Qué exigen realmente el RGPD y la KVKK a una web
No un banner de cookies. Las obligaciones son sobre todo arquitectónicas, salen más baratas construidas que añadidas después, y cerca de la mitad desaparecen si simplemente dejas de recoger los datos.
El banner es la parte más pequeña, y normalmente la equivocada
Casi todas las webs que añaden un banner de consentimiento lo hacen mal: aparece el banner, el script de analítica ya se ha ejecutado, y el consentimiento se recoge después de aquello que debía bloquear. Eso es peor que no tener banner, porque documenta la infracción.
La regla es simple y va de orden, no de diseño. Nada que no sea estrictamente necesario puede ejecutarse antes de que el visitante acepte. Si tu tag manager carga en el head, ningún banner del mundo lo hace lícito.
Hay una tercera opción que la gente olvida: no recojas nada. Una web sin analítica, sin píxel y sin script de terceros no necesita banner alguno, porque no hay nada que consentir.
Lo que ambas leyes piden de verdad
El RGPD y la KVKK son leyes distintas con reguladores distintos, pero el trabajo de ingeniería que implican se solapa casi por completo. Construye para la más estricta de las dos y habrás satisfecho ambas.
- Una base jurídica para cada dato personal que guardas, escrita antes de recogerlo.
- Minimización: si no necesitas el teléfono para responder la consulta, no lo pidas.
- Un plazo de conservación por tipo de dato, y algo que borre de verdad cuando expire.
- Exportación y supresión a petición, en un mes, sin cobrar por ello.
- Un contrato de encargado con cada tercero que toque los datos: hosting, proveedor de email, CRM.
- Notificación de brecha en 72 horas: lo que exige que puedas darte cuenta de que ha habido una brecha.
La parte que cuesta dinero si llegas tarde
Conservación y borrado son las dos que duelen. Un esquema que nunca previó el borrado convierte una petición legal de una línea en una migración: filas referenciadas por pedidos, copias en backups, tablas analíticas derivadas que nadie recuerda haber creado.
Diseñado desde el principio es una columna `deleted_at`, un trabajo programado y una ventana de backup documentada. Añadido tras dos años de datos en producción es un trimestre de trabajo que no produce ninguna funcionalidad visible.
El artefacto más útil es una tabla: qué dato, para qué, dónde vive, cuánto se queda. La mayor parte del trabajo de cumplimiento se vuelve obvia en cuanto existe, y es lo primero que pide un regulador.
Dónde esto deja de ser ingeniería
Todo lo anterior se puede construir y probar, y es lo que implementamos en un proyecto. Lo que nada de ello sustituye es un abogado que conozca tu sector y tu jurisdicción, sobre todo si manejas datos de salud, financieros o de menores: esos están en el nivel más estricto de ambas leyes y traen obligaciones que ninguna arquitectura, por buena que sea, resuelve.
Toma las medidas técnicas como el suelo. Son necesarias, son la parte cara de añadir después, y no son todo.