En una frase. Una política de privacidad RGPD conforme exige doce bloques de información obligatorios bajo el artículo 13, redacción accesible y revisión cada vez que cambia una finalidad o un encargado; el resto se sanciona.
Puntos clave
- El artículo 13 del RGPD impone doce categorías de información mínima; omitir cualquiera de ellas es infracción del artículo 83.5.b.
- La AEPD sancionó en 2025 a más de 80 organizaciones por políticas de privacidad incompletas o ilegibles (importes entre 2.000 EUR y 90.000 EUR).
- La política debe diferenciarse del aviso legal y de la política de cookies: confundirlos es una observación recurrente en las resoluciones AEPD.
- Las bases jurídicas del artículo 6 deben asociarse a cada finalidad concreta, no enumerarse en bloque.
- El plazo de conservación se exige por categoría de dato, no como cláusula genérica.
1. Qué exige el artículo 13 RGPD
La política de privacidad es el instrumento mediante el cual el responsable cumple la obligación de información del artículo 13 cuando los datos se obtienen del propio interesado. El artículo 14 se aplica cuando no se obtienen directamente. El contenido mínimo cubre identidad y contacto del responsable y del DPO, finalidades, bases jurídicas, destinatarios, transferencias internacionales, plazos de conservación, derechos del interesado, posibilidad de retirar consentimiento, derecho de reclamación ante la AEPD, carácter obligatorio o no de los datos y existencia de decisiones automatizadas.
2. Estructura recomendada de la plantilla
Para webs corporativas y landing pages puede partir de nuestro modelo de política de privacidad web para España, que sigue esta misma estructura de doce bloques:
| Bloque | Contenido | Base RGPD |
|---|---|---|
| 1 | Responsable y DPO | art. 13.1.a-b |
| 2 | Finalidades | art. 13.1.c |
| 3 | Base jurídica por finalidad | art. 6 |
| 4 | Destinatarios y encargados | art. 13.1.e |
| 5 | Transferencias internacionales | art. 13.1.f |
| 6 | Plazos de conservación | art. 13.2.a |
| 7 | Derechos del interesado | art. 13.2.b |
| 8 | Retirada del consentimiento | art. 7.3 |
| 9 | Reclamación AEPD | art. 13.2.d |
| 10 | Obligación de aportar datos | art. 13.2.e |
| 11 | Decisiones automatizadas | art. 22 |
| 12 | Actualización de la política | art. 5.1.a |
3. Identificación del responsable
4. Finalidades del tratamiento
Cada finalidad debe describirse de forma concreta. Frases como “mejorar el servicio” o “fines comerciales” se consideran insuficientes. Si una misma categoría de datos sirve a varias finalidades (ejecución contractual y marketing), debe diferenciarse cada finalidad con su base jurídica propia.
5. Base jurídica por finalidad
El artículo 6 ofrece seis bases. La política debe asociar una base a cada finalidad: ejecución contractual para la prestación del servicio, consentimiento para comunicaciones comerciales, interés legítimo para fraude, obligación legal para conservación fiscal. La AEPD rechaza explícitamente el uso del interés legítimo como cláusula genérica sin ponderación documentada.
6. Destinatarios y encargados del tratamiento
7. Transferencias internacionales
8. Plazos de conservación
9. Derechos del interesado y procedimiento de ejercicio
10. Errores frecuentes sancionados por la AEPD
- Copia genérica de plantilla sin adaptar al responsable real.
- Confundir aviso legal, política de cookies y política de privacidad en un único documento.
- Omitir el plazo de conservación o sustituirlo por “el tiempo necesario”.
- Listar las seis bases jurídicas del artículo 6 sin asociarlas a finalidades.
- No mencionar al DPO cuando es obligatorio.
- Enlace a la política inaccesible desde formularios de captación de datos.
11. Actualización y control de versiones
La política debe llevar fecha de última actualización visible y, preferentemente, registro de cambios. Cualquier modificación sustancial (nueva finalidad, nuevo encargado relevante, nueva transferencia) exige comunicación activa a los interesados cuando la base es consentimiento. El control de versiones es prueba del principio de responsabilidad proactiva del artículo 5.2.
12. Integración con el resto de cumplimiento
13. Información en capas: la solución a la tensión legibilidad-completitud
El artículo 12 RGPD exige información concisa, transparente e inteligible, mientras que el artículo 13 impone doce bloques de contenido. Esta tensión —brevedad frente a exhaustividad— se resuelve con el modelo de información por capas que la propia AEPD recomienda. La primera capa es un resumen breve, junto al formulario, con lo esencial: quién trata los datos, para qué, con qué base y cómo ejercer los derechos. La segunda capa es la política completa con los doce bloques del artículo 13. Este modelo permite cumplir la obligación sin ahogar al usuario en un muro de texto, y es especialmente valioso en formularios de captación, aplicaciones móviles y dispositivos con pantalla reducida donde una política monolítica resulta inaplicable.
14. Decisiones automatizadas y elaboración de perfiles
El bloque más olvidado en las plantillas descargadas es el del artículo 22 RGPD. Si el responsable aplica scoring, segmentación automática de clientes o cualquier decisión con efectos jurídicos o significativos basada únicamente en tratamiento automatizado, la política debe informar de su existencia, de la lógica aplicada y de las consecuencias previstas para el interesado. Esta omisión está en el origen de sanciones millonarias en el sector bancario, donde la AEPD multó a CaixaBank con 6 M EUR (2021) y a BBVA con 5 M EUR (2020) precisamente por no explicar con claridad los tratamientos de elaboración de perfiles. Una plantilla genérica que ignora el artículo 22 deja expuesta a cualquier empresa que perfile clientes, por pequeña que sea.
Véase también: cláusula informativa para empleados y modelo de aviso legal.
FAQ
¿Puedo usar una plantilla descargada sin adaptarla?
No. La AEPD considera que una política copiada sin adaptar al responsable concreto incumple el principio de transparencia. Las plantillas son punto de partida, no documento final.
¿Es obligatorio publicar el nombre del DPO?
El artículo 37.7 exige publicar los datos de contacto del DPO, no necesariamente su nombre. Un correo genérico tipo dpo@empresa.com es suficiente.
¿La política debe traducirse a todos los idiomas del sitio?
Sí, si el sitio se dirige a usuarios de distintos idiomas. La AEPD ha sancionado por presentar política únicamente en inglés a usuarios españoles (PS/00078/2024).
¿Cada cuánto debe revisarse?
No hay plazo legal, pero el estándar de mercado es revisión anual y revisión inmediata ante cualquier cambio sustancial de tratamiento, encargado o finalidad.
¿La política debe firmarse o aceptarse expresamente?
La política es informativa, no contractual. No requiere aceptación, salvo cuando incorpora cláusulas de consentimiento que sí deben recabarse mediante acción afirmativa diferenciada.