Qué debe cubrir una verificación del cumplimiento web en la UE

«¿Cumple la normativa nuestro sitio web?» parece una sola pregunta. En la UE son al menos seis, regidas por actos jurídicos distintos y con autoridades de control distintas: las autoridades de protección de datos para las cookies y las políticas de privacidad, los organismos de protección de los consumidores para la información de las tiendas y las autoridades de vigilancia del mercado para la accesibilidad. Una buena verificación del cumplimiento, tanto si la hace usted mismo como si contrata un escáner, debería cubrirlas todas e indicarle de qué norma procede cada hallazgo.

1. Cookies, almacenamiento y consentimiento

El artículo 5, apartado 3, de la Directiva ePrivacy exige consentimiento antes de almacenar información en el dispositivo de un visitante o de leerla de él, salvo que sea estrictamente necesario para el servicio expresamente solicitado por el visitante (en España, el art. 22.2 de la LSSI, Ley 34/2002). La norma abarca las cookies, pero también el almacenamiento local, los píxeles y las técnicas de huella digital (fingerprinting). El nivel exigido al consentimiento es el del RGPD: libre, específico, informado e inequívoco (artículos 4, punto 11, y 7 del RGPD).

Por tanto, una verificación debería:

• cargar el sitio en un navegador limpio sin interactuar y registrar cada cookie, entrada de almacenamiento y solicitud de red que aparezca antes de cualquier elección;
• repetir la visita tras hacer clic en «rechazar» y confirmar que los rastreadores no esenciales siguen desactivados;
• comprobar que rechazar es tan fácil como aceptar, que no hay ninguna opción preseleccionada y que el consentimiento puede retirarse con la misma facilidad con que se dio (artículo 7, apartado 3, del RGPD);
• comparar lo que afirman el banner y la lista de cookies con lo que realmente se carga.

Nuestra guía específica, Consentimiento de cookies: qué exigen las normas ePrivacy, entra en detalle.

2. Solicitudes a terceros y transferencias de datos

Cada fuente tipográfica, vídeo, mapa, widget de chat o etiqueta de analítica incrustados envía la dirección IP y los datos del navegador del visitante a otra empresa. Según el RGPD, se trata de una transmisión de datos personales que necesita una base jurídica (artículo 6) y, si el destinatario está fuera del EEE, un mecanismo de transferencia conforme al capítulo V. El Tribunal de Justicia declaró en Fashion ID (C-40/17) que el gestor de un sitio que incrusta un complemento de terceros puede ser corresponsable de la recogida y transmisión de los datos de los visitantes.

Un escáner debería enumerar cada host de terceros al que se conecta la página, cuándo lo hace (antes o después del consentimiento) y, idealmente, dónde está establecido el destinatario. Alojar en el propio servidor las fuentes y los scripts es la solución más sencilla para muchos hallazgos.

3. La política de privacidad

Los artículos 13 y 14 del RGPD enumeran lo que debe comunicarse a los visitantes: quién es el responsable del tratamiento y cómo contactar con él (y con el delegado de protección de datos, si se ha designado), los fines y las bases jurídicas de cada tratamiento, los destinatarios, las transferencias fuera del EEE, los plazos de conservación, los derechos del interesado, el derecho a presentar una reclamación ante una autoridad de control y si existen decisiones automatizadas. El artículo 12 añade que la información debe ser concisa, transparente y de fácil acceso.

Las herramientas automatizadas pueden confirmar que la política existe, que está enlazada desde todas las páginas y que menciona los elementos exigidos. Lo que más importa es si su contenido coincide con lo que el sitio hace realmente, y eso es lo que un escáner solo puede aproximar comparando la política con los rastreadores que ha encontrado.

4. Información del prestador («aviso legal»)

El artículo 5 de la Directiva sobre el comercio electrónico obliga a todo servicio de la sociedad de la información a hacer accesibles «de forma fácil, directa y permanente» determinados datos: el nombre del prestador, su dirección geográfica, sus datos de contacto, incluida una dirección de correo electrónico, la inscripción en el registro mercantil y el número de registro, el número de identificación a efectos del IVA y, en su caso, la autoridad de supervisión o las normas profesionales. Varios Estados miembros lo aplican mediante una página específica (Alemania con el § 5 DDG, Austria con el § 5 ECG, Eslovaquia con la Ley n.º 22/2004 Rec.).

Una verificación debería confirmar que la página existe, que se llega a ella con uno o dos clics desde cualquier página y que contiene cada elemento. Más información: Aviso legal y deberes de información del derecho del consumidor para tiendas en línea en la UE.

5. Información de consumo para tiendas en línea

Si el sitio vende a consumidores, la Directiva sobre derechos de los consumidores añade la información precontractual (artículo 6), el texto del botón de pedido (artículo 8, apartado 2; en España, art. 98.2 del texto refundido de la LGDCU) y el derecho de desistimiento de 14 días (artículo 9). Desde la Directiva Ómnibus 2019/2161, las tiendas también deben explicar cómo se determina la clasificación de los productos, indicar si verifican las opiniones de los consumidores y cómo lo hacen, y mostrar el precio anterior al anunciar una reducción (Directiva sobre indicación de precios, artículo 6 bis).

6. Accesibilidad

Desde el 28 de junio de 2025, la European Accessibility Act (en España, Ley 11/2023) se aplica al comercio electrónico dirigido a consumidores y a varios otros servicios. En la práctica, eso significa cumplir los requisitos web de la norma EN 301 549, que remite a las WCAG 2.1 nivel AA. Las pruebas automatizadas detectan de forma fiable la falta de texto alternativo, el contraste insuficiente, los campos de formulario sin etiqueta y la ausencia de atributos de idioma; el manejo con teclado y el recorrido con lector de pantalla siguen requiriendo pruebas manuales. Consulte Accesibilidad (EAA 2025) para sitios web.

Una lista de comprobación en una página

Lo que ningún escáner puede ver

Los registros de las actividades de tratamiento (artículo 30 del RGPD), los contratos de encargo del tratamiento (artículo 28), las evaluaciones de impacto relativas a la protección de datos (artículo 35), el seguimiento en el servidor y lo que ocurre en las áreas de usuarios registrados son invisibles para un rastreador web. Un análisis es el mejor primer paso y una excelente prueba de regresión; no es una auditoría completa. Nuestra guía Qué pueden y qué no pueden verificar los escáneres de cumplimiento automatizados explica dónde está el límite.