Política de privacidad y RGPD: qué debe incluir (2026)

La respuesta corta: la política de privacidad explica qué datos recoges, para qué, con qué base legal y qué derechos tiene la persona. El RGPD (su artículo 13) obliga a informar de una lista concreta de cosas cuando pides datos, y no vale una plantilla genérica: tiene que reflejar lo que de verdad haces. El mayor error es creer que todo se trata con "consentimiento": la base jurídica casi nunca es solo esa, y confundirlo es lo que más gente hace mal. Aquí tienes qué información es obligatoria, qué bases legales existen y cuál te toca, y los derechos que tienes que respetar a tus clientes.

Un aviso: esto es información de un emprendedor a otro, no asesoramiento legal. La protección de datos tiene matices según lo que trates, así que para tu caso concreto confírmalo con un profesional.

¿Qué es la política de privacidad y quién la necesita?

Es el texto que cumple con el RGPD (europeo) y la LOPDGDD (española), y es distinto del aviso legal: el aviso legal dice quién eres, la política de privacidad dice qué haces con los datos. La necesita cualquier web que recoja datos personales, y recoges datos con casi cualquier cosa: un formulario de contacto, el registro de un cliente, una newsletter, los pedidos de tu tienda o incluso las cookies de análisis.

Forma parte de tus textos legales, y es de los que más se copia mal, porque cada negocio trata datos distintos y por motivos distintos.

¿Qué debe incluir la política de privacidad?

El artículo 13 del RGPD fija la información que tienes que dar cuando recoges los datos. En tu política debe aparecer:

• Quién es el responsable: tú (con tus datos identificativos) y, si tienes, el delegado de protección de datos.
• Para qué usas los datos (las finalidades): gestionar pedidos, enviar la newsletter, responder consultas, etc.
• Con qué base jurídica tratas cada finalidad (ahora lo vemos, porque es la parte clave).
• A quién se los cedes o quién los trata por ti: los destinatarios y los encargados (tu hosting, tu herramienta de email, la pasarela de pago).
• Si hay transferencias internacionales de datos (por ejemplo, a un proveedor de fuera de la UE) y con qué garantías.
• Cuánto tiempo los conservas (el plazo de conservación).
• Qué derechos tiene la persona y cómo ejercerlos, incluido el de reclamar ante la Agencia Española de Protección de Datos.

Ese "cuéntalo de verdad" es literal: si dices que solo usas los datos para el pedido pero luego mandas publicidad, tu política no cumple.

Las bases jurídicas: no todo es "consentimiento"

El error más repetido es pensar que todo tratamiento necesita el consentimiento del cliente. No es así: el RGPD tiene varias bases jurídicas, y cada finalidad se apoya en la que le corresponde. Las que más te van a tocar en una tienda:

• Ejecución de un contrato: para procesar y enviar un pedido no necesitas "consentimiento", porque tratas los datos para cumplir el contrato de compra. Es la base de todo lo necesario para servir lo que te compran.
• Obligación legal: guardar las facturas y los datos fiscales lo haces porque la ley te obliga, como parte de tu facturación. Ahí la base es la obligación legal, no el consentimiento.
• Consentimiento: para lo que no es necesario para la venta, como mandar una newsletter o publicidad, sí necesitas un consentimiento libre y específico (una casilla que el cliente marca, sin premarcar). Cómo hacer ese email marketing cumpliendo la ley (y lo mismo por WhatsApp) tiene además reglas propias de la LSSI.
• Interés legítimo: algunos usos, como prevenir el fraude o mejorar tu web, pueden ampararse en tu interés legítimo, siempre que no pese más el derecho de la persona (hay que ponderarlo).

La consecuencia práctica: no metas todo en el mismo saco del "consentimiento". Separar bien la base de cada finalidad es lo que hace que tu política sea correcta y no un formulario copiado.

