En 2025 la Agencia Española de Protección de Datos (AEPD) ha intensificado su actividad sancionadora un 34% respecto al año anterior. Ya no se trata de grandes corporaciones: pymes y autónomos con presencia online están recibiendo requerimientos y multas por incumplimientos que llevan años en sus webs sin que nadie los haya corregido. Este artículo detalla los cinco cambios más críticos que debes revisar hoy.
ATENCIÓN: Una web sin política de privacidad actualizada, sin banner de cookies conforme o sin registro de tratamientos puede suponer multas de hasta 20.000.000€ o el 4% de la facturación anual global según el artículo 83 del RGPD.
01. BANNER DE COOKIES — el problema que casi nadie tiene bien
El error más frecuente que encontramos auditando webs es el banner de cookies. La mayoría de los sitios tienen un banner, pero no uno conforme. Los requisitos que la AEPD exige y que se incumplen sistemáticamente son:
- El botón "Rechazar" debe ser igual de prominente que el de "Aceptar"
- No se pueden instalar cookies no esenciales antes de obtener el consentimiento
- El usuario debe poder retirar el consentimiento con la misma facilidad con que lo dio
- El banner no puede oscurecer el contenido de la web para forzar la aceptación
- Las cookies de analytics (Google Analytics, etc.) requieren consentimiento explícito
Un banner que dice "Usamos cookies para mejorar tu experiencia. Aceptar / Más info" incumple la normativa en varios puntos. Si el tuyo se parece a eso, necesita una revisión urgente.
02. POLÍTICA DE PRIVACIDAD — actualizada con los nuevos requisitos
La política de privacidad no es un documento estático que se escribe una vez y se olvida. Debe reflejar en todo momento qué datos recopilas, con qué base legal, durante cuánto tiempo, con quién los compartes y cómo puede el usuario ejercer sus derechos.
En 2025 hay nuevas obligaciones derivadas de la aplicación de la Directiva NIS2 y de las guías actualizadas del Comité Europeo de Protección de Datos (CEPD) que afectan especialmente a:
- Webs con formularios de contacto o captación de leads
- Tiendas online (e-commerce)
- Webs que integran herramientas de terceros (chatbots, mapas, vídeos embebidos)
- Cualquier web que use Google Analytics 4 u otras plataformas de medición
03. TRANSFERENCIAS INTERNACIONALES — el impacto del Data Privacy Framework
El Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework), adoptado en 2023 y consolidado en 2024, simplifica las transferencias de datos a empresas certificadas en EE.UU. Sin embargo, no elimina la obligación de informar sobre estas transferencias en tu política de privacidad.
"Si usas herramientas como Google Analytics, HubSpot, Mailchimp o cualquier SaaS americano, estás realizando transferencias internacionales de datos de tus usuarios. Tienes que documentarlo."
04. REGISTRO DE ACTIVIDADES DE TRATAMIENTO — obligatorio para todos
El artículo 30 del RGPD obliga a mantener un registro interno de todas las actividades de tratamiento de datos. Muchas pymes desconocen esta obligación porque el reglamento incluye una excepción para empresas con menos de 250 trabajadores, pero esa excepción no aplica cuando el tratamiento puede entrañar riesgos para los derechos de las personas, lo que incluye prácticamente cualquier web con formularios o analytics.
- Qué datos tratas y con qué finalidad
- Quiénes son los responsables y encargados del tratamiento
- Con qué países o terceros compartes los datos
- Plazos de conservación de cada categoría de datos
- Medidas de seguridad aplicadas
05. FORMULARIOS Y CONSENTIMIENTO — doble opt-in y evidencia
Cada formulario de tu web que recoja datos personales debe tener una casilla de consentimiento explícito y no premarcada. Además, debes poder demostrar que obtuviste ese consentimiento: fecha, IP, versión del texto aceptado. Esto requiere implementación técnica, no basta con añadir un checkbox.
Para el envío de comunicaciones comerciales, el doble opt-in (confirmación por email) ya no es solo una buena práctica: es la forma más segura de demostrar el consentimiento ante una inspección.
Conclusión: ¿POR DÓNDE EMPEZAR?
El cumplimiento RGPD no es un trámite burocrático. Es un proceso continuo que requiere auditoría periódica, actualización de textos legales y ajustes técnicos en la web. Lo más urgente: revisar el banner de cookies y la política de privacidad. Lo más ignorado: el registro de actividades de tratamiento.
En DH Technology ofrecemos auditorías completas de cumplimiento RGPD para webs de todos los tamaños. Identificamos los incumplimientos, priorizamos por riesgo y los resolvemos. Sin tecnicismos innecesarios, con documentación incluida.