Webs Conformes al RGPD en Países Bajos

En Países Bajos, las webs están sujetas al RGPD (AVG) y a la Ley de Telecomunicaciones. El regulador, la Autoriteit Persoonsgegevens, revisa webs de forma activa y puede imponer multas considerables. Para cualquier empresa que opere aquí, cumplir no es un extra.

La respuesta corta

Casi todo el riesgo en la web de una pyme viene de una sola cosa: scripts de analítica y marketing que colocan cookies antes de que el visitante acepte. Resuelve eso, publica políticas honestas, recoge solo los datos que de verdad necesitas, y habrás cubierto la mayor parte de tu exposición.

Este artículo es orientación práctica desde el punto de vista de un desarrollador, no asesoramiento jurídico. Para un caso concreto, consulta a un abogado.

La infracción más habitual

El error clásico es cargar Google Analytics, un píxel de Meta o un vídeo incrustado en cuanto se abre la página, y mostrar el aviso de cookies después. A esas alturas el seguimiento ya ha ocurrido, y un consentimiento obtenido a posteriori no es consentimiento.

El propio aviso suele estar mal también. Según las normas de la UE y las directrices de la propia AP, rechazar tiene que ser tan fácil como aceptar. Un «Aceptar todo» destacado junto a un «Gestionar preferencias» gris que esconde el rechazo tres clics más adentro no es consentimiento válido, y es el patrón de buena parte de las webs.

Si usas un aviso de consentimiento, debe cumplir unas condiciones: sin casillas premarcadas, rechazar tan fácil como aceptar, nada no esencial cargado antes de que se elija, y retirar el consentimiento tan fácil como darlo.

La vía limpia: ningún aviso

Hay una opción más sencilla de la que casi nadie oye hablar. La analítica respetuosa con la privacidad y sin cookies mide las visitas sin identificadores personales y sin guardar nada en el dispositivo del visitante. Como no se almacena nada que requiera consentimiento, legalmente no hace falta aviso.

Pierdes algo de profundidad: no hay perfiles entre sitios ni recorridos individuales. A cambio ganas: ningún aviso perjudicando tu conversión, un script externo pesado menos, una web más rápida y nada que puedas hacer mal. Para la inmensa mayoría de webs de empresa, saber qué páginas gustan, de dónde llegan los visitantes y qué hacen después es toda la analítica sobre la que alguien actúa de verdad.

Es el montaje que usamos y recomendamos por defecto.

Más allá de la analítica

Una web conforme es más que una decisión sobre el aviso:

Una política de privacidad que se corresponda con la realidad. Debe nombrar las herramientas que usas de verdad. Una plantilla que menciona servicios que no tienes, y omite los que sí, es peor que inútil: documenta tu propio incumplimiento.
Una política de cookies que enumere lo que realmente se guarda, qué hace cada cosa y cuánto dura.
Formularios que pidan solo lo necesario. Cada campo opcional es un dato que tienes que guardar, proteger, justificar y acabar borrando. Pregúntate por qué existe cada campo.
Un plazo de conservación declarado. «Guardamos los formularios de contacto 12 meses» es una política. «Para siempre, en una bandeja de entrada» es un riesgo.
HTTPS en todo el sitio. Innegociable, y gratis.
Un contrato de encargo con tus proveedores. Tu alojamiento, tu proveedor de correo y tu CRM tratan datos personales por cuenta tuya; el RGPD espera un contrato con cada uno.
Una vía para las solicitudes de datos. Las personas pueden preguntar qué tienes sobre ellas y pedir que lo borres. Necesitas una dirección que llegue a un humano y un plan para responder en un mes.

El contenido incrustado es la trampa que nadie espera

Un vídeo de YouTube incrustado, una fuente de Google cargada desde los servidores de Google, un mapa incrustado, un widget de redes sociales: cada uno contacta con un tercero y puede transferir la IP del visitante antes de que exista consentimiento alguno. Es exactamente el asunto que produjo multas en otros Estados miembros por fuentes cargadas en remoto.

Las soluciones no tienen ningún misterio. Aloja tú las tipografías. Usa el dominio de YouTube con privacidad mejorada o, mejor, carga el vídeo solo tras un clic. Sustituye el mapa incrustado por una imagen estática que enlace fuera. Ninguna cambia el aspecto de la página; todas eliminan una transferencia que no puedes justificar.

La ventaja comercial

Hay un motivo para hacer esto más allá de evitar multas. Los clientes neerlandeses valoran la transparencia, y «conforme al RGPD y accesible» es un argumento de venta real, no una casilla. Indica que te tomas los datos de tus visitantes tan en serio como los tuyos.

También hay un argumento de rendimiento. Cada script de seguimiento que quitas hace la web más rápida, y prescindir del aviso de cookies elimina un elemento enorme que bloquea justo lo primero que el visitante quería hacer. El trabajo de privacidad y el de rendimiento apuntan casi siempre en la misma dirección.

Una autoevaluación rápida

Abre tu web en una ventana privada con las DevTools en la pestaña Red. Antes de tocar nada, ¿con qué dominios externos contacta?
¿Algo coloca una cookie antes de que elijas?
¿«Rechazar» se encuentra tan fácilmente como «aceptar»?
¿Tu política de privacidad nombra todas las herramientas de esa lista de red?
¿Sabes cuánto tiempo guardas los formularios recibidos? ¿Alguien los borra de verdad?

Nosotros integramos la privacidad desde la primera línea de código: medición sin cookies, tipografías alojadas por nosotros, políticas honestas y recogida mínima de datos. Es lo correcto, y además resulta en una web mejor.