Cada cuánto actualizar tu política de privacidad y cómo avisar a los usuarios

La mayoría de las actualizaciones las provoca tu propio producto, no las nuevas leyes. Actualiza la política antes de que se publique cualquiera de estos cambios, o al mismo tiempo:

• Añadir o sustituir un proveedor que recibe datos personales, como un servicio de analítica, correo, pagos, soporte o alojamiento
• Instalar un nuevo SDK, píxel o etiqueta, sobre todo de publicidad o atribución
• Recoger una nueva categoría de datos, como ubicación, contactos, fotos, información de salud o grabaciones de voz
• Usar datos existentes para una nueva finalidad, como personalización, publicidad o entrenamiento de un modelo de IA
• Lanzar funciones de IA que envían contenido de los usuarios a un proveedor de modelos
• Empezar a vender o compartir datos, o a usarlos para publicidad dirigida
• Expandirte a un nuevo país o estado de EE. UU., o superar el umbral de aplicación de una ley
• Cambiar los plazos de conservación, las ubicaciones de almacenamiento o las transferencias internacionales
• Cambiar el nombre de tu empresa, tu dirección, tus datos de contacto o tu contacto de privacidad
• Cambiar la forma en que los usuarios ejercen sus derechos, como un nuevo formulario de solicitud o una nueva página de ajustes

Un hábito útil es añadir «¿afecta a la política de privacidad?» a tu checklist de lanzamiento. Si la respuesta es sí, el cambio en la política se publica junto con la función.

Solo una ley importante fija un intervalo concreto, pero varias establecen expectativas que equivalen a lo mismo:

• CCPA: el artículo 1798.130(a)(5) del Código Civil exige a las empresas sujetas que incluyan determinada información en su política de privacidad en línea y que actualicen esa información al menos una vez cada 12 meses. El reglamento de la CCPA también exige que la política muestre la fecha de su última actualización.
• CalOPPA: la política debe indicar su fecha de entrada en vigor y describir el proceso para avisar a los usuarios de cambios sustanciales.
• RGPD: no hay un intervalo fijo, pero la información que das a las personas debe ser exacta, y las directrices europeas de transparencia subrayan que la responsabilidad proactiva se aplica durante todo el ciclo de vida del tratamiento, no solo en el momento de la recogida.
• Australia: el APP 1 exige una política de privacidad expresada con claridad y actualizada.

En la práctica, esto te da una regla sencilla: revisa al menos cada 12 meses y actualiza de inmediato cuando cambien las prácticas. Una revisión anual que no encuentra nada que cambiar sigue mereciendo quedar documentada, porque demuestra que la política se mantiene activamente. Para el contenido específico de California, consulta la guía de la política de privacidad según la CCPA y la CPRA.

No toda edición necesita un anuncio. Las directrices sobre transparencia del Grupo de Trabajo del Artículo 29, respaldadas por el Comité Europeo de Protección de Datos (CEPD), proponen valorar el impacto en las personas, incluida su capacidad para ejercer sus derechos, y lo inesperado o sorprendente que resultaría el cambio.

Las directrices dan ejemplos concretos. Los cambios que siempre deben comunicarse incluyen:

• Un cambio en la finalidad del tratamiento
• Un cambio en la identidad del responsable del tratamiento
• Un cambio en la forma en que las personas pueden ejercer sus derechos

Las correcciones de erratas o las mejoras de estilo y gramática no se consideran sustanciales. Entre esos extremos, usa tu criterio. Añadir un nuevo socio publicitario, empezar a hacer transferencias internacionales o usar datos para entrenar modelos de IA son el tipo de cambios que la mayoría de los lectores considerarían importantes. Aclarar una frase existente sin cambiar su significado normalmente no lo es.

En caso de duda, trata el cambio como sustancial. Comunicar de más un cambio modesto cuesta poco; introducir en silencio uno significativo puede dañar la confianza y atraer la atención de los reguladores.

Cambiar la fecha al principio de la página no basta para los cambios sustanciales. Las directrices europeas de transparencia dicen que la notificación debe usar un medio adecuado, como un correo electrónico, una carta o una ventana emergente, que esté dedicado a los cambios y no mezclado con contenido de marketing, y que las frases que piden a las personas «revisar periódicamente la política de privacidad por si hay cambios» se consideran no solo insuficientes, sino también desleales. Para los cambios fundamentales, como nuevas categorías de destinatarios o nuevas transferencias fuera de la región, recomiendan avisar con suficiente antelación para que las personas puedan valorar el cambio y ejercer sus derechos.

Un plan de notificación práctico:

1. Publica la nueva versión con su fecha de entrada en vigor y mantén disponible la versión anterior
2. Envía un correo a los titulares de cuentas con un resumen breve y claro de qué cambia y por qué
3. Muestra un aviso en la app o en la web a los usuarios que han iniciado sesión
4. Explica el impacto probable y las opciones que tienen las personas, como oponerse
5. Da un plazo razonable antes de que los cambios surtan efecto

Ejemplo de redacción: «A partir del 1 de marzo, usaremos un nuevo proveedor de correo con sede en Estados Unidos. Los datos de tu suscripción al boletín se transferirán con cláusulas contractuales tipo. Puedes darte de baja en cualquier momento.»

