Índice
Checklist de cumplimiento del RGPD para sitios web alemanes
| ✅ Medida | Prioridad | Base jurídica | Indicación de implementación |
|---|---|---|---|
| Redactar una política de privacidad | 🔴 Alta | Art. 13, 14 RGPD | Enumerar de forma completa el responsable del tratamiento, los fines, el plazo de conservación, los destinatarios y los derechos de los interesados |
| Banner de cookies con opt-in | 🔴 Alta | Art. 6, apdo. 1, letra a) RGPD, ePrivacy | Consentimiento granular para las cookies de marketing, las esenciales siempre activas, bloquear las de terceros |
| Registro de actividades de tratamiento (RAT) | 🔴 Alta | Art. 30 RGPD | Documentar todos los tratamientos: formularios de contacto, registros, boletines, analítica |
| Completar el aviso legal (Impressum) | 🔴 Alta | § 5 TMG, art. 13 RGPD | Responsable del tratamiento con sus datos de contacto, designar en su caso un delegado de protección de datos |
| Activar el cifrado SSL | 🔴 Alta | Art. 32 RGPD (MTO) | HTTPS para todo el sitio web, mantener el certificado actualizado |
| Contratos de encargo de tratamiento (CET) | 🟠 Media | Art. 28 RGPD | Suscribirlos con el alojamiento, la herramienta de boletines y los proveedores de analítica |
| Sistema de gestión del consentimiento (CMS) | 🟠 Media | Art. 7 RGPD | Registrar los consentimientos, hacerlos revocables, conservarlos 14 meses |
| Implementar los derechos de los interesados | 🟠 Media | Art. 15-22 RGPD | Establecer procesos para el acceso, la supresión, la rectificación y la oposición |
| Implementar una política de supresión | 🟠 Media | Art. 17 RGPD | Definir plazos de supresión automáticos para registros, formularios y datos de boletines |
| Evaluación de impacto relativa a la protección de datos (EIPD) | 🟡 Baja | Art. 35 RGPD | Solo en tratamientos de alto riesgo (p. ej. elaboración de perfiles a gran escala, datos sensibles) |
| Formar al personal | 🟡 Baja | Art. 32 RGPD | Formaciones anuales sobre protección de datos, contraseñas seguras, protección frente al phishing |
| Asegurar una estrategia de copias de seguridad | 🟡 Baja | Art. 32 RGPD (disponibilidad) | Copias de seguridad cifradas, realizar una prueba de restauración cada trimestre |
La autoridad de protección de datos (DSB) en Viena controla con mayor severidad. Son posibles multas de hasta 20 millones de euros o el 4 % de la facturación. En mis formaciones lo veo: la mayoría de los operadores de sitios web tienen lagunas. Banners de cookies poco claros, CET ausentes, políticas de privacidad incompletas. Esta checklist le muestra lo que hay que hacer.
Quien tiene en cuenta la protección de datos desde el principio – Privacy by Design – se ahorra correcciones posteriores. Y se gana la confianza de los usuarios.
Las conclusiones más importantes
Privacy by Design como principio fundamental
Tratar únicamente los datos necesarios. Menos datos significa menos riesgo. Los sitios web austriacos se benefician de un menor riesgo de multas y una mayor fidelización de los usuarios.
Banner de cookies con opt-in obligatorio
Las cookies de seguimiento solo pueden cargarse tras un consentimiento activo. Sin casillas premarcadas. Esto protege frente a sanciones conformes a la jurisprudencia del TJUE.
Mantener completa la política de privacidad
Fines, bases jurídicas, destinatarios – todo debe constar en ella. Si falta algo, se expone a requerimientos.
Suscribir un CET con todos los prestadores
Alojamiento, analítica, fuentes – necesita un contrato de encargo de tratamiento con cada prestador. Para las transferencias a EE. UU., además SCCs.
Atender con rapidez los derechos de los interesados
Las solicitudes de supresión o de acceso deben responderse en un plazo de 30 días. Quien lo resuelve con prontitud evita la escalada a la DSB.
Por qué funciona este enfoque
Prevención en lugar de corrección. El cumplimiento del RGPD protege frente a multas y mejora la tasa de conversión gracias a la confianza de los usuarios.
