Para cumplir con la normativa, una web WordPress de una empresa española necesita tres cosas: un aviso legal con los datos del titular, una política de privacidad que explique qué haces con los datos que recoges, y un banner de cookies que bloquee las que requieren permiso hasta que el visitante acepte. Los formularios, además, deben informar de para qué se usan los datos.
Te lo explico sin jerga y con los puntos que más se incumplen. Una aclaración antes de seguir: soy especialista en WordPress, no abogado. Esto es una guía práctica para que sepas qué revisar, no asesoramiento jurídico. Para la redacción final de tus textos legales, consúltalo con tu gestoría o con un abogado.
Los tres documentos que debe tener tu web
| Documento | Para qué sirve | Dónde debe estar |
|---|---|---|
| Aviso legal | Identificar al titular de la web | Enlace visible en el pie de todas las páginas |
| Política de privacidad | Explicar qué datos recoges, para qué y cómo ejercer los derechos | Enlazada en el pie y junto a cada formulario |
| Política de cookies | Explicar qué cookies usa tu web y para qué | Enlazada desde el banner de cookies y desde el pie |
Aviso legal: los datos del titular
La Ley de Servicios de la Sociedad de la Información (LSSI) obliga a que quien tiene una web con actividad económica facilite de forma permanente, fácil, directa y gratuita determinada información. Según su artículo 10 (texto en el BOE), incluye:
- Nombre o denominación social, domicilio, correo electrónico y otro medio de contacto directo.
- Datos del registro mercantil, si estás inscrito.
- Tu NIF.
- Si muestras precios, si incluyen impuestos y los gastos de envío.
- Si ejerces una profesión regulada, el colegio profesional y tu número de colegiado.
Es el documento más sencillo, y aun así es habitual encontrarlo con datos de otra empresa porque se copió de otra web sin revisar.
Política de privacidad y formularios
Cada vez que alguien te escribe por el formulario de contacto, te pide presupuesto o se suscribe a algo, estás recogiendo datos personales. El RGPD exige informarle de quién los trata, para qué, durante cuánto tiempo, a quién se comunican y cómo ejercer sus derechos. La AEPD recoge esa obligación de información, junto con la de cookies, en su guía sobre el uso de cookies.
En la práctica, esto se resuelve con una política de privacidad completa y un aviso breve junto al botón de enviar del formulario, con un enlace a ella. Muchas webs añaden además una casilla de aceptación. Si la pones, que no esté premarcada.
Revisa también las herramientas que reciben esos datos: el plugin de formularios, el correo desde el que se envían las notificaciones, tu CRM o el servicio de newsletter. Cuantas más herramientas, más cosas que declarar en la política.
Cookies: lo que dice la AEPD
La LSSI, en su artículo 22.2, permite guardar o leer datos en el dispositivo del visitante solo si ha dado su consentimiento tras recibir información clara y completa. Se exceptúan las cookies estrictamente necesarias para prestar un servicio que el usuario ha pedido (BOE). La AEPD concreta cómo aplicarlo en su guía, actualizada en julio de 2023 (guía):
- Rechazar debe ser tan fácil como aceptar. Si aceptar es un botón, rechazar también tiene que serlo, al mismo nivel y con la misma visibilidad.
- Seguir navegando no vale como consentimiento. Tampoco la inactividad.
- Nada de casillas premarcadas a favor de aceptar.
- Las cookies analíticas no están exentas. La guía reconoce que su riesgo es bajo en determinadas condiciones, pero no las exime de consentimiento.
- Los muros de cookies que impiden entrar a quien rechaza solo se admiten si ofreces una alternativa equivalente.
- El consentimiento no debe durar eternamente. La AEPD considera buena práctica que no supere los 24 meses.
Cómo se aplica en WordPress
WordPress de serie no incluye un banner de cookies que cumpla. Necesitas un plugin de gestión de consentimiento, y lo importante no es el diseño del banner, sino que bloquee de verdad los scripts hasta que el visitante acepte.
