Política de privacidad: ejemplo

Qué debe incluir la política de privacidad de tu web o tienda online según el RGPD y la LOPDGDD, cómo presentarla por capas como recomienda la AEPD, los errores más habituales y un ejemplo gratis que puedes copiar y completar.

Revisado el 16 octubre 2026

En resumen

Explica quién eres, para qué usas los datos, con qué base legal y durante cuánto tiempo.
Indica quién recibe los datos y si salen del Espacio Económico Europeo, y con qué garantía.
Explica los derechos del usuario, también retirar el consentimiento y reclamar ante la AEPD.
Enlázala desde todas las páginas y da la información básica junto a cada formulario.

¿Qué es una política de privacidad?

La política de privacidad es el texto en el que explicas qué haces con los datos personales de las personas. En una web suele ser una página propia, enlazada en el pie.

La obligación viene del RGPD. Su artículo 12 exige que la información se dé de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, y de forma gratuita. Los artículos 13 y 14 enumeran lo que debes contar: el 13 cuando recoges los datos del propio interesado, por ejemplo con un formulario, y el 14 cuando los obtienes de otra fuente.

En España, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) completa el RGPD. Su artículo 11 permite cumplir el deber de informar por capas, como explicamos más abajo.

¿Qué debe incluir?

Cuando recoges datos del propio interesado, el artículo 13 del RGPD exige esta información:

Quién eres: el nombre y los datos de contacto de tu empresa, y de tu representante si estás fuera de la UE pero ofreces bienes o servicios en ella.
Tu delegado de protección de datos, si lo tienes, con sus datos de contacto.
Las finalidades y la base legal. Para cada finalidad, en qué base te apoyas: consentimiento, contrato, obligación legal o interés legítimo. Las directrices europeas sobre transparencia insisten en que las finalidades y la base legal deben quedar claras.
Tu interés legítimo, si es tu base legal. Indica cuál es en concreto.
Los destinatarios: quién recibe los datos, también los encargados del tratamiento, como tu proveedor de alojamiento o de email. Según las directrices, lo más útil es nombrar a los destinatarios; si das solo categorías, deben ser lo más concretas posible.
Las transferencias fuera del EEE: que se producen, si hay una decisión de adecuación y, si no, qué garantía usas y cómo obtener una copia. Las directrices indican que, en general, deben nombrarse los países.
El plazo de conservación o los criterios para fijarlo. Según las directrices, "el tiempo necesario" no basta.
Los derechos del interesado: acceso, rectificación, supresión, limitación, oposición y portabilidad.
El derecho a retirar el consentimiento en cualquier momento, si te basas en él.
El derecho a reclamar ante una autoridad de control, que en España es la AEPD.
Si el usuario está obligado a dar los datos, por ejemplo porque los necesitas para un contrato, y qué pasa si no los da. Las directrices añaden que en los formularios online debe verse claramente qué campos son obligatorios.
Las decisiones automatizadas, incluida la elaboración de perfiles, si producen efectos jurídicos o significativos, con información útil sobre la lógica aplicada y sus consecuencias.

El derecho de oposición merece atención especial: el artículo 21 del RGPD exige mencionarlo de forma explícita, clara y separada de cualquier otra información, como muy tarde en la primera comunicación con el interesado.

La información por capas en España

El artículo 11 de la LOPDGDD permite dar una información básica en el momento de recoger los datos y remitir al resto mediante una dirección electrónica u otro medio fácil de acceder. La información básica incluye al menos la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. Si vas a elaborar perfiles, también debes decirlo en esa primera capa.

La AEPD, en su Guía para el cumplimiento del deber de informar (que la propia Agencia marca como en revisión), propone agrupar la información en epígrafes y mostrar la primera capa como una tabla titulada "Información básica sobre protección de datos", dentro del campo de visión del botón de envío del formulario. Para un formulario de contacto podría quedar así:

Información básica sobre protección de datos
Responsable	[Nombre de la empresa]
Finalidad	Responder a tu consulta
Legitimación	Interés legítimo en atender las consultas recibidas
Destinatarios	No se cederán datos a terceros, salvo obligación legal
Derechos	Acceder, rectificar y suprimir los datos, y otros derechos, como se explica en la información adicional
Información adicional	[Enlace a la política de privacidad]

La segunda capa es tu política de privacidad completa, con todo lo que exige el artículo 13.

