¿Qué servicios deben ir en la política de privacidad?

Cada servicio de terceros integrado que trate datos personales — análisis, publicidad, fuentes, mapas, chat, CDN, alojamiento — debe aparecer en la política de privacidad.

La política de privacidad y el banner de consentimiento responden a dos preguntas distintas. El banner regula si un servicio puede cargarse siquiera (consentimiento según el art. 25 TDDDG). La política de privacidad cumple el deber de información del art. 13 RGPD: también debe nombrar los servicios que funcionan sobre una base distinta del consentimiento: alojamiento, CDN, un filtro antispam del lado del servidor, la entrega de fuentes. Un servicio que no necesita banner puede pertenecer aun así a la política de privacidad.

Los datos de cada servicio siguen un esquema fijo: nombre y dirección del proveedor, finalidad del tratamiento, base jurídica (consentimiento, contrato, interés legítimo), categorías de datos tratados, plazo de conservación, si se transfieren datos a un tercer país y adónde y sobre qué base, así como los derechos de los interesados, incluida la revocación. Si falta uno de estos puntos, la declaración es incompleta en esa medida, y eso constituye una infracción autónoma sancionable con multa, con independencia de que la propia integración fuera lícita.

El error más frecuente es la lista desactualizada. Se añaden servicios mediante plugins, el gestor de etiquetas o una actualización del tema sin que se actualice la política de privacidad. A la inversa, allí figuran a menudo herramientas retiradas hace tiempo. Una comprobación pragmática: cargar la página en una ventana privada, anotar todos los hosts de terceros en la pestaña de red y compararlos con la política de privacidad, al menos tras cada cambio importante del sitio.

¿Es un riesgo?

El art. 13 RGPD exige indicaciones sobre finalidad, base jurídica, destinatarios, plazo de conservación y transferencia a terceros países. Una política de privacidad incompleta es una infracción independiente — con independencia de si la integración en sí es lícita.

Qué puedes hacer

• Crear una lista completa de todos los servicios integrados (incluidos los que llegan vía un plugin o un tag manager).
• Para cada servicio: añadir proveedor, finalidad, base jurídica, plazo de conservación, país destinatario.
• Mantener la política de privacidad con cada cambio del sitio.
• Contrastar periódicamente si los servicios realmente cargados coinciden con la política de privacidad.

Preguntas frecuentes

¿Tengo que incluir también el alojamiento y el CDN en la política de privacidad?

Sí. Los proveedores de alojamiento y los CDN tratan las direcciones IP de los visitantes y son destinatarios en el sentido del art. 13 RGPD. No necesitan banner de consentimiento, pero sí deben figurar en la política con su finalidad, base jurídica y, en su caso, transferencia a un tercer país.

¿Basta con un generador de política de privacidad?

Como punto de partida, sí. Los textos generados cubren servicios estándar, pero deben adaptarse a las herramientas realmente utilizadas y mantenerse actualizados. Un generador no sustituye ni el inventario ni la revisión jurídica.

¿Qué pasa con una política de privacidad incompleta?

Es una infracción autónoma del RGPD según el art. 13 que las autoridades de control pueden multar, aunque el propio tratamiento sea lícito. En la práctica, primero predominan las advertencias y los requerimientos.

¿Con qué frecuencia debo revisar la política de privacidad?

Tras cada cambio que añada o elimine servicios y, además, con una periodicidad fija (p. ej. semestral). Para la comprobación rutinaria basta con comparar los hosts de terceros cargados en la pestaña de red con la declaración.

Cómo ayuda consentglass

El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.