ROI mediante la minimización de riesgos
1 a 2 días de trabajo para la checklist. Eso ahorra costes de requerimientos (hasta 50.000 euros según el TKG) y aumenta las tasas de conversión hasta en un 20 % gracias a la confianza.
A prueba de futuro en lugar de depender de un plugin
Los generadores genéricos de políticas de privacidad son arriesgados. Una adaptación individual a las plantillas de la WKO resiste también los cambios legales.
Comparación de los enfoques
| Enfoque | Ventajas | Desventajas |
|---|---|---|
| Esta checklist | Completa, específica para Austria, escalable | Requiere un esfuerzo inicial |
| Generadores gratuitos | Rápidos | Riesgo de requerimientos, imprecisos |
| Agencia | Conocimiento experto | Costes elevados (a partir de 2.000 euros) |
Guía paso a paso
Paso 1: analizar el sitio web
Compruebe qué datos recopila su sitio web. Abra la página en modo incógnito. Utilice uMatrix o Ghostery para encontrar rastreadores. Google Fonts, Analytics, Facebook Pixel – enumérelo todo.
- Esto constituye la base de su registro de actividades de tratamiento.
Paso 2: redactar una política de privacidad
Utilice las plantillas de la WKO como punto de partida. Adapte: responsable del tratamiento, fines, derechos, plazos de conservación. Enlácela en el pie de página.
- Cubrir íntegramente el art. 13 RGPD.
- Insertar los datos de contacto y el DSB (si lo hubiera).
Paso 3: configurar un banner de cookies
Instale un plugin CMP como Complianz o Consent Manager. Sin casillas premarcadas. Cargar los scripts de terceros solo tras el consentimiento.
- Esenciales: interés legítimo. Marketing: solo con consentimiento.
- Probar: ningún script de seguimiento antes del banner.
Paso 4: comprobar los CET y el SSL
Descargue las plantillas de CET de la WKO. Suscriba contratos con todos los prestadores (alojamiento, Google, herramienta de boletines). Active HTTPS mediante Let’s Encrypt.
- En las transferencias a EE. UU.: comprobar los SCCs.
Paso 5: documentar los procesos
Cree el registro de actividades de tratamiento en Excel. Defina un flujo de trabajo para las solicitudes de los interesados. Forme a su equipo en 30 minutos.
Preguntas frecuentes (FAQ)
¿Necesito un delegado de protección de datos (DSB)?
Solo en caso de supervisión sistemática o datos sensibles (art. 37 RGPD). Para los sitios web estándar basta con una autoevaluación.
¿Qué cookies están permitidas sin consentimiento?
Solo las cookies técnicas, p. ej. las cookies de sesión para el carrito (§ 165 TKG). Google Analytics requiere opt-in.
¿Qué hacer con herramientas estadounidenses como Google Analytics?
Suscribir un CET y SCCs. Anonimizar la IP. O cambiar a alternativas alojadas en la UE.
¿Con qué frecuencia debo actualizar la checklist?
Anualmente o cuando haya cambios. ¿Un plugin nuevo? Comprobar de inmediato.
¿Cuánto cuesta el incumplimiento?
Hasta 20 millones de euros (RGPD) más 50.000 euros (TKG). La prevención cuesta una fracción de eso.
¿Ayuda WordPress en esto?
Sí. Plugins como Complianz cubren la parte técnica. La parte jurídica debe adaptarla usted mismo.
Preguntas frecuentes
¿Qué requisitos del RGPD se aplican a los sitios web austriacos?
Los sitios web austriacos están sujetos al RGPD de la UE y al DSG austriaco (Ley de protección de datos). El aviso legal, la política de privacidad, el banner de cookies con opt-in y los CET son obligatorios.
¿Hay diferencias con la implementación alemana del RGPD?
El RGPD de la UE se aplica por igual. Austria cuenta con sus propios complementos en el DSG. La autoridad de protección de datos en Viena es competente.
¿Qué herramienta de consentimiento de cookies es recomendable para los sitios web austriacos?
Borlabs Cookie, Complianz o CookieYes. Todas ofrecen soluciones conformes al RGPD y al DSG, con opt-in y categorización de cookies.