Una política de privacidad debe decir quién trata los datos y cómo contactarle, para qué y con qué base legal, a quién se comunican, si salen de la UE, cuánto tiempo se guardan y qué derechos tiene la persona, incluida la reclamación ante la AEPD (art. 13 RGPD). Se puede dar por capas: un resumen junto al formulario y el texto completo en una página aparte (art. 11 LOPDGDD).
La política de privacidad es el texto que explica a tus clientes, pacientes o visitantes qué haces con sus datos. No es un trámite de la web: es la forma de cumplir el deber de informar del artículo 13 del RGPD. Abajo tienes la lista de lo que tiene que incluir, un ejemplo completo para una clínica de fisioterapia inventada y los errores que más vemos al revisar webs de pymes.
Qué tiene que incluir según el RGPD
Cuando recoges datos de la propia persona, el artículo 13 del RGPD te obliga a darle esta información en el momento de recogerlos:
- Quién es el responsable: nombre o razón social y datos de contacto.
- Datos del delegado de protección de datos, si lo tienes nombrado.
- Para qué usas los datos y con qué base jurídica (contrato, obligación legal, consentimiento, interés legítimo…). Si usas el interés legítimo, cuál es.
- Destinatarios o categorías de destinatarios.
- Transferencias fuera de la UE, si las hay, y con qué garantías.
- Cuánto tiempo guardas los datos o, si no se puede fijar, el criterio.
- Los derechos: acceso, rectificación, supresión, limitación, oposición y portabilidad.
- Que puede retirar el consentimiento, cuando la base sea esa.
- Que puede reclamar ante la autoridad de control, en España la AEPD.
- Si dar los datos es obligatorio y qué pasa si no los da.
- Si hay decisiones automatizadas o perfiles con efectos sobre la persona.
Si obtienes los datos de un tercero (por ejemplo, te los pasa una aseguradora), se aplica el artículo 14, que añade las categorías de datos y de dónde proceden.
La información por capas: el resumen y el texto completo
Meter todo eso debajo de cada formulario sería ilegible. El artículo 11 de la LOPDGDD permite hacerlo en dos capas:
- Primera capa, junto al formulario, en el papel de la ficha o en el contrato: quién es el responsable, para qué se usan los datos y que se pueden ejercer los derechos, con un enlace o una dirección donde leer el resto. Si vas a hacer perfiles, también tienes que decirlo aquí.
- Segunda capa: la política de privacidad completa, en una página de tu web a un clic, y en papel para quien la pida en el local.
Muchas empresas añaden a la primera capa la base legal y los destinatarios, en forma de tabla corta. No es obligatorio, pero ayuda.
Ejemplo completo: Fisioterapia Ejemplo, S.L.
Hemos elegido una clínica a propósito: trata datos de salud, que es donde más se equivoca la gente. La empresa, el NIF, la dirección y los correos son inventados. Debajo del ejemplo explicamos las decisiones.
Política de privacidad de Fisioterapia Ejemplo, S.L.
1. Responsable. Fisioterapia Ejemplo, S.L., NIF B00000000, calle Ejemplo, 1, 03000 Alicante. Teléfono 965 000 000. Correo para protección de datos: privacidad@fisioejemplo.es.
2. Delegado de protección de datos. Puedes contactar con nuestro delegado de protección de datos en dpd@fisioejemplo.es.
3. Para qué usamos tus datos y con qué base legal.
- Atenderte como paciente: tus datos de identificación y contacto y los de salud que necesitamos para valorarte, tratarte y llevar tu historia clínica. Base: la prestación de asistencia sanitaria (art. 9.2.h RGPD) y el contrato de servicios (art. 6.1.b), y la obligación legal de llevar la historia clínica (art. 6.1.c).
- Gestionar tus citas, también las que pides desde la web, y recordártelas por SMS o correo. Base: tu solicitud y el contrato (art. 6.1.b).
- Cobrar y facturar, y cumplir con Hacienda. Base: el contrato y nuestras obligaciones fiscales y contables (art. 6.1.b y 6.1.c).
- Enviarte nuestro boletín con consejos y ofertas, solo si marcas la casilla correspondiente. Base: tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras desde el enlace de cada envío o escribiéndonos.
- Valorar tu currículum si nos lo envías para trabajar con nosotros. Base: tu solicitud (art. 6.1.b).
4. Si tienes que darnos los datos. Los de identificación, contacto y salud son necesarios para atenderte; sin ellos no podemos tratarte. Los del boletín son voluntarios.
5. A quién comunicamos tus datos. A tu mutua o aseguradora, si es quien paga el tratamiento, con los datos necesarios para autorizarlo y facturarlo. A la Administración tributaria y a jueces y tribunales cuando la ley nos obligue. Acceden también, como encargados del tratamiento y con contrato, nuestro proveedor del programa de gestión de la clínica, nuestro alojamiento web, nuestro proveedor de envío de SMS y correos y nuestra gestoría.
6. Transferencias fuera de la Unión Europea. No hacemos transferencias internacionales. Si algún proveedor nuevo las hiciera, lo indicaremos aquí junto con las garantías que las cubren.
7. Cuánto tiempo guardamos tus datos. La historia clínica, como mínimo cinco años desde el alta de cada proceso asistencial, como exige la Ley 41/2002, o el plazo mayor que fije la normativa sanitaria aplicable. Las facturas y los datos contables, seis años. Los datos del boletín, hasta que te des de baja. Los currículums, un año desde que los recibimos, salvo que nos pidas borrarlos antes.
