Los errores RGPD en una web no suelen estar en una única página legal; aparecen cuando formularios, cookies y herramientas funcionan de una forma distinta a la documentada.
Por eso la revisión útil combina contenido visible, configuración técnica y flujo posterior de los datos.
Qué intención de búsqueda hay detrás
La intención es de resolución de problema: el usuario tiene una web activa y quiere detectar fallos concretos antes de seguir captando datos.
1. Formularios con campos innecesarios
Pedir más datos de los necesarios aumenta exposición y trabajo futuro.
Revisa cada campo según la finalidad y elimina lo que no cambie la respuesta o ejecución.
Un formulario de contacto no necesita necesariamente los mismos datos que un alta contractual.
2. Casillas premarcadas
Cuando el consentimiento sea la base, la configuración debe permitir una elección válida y verificable.
No conviertas una opción de marketing en aceptación automática.
Comprueba también qué registra el sistema cuando el usuario acepta o rechaza.
3. Una sola casilla para todo
Contacto, newsletter y comunicaciones comerciales pueden responder a finalidades distintas.
Agruparlas impide distinguir qué acepta realmente la persona.
Separa finalidades cuando corresponda y evita textos ambiguos.
4. Política que no coincide con las herramientas reales
Si usas CRM, email marketing, chat, reservas o analítica, revisa si la información refleja el flujo real.
Copiar un texto antiguo deja huecos cuando el stack cambia.
Mantén un inventario de proveedores y fecha de revisión.
5. Banner de cookies decorativo
Un botón de rechazo no sirve si las etiquetas siguen cargando igual.
Prueba estados de aceptación y rechazo con herramientas del navegador.
La configuración técnica debe corresponder con la decisión visible.
6. Analytics o píxeles duplicados
Plugins, tema y Google Tag Manager pueden cargar la misma tecnología varias veces.
Además de distorsionar la medición, esto complica el mapa de tratamientos.
Inventaría todas las fuentes de etiquetas antes de corregir.
7. Newsletter sin trazabilidad
Debes poder entender cómo entró el contacto y gestionar la baja.
Importar listas antiguas puede romper esa trazabilidad.
Documenta origen, fecha y estado cuando corresponda.
8. Enlaces públicos a archivos
Drive u otras nubes pueden exponer documentos si el enlace es demasiado abierto.
Revisa permisos de carpetas, formularios que permiten subir archivos y colaboraciones antiguas.
Minimiza acceso y caducidad cuando el caso lo permita.
9. Leads guardados indefinidamente
No todo contacto necesita conservarse para siempre.
Define criterios de revisión y supresión según finalidad y obligaciones aplicables.
El CRM no debería convertirse en un archivo eterno sin reglas.
10. Proveedores no inventariados
Widgets, formularios, chat y herramientas de automatización pueden enviar datos a terceros.
Cada cambio de web puede añadir un proveedor nuevo.
Incluye privacidad en la checklist de despliegue.
11. Formularios sin prueba real
Comprueba qué correo, base, CRM o automatización recibe los datos.
Un formulario puede duplicar información o enviarla a cuentas antiguas sin que se note desde la interfaz.
Haz pruebas periódicas de principio a fin.
12. No existir un procedimiento de incidencia
Si se envía una lista al destinatario equivocado o una cuenta queda comprometida, necesitas saber quién actúa.
La respuesta no empieza buscando una plantilla.
Prepara contactos, cronología y un procedimiento mínimo.
Cómo convertir la teoría en un sistema real
Empieza por inventariar procesos y herramientas: formularios, correo, CRM, facturación, newsletter, nube, reservas y colaboradores. Para cada tratamiento documenta finalidad, categorías de datos, personas afectadas, destinatarios, conservación y controles principales.
Después prioriza por riesgo e impacto. No todos los datos ni tratamientos requieren el mismo nivel de atención. Una lista de correo sencilla, una base de pacientes o un sistema con documentación identificativa no generan el mismo riesgo.
Finalmente crea una rutina: revisión de proveedores, accesos, formularios, plazos de conservación, textos y nuevas herramientas.
Caso práctico
Una web parece correcta: tiene privacidad, cookies y checkbox.
Al probar el rechazo se descubre que Analytics y Meta siguen cargando, y el formulario envía además una copia a un buzón antiguo.
La auditoría corrige configuración y actualiza la documentación para que coincida con el proceso real.
Errores frecuentes
- Revisar solo textos.
- No probar cookies.
- Dejar proveedores antiguos.
- Guardar leads indefinidamente.
- No revisar permisos de archivos.
Curso relacionado
Para trabajar el proceso completo, consulta RGPD y protección de datos para autónomos: web, clientes, proveedores y brechas.
Si la captación comercial pasa a un CRM, Aira CRM puede formar parte del mapa de sistemas que conviene documentar. Si después los datos pasan a gestión y facturación, Clientum puede ser otra pieza del flujo. Para revisar la implementación completa, BlackHold Consulting puede acompañar el proyecto.
Recursos relacionados en Academy
- Formularios web y leads
- Cookies, analítica y terceros
- Política de privacidad real
- Evaluar proveedores digitales
- Conservación y borrado
- Brechas de datos
Fuentes oficiales
La AEPD publica guías y herramientas para organizaciones y profesionales, incluidas orientaciones específicas para pymes y herramientas de ayuda al cumplimiento. Para tratamientos complejos o de riesgo elevado, revisa la situación concreta con fuentes oficiales y asesoramiento especializado.
Preguntas frecuentes
¿Necesito una política de cookies?
Depende de las tecnologías utilizadas y de cómo funcionen en la práctica; revisa el caso real y la orientación de la AEPD.
¿Puedo usar Analytics?
Debe configurarse dentro del marco aplicable y respetar las decisiones de consentimiento cuando correspondan.
¿Hace falta checkbox en contacto?
La base y la información deben analizarse según la finalidad; no toda interacción se resuelve con la misma casilla.
¿Cada plugin cuenta como proveedor?
No necesariamente en el mismo sentido, pero cualquier herramienta que procese o transmita datos debe analizarse.
¿Con qué frecuencia reviso?
Después de cambios relevantes y de forma periódica.
Plan de revisión en 30 días
Semana 1: inventaría formularios, cookies y proveedores.
Semana 2: prueba consentimiento y rutas de datos.
Semana 3: revisa conservación, accesos y newsletter.
Semana 4: actualiza documentación y crea una checklist de despliegue.
Cómo saber si la web está realmente controlada
Haz una prueba completa desde un formulario real: introduce datos de prueba, revisa qué sistemas los reciben y comprueba si puedes eliminarlos o corregirlos después. Repite la prueba con aceptación y rechazo de cookies.
La diferencia entre lo que creías que ocurría y lo que realmente ocurre es la parte más valiosa de la auditoría.
Control adicional
Revisa también páginas antiguas, subdominios y formularios que ya no aparecen en el menú. Muchas incidencias nacen en elementos olvidados que siguen activos y enviando datos a herramientas antiguas.
Documenta cada hallazgo con URL, herramienta, riesgo y acción correctiva. Así la revisión se convierte en un backlog verificable y no en una lista de recomendaciones abstractas.
Control adicional
Incluye también una revisión desde móvil y en navegación privada: algunas etiquetas, banners o formularios se comportan de forma distinta según dispositivo, sesión o navegador. Esa prueba adicional puede revelar configuraciones que no aparecen durante el uso habitual del administrador.
Fotografía: Towfiqu barbhuiya / Pexels.