Política de privacidad para blogs: qué debe informar todo bloguero

Empieza revisando los plugins y la configuración del blog. Anota qué datos se recogen cuando alguien lee, comenta, se suscribe o te contacta, y qué proveedores los reciben. Organiza la política en torno a lo que hacen tus lectores en el blog: leer entradas, comentar, suscribirse, hacer clic en enlaces y contactarte. Después añade las secciones habituales sobre derechos, conservación, transferencias y cambios. Nuestra guía paso a paso para crear la política de privacidad de una web cubre el proceso completo.

Si prefieres no empezar desde una página en blanco, el generador de política de privacidad para webs te pregunta por tus tecnologías de seguimiento, cuándo empieza el seguimiento no esencial, cómo cambian los lectores sus preferencias y qué proveedores usas, como Google Analytics, Mailchimp o reCAPTCHA. Después reúne las cláusulas correspondientes. La vista previa y la descarga simple en HTML son gratuitas, y el HTML se puede pegar directamente en una página de WordPress o en cualquier creador de webs.

Recuerda que una política de privacidad no sustituye a la divulgación de afiliados en tus entradas ni a un banner de consentimiento cuando sea obligatorio. Considérala una parte de un blog transparente, no todo el trabajo.

Es tentador pensar que un blog personal es demasiado pequeño para importar. Sin embargo, la ley rara vez mira primero el tamaño. Mira si recoges datos personales y de quién son.

• RGPD y RGPD del Reino Unido: la exención para actividades exclusivamente personales o domésticas es estrecha y es poco probable que cubra un blog público que recoge comentarios, correos electrónicos o datos de analítica de sus lectores.
• CalOPPA: se aplica a los operadores de webs comerciales que recogen información de identificación personal de residentes en California. Un blog monetizado con newsletter es un ejemplo típico.
• Condiciones de las plataformas: Google AdSense y Google Analytics exigen una política de privacidad sea cual sea tu volumen de tráfico, y las plataformas de newsletter tienen sus propias condiciones sobre cómo recoges y usas las direcciones de los suscriptores.

La respuesta práctica: si tu blog tiene comentarios, newsletter, analítica, anuncios o enlaces de afiliado, publica una política de privacidad. La guía general ¿necesito una política de privacidad? repasa los desencadenantes legales país por país.

Los blogs se construyen con plugins, temas y contenido insertado, y muchos de ellos recogen datos sin hacer ruido. Usa esta lista cuando revises tu blog:

• Comentarios: nombre, correo, web, el propio comentario y, a menudo, la dirección IP de quien comenta.
• Cookies de comentarios: muchas plataformas ofrecen recordar los datos de quien comenta en el navegador.
• Filtrado de spam: el contenido de comentarios y formularios se envía a un servicio antispam para su comprobación.
• Registros del servidor y de seguridad: direcciones IP y agentes de usuario que registran tu proveedor de alojamiento y los plugins de seguridad.
• Analítica: páginas vistas, sitios de referencia, información del dispositivo e identificadores.
• Anuncios y enlaces de afiliado: cookies e identificadores que instalan las redes publicitarias y los programas de afiliados.
• Contenido insertado: vídeos de YouTube, publicaciones de redes sociales y mapas que cargan contenido de otras empresas.
• Fuentes y CDN: archivos cargados desde servidores de terceros que reciben la dirección IP del lector.
• Formularios y ventanas emergentes de newsletter: direcciones de correo y datos de alta.
• Formularios de contacto: nombres, correos y mensajes.

Anota cada elemento que encuentres, el plugin o servicio que hay detrás y la empresa que recibe los datos.

Los comentarios suelen ser los primeros datos personales que recoge un blog y merecen su propia sección breve. El texto de política de privacidad que sugiere el propio WordPress recuerda bien lo que ocurre por defecto: explica que, cuando los visitantes dejan comentarios, el sitio recoge los datos que se muestran en el formulario de comentarios, además de la dirección IP del visitante y la cadena de agente de usuario del navegador para ayudar a detectar spam. También menciona que puede enviarse a Gravatar una versión cifrada mediante hash de la dirección de correo para comprobar si existe una foto de perfil.

Tu sección de comentarios debería cubrir:

1. Qué recoge el formulario de comentarios y qué se muestra públicamente.
2. Si un servicio antispam automatizado revisa los comentarios, y cuál.
3. Si los datos del comentario se recuerdan en cookies, y durante cuánto tiempo.
4. Cuánto tiempo se conservan los comentarios y sus metadatos.
5. Cómo puede quien comenta pedirte que edites, exportes o borres sus datos.

WordPress te permite elegir una página de política de privacidad y ofrece una guía con texto sugerido, pero no puede saber qué plugins has instalado. Nuestra guía de política de privacidad para WordPress explica la pantalla de ajustes y las reglas de los plugins.

Una newsletter convierte a lectores ocasionales en una lista de direcciones de correo, es decir, datos personales que conservas a largo plazo. Tu política debería explicar:

• Qué recoges: normalmente una dirección de correo, a veces un nombre, la fecha de alta y la página en la que la persona se suscribió.
• Qué plataforma envía los correos: nombra a tu proveedor de servicios de correo, porque trata la lista por cuenta tuya.
• Si mides aperturas y clics: muchas plataformas de correo lo hacen por defecto con píxeles de seguimiento y enlaces redirigidos.
• Cómo darse de baja: cada correo debe incluir un enlace que funcione, y la política debe decirlo.
• Consentimiento: en la UE y el Reino Unido, los correos de marketing a particulares suelen requerir consentimiento previo, salvo que se aplique una excepción limitada.