8. Tus derechos. Puedes pedir el acceso a tus datos, su rectificación o supresión, la limitación del tratamiento, oponerte a él y pedir la portabilidad, escribiendo a privacidad@fisioejemplo.es o en recepción. Te responderemos en el plazo de un mes, ampliable en los casos que prevé el RGPD. Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
9. Decisiones automatizadas. No tomamos decisiones sobre ti de forma automatizada ni elaboramos perfiles.
10. Cambios. Última actualización: octubre de 2026.
Y la primera capa, debajo del formulario de citas
Responsable: Fisioterapia Ejemplo, S.L. Finalidad: gestionar tu cita y atenderte. Legitimación: tu solicitud. Destinatarios: no se ceden, salvo obligación legal. Derechos: acceso, rectificación, supresión y otros, en privacidad@fisioejemplo.es. Más información: en nuestra política de privacidad.
[ ] Quiero recibir el boletín con consejos y ofertas de la clínica (opcional).
Por qué está escrita así: los comentarios
- Tiene delegado de protección de datos. No es un adorno: el artículo 34.1.l de la LOPDGDD obliga a nombrarlo a los centros sanitarios que deben llevar historias clínicas. Un fisioterapeuta autónomo que trabaja solo queda fuera de esa obligación; una clínica con forma de sociedad, no. Lo explicamos en cuándo es obligatorio el delegado.
- Cada finalidad tiene su base. El error típico es poner «base: su consentimiento» para todo. Atender a un paciente no depende de su consentimiento: si lo retirara, la clínica seguiría obligada a guardar la historia clínica.
- El boletín va aparte. El artículo 6.3 de la LOPDGDD prohíbe condicionar el contrato a que la persona consienta usos que no tienen que ver con él. Por eso la casilla es opcional y está sin marcar.
- Los proveedores se nombran por tipo. No hace falta poner la marca de cada programa, pero sí que quede claro quién accede. Si usas un servicio con servidores en Estados Unidos, el apartado 6 ya no puede decir «no hacemos transferencias».
- Los plazos son concretos. «El tiempo necesario» no informa de nada. Si no puedes dar un número, explica el criterio.
- Los datos de salud no van en la primera capa del formulario web porque ahí solo se piden datos para la cita. Si tu formulario pregunta «motivo de la consulta», estás recogiendo datos de salud y conviene decirlo y limitar el campo.
Errores típicos que vemos en webs de pymes
- Copiarla de otra web y dejar el nombre del otro negocio, o servicios que no prestas.
- Citar la LOPD de 1999 (Ley 15/1999) o «el fichero inscrito en la Agencia». Esa ley está derogada y la inscripción de ficheros ya no existe.
- No decir la base jurídica de cada uso, o usar el consentimiento para todo.
- «Conservaremos sus datos indefinidamente». Va contra el principio de limitación del plazo.
- Olvidar herramientas que tratan datos: el formulario que envía a un servicio externo, el chat, la analítica, el programa de correo masivo.
- No mencionar el derecho a reclamar ante la AEPD.
- Una dirección de contacto que nadie lee. Si alguien ejerce sus derechos, tienes un mes para contestar (art. 12.3 RGPD), ampliable dos meses más en casos complejos.
- Mezclarla con la política de cookies o el aviso legal en un solo texto confuso. Son tres documentos con fines distintos; el aviso legal y las cookies los regula la LSSI, como contamos en la guía de la LSSI.
Cómo adaptar el ejemplo a tu negocio
- Haz una lista de todos los sitios donde recoges datos: formularios, fichas en papel, WhatsApp, reservas, currículums, cámaras.
- Para cada uno, apunta para qué los usas, la base legal, quién más los ve y cuánto tiempo los guardas. Esa lista es casi tu registro de actividades.
- Reescribe los apartados 3, 5, 6 y 7 del ejemplo con lo que de verdad haces.
- Pon la primera capa debajo de cada formulario y en tus fichas en papel.
- Revisa la web completa con nuestra herramienta gratuita: te dice si falta la política, el aviso legal o la casilla de los formularios.
Si prefieres no hacerlo tú, en Adapta RGPD redactamos la política de privacidad con los datos de tu negocio a partir de un cuestionario y la actualizamos cada año cuando cambias de proveedores o de servicios.
Preguntas frecuentes
¿Puedo copiar la política de privacidad de otra web?
Puedes usarla de guía, pero tiene que describir lo que haces tú: tus datos, tus finalidades, tus proveedores y tus plazos. Una política copiada suele hablar de tratamientos que no haces y olvidar los que sí, y eso es informar mal.
¿Es obligatoria la política de privacidad si mi web no tiene formulario?
Si la web no recoge ningún dato personal, ni por formulario, ni por chat, ni por cookies de analítica o publicidad, no hay nada sobre lo que informar en ella. En cuanto recoges datos, sí. Además, la necesitas fuera de la web para tus clientes, aunque la web no tenga formulario.
¿Qué diferencia hay entre aviso legal y política de privacidad?
El aviso legal identifica al titular de la web y lo exige la LSSI. La política de privacidad explica qué se hace con los datos personales y la exige el RGPD. Son documentos distintos y conviene tenerlos separados.
¿Cada cuánto tengo que revisar la política de privacidad?
Cada vez que cambie algo: un proveedor nuevo, un servicio nuevo, un formulario o una herramienta de marketing. Como mínimo, conviene revisarla una vez al año.