- Haz un inventario de lo que carga tu web: analítica, píxeles de publicidad, vídeos incrustados, mapas, chat, reCAPTCHA.
- Clasifica cada cosa como necesaria (no pide permiso) o no necesaria (sí lo pide).
- Configura el gestor para que bloquee las no necesarias hasta que haya aceptación.
- Rellena la política de cookies con la lista real de cookies, sus finalidades y su duración.
Si mides con Google Analytics, el banner debe controlar también esa etiqueta. Lo explico en la guía de Google Analytics y Tag Manager en WordPress.
Como gestor de cookies, el plugin que suelo instalar es Complianz (GDPR/CCPA Cookie Consent Banner). Sea cual sea el que elijas, lo importante es que esté bien configurado y que bloquee de verdad lo que no es necesario hasta que el visitante acepte.
Cómo comprobar si tu web cumple
Hay una comprobación sencilla que puedes hacer tú: abre tu web en una ventana de incógnito, no aceptes nada y mira las cookies guardadas desde las herramientas de desarrollo de tu navegador (en Chrome, pestaña Aplicación, apartado Cookies). Si ya aparecen cookies de analítica o publicidad antes de aceptar, el banner no está bloqueando lo que debería.
Repite la prueba después de aceptar y de rechazar, y comprueba que el banner permite cambiar la decisión más adelante con un enlace visible.
Errores habituales
- Banner decorativo. Existe, pero las cookies se instalan igualmente antes de aceptar.
- Botón de rechazar escondido en un segundo nivel o con un color casi invisible.
- Textos legales copiados de otra empresa, con datos que no son los tuyos.
- Política de cookies desactualizada. Se cambió de herramienta de analítica y nadie tocó el texto.
- Formularios sin información sobre el tratamiento de datos.
- Hosting y herramientas sin revisar. Quien te presta servicios y toca datos de tus clientes también cuenta. De eso hablo en la guía de dominio y hosting.
Lo que más me encuentro mal en las webs que me llegan es que directamente no tienen textos legales, o que los han copiado de otra web y mantienen los datos y los enlaces de la web de origen. Cuando el cliente no tiene gestoría ni abogado, los textos los reviso con el dueño del negocio o con su gestor, que son quienes conocen los datos reales de la empresa.
Los textos legales son una parte más del trabajo de lanzamiento de una web. Si estás empezando, la guía para crear la web de tu empresa con WordPress te muestra el orden en que lo hago. Y si tu web va a estar en varios idiomas, ten en cuenta que los textos legales también hay que ofrecerlos en cada idioma, como cuento en WordPress en varios idiomas.
¿Prefieres que te la haga yo?
Diseño webs WordPress para pymes: rápidas, claras y listas para Google, con mantenimiento incluido. Desde 75 €/mes, con precio cerrado antes de empezar.
Preguntas frecuentes sobre cookies y RGPD en WordPress
Es obligatorio si tu web usa cookies que no son estrictamente necesarias, como las de analítica o publicidad. En ese caso necesitas informar y pedir consentimiento antes de instalarlas. Si solo usas cookies técnicas imprescindibles, no hace falta pedirlo.
La LSSI exige facilitar determinados datos a quien ofrece servicios con actividad económica a través de una web. Si tu web promociona tu negocio, es lo habitual incluir un aviso legal con tus datos identificativos.
No es recomendable. Cada negocio trata datos distintos, con herramientas distintas y finalidades distintas. Un texto copiado suele contener datos erróneos o declarar cosas que no haces. En las webs que me llegan es habitual encontrar textos copiados que siguen mostrando los datos y los enlaces de la web original.
Según la guía de la AEPD, las cookies analíticas no están exentas de consentimiento. Por tanto, la etiqueta de Analytics debería cargarse solo después de que el visitante acepte.
¿Prefieres que me ocupe yo?Diseño, mantengo y arreglo webs WordPress para pymes, con todos los precios publicados y un presupuesto cerrado antes de empezar.
Ver servicios
