Una Web que Cumple el RGPD en los Países Bajos

La mayoría de las pymes tratan el RGPD como una política de privacidad copiada de algún sitio más un banner de cookies instalado. Justo esa combinación es la que no aguanta una inspección, porque en ninguna de las dos está lo que de verdad obliga.

Esto es lo que necesita realmente la web de una empresa pequeña, y en qué se fija la autoridad de protección de datos holandesa.

La idea en un párrafo

Solo puedes recoger datos personales para los que tengas una base legal, tienes que decir a la gente qué haces con ellos, no puedes guardarlos más de lo necesario, y tienes que poder entregarlos o borrarlos si te lo piden. Lo demás es detalle. Si sabes responder "qué recogemos, para qué, adónde va y cuánto lo guardamos" para cada formulario y cada script de tu web, tienes casi todo hecho.

Qué cuenta como dato personal

Más cosas de las que la gente cree. Evidentemente nombres, correos y teléfonos. También direcciones IP, identificadores de cookie, huellas de dispositivo y cualquier cosa que permita singularizar a alguien aunque no haya nombre. Eso último es precisamente por lo que los scripts de analítica y publicidad entran aquí.

Los cinco fallos habituales

1. Analítica que carga antes del consentimiento. El fallo más común con diferencia. Google Analytics y herramientas parecidas colocan identificadores y envían datos a un tercero. En los Países Bajos, las cookies no esenciales y las técnicas equivalentes necesitan consentimiento según la Telecommunicatiewet antes de ejecutarse. Un script en la cabecera que se dispara al cargar ya ha actuado antes de que nadie pulse nada.

Hay dos soluciones limpias. O cargas la analítica solo después del consentimiento, o cambias a una herramienta respetuosa y sin cookies que no identifique a personas — varias están diseñadas justamente para no requerir consentimiento. La segunda opción además suele dar números más limpios, porque dejas de medir solo a quien pulsó aceptar.

2. Un banner de cookies sin rechazo real. Rechazar tiene que ser tan fácil como aceptar. Un banner con un "Aceptar todo" grande y un "Gestionar preferencias" gris que exige tres clics para rechazar no es consentimiento válido, y la autoridad holandesa ha sido explícita al respecto. Aceptar y rechazar van uno al lado del otro, con el mismo peso visual, y un solo clic cada uno.

3. Formularios que piden más de lo necesario. Cada campo es un dato que a partir de ahora tienes que justificar, proteger y borrar. Si no necesitas el teléfono para responder una consulta, no lo pidas. Pide lo que la consulta necesita y nada más — eso es minimización de datos, y además mejora la conversión, así que es de los pocos requisitos que se pagan solos.

4. Sin contratos de encargado de tratamiento. Si un proveedor trata datos personales por cuenta tuya — el alojamiento, la herramienta de email marketing, el CRM, el servicio de formularios — necesitas un contrato de encargo con él. Los proveedores serios publican uno que puedes aceptar en línea; el trabajo está en saber quiénes son tus encargados. Haz la lista.

5. Una política de privacidad que describe otra web. Las políticas copiadas mencionan datos que no recoges y omiten los que sí. Tiene que describir tu tratamiento real: qué recoges, para qué, la base legal, con quién lo compartes, cuánto lo guardas, dónde está alojado y cómo se ejercen los derechos. Y necesita una vía de contacto de verdad para esas solicitudes.

Qué tiene de particular los Países Bajos

El RGPD es europeo, pero hay cosas específicamente holandesas.

La autoridad es la Autoriteit Persoonsgegevens. Publica sus áreas de foco y actúa ante denuncias. Ha sido especialmente activa con los banners de cookies, y su primer paso suele ser un apercibimiento con plazo antes que una multa directa — las empresas que responden con un plan normalmente lo resuelven.

Las cookies caen específicamente bajo la Telecommunicatiewet, no solo bajo el RGPD. De ahí viene la regla de consentimiento previo a la colocación.

Existe además el deber de notificar brechas: una brecha notificable va a la autoridad sin dilación indebida y, en general, dentro de 72 horas. Es una ventana corta si nunca has pensado en quién toma esa decisión, así que decide ahora quién es el responsable.

Y no lo confundas con el número de KVK y los demás datos mercantiles que hay que publicar: eso viene de otras normas y lo tratamos aparte.

Desde junio de 2025, una cosa más

Tu banner de cookies también está sujeto a la Ley Europea de Accesibilidad. Tiene que poder manejarse con teclado, anunciarse bien a un lector de pantalla y no atrapar el foco. Muchos banners fallan en los tres puntos, incluidos bastantes que se venden como producto de cumplimiento. Un banner impecable en consentimiento e inaccesible en la práctica ha cambiado un problema por otro.

Una lista para revisar

Se hace en una tarde:

• Abre tu web en una ventana privada nueva, recházalo todo y mira la pestaña de red. Si algo sigue hablando con un tercero, ese es tu primer trabajo.
• Cuenta los campos de cada formulario. Quita los que no usas.
• Anota cada tercero que toca tus datos. Comprueba que tienes contrato con todos.
• Lee tu política de privacidad como si fueras cliente. ¿Describe tu negocio?
• Plantéate la conservación: ¿cuánto tiempo se quedan los envíos del formulario en tu bandeja? "Para siempre" es una respuesta, y no de las buenas.
• Prueba el banner de cookies solo con el teclado.

Cuánto cuesta

Muy poco si se hace mientras se construye. Scripts detrás del consentimiento, un formulario que pide menos, una política real y un contrato firmado con cada encargado es, en una web de pyme normal, cosa de un día.

La versión cara es descubrirlo todo después de una denuncia, arreglando con un plazo encima y respondiendo preguntas a la vez. Es el mismo patrón que con la accesibilidad, y vale el mismo consejo: una hora de revisión ahora vale una semana después.

Esto es una guía práctica, no asesoramiento legal. Para tus obligaciones concretas, habla con un abogado especializado o consulta las guías que publica la Autoriteit Persoonsgegevens.