Dónde mostrarla

El artículo 13 exige dar la información en el momento en que se recogen los datos. Las directrices europeas sobre transparencia, asumidas por el Comité Europeo de Protección de Datos (CEPD), explican qué significa eso en una web:

Un enlace en todas las páginas. Toda web debería publicar su política de privacidad con un enlace directo, claramente visible en cada página, con un nombre habitual como "Privacidad" o "Política de privacidad". Un enlace que apenas se ve por su posición o su color no es de fácil acceso.
En el punto de recogida. Pon junto a cada formulario la información básica y un enlace a la política de privacidad.
No escondida en las condiciones generales. El usuario no debe tener que buscarla entre otra información.
Por capas si es larga. Así el usuario va directamente a la parte que le interesa, sin perder la información completa en un solo lugar.
En el idioma del usuario, si te diriges a personas que hablan otros idiomas, con una traducción fiel.

Política de privacidad, política de cookies y banner

Cada uno tiene su función:

El banner de cookies pide el consentimiento antes de instalar cookies no exentas y enlaza a la información completa.
La política de cookies explica qué cookies y tecnologías similares usas, quién las instala y cuánto duran, como exige el artículo 22.2 de la LSSI.
La política de privacidad cubre todos los datos personales que tratas, también fuera de las cookies: formularios, pedidos, boletines o atención al cliente.

Deben remitirse entre sí. Tu política de privacidad menciona las herramientas de analítica y publicidad, su base legal (normalmente el consentimiento) y las transferencias fuera del EEE, y remite a la política de cookies para el detalle. El banner enlaza a las dos. Retirar el consentimiento debe ser tan fácil como darlo, así que indica en ambos textos dónde se cambia la elección de cookies. Más sobre las reglas en La ley de cookies en España y, si usas Google Analytics, en Google Analytics y el RGPD en España.

Cookie Confirm muestra un banner que registra el consentimiento de cada usuario y enlaza a tu política de cookies y a tu política de privacidad.

Lo que añade una tienda online

Una tienda online trata más datos que una web normal, así que su política de privacidad necesita más:

Pedidos: los datos necesarios para la entrega, con base en el contrato. Indica que sin ellos no puedes tramitar el pedido.
Facturas: el artículo 30 del Código de Comercio obliga a conservar la documentación del negocio durante seis años. La base legal es una obligación legal.
Pago: nombra al proveedor de pagos y aclara si tú recibes los datos de la tarjeta o del banco.
Envío: nombra las empresas de transporte que reciben la dirección.
Boletín: el artículo 21 de la LSSI prohíbe enviar publicidad por correo electrónico que no se haya pedido o autorizado expresamente. La excepción son tus propios clientes: puedes escribirles sobre productos de tu empresa similares a los que compraron, si obtuviste sus datos de forma lícita y les ofreces oponerse gratis al recoger los datos y en cada comunicación. Indica en tu política en cuál de los dos casos te basas.
Opiniones: si un servicio de opiniones invita a los clientes tras la compra, nómbralo y di qué datos le comunicas.
Cuentas de cliente: indica cuánto tiempo conservas una cuenta y qué pasa tras un periodo sin actividad.

Cuando un plazo termina, el artículo 32 de la LOPDGDD obliga a bloquear los datos antes de borrarlos: se reservan para ponerlos a disposición de los jueces, el Ministerio Fiscal o las autoridades durante el plazo en que puedan exigirse responsabilidades, y después se destruyen.