Algunos cambios necesitan algo más que un aviso. Según el RGPD, si piensas usar datos personales para una nueva finalidad, el artículo 13(3) te obliga a informar a las personas antes de que empiece ese tratamiento ulterior y, si el tratamiento se basa en el consentimiento, necesitas un consentimiento que cubra la nueva finalidad. Las directrices también advierten de que la transparencia no subsana un cambio tan importante que el tratamiento pasa a ser de naturaleza completamente distinta.

Los reguladores de EE. UU. tienen una opinión similar. En una publicación de 2024, el personal de la FTC advirtió de que una empresa que adopta prácticas con datos más permisivas y solo lo comunica mediante una modificación subrepticia y retroactiva de sus términos de servicio o de su política de privacidad puede estar incurriendo en conductas desleales o engañosas. La publicación cita casos anteriores, entre ellos uno en el que una empresa cambió su política de privacidad para compartir datos con terceros sin avisar a los consumidores ni obtener su consentimiento.

Una opción segura por defecto para los cambios significativos:

• Aplica las nuevas prácticas solo a los datos recogidos después del cambio, o
• Pide un consentimiento claro y afirmativo antes de aplicarlas a datos que ya tienes

Si no sabes cuál se aplica, pide asesoramiento a un abogado cualificado antes de publicar el cambio.

Un buen control de versiones facilita responder a cualquier pregunta futura. Como mínimo, tu política debe mostrar una fecha de entrada en vigor, que exige la CalOPPA, y una fecha de última actualización, que exige el reglamento de la CCPA a las empresas sujetas. Muchas webs añaden además un breve resumen de cambios al principio o al final de la política.

Entre bastidores, mantén un archivo:

• Cada versión publicada, con su fecha de entrada en vigor y la fecha en que fue sustituida
• Un resumen de una línea de qué cambió y por qué
• Copias de los avisos de cambio que enviaste y cuándo
• Los registros de consentimiento obtenidos para los cambios que lo necesitaban

Este archivo te permite demostrar qué política se aplicaba cuando un usuario se registró, responder con precisión a la pregunta de un regulador o de un cliente y resolver disputas sobre lo que prometiste en su momento. También agiliza la revisión anual, porque partes de un registro de decisiones anteriores y no de la memoria.

Legal Policy Generator usa cláusulas versionadas que se seleccionan de forma determinista a partir de tus respuestas, así que cuando actualizas tus respuestas, la redacción regenerada solo cambia donde cambiaron tus hechos o las versiones de las cláusulas subyacentes. Uses la herramienta que uses, guarda tus propias copias.

Las leyes también cambian, y varias novedades recientes pueden afectar a tu política:

• Estados de EE. UU.: las leyes de privacidad integrales de Indiana, Kentucky y Rhode Island entraron en vigor el 1 de enero de 2026 y se suman a la creciente lista de estados con derechos de exclusión de la publicidad dirigida, la venta y la elaboración de perfiles. La guía de leyes estatales de privacidad de EE. UU. resume la información habitual que exigen.
• California: el reglamento actualizado de la CCPA entró en vigor el 1 de enero de 2026 y añade normas sobre tecnología de toma de decisiones automatizada, evaluaciones de riesgos y auditorías de ciberseguridad, con fechas de cumplimiento escalonadas.
• Menores: la COPPA Rule modificada se publicó en abril de 2025 con requisitos revisados de aviso y consentimiento.
• Reino Unido: la Data (Use and Access) Act 2025 está entrando en vigor por fases y modifica partes del marco británico de protección de datos, como se explica en la guía de la política de privacidad según el RGPD del Reino Unido.
• Nueva Zelanda: la Privacy Amendment Act 2025 añadió un nuevo principio sobre avisar a las personas cuando su información se recoge de forma indirecta.

No necesitas seguir cada proyecto de ley. En su lugar, consulta las fuentes oficiales de las regiones a las que das servicio en cada revisión anual y suscríbete a las novedades de los reguladores que importan para tu público.

Pon un evento recurrente en tu calendario y sigue esta rutina cada año, o antes si lanzas una versión importante:

1. Repite tu inventario de datos: formularios, cuentas, SDK, etiquetas, proveedores y funciones de IA
2. Compáralo con la política: ¿hay algo nuevo, eliminado o descrito de otra forma?
3. Revisa los proveedores: confirma nombres, funciones, ubicaciones y las garantías de las transferencias
4. Revisa las regiones: ¿das servicio ahora a un nuevo país o estado, o superas un umbral como el de la CCPA?
5. Consulta las fuentes oficiales: busca nuevas leyes o directrices en cada región a la que das servicio
6. Prueba las solicitudes de derechos: envía una solicitud de prueba por cada vía que indica la política
7. Compárala con las herramientas de consentimiento y las etiquetas de las tiendas: el banner, las etiquetas de privacidad de la App Store y el formulario de Seguridad de los datos de Google Play deben coincidir con la política
8. Actualiza y registra: publica los cambios con una nueva fecha, archiva la versión anterior y avisa a los usuarios si el cambio es sustancial

Si no ha cambiado nada, registra que la revisión se hizo. Si quieres reconstruir la política a partir de respuestas actualizadas, el generador de políticas de privacidad te permite previsualizar el resultado gratis antes de publicarlo. Para el proceso general de redactar cada sección, consulta cómo redactar una política de privacidad.