En EE. UU., la ley CAN-SPAM exige que los correos comerciales incluyan una forma clara de darse de baja y una dirección postal física válida, y que las solicitudes de baja se atiendan con prontitud. Esas reglas se aplican a los propios correos, no a la política de privacidad, pero ambos deben coincidir. Nuestra guía de política de privacidad para newsletters cubre los detalles.

Sí. Las Condiciones de Servicio de Google Analytics te exigen tener y respetar una política de privacidad adecuada, informar de que usas Google Analytics y de cómo recoge y trata los datos, y avisar de las cookies o identificadores que intervienen. Las condiciones también piden un enlace destacado a la página de Google que explica cómo usa la información de los sitios que utilizan sus servicios, o un aviso equivalente.

Qué incluir en un blog típico:

• Que usas Google Analytics para saber qué entradas lee la gente y cómo encuentra el blog.
• Los tipos de datos implicados, como páginas vistas, sitios de referencia, datos del dispositivo y del navegador, y ubicación aproximada.
• Si has activado funciones que añaden datos, como Google Signals o la vinculación con Google Ads.
• Cómo pueden los lectores cambiar sus preferencias de cookies o bloquear la analítica.

Si tienes lectores en la UE o el Reino Unido, las cookies de analítica suelen necesitar consentimiento antes de cargarse, con algunas excepciones nacionales limitadas. Pasarte a una herramienta de analítica respetuosa con la privacidad puede reducir lo que recoges, pero no elimina la necesidad de describirlo. Consulta la guía de política de privacidad para Google Analytics.

Si monetizas con Google AdSense, la política de privacidad no es opcional. El artículo de ayuda de AdSense sobre el contenido obligatorio enumera las declaraciones que debe incluir tu política:

• Que proveedores externos, incluido Google, usan cookies para mostrar anuncios basados en las visitas anteriores del usuario a tu web o a otras webs.
• Que el uso de cookies publicitarias por parte de Google le permite, a él y a sus socios, mostrar anuncios basados en las visitas a tus sitios y a otros sitios de internet.
• Que los usuarios pueden inhabilitar la publicidad personalizada en la Configuración de anuncios de Google, o inhabilitar las cookies de algunos proveedores externos mediante una página de exclusión del sector.

Los editores con visitantes en el EEE, el Reino Unido o Suiza también deben cumplir la política de consentimiento de usuarios de la UE de Google, que exige consentimiento para las cookies cuando la ley lo requiere y para la personalización de anuncios. Google ha exigido a los editores que usan sus productos publicitarios utilizar una plataforma de gestión del consentimiento certificada por Google cuando muestran anuncios a usuarios del EEE y el Reino Unido.

Si además usas otras redes publicitarias, nómbralas y enlaza sus páginas de exclusión. La lista completa está en nuestra guía de política de privacidad para AdSense.

No, y confundirlas es uno de los errores más comunes en los blogs. Responden a preguntas distintas para reguladores distintos.

La divulgación de afiliados o de recomendaciones avisa a los lectores de que puedes ganar dinero cuando hacen clic o compran. En EE. UU., las orientaciones de la FTC sobre recomendaciones indican que los blogueros deben revelar sus relaciones de afiliación de forma clara y visible, y cuanto más cerca esté la divulgación de la recomendación, mejor. Una divulgación escondida al final de la página o tras un enlace con el texto «Legal» es fácil de pasar por alto. Por eso la divulgación de afiliados va junto a los enlaces de cada entrada, no solo en tu política de privacidad.

La información de privacidad explica la parte de los datos. Cuando un lector hace clic en un enlace de afiliado, la red de afiliados o el comerciante pueden instalar cookies o registrar el clic para atribuir la venta. Tu política de privacidad debería mencionar que los enlaces de afiliado pueden implicar este seguimiento y nombrar los programas que usas.

Los programas de afiliados suelen tener sus propias reglas de divulgación en sus acuerdos operativos. Lee el acuerdo vigente de cada programa al que te unas en lugar de fiarte de un texto copiado de otro blog.

El contenido insertado es fácil de olvidar porque no lo has creado tú. El texto de privacidad que sugiere WordPress lo resume bien: el contenido insertado de otras webs se comporta exactamente igual que si el visitante hubiera visitado la otra web. Eso significa que un vídeo de YouTube, una publicación de Instagram o un mapa pueden permitir a esa empresa recoger datos, instalar cookies y rastrear la interacción con el contenido insertado.

Para cada tipo de contenido insertado, tu política debería nombrar al proveedor y explicar que puede recoger datos cuando se carga. Lo mismo se aplica a:

• Fuentes web y bibliotecas de scripts cargadas desde servidores de terceros, que reciben la dirección IP del lector.
• Botones para compartir en redes sociales que cargan scripts de las redes sociales.
• Sistemas de comentarios alojados por un tercero.

Puedes reducir la exposición con marcadores de posición de clic para cargar, que solo cargan el contenido insertado cuando el lector lo decide, o alojando las fuentes tú mismo. Cuando las normas de consentimiento de la UE o el Reino Unido se apliquen a las cookies del contenido insertado, esos marcadores también pueden ayudarte a no cargarlas antes del consentimiento.