Errores frecuentes

Copiar un texto genérico. La política de otra web o de un generador describe otras herramientas y otros datos. Si no refleja lo que hace tu web, no es transparente.
Confundirla con el aviso legal. El aviso legal de la LSSI identifica al prestador; no sustituye a la información del RGPD.
Finalidades vagas. Las directrices europeas ponen como ejemplos poco claros frases como usar los datos para desarrollar nuevos servicios, para investigación o para ofrecer servicios personalizados, sin explicar qué significa.
Sin base legal por finalidad. Una frase general como "tratamos los datos conforme al RGPD" no dice nada.
Herramientas estadounidenses sin información sobre transferencias. La analítica, el email marketing y el alojamiento suelen ser de empresas de EE. UU. Nombra al proveedor, el país y la garantía, como el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo.
"El tiempo necesario". Da un plazo o los criterios.
No mencionar a la AEPD. El usuario debe saber que puede reclamar ante la autoridad de control.
Desactualizada. Cada plugin, herramienta o encargado nuevo puede cambiar lo que tienes que contar.

Reclamaciones ante la AEPD

La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD). Las reclamaciones pueden presentarse a través de su sede electrónica, sedeagpd.gob.es. Indica en tu política que el usuario tiene ese derecho y cómo ejercerlo.

Si has nombrado un delegado de protección de datos, el artículo 37 de la LOPDGDD permite al usuario dirigirse primero a él, antes de reclamar ante la AEPD; el delegado debe responderle en un plazo máximo de dos meses. Es una opción del usuario, no un requisito. El artículo 34 de la LOPDGDD obliga a nombrar delegado, entre otros, a los prestadores de servicios de la sociedad de la información que elaboren a gran escala perfiles de los usuarios.

El texto de ejemplo

Abajo tienes un ejemplo que puedes copiar. Completa todo lo que está entre [corchetes], quita los apartados que no necesites y añade los tratamientos que falten, para que el texto describa lo que hace tu web de verdad. Un ejemplo no es asesoramiento jurídico: si tienes dudas sobre si encaja en tu caso, pide que lo revise un abogado.

Fuentes

Ejemplo de política de privacidad

Política de privacidad de [Nombre de la empresa]

Última actualización: [fecha]

¿Quién es el responsable del tratamiento de tus datos?
[Nombre o razón social], con NIF [NIF] y domicilio en [calle y número, código postal y ciudad], es el responsable de los datos personales que se tratan en el sitio web [dirección web] [y en la tienda online [dirección]].
Correo electrónico de contacto: [correo electrónico de privacidad]
[Si tienes delegado de protección de datos: Puedes contactar con nuestro delegado de protección de datos en [correo electrónico].]
[Si estás establecido fuera de la UE pero ofreces bienes o servicios en ella: Nuestro representante en la Unión Europea es [nombre, dirección, correo electrónico].]

¿Qué explica esta política?
En esta política te explicamos qué datos personales tratamos cuando visitas nuestra web, nos escribes, te suscribes a nuestro boletín o haces un pedido, para qué los usamos y qué derechos tienes. Las cookies y tecnologías similares se explican en nuestra política de cookies: [enlace a la política de cookies].

Cuando nos escribes
Si usas nuestro formulario de contacto o nos envías un correo, tratamos tu nombre, tu correo electrónico, [tu teléfono] y tu mensaje para responder a tu consulta.
Base legal: nuestro interés legítimo en atender las consultas que recibimos[, o la aplicación de medidas precontractuales a petición tuya].
Conservamos estos mensajes durante [plazo, por ejemplo 12 meses] después de responder a tu consulta, salvo que den lugar a un pedido.

Cuando haces un pedido
Para gestionar y entregar tu pedido tratamos tu nombre, dirección, correo electrónico, teléfono, los productos que compras y el estado del pago.
Base legal: la ejecución del contrato de compraventa. Sin estos datos no podemos tramitar tu pedido.
Conservamos los datos de los pedidos durante [plazo] y las facturas y la documentación contable durante seis años, como exige el artículo 30 del Código de Comercio[, o el plazo mayor que fije la normativa fiscal].
Base legal para conservar las facturas: el cumplimiento de una obligación legal.
[Si los clientes pueden crear una cuenta: Si creas una cuenta, conservamos sus datos hasta que la elimines o tras [plazo] sin actividad.]

Pagos
Los pagos los gestiona [proveedor de pagos]. Nosotros recibimos la confirmación del pago, pero no los datos completos de tu tarjeta o cuenta bancaria. [Proveedor de pagos] trata tus datos de pago [como encargado del tratamiento por cuenta nuestra / como responsable independiente, según su propia política de privacidad: enlace].

