Qué pasa si no tienes política de privacidad

Si te das cuenta de que has estado recogiendo datos sin una política, actúa con método y sin pánico:

1. Haz inventario de cada formulario, función de cuenta, etiqueta de analítica o publicidad, SDK y proveedor que trate información personal
2. Redacta una política que describa esos hechos con exactitud, incluidas las secciones regionales que activa tu público
3. Revisa tu configuración de consentimiento para que las cookies y rastreadores que requieren consentimiento no se activen antes de que los usuarios acepten
4. Publica la política en una URL estable y enlázala desde el pie de página, los formularios, los ajustes de la app y las fichas de las tiendas
5. Actualiza tus fichas de App Store, Google Play y otras plataformas con el nuevo enlace
6. Fija una fecha de entrada en vigor y guarda un archivo para que las versiones futuras sean rastreables
7. Busca asesoramiento jurídico si tratas datos sensibles o de menores, has recibido una reclamación o te ha contactado un regulador

La guía sobre cómo redactar una política de privacidad cubre cada paso en profundidad. Si quieres empezar más rápido, el generador de políticas de privacidad te guía por el mismo inventario y te permite previsualizar la política completa gratis y sin cuenta.

No existe una única ley mundial, pero si recoges información personal en línea, casi con seguridad se te aplica al menos una norma. Las principales:

• RGPD y RGPD del Reino Unido: se aplican a las organizaciones establecidas en la UE o el Reino Unido y a las de fuera que ofrecen bienes o servicios a personas de allí o hacen seguimiento de su comportamiento. Los artículos 13 y 14 exigen información específica cuando se recogen datos.
• CalOPPA: exige a cualquier operador de una web comercial o servicio en línea que recoja información de identificación personal de residentes en California que publique una política de privacidad de forma visible, sin umbral de ingresos.
• CCPA: exige una política de privacidad detallada a las empresas con ánimo de lucro que cumplan alguno de sus umbrales, como unos ingresos brutos anuales superiores a $26,625,000, cifra ajustada desde el 1 de enero de 2025.
• Otros estados de EE. UU. y COPPA: muchos estados tienen leyes de privacidad integrales, y la COPPA exige un aviso en línea para los servicios dirigidos a menores de 13 años.
• Canadá, Brasil, Australia y Nueva Zelanda: la PIPEDA, la LGPD y las Privacy Acts de Australia y Nueva Zelanda exigen transparencia sobre cómo se trata la información personal.

La guía ¿necesito una política de privacidad? analiza cada situación con más detalle.

Sí, y suele ser la primera consecuencia con la que se encuentran los desarrolladores. La directriz 5.1.1(i) de revisión de apps de Apple establece que todas las apps deben incluir un enlace a su política de privacidad en el campo de metadatos de App Store Connect y dentro de la app, de forma fácilmente accesible. La política de Datos de usuario de Google Play dice que todas las apps deben publicar un enlace a la política de privacidad en Play Console y dentro de la app, y que las apps que no acceden a ningún dato de usuario personal o sensible también deben enviar una.

Sin política, es probable que un nuevo envío se rechace, y una app existente puede sufrir medidas en una revisión posterior. Las medidas de Google Play pueden incluir el rechazo, la retirada y la suspensión, y las infracciones graves o reiteradas pueden poner en riesgo la cuenta de desarrollador. La política también debe ser coherente con las etiquetas de privacidad y el formulario de Seguridad de los datos que envíes.

Si vas a publicar una app móvil, las guías de la política de privacidad para Google Play y de la política de privacidad para la App Store de Apple enumeran los requisitos exactos de cada tienda.

Muchas herramientas de las que dependes convierten la política de privacidad en una condición contractual para usarlas. Las condiciones de Google Analytics, por ejemplo, te obligan a publicar una política de privacidad que informe del uso de cookies, identificadores móviles o tecnologías similares, y a informar de que usas Google Analytics y de cómo recoge y trata los datos. Los programas de publicidad suelen exigir información similar sobre cookies y personalización de anuncios, y las plataformas de correo esperan que los remitentes expliquen cómo se usan los datos de los suscriptores.

Cuando incumples las condiciones de un proveedor, este suele poder restringir, suspender o cancelar tu acceso según esas mismas condiciones. Para un negocio que depende de los ingresos por publicidad o de una lista de marketing, perder una cuenta puede ser más perjudicial que la carta de un regulador, porque ocurre sin audiencia previa y puede tardar en revertirse.

La solución es sencilla: informa de cada herramienta que usas en tu política, de la forma que exigen sus condiciones. Las guías sobre los requisitos de la política de privacidad para Google Analytics y de la política de privacidad para AdSense muestran los temas de redacción que espera cada proveedor.

No todas las consecuencias vienen de un regulador. Los clientes empresariales piden habitualmente una política de privacidad durante los procesos de compra y las revisiones de seguridad de proveedores. Una política inexistente, o que claramente no describe tu producto, plantea preguntas que ralentizan o frenan los acuerdos, sobre todo con clientes grandes que tienen sus propias obligaciones de privacidad.

Otros efectos prácticos son fáciles de subestimar:

• Los programas de socios e integraciones, como el inicio de sesión con Google o las tiendas de extensiones de navegador, suelen exigir una URL de la política antes de aprobarte
• Los proveedores de pagos, correo y marketing esperan que los comerciantes expliquen cómo se tratan los datos de los clientes
• Los inversores y compradores revisan la documentación de privacidad durante la due diligence
• Cada vez más usuarios buscan un enlace de privacidad antes de dar su dirección de correo o el número de su tarjeta

Ninguno de estos efectos conlleva una multa, pero cada uno puede costar más en ingresos perdidos y retrasos que el tiempo necesario para publicar una política exacta. Una política clara y honesta es también una discreta señal de confianza en todas las páginas de tu web.