Los derechos de tus clientes (y cómo responderlos)

El RGPD da a la persona una serie de derechos sobre sus datos, y tú tienes que poder atenderlos. Son estos:

• Acceso: saber qué datos tienes suyos.
• Rectificación: corregir los que estén mal.
• Supresión ("derecho al olvido"): que los borres cuando proceda.
• Oposición: que dejes de tratarlos para algo (típico, la publicidad).
• Limitación: que los "congeles" en ciertos casos.
• Portabilidad: llevarse sus datos a otro proveedor.

Tienes que ponérselo fácil (un email de contacto para ejercerlos vale) y responder por regla general en un mes. Ignorar una solicitud de estas es de las cosas que acaban en reclamación ante la AEPD.

Tus proveedores también cuentan: los encargados del tratamiento

Cuando usas herramientas que tratan datos de tus clientes por ti (el hosting, la plataforma de email marketing, la pasarela de pago), esas empresas son encargados del tratamiento, y se olvidan más de lo que parece. Con ellas necesitas un contrato de encargo (que las serias ya te ofrecen firmado dentro de sus condiciones) y tienes que mencionarlas, por categorías, en tu política.

Y ojo si el proveedor está fuera de la UE (muchas herramientas son de Estados Unidos): ahí hay una transferencia internacional de datos, que necesita garantías concretas y debe informarse. No es que no puedas usarlas, es que tienes que reflejarlo.

Qué pasa si falta o está mal: las sanciones

No tener política de privacidad, o no informar como manda el artículo 13, incumple el deber de información del RGPD. Suele tratarse como una infracción leve, con multas que pueden llegar a los 40.000 €, aunque las infracciones más graves del RGPD (tratar datos sin base o una brecha mal gestionada) escalan mucho más. Como con el resto, el riesgo real no es una multa millonaria por un texto, sino ir acumulando incumplimientos; y se evita con una política que diga la verdad de lo que haces.

La política de privacidad, en resumen

Una buena política de privacidad informa de lo que pide el artículo 13 (responsable, finalidades, base jurídica, destinatarios, conservación, derechos y reclamación ante la AEPD) y, sobre todo, refleja lo que de verdad haces con los datos. La clave es la base jurídica: el pedido va por contrato, la facturación por obligación legal, la newsletter por consentimiento. Respeta los derechos de tus clientes, menciona a tus proveedores como encargados y no la copies de otra web, porque los tratamientos son los tuyos. Es una pieza más del cumplimiento, junto al aviso legal y el banner de cookies.

Preguntas frecuentes

¿Qué debe incluir la política de privacidad?

La información del artículo 13 del RGPD: quién es el responsable, para qué usas los datos, con qué base jurídica, a quién se los cedes o quién los trata por ti, si hay transferencias internacionales, cuánto los conservas y qué derechos tiene la persona, incluido reclamar ante la AEPD. Y tiene que reflejar tus tratamientos reales, no una plantilla.

¿Necesito el consentimiento del cliente para todo?

No. El RGPD tiene varias bases jurídicas: procesar un pedido se ampara en la ejecución del contrato, guardar facturas en una obligación legal, y solo lo que no es necesario para la venta (como la newsletter o la publicidad) necesita consentimiento. Confundir esto es el error más común.

¿Qué derechos tienen mis clientes sobre sus datos?

Acceso, rectificación, supresión (olvido), oposición, limitación y portabilidad. Debes facilitar un medio para ejercerlos (un email vale) y responder por regla general en el plazo de un mes. También tienen derecho a reclamar ante la Agencia Española de Protección de Datos.

¿Qué multa hay por no tener política de privacidad?

Incumplir el deber de información del RGPD suele ser una infracción leve, con sanciones que pueden llegar a unos 40.000 €. Las infracciones graves (tratar datos sin base legal, una brecha mal gestionada) alcanzan importes mucho mayores. Tener una política correcta y veraz evita ese riesgo.