto, tiene todas las plantillas que necesitas, textos legales que puedes necesitar, etc. 👌

Es de lo mejorcito que hay (y de lo más barato). Como digo siempre, por menos de 100€ te evitas denuncias y multas de miles de euros.

🔹 ¿Puedo usar los mismos documentos legales para varias webs de la misma empresa?

Si las webs recogen datos personales para distintas cosas (quizá cada una envía emails comerciales para distintos productos, hablan de temas distintos, etc.) entonces los documentos legales (política de privacidad, aviso legal, etc.) tienen que ajustarse a cada web para informar al usuario y tener su consentimiento específico de cada web aunque sea la misma empresa.

Por eso hay que tener mucho cuidado con las plantillas gratuitas que se ofrecen en algunos sitios para usarlas en cualquier web, porque lo importante es la adaptación de esas plantillas a cada web.

🔹 ¿Dónde deben ir los textos legales?

Los textos de aviso legal, política de privacidad, política de cookies y términos de venta o contratación (este solo si lo necesitas) deberían ir en páginas distintas de tu web o quizá en la misma página pero muy bien diferenciados (que el usuario lo tenga claro).

Y los enlaces a estás páginas deberían ir en el footer o pie de tu página web o blog (al final del todo).

Para el resto de textos (los de información en formularios, el del aviso de cookies, la firma de los emails, etc.) mejor échale un vistazo a este otro apartado sobre cómo cumplir el RGPD porque ahí pongo ejemplos de dónde se ponen.

🔹 ¿Hay que informar y especificar qué cookies se usan?

Sí. Según el RGPD y el ePrivacy (otra ley europea más conocida como “la ley de cookies”) tu sitio web o blog tiene que informar sobre cada cookie que se usa. Sobre todo a la hora de pedir al usuario que las acepte o las rechace.

Según el aviso de cookies que uses puedes ser más o menos detallado, pero en cualquier caso lo mejor siempre es enlazar a la política de cookies para explicárselo mejor ahí al usuario.

– fuente: Sobre las cookies en RGPD y ePrivacy

– fuente: El RGPD y las cookies

🔹 ¿Cómo hacer que la RGPD no interfiera en tus métricas?

Con el nuevo Modo Consentimiento de Google (que está en fase beta o de “pruebas”) para adaptarse al RGPD, las cookies por ejemplo de Google Analytics y Google Ads recogen datos personales según el consentimiento que haya dado el usuario.

Es decir, que si activas esta nueva opción de Google, te instalará por ejemplo las cookies de Google Analytics pero solo recogerá datos personales si aceptas que lo haga. Si no lo aceptas, recogerá datos de estadísticas pero solo los que no te puedan identificar (para cumplir con el RGPD).

👀 Ojo con esto porque efectivamente puede ser un jaleo luego en los datos que veas en Google Analytics.

Cuando el usuario rechaza que recoja sus datos personales (como su IP), si por ejemplo ese usuario visita varias páginas de la misma web, Google Analytics contará que son usuarios distintos. 😲

🔹 ¿Cómo denunciar a quien incumple el RGPD?

1) Lo primero es saber quién es la Autoridad encargada de la Protección de Datos en tu país (puedes buscarla aquí), que por ejemplo en España es la AEPD.

2) Busca el formulario para enviar la reclamación. Por ejemplo, en la AEPD tienen este apartado para elegir el trámite o tipo de reclamación según lo que esté incumpliendo el sitio web.

Los trámites más comunes para temas de RGPD son:

• Canal prioritario de retirada de contenidos sensibles: para pedir la retirada de contenido sensible (sexual, violento, etc.).
• Publicidad y comunicación comercial: si por ejemplo te envían emails comerciales sin tu consentimiento y no te hacen caso al pedir que dejen de hacerlo.
• Publicación de datos en internet: si por ejemplo has pedido que quiten datos personales tuyos de alguna página web o red social y no te hacen caso.
• Otros: para el resto de casos.

3) Rellena el formulario siguiendo todos los pasos: con tus datos, los del sitio que denuncias, explica qué está incumpliendo, etc.

4) Por último, solo tienes que confirmar la reclamación, y te darán una especie de justificante con el número de referencia de tu reclamación (también podrás verlo desde el apartado “Mis trámites” si tienes certificado digital).

¿Y ahora qué? 🤷

Pues a partir de ahora la AEPD actúa en 2 fases:

Pues nada, espero que toda esta información te haya sido útil. 😊

Y si te ha quedado alguna duda sin resolver o tienes alguna más que no sale en esta página, puedes dejarla en los comentarios e intentaré resolvértela. 👇