El RGPD trata la transparencia como una obligación esencial. Según el artículo 83(5), las infracciones de las disposiciones sobre derechos de los interesados de los artículos 12 a 22, que incluyen la información que debes dar a las personas, pueden acarrear multas administrativas de hasta 20 millones de euros o el 4 % del volumen de negocio total anual mundial del ejercicio anterior, la cuantía que sea mayor. El RGPD del Reino Unido fija el máximo equivalente en 17,5 millones de libras o el 4 %.

Son límites máximos, no puntos de partida. El artículo 83(2) obliga a las autoridades a tener en cuenta la naturaleza, gravedad y duración de la infracción, el número de personas afectadas, si fue intencionada o negligente, las medidas tomadas para reducir el daño y la cooperación de la organización. Las multas deben ser efectivas, proporcionadas y disuasorias.

Las multas tampoco son la única herramienta. Según el artículo 58, las autoridades de control pueden emitir advertencias y apercibimientos, ordenarte que adecúes el tratamiento al RGPD, ordenarte que comuniques información a las personas afectadas e imponer limitaciones temporales o definitivas del tratamiento, incluida su prohibición. Para una pequeña empresa, la orden de detener una práctica de marketing puede pesar más que la multa máxima teórica.

California tiene dos regímenes que se solapan. La CCPA se aplica a las empresas con ánimo de lucro que operan en California y superan un umbral, como unos ingresos brutos anuales superiores a $26,625,000, comprar, vender o compartir la información personal de 100.000 o más consumidores u hogares, u obtener al menos la mitad de sus ingresos anuales de vender o compartir información personal. Tras el ajuste de enero de 2025 anunciado por la Agencia de Protección de la Privacidad de California (CPPA), las multas administrativas y sanciones civiles pueden llegar a $2,663 por infracción o $7,988 por infracción intencionada o por infracción que afecte a información personal de consumidores que la empresa sabe que son menores de 16 años. La Agencia actúa por vía administrativa y el Fiscal General puede presentar acciones civiles.

La CalOPPA no tiene umbral de tamaño. Un operador la infringe si no publica una política conforme en los 30 días siguientes a la notificación del incumplimiento. La CalOPPA no fija cuantías de sanción propias, pero las infracciones pueden perseguirse mediante la Ley de Competencia Desleal de California (Unfair Competition Law), donde las sanciones civiles pueden llegar a $2,500 por infracción según el artículo 17206 del Código de Negocios y Profesiones.

Las cuantías por infracción se acumulan rápido cuando se cuentan por usuario o por descarga. La guía de la CCPA y la CPRA explica qué debe contener la información para California.

Estados Unidos no tiene una ley federal general que obligue a todas las empresas a publicar una política de privacidad. Sin embargo, la Ley de la Comisión Federal de Comercio (FTC Act) prohíbe los actos o prácticas desleales o engañosos en el comercio, y la FTC lleva muchos años usando esa potestad contra empresas cuyas declaraciones de privacidad eran engañosas o cuyas prácticas incumplían las promesas que habían hecho. Los acuerdos suelen imponer obligaciones a largo plazo, como programas de privacidad, evaluaciones independientes e informes, y incumplir una orden de la FTC puede acarrear sanciones civiles.

Los servicios para menores se enfrentan a una norma más estricta. La COPPA Rule exige a los operadores de webs y servicios en línea dirigidos a menores de 13 años, o que saben a ciencia cierta que recogen información personal de esos menores, que publiquen un aviso de privacidad en línea y obtengan un consentimiento parental verificable. Según la guía de la FTC sobre la COPPA, un tribunal puede imponer a los infractores sanciones civiles de hasta $53,088 por infracción, una cifra ajustada a la inflación.

La lección es que tanto el silencio como la inexactitud conllevan riesgos. No tener política no evita el escrutinio de la FTC si tus prácticas son desleales, y una política que dice algo incorrecto crea su propio problema de engaño.

Si tus usuarios están en estos países, sus leyes también esperan transparencia sobre el tratamiento de los datos:

• Canadá: el principio de apertura de la PIPEDA exige a las organizaciones que pongan a disposición información sobre sus políticas y prácticas. La Oficina del Comisionado de Privacidad investiga las reclamaciones, y la Ley 25 de Quebec añade sus propias obligaciones de publicación.
• Brasil: la LGPD da a las personas derecho a recibir información clara sobre el tratamiento. Sus sanciones incluyen advertencias y multas de hasta el 2 % de la facturación de la empresa en Brasil, con un límite de 50 millones de reales (R$50 millones) por infracción.
• Australia: las entidades sujetas a la Privacy Act, en general empresas con una facturación anual superior a 3 millones de dólares australianos (A$3 millones) más algunas más pequeñas, deben tener una política de privacidad expresada con claridad y actualizada según el APP 1. La OAIC puede investigar y solicitar sanciones civiles por injerencias graves en la privacidad.
• Nueva Zelanda: la Privacy Act 2020 exige a las entidades informar a las personas sobre la recogida, y el Comisionado de Privacidad puede investigar reclamaciones y emitir avisos de cumplimiento.

Los detalles varían, así que consulta el centro de leyes de privacidad para cada país al que das servicio.