Envío
Comunicamos tu nombre, dirección [y correo electrónico o teléfono] a [empresa de transporte] para que pueda entregarte el pedido y avisarte de la entrega.

Boletín y comunicaciones comerciales
[Elige una opción:]
[Si te suscribes, usamos tu correo electrónico [y tu nombre] para enviarte nuestro boletín. Base legal: tu consentimiento. Puedes darte de baja en cualquier momento con el enlace que aparece en cada envío o escribiéndonos. La retirada del consentimiento no afecta a la licitud de los envíos anteriores.]
[Como cliente, podemos enviarte por correo electrónico comunicaciones sobre productos de nuestra empresa similares a los que nos compraste, como permite el artículo 21.2 de la LSSI. Base legal: nuestro interés legítimo en la mercadotecnia directa. Puedes oponerte gratis en el momento del pedido y en cada comunicación que te enviemos.]
Para los envíos usamos [proveedor de email marketing]. Conservamos tu correo electrónico hasta que te des de baja.

Opiniones
[Si procede: Después de tu pedido podemos pedirte tu opinión a través de [servicio de opiniones]. Para ello le comunicamos tu nombre, correo electrónico y número de pedido. Base legal: [nuestro interés legítimo en recoger opiniones de clientes / tu consentimiento]. Si publicas una opinión, aparece con [tu nombre de pila / el nombre que elijas].]

Analítica y publicidad
Usamos [herramienta de analítica] para saber cómo se usa nuestra web y [herramientas de marketing, por ejemplo Google Ads o Meta Pixel] para medir y mostrar nuestros anuncios. Estas herramientas usan cookies o tecnologías similares y solo las activamos si las aceptas en nuestro banner de cookies. Puedes cambiar tu elección en cualquier momento en [el enlace "Configuración de cookies" al pie de cada página]. Qué cookies usamos, quién las instala y cuánto duran lo explicamos en nuestra política de cookies: [enlace].

¿A quién comunicamos tus datos?
No vendemos tus datos personales. Solo los comunicamos en los casos que se indican en esta política o cuando lo exige la ley. Estas empresas tratan datos por cuenta nuestra, con un contrato de encargo del tratamiento:
- [Proveedor de alojamiento] – alojamiento de la web [y de la tienda online]
- [Proveedor de email marketing] – envío de correos y boletines
- [Plataforma de comercio electrónico] – nuestra tienda online
- [Asesoría o programa de contabilidad] – contabilidad y obligaciones fiscales
[Añade o quita destinatarios para que la lista refleje tu caso.]

Transferencias internacionales
Algunas de estas empresas están fuera del Espacio Económico Europeo o pueden acceder a los datos desde fuera:
- [Proveedor] en [país]. Garantía: [la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. / cláusulas contractuales tipo].
Puedes pedir una copia de estas garantías en [correo electrónico de privacidad]. [Si no hay transferencias: No transferimos datos personales fuera del Espacio Económico Europeo.]

¿Durante cuánto tiempo conservamos tus datos?
Solo conservamos tus datos durante el tiempo necesario para las finalidades descritas. Los plazos aparecen en cada apartado. Después los bloqueamos durante el plazo en que puedan exigirse responsabilidades, como establece el artículo 32 de la LOPDGDD, y una vez transcurrido los eliminamos.

Decisiones automatizadas
No tomamos decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre ti o te afecten de forma significativa. [Si lo haces, por ejemplo con controles automáticos de fraude, descríbelo, explica la lógica aplicada y sus consecuencias para el cliente.]

Tus derechos
Tienes derecho a:
- acceder a tus datos personales;
- rectificar los datos inexactos;
- solicitar la supresión de tus datos;
- solicitar la limitación del tratamiento;
- recibir los datos que nos has facilitado en un formato estructurado y de uso común, o que se los enviemos a otra empresa, cuando los tratamos con tu consentimiento o para ejecutar un contrato (portabilidad);
- retirar tu consentimiento en cualquier momento, cuando el tratamiento se base en él, sin que ello afecte a la licitud del tratamiento anterior.

