Por qué este tema sigue dando problemas (y por qué no es solo “un banner”)
La mayoría de las webs corporativas no tratan datos personales únicamente en formularios. También lo hacen cuando integran analítica, píxeles publicitarios, mapas de calor, chat widgets o herramientas antifraude. En ese ecosistema, es fácil caer en dos extremos: o bien se activa todo sin control (riesgo legal y de seguridad), o bien se desactiva todo por miedo (pérdida de medición y optimización). La solución realista está en diseñar el tratamiento con proporcionalidad y evidencias.
Desde el RGPD, muchos identificadores online pueden constituir datos personales cuando permiten identificar directa o indirectamente a una persona (por ejemplo, mediante ID de dispositivo, cookies persistentes, combinaciones de parámetros o perfiles). Por tanto, colocar tecnologías de seguimiento implica “tratamiento” y debe cumplir principios, base de legitimación, transparencia y seguridad.
Beneficios de una implementación bien gobernada
Cuando se hace bien, una arquitectura de cookies y tags:
- Reduce riesgo de sanción y reclamaciones por falta de control o transparencia.
- Mejora la calidad del dato (menos ruido, mejor clasificación de finalidades).
- Evita fugas involuntarias hacia terceros por tags mal configurados.
- Facilita responder derechos (acceso, oposición, supresión) porque el sistema está mapeado.
- Aumenta la confianza del usuario: menos sensación de “rastreo” y más coherencia.
Riesgos típicos (privacidad y vulnerabilidad)
Riesgos de privacidad
- Activar publicidad comportamental o tracking cross-site sin base adecuada.
- Finalidades ambiguas (“mejorar la experiencia”) que, en realidad, encubren marketing.
- Consentimientos inválidos: falta de granularidad, casillas premarcadas, o imposibilidad real de rechazar.
- Pérdida de control sobre terceros (Meta, TikTok u otros) por cargas automáticas de scripts.
Riesgos de seguridad y exposición
- Tag managers con permisos excesivos y sin control de cambios: una cuenta comprometida puede inyectar código malicioso.
- Dependencia de terceros y librerías externas: se amplía la superficie de ataque.
- Filtrado insuficiente: se envían parámetros con datos personales por URL, eventos o formularios al proveedor de analítica/ads.
- Retención y acceso a logs sin límites: se acumulan datos y aumenta el impacto de una brecha.
RGPD y LOPDGDD: qué hay que sostener con rigor
Principios (art. 5 RGPD)
- Limitación de finalidad: analítica, personalización y publicidad no son “lo mismo”.
- Minimización: recoge lo necesario, no “por si acaso”.
- Limitación del plazo: define retenciones coherentes (no infinitas).
- Integridad y confidencialidad: controla accesos, cambios y transmisión.
Base de legitimación (art. 6 RGPD)
En tracking con fines no estrictamente necesarios, lo habitual es apoyarse en consentimiento cuando se crean perfiles o se comparten datos con terceros para publicidad. Cuando se intenta sostener con interés legítimo, el riesgo es alto si hay seguimiento persistente, combinación de fuentes o publicidad comportamental; en esos escenarios, la proporcionalidad y expectativas razonables del usuario suelen jugar en contra. Si se aplica interés legítimo, debe existir una ponderación sólida, medidas de minimización y una oposición efectiva.
Transparencia (arts. 12–14 RGPD)
No basta con “política de cookies genérica”. La información debe permitir entender:
- Qué finalidades existen (por capas, con lenguaje claro).
- Qué terceros intervienen (y qué categorías).
- Qué datos se recogen, cuánto se conservan y cómo se gestionan preferencias.
- Cómo ejercer derechos y cómo retirar consentimiento.
Encargados y corresponsabilidad
Muchos proveedores actúan como encargados en ciertos tratamientos y como responsables en otros, según configuración y producto. En la práctica, lo decisivo es: qué decides tú, qué decide el proveedor, qué datos salen de tu control y con qué finalidad. Esto se refleja en contratos, anexos, configuraciones y evidencias técnicas (por ejemplo, qué se carga antes o después de consentir).
¿Hay obligación de EIPD?
No siempre. Pero sí debe valorarse cuando el tratamiento se acerca al “alto riesgo”, por ejemplo:
- Perfilado y seguimiento sistemático de comportamiento para publicidad.
- Combinación de múltiples fuentes (web + app + CRM) para segmentación.
- Escala elevada o tratamiento intensivo que afecta significativamente a personas.
Si concluyes que no procede EIPD, lo defendible es documentar el análisis y las salvaguardas: minimización, límites, seudonimización cuando aplique, y controles de acceso y conservación.
Medidas de proporcionalidad que suelen funcionar (sin postureo)
- Arquitectura por capas: lo necesario funciona sin rastreo adicional; analítica y marketing solo con la configuración adecuada.
- Gobernanza de tags: control de cambios, roles, MFA, revisión de scripts, y auditoría interna razonable.
- Depuración de eventos: evitar enviar emails, teléfonos, DNI, direcciones o identificadores directos en URLs o eventos.
- Retenciones claras: no acumular datos indefinidamente; revisar periodicidad.
- Registro y mapa: qué tags hay, para qué sirven, quién los activó y quién los aprueba.
Límites de la información
Cada web, negocio y stack de herramientas cambia el análisis: lo anterior es una guía general. Para decisiones de alto impacto (perfilado intensivo, campañas de publicidad avanzada, integración CRM–ads), conviene revisión jurídica y técnica específica.
