Checklist real de RGPD para la web de una pyme: más allá del banner de cookies

Un banner de cookies cuesta 40 euros al mes en un plugin y se instala en diez minutos. Por eso tantas pymes lo confunden con "ya cumplo RGPD". No es así. El banner regula un consentimiento muy concreto — el de las cookies no esenciales — y deja fuera el resto del reglamento: la base legal de tus formularios, qué le pasa al email que te manda un cliente, cuánto tiempo guardas un lead que nunca contestó, o si tu hosting está en Virginia en lugar de en Ámsterdam. Ahí es donde de verdad se juega una inspección de la AEPD.

1. La base legal de tu formulario de contacto no es opcional

Cada vez que alguien rellena un formulario en tu web, estás tratando datos personales, y el RGPD exige que ese tratamiento tenga una base legal de las seis que recoge el artículo 6. En la práctica, para una pyme casi siempre son dos:

Consentimiento (art. 6.1.a): la persona ha marcado una casilla — sin premarcar — aceptando expresamente que la contactes. Es la base para newsletters y para cualquier uso comercial posterior de ese contacto.

Interés legítimo o ejecución precontractual (art. 6.1.b/f): si alguien pide presupuesto, tienes base legal para responder a esa petición concreta sin checkbox adicional, porque es lo que la propia persona ha solicitado. Lo que no puedes hacer es usar ese email después para apuntarla a tu newsletter sin consentimiento separado.

2. Qué debe decir un aviso de privacidad que no sea papel mojado

La mayoría de avisos de privacidad de pymes son una plantilla genérica copiada de otra web, con el nombre de la empresa cambiado. El problema es que el RGPD exige que el aviso sea específico: qué datos recoges exactamente, con qué finalidad exacta, durante cuánto tiempo, y a quién se los cedes. Un aviso genérico no protege ante una reclamación — de hecho, es una prueba en tu contra, porque demuestra que no se hizo el ejercicio de análisis.

Un aviso correcto para el formulario de contacto de una pyme típica incluye, como mínimo:

• →Identidad y CIF del responsable del tratamiento (tu empresa), no solo un nombre comercial.
• →Finalidad concreta: "responder a tu solicitud de presupuesto", no "gestionar la relación con el cliente".
• →Plazo de conservación real (ver punto 4), no "el tiempo necesario".
• →Listado de encargados de tratamiento reales: tu hosting, tu proveedor de email marketing, tu CRM — con nombre, no como categoría abstracta.
• →Cómo ejercer los derechos ARCO-POL (acceso, rectificación, supresión, oposición, portabilidad, limitación) con un email o formulario real que alguien revise.

3. Dónde acaban realmente los datos de tu formulario

Aquí está el punto que casi nadie revisa: qué hace tu servidor con los datos una vez enviados. En muchísimas webs de pyme, el formulario de contacto sigue funcionando con un simple mail() de PHP que manda el contenido a una bandeja de Gmail sin cifrar en tránsito de forma garantizada, sin registro de accesos, y sin que nadie sepa cuántas copias de ese email existen entre el buzón principal y los reenvíos a compañeros.

Eso no es ilegal por sí mismo, pero es una decisión de diseño con implicaciones: si ese buzón se ve comprometido — un phishing exitoso contra un empleado, por ejemplo — los datos de todos los leads históricos quedan expuestos de golpe, y tienes obligación de notificarlo a la AEPD en 72 horas si hay riesgo para los afectados (art. 33 RGPD). Guardar los leads en un CRM con control de acceso, registro de auditoría y cifrado en reposo no es un lujo: es la diferencia entre una brecha limitada y una brecha que afecta a cinco años de contactos.

4. Retención: el lead que nunca contestó no puede vivir para siempre en tu Excel

Esto sorprende a casi todas las pymes con las que hablamos: guardar datos de contacto indefinidamente porque "nunca se sabe" es en sí mismo una infracción del principio de limitación del plazo de conservación (art. 5.1.e RGPD). Si alguien pidió presupuesto en 2021 y nunca respondió a tu seguimiento, ese dato no tiene ya finalidad legítima que lo sostenga.

5. Encargados de tratamiento fuera de la UE: la cláusula que nadie firma

Si tu hosting está en EE.UU., tu CRM es una herramienta americana, o tu proveedor de email transaccional procesa datos fuera del Espacio Económico Europeo, necesitas algo más que confiar en que "son grandes y seguro que cumplen". El RGPD exige Cláusulas Contractuales Tipo (SCC) de la Comisión Europea firmadas con ese proveedor, o que el proveedor esté certificado bajo el marco de adecuación vigente (el Data Privacy Framework UE-EEUU sustituyó al Privacy Shield, invalidado en 2020).

En la práctica, para una pyme esto se traduce en dos preguntas concretas antes de contratar cualquier herramienta: ¿dónde están físicamente los servidores donde se guardan mis datos? y ¿el proveedor ofrece un Data Processing Agreement (DPA) firmable, con SCC incluidas, o solo unos términos de servicio genéricos? Si la respuesta a la segunda es "no hay DPA", ese proveedor es un riesgo de cumplimiento, no solo una decisión técnica.

6. Qué exige realmente la AEPD ante una denuncia (no el titular de prensa)

Los titulares hablan de multas de 20 millones o el 4% de la facturación global — son los techos del artículo 83 RGPD para infracciones muy graves de grandes corporaciones. La realidad para una pyme española que recibe una reclamación de un particular es otra, y conviene conocerla para no sobredimensionar el miedo ni infravalorarlo.

Eso no es una invitación a relajarse. Es la explicación de por qué merece la pena arreglar lo básico — base legal clara, aviso de privacidad específico, plazos de retención definidos, DPA con tus proveedores — antes de que llegue la primera reclamación, porque el coste de hacerlo bien de partida es una fracción del tiempo y el estrés de responder a un procedimiento sancionador.