WordPress impulsa cerca del 40 % de los sitios web del mundo, desde blogs hasta tiendas WooCommerce. Pero instalar WordPress no hace que tu sitio cumpla el RGPD. En un sitio autoalojado (WordPress.org), tú como editor eres el responsable del tratamiento según el Reglamento General de Protección de Datos. WordPress.org solo proporciona el software; tu proveedor de alojamiento y cada uno de tus plugins actúan como encargados del tratamiento. Es a ti a quien la AEPD (Agencia Española de Protección de Datos) pedirá cuentas, y las multas pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual mundial.
Empieza analizando tu sitio gratis con nuestro escáner de conformidad RGPD para detectar los puntos a corregir. Este artículo explica qué hace y qué no hace WordPress por tu conformidad, las obligaciones que debes cumplir tú mismo, los errores más frecuentes y cómo poner tu sitio en regla rápidamente.
Qué hace WordPress (y qué no) por tu conformidad
Lo que WordPress proporciona
El núcleo de WordPress incluye algunas funciones relacionadas con la privacidad:
- Una plantilla de política de privacidad: un borrador genérico en Ajustes → Privacidad. Es un esqueleto básico, no adaptado a tu actividad.
- Herramientas de derechos: en Herramientas → Datos personales puedes exportar o borrar los datos de un usuario para atender solicitudes de acceso y supresión (artículos 15 y 17 del RGPD).
- Una casilla de consentimiento de comentarios: activada por defecto, pero solo afecta al almacenamiento de los datos del comentarista — no es un banner de cookies.
Lo que WordPress NO proporciona
WordPress es software libre: no firma ningún contrato contigo ni redacta tus textos legales. Lo siguiente es enteramente tu responsabilidad:
- Un contrato de encargado del tratamiento según el artículo 28 — proviene de tu proveedor de alojamiento y de cada plugin, no de WordPress.org.
- Un banner de cookies conforme (la casilla de comentarios no lo es).
- Tu política de privacidad personalizada, tu política de cookies, tus condiciones de uso, tus condiciones de venta y tu aviso legal (obligación de la LSSI-CE, artículo 10).
- La gestión del Consent Mode v2 de Google, ya imprescindible si usas Google Analytics 4 o Google Ads.
Las 5 obligaciones RGPD para tu sitio WordPress
1. Publicar una política de privacidad completa
Los artículos 13 y 14 del RGPD exigen una información transparente. Tu política debe detallar la identidad del responsable, las finalidades de cada tratamiento, las bases jurídicas, los destinatarios (tu proveedor de alojamiento y todos los plugins de terceros), los plazos de conservación y los derechos de las personas.
2. Implementar un banner de cookies conforme
Rechazar debe ser tan fácil como aceptar (botones «Aceptar» y «Rechazar» igual de visibles), los rastreadores no esenciales no deben instalarse antes del consentimiento, y el usuario debe poder cambiar su elección en cualquier momento. Si usas Google Analytics 4 o Google Ads, tu banner debe transmitir además el Consent Mode v2. En lugar de acumular plugins, puedes instalar nuestro banner de cookies RGPD gratuito — sin límite de páginas vistas ni suscripción.
3. Cartografiar tus plugins (tus encargados)
Cada plugin que accede a los datos de tus visitantes es un encargado del tratamiento adicional. Tu política de privacidad debe reflejarlos, y debes asegurarte de que cada uno ofrece garantías (contrato, ubicación de los datos). Esa es la particularidad de WordPress: la flexibilidad de los plugins es también tu principal superficie de riesgo.
4. Publicar tu aviso legal
El artículo 10 de la LSSI-CE obliga a todo sitio con actividad a publicar su aviso legal (identidad del titular, dirección, contacto, NIF). Su ausencia te expone a sanciones.
5. Llevar un registro de actividades de tratamiento
El artículo 30 del RGPD te obliga a documentar tus tratamientos: finalidades, categorías de datos, destinatarios y plazos de conservación.
Los errores más frecuentes en WordPress
- Confundir la casilla de comentarios con un banner de cookies: son cosas distintas. Sin un banner real, tus cookies de análisis y publicidad se instalan sin consentimiento válido.
- Instalar Google Analytics sin Consent Mode v2: GA4 deposita entonces rastreadores antes de cualquier consentimiento — una infracción directa.
- Dejar la política de privacidad por defecto: el esqueleto genérico no refleja ni tus tratamientos reales ni tus plugins.
- Instalar plugins y olvidarlos: cada plugin activo que conserva datos aumenta tu riesgo. Desinstala los que ya no uses.
- No firmar el contrato de tu proveedor de alojamiento: la relación de encargo debe regirse por el artículo 28.
- Formularios sin base jurídica: un formulario de contacto o de newsletter (Contact Form 7, WPForms…) necesita una base jurídica y un aviso de privacidad.
Los plugins de WordPress y el RGPD
El ecosistema de plugins es la gran ventaja de WordPress, pero cada plugin que toca datos de visitantes se convierte en encargado. Audita en prioridad:
- Formularios: Contact Form 7, WPForms — verifica la base jurídica y la conservación.
- Analítica: Google Analytics 4, Matomo — acopla con el consentimiento y el Consent Mode v2.
- Gestión de cookies: plugins dedicados como Complianz o CookieYes — comprueba que bloquean los scripts antes del consentimiento.
- E-commerce: WooCommerce añade los deberes de consumo (derecho de desistimiento, condiciones de venta).
- Newsletter y page builders: Mailchimp, Brevo, Elementor — cuidado con los scripts de terceros que cargan antes del consentimiento.
Muchos de estos plugins están editados por empresas estadounidenses: comprueba que las transferencias fuera de la UE están cubiertas por el Data Privacy Framework o por cláusulas contractuales tipo (Schrems II).
Cómo poner tu sitio WordPress en conformidad
Cuatro vías llevan a tus textos legales:
Recurrir a un abogado (500-2.000 €): a medida y experto, pero costoso y lento.
Usar plantillas gratuitas (0 €, riesgo alto): genéricas, a menudo obsoletas y nunca adaptadas a tus plugins ni a tu actividad.
Usar una IA genérica (ChatGPT): borradores plausibles que omiten cláusulas obligatorias y crean incoherencias entre tus documentos.
Usar un generador jurídico especializado (19,90 €-49,90 €): el generador de documentos legales de WebLegal produce tus 4 documentos (política de privacidad, cookies, condiciones de uso, condiciones de venta) en menos de 10 minutos, con coherencia garantizada. El formulario guiado pregunta por tus plugins, tus herramientas de analítica y tu actividad para producir documentos realmente adaptados a tu sitio WordPress.
¿Tienes una tienda online? Consulta también nuestras guías WooCommerce RGPD y PrestaShop RGPD.
Conclusión
Usar WordPress no te exime de tus obligaciones RGPD. Como responsable del tratamiento, debes garantizar que tu política de privacidad, tu banner de cookies, tus condiciones y tu aviso legal son conformes — y que tus plugins no depositan rastreadores antes del consentimiento. WordPress aporta piezas básicas, pero no bastan. En 2026, la conformidad ya no es opcional. No esperes a una sanción: genera tus documentos legales conformes para WordPress en menos de 10 minutos.