Tu derecho de oposición
Cuando tratamos tus datos por interés legítimo, puedes oponerte al tratamiento por motivos relacionados con tu situación particular. Puedes oponerte siempre a la mercadotecnia directa, y en ese caso dejaremos de usar tus datos con ese fin.

Para ejercer cualquiera de estos derechos, escríbenos a [correo electrónico de privacidad]. Te responderemos en el plazo de un mes. Si tu solicitud es compleja, podemos ampliar el plazo dos meses más, y te lo diremos dentro del primer mes. Podemos pedirte que acredites tu identidad.

Reclamaciones
Si no estás conforme con cómo tratamos tus datos, puedes escribirnos primero a [correo electrónico de privacidad][ o a nuestro delegado de protección de datos]. También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, a través de su sede electrónica: https://sedeagpd.gob.es.

Cambios en esta política
Podemos actualizar esta política cuando cambien nuestros servicios o la normativa. La fecha del principio indica la última actualización. Si los cambios son importantes, te avisaremos [por correo electrónico / con un aviso en la web].

¿Prefieres no rellenarla tú?Cookie Confirm redacta tu declaración de cookies a partir de lo que el escáner encuentra en tu web, y la mantiene al día cuando cambian las cookies.

Preguntas frecuentes

¿Es obligatoria la política de privacidad en una web?

Si tu web recoge datos personales, por ejemplo con un formulario de contacto, un boletín, pedidos o analítica, el RGPD te obliga a dar a los usuarios la información de sus artículos 13 y 14. La ley no exige una página llamada "política de privacidad", pero una política enlazada desde todas las páginas es la forma habitual de hacerlo, junto con la información básica al lado de cada formulario.

¿Puedo usar un generador de política de privacidad?

Un generador o un ejemplo es un buen punto de partida, siempre que compruebes cada frase con lo que tu web hace de verdad: qué datos, qué herramientas, qué destinatarios y cuánto tiempo los guardas. La AEPD ofrece gratis Facilita RGPD, un cuestionario para empresas con tratamientos de escaso riesgo que genera, entre otros documentos, las cláusulas informativas. La propia AEPD advierte que obtener esos documentos no supone cumplir automáticamente el RGPD.

¿Qué diferencia hay entre la política de privacidad y el aviso legal?

El aviso legal es la información sobre ti como prestador que exige el artículo 10 de la LSSI: nombre o razón social, domicilio, correo electrónico, datos del Registro Mercantil y NIF, entre otros. La política de privacidad explica cómo tratas los datos personales según el RGPD. Muchas webs los publican en páginas separadas, enlazadas desde el pie.

¿Puedo juntar la política de privacidad y la política de cookies?

Sí. Hay webs que lo ponen todo en un documento y otras que tienen dos páginas que se enlazan entre sí. La AEPD permite que la política de cookies remita a la de privacidad para la información que no es específica de las cookies, como los derechos. Lo importante es que la información esté completa, sea fácil de encontrar y que el banner de cookies enlace a ella.

¿Qué pasa si mi web la usan menores?

En España, un menor puede consentir el tratamiento de sus datos a partir de los 14 años (artículo 7 de la LOPDGDD). Por debajo de esa edad necesitas el consentimiento de quien ejerza la patria potestad o la tutela. Si tu web se dirige a menores, la información debe estar redactada de forma que la entiendan.

¿Cada cuánto tengo que actualizar la política de privacidad?

Cada vez que cambie el tratamiento: una herramienta nueva, un encargado nuevo, una finalidad nueva o una transferencia fuera del EEE. Pon la fecha de la última actualización al principio e informa activamente de los cambios importantes.

Esta guía es información general y no asesoramiento jurídico. La revisamos con regularidad, pero las leyes y las guías cambian. ¿Tienes dudas sobre tu caso? Consulta a un abogado.

Sigue leyendo

Más guías

Todas las guías →

Los primeros 7 días totalmente gratis

Crea una cuenta gratuita y comprueba si Cookie Confirm es lo que necesitas. Activo en 5 minutos.

No se requiere tarjeta de crédito
Después 7,95 € al mes
Instalación plug-and-play

Empezar mi prueba gratuita

4,9/5 5.000+ sitios web