Desde la entrada en vigor del RGPD en mayo de 2018, las antiguas formalidades de declaración previa ante la CNIL han sido eliminadas para la gran mayoría de los tratamientos de datos relacionados con un sitio web. El mecanismo de cumplimiento se basa ahora en una lógica de responsabilización: cada organismo debe documentar por sí mismo sus tratamientos y ser capaz de probar su conformidad en cualquier momento.
Registro de tratamientos: la pieza clave que reemplaza la declaración CNIL
El antiguo sistema distinguía entre declaración simplificada y declaración normal. Un sitio que recolectaba direcciones de correo electrónico a través de un boletín informativo o un formulario de contacto debía obtener un recibo de la CNIL antes de tratar esos datos. Este régimen ya no existe.
Hoy en día, la conformidad de un sitio web pasa por el registro de actividades de tratamiento. Este documento interno enumera cada operación que involucra datos personales: finalidad, categorías de datos recolectados, duraciones de conservación, medidas de seguridad. Debe poder ser presentado en caso de control.
Para un sitio vitrina con un formulario de contacto, el registro sigue siendo simple. Para un sitio de comercio electrónico que almacena datos bancarios y un historial de compras, las entradas se multiplican. La granularidad del registro refleja la complejidad real de los tratamientos, no el tamaño de la empresa.
Concretamente, seguir un procedimiento de declaración CNIL simplificado equivale a estructurar este registro y documentar cada tratamiento según los requisitos del RGPD, sin esperar un recibo ni un número de registro.
Consentimiento y cookies: los controles que la CNIL prioriza
La gestión del consentimiento en un sitio web se ha convertido en el primer motivo de queja ante la CNIL. Las banners de cookies mal configuradas, las casillas pre-marcadas o la ausencia de un mecanismo de rechazo tan simple como el de aceptación generan informes regulares.
La CNIL ha adoptado un procedimiento de sanción simplificada para tratar rápidamente las infracciones comunes. Desde enero de 2026, se han pronunciado 23 sanciones en este marco, la mayoría como resultado de quejas de usuarios. El mecanismo permite sancionar sin pasar por la formación restringida completa, lo que acelera los plazos de tratamiento.
Los puntos verificados durante un control en un sitio web cubren varios aspectos concretos:
- La presencia de un banner de cookies que permita aceptar o rechazar los rastreadores con la misma facilidad, sin un diseño engañoso
- La carga efectiva de cookies antes de cualquier acción del usuario (las cookies no importantes no deben cargarse antes del consentimiento explícito)
- La conservación de una prueba con fecha y hora del consentimiento, consultable en caso de solicitud de la CNIL
- La existencia de una política de privacidad accesible, que describa los tratamientos, las duraciones de conservación y los derechos de los usuarios
Un sitio que cumple con estos cuatro puntos cubre la mayoría de los riesgos identificados por la CNIL sobre los tratamientos web comunes.
Responder a los derechos de los usuarios: la obligación más subestimada
Muchos gestores de sitios concentran sus esfuerzos en el banner de cookies y la política de privacidad, pero descuidan la gestión de las solicitudes de ejercicio de derechos. El RGPD otorga a las personas afectadas un derecho de acceso, rectificación, supresión y portabilidad de sus datos.
Un usuario puede solicitar en cualquier momento qué datos tiene un sitio sobre él, o exigir su eliminación. El responsable del tratamiento dispone de un mes para responder. La falta de respuesta o una respuesta tardía constituye una infracción sancionable.
Establecer un circuito de tratamiento de solicitudes
Para un sitio de pequeña tamaño, un formulario dedicado o una dirección de correo electrónico específica (tipo [email protected]) es suficiente. El objetivo es rastrear cada solicitud recibida, la fecha de recepción y la respuesta proporcionada.
Esta trazabilidad alimenta directamente el registro de tratamientos. En caso de control, la CNIL verifica no solo la existencia de un canal de contacto, sino también la capacidad real de localizar y eliminar los datos de una persona identificada en las bases del sitio.
AIPD y casos particulares: cuando la conformidad básica ya no es suficiente
El análisis de impacto relativo a la protección de datos (AIPD) no es requerido para todos los sitios. Se vuelve obligatorio cuando un tratamiento presenta un riesgo elevado para los derechos y libertades de las personas: perfilado sistemático, recolección de datos sensibles (salud, opiniones políticas), vigilancia a gran escala.
Un sitio de comercio electrónico clásico generalmente no entra en este perímetro. Sin embargo, una plataforma de salud en línea que ofrece teleconsultas, o un sitio que recolecta datos biométricos para autenticación, debe realizar un AIPD antes de la puesta en producción del tratamiento.
Transferencias de datos fuera de la Unión Europea
El uso de herramientas de análisis o alojamiento ubicadas fuera de la UE (servicios de nube estadounidenses, por ejemplo) impone garantías adicionales. El responsable del tratamiento debe verificar que el proveedor ofrezca un nivel de protección adecuado, a través de cláusulas contractuales tipo o una decisión de adecuación de la Comisión Europea.
Documentar la elección de cada subcontratista en el registro permite demostrar esta verificación. La CNIL ha sancionado a varios sitios por haber transferido datos a servidores estadounidenses sin un marco contractual suficiente.
Conformidad RGPD de un sitio web: lo que importa durante un control
La lógica actual de la CNIL se basa en la capacidad de demostrar su conformidad, no en un sello administrativo previo. Un control se centra en pruebas tangibles: el registro actualizado, las pruebas de consentimiento, las respuestas a las solicitudes de derechos, la documentación de los subcontratistas.
- El registro de actividades de tratamiento, incluso en forma de hoja de cálculo, debe ser completo y actualizado
- Las pruebas de consentimiento de los usuarios deben estar fechadas y conservarse durante toda la duración del tratamiento
- Los contratos con los subcontratistas (alojamiento, herramienta de email marketing, solución de pago) deben incluir cláusulas RGPD
La conformidad de un sitio web ya no se resume a una declaración puntual. Se construye a lo largo del tiempo, mediante la rigurosa gestión de estos documentos y la actualización regular de las prácticas ante cada evolución del sitio o de sus herramientas.
