Por qué los formularios son el primer punto de riesgo en protección de datos
Cualquier empresa que tenga una web tiene, como mínimo, un formulario de contacto. Y ese formulario recoge datos personales: nombre, correo electrónico, teléfono, a veces el mensaje completo del usuario. Según el RGPD, desde el momento en que una persona introduce esos datos, empieza un tratamiento que tiene que tener una base jurídica, un propósito definido y una información clara para el interesado.
La AEPD ha sancionado a empresas de todos los tamaños por no gestionar correctamente el consentimiento en formularios. No porque los datos fueran especialmente sensibles, sino porque la forma en que se pedían era incorrecta: casillas ya marcadas, información mezclada, ausencia de granularidad entre finalidades distintas o texto tan genérico que no permitía entender para qué se iban a usar los datos.
La diferencia entre base jurídica y consentimiento
Este es el primer punto donde muchas empresas se equivocan. Hay una tendencia a pensar que todos los formularios necesitan consentimiento. No es así.
El consentimiento (artículo 6.1.a RGPD) es solo una de las seis bases jurídicas que habilitan el tratamiento de datos. Para un formulario de presupuesto donde el usuario solicita activamente que te pongas en contacto con él, la base correcta puede ser la ejecución de un contrato o la adopción de medidas precontractuales (artículo 6.1.b). Para un formulario de reclamación que la empresa tiene que gestionar, puede ser una obligación legal.
Usar el consentimiento como base cuando la base correcta es otra tiene consecuencias: si luego el usuario retira su consentimiento, técnicamente ya no puedes tratar sus datos, aunque la relación comercial siga en curso. La base jurídica tiene que corresponderse con la realidad del tratamiento.
Cuándo sí se necesita consentimiento en un formulario
El consentimiento es la base adecuada cuando el tratamiento no puede justificarse por ninguna de las otras cinco bases y el usuario tiene una opción real de decir que no sin perder el servicio que solicita. Los casos más habituales:
Suscripción a un boletín informativo o newsletter. No hay ninguna relación contractual que lo justifique, así que el consentimiento es la única base posible. Y tiene que ser específico para esa finalidad.
Envío de comunicaciones comerciales por email, SMS o WhatsApp. La Ley de Servicios de la Sociedad de la Información (LSSI) exige consentimiento previo y específico para el envío de comunicaciones comerciales por medios electrónicos, salvo que la persona ya sea cliente de un producto o servicio similar al que se promociona.
Elaboración de perfiles comerciales o decisiones automatizadas. Si vas a usar los datos del formulario para clasificar leads, puntuar clientes potenciales o hacer campañas personalizadas, tienes que informarlo y obtener consentimiento.
Cesión de datos a terceros para fines propios de esos terceros. Si los datos van a ir a socios comerciales para que ellos también contacten al usuario, eso requiere consentimiento informado y específico.
Qué tiene que cumplir el consentimiento según el RGPD
El artículo 7 del RGPD establece las condiciones que tiene que reunir un consentimiento válido. Son cuatro:
Libre. El usuario tiene que poder negarse sin sufrir ningún perjuicio. Si condicionar el acceso a un servicio gratuito a la aceptación de comunicaciones comerciales, el consentimiento no es libre. La AEPD ha sido muy clara en que este tipo de “consentimiento o pago” no es válido en la mayoría de los casos.
Específico. Tiene que ser para una finalidad concreta, no para “usos varios” o “tratamientos relacionados con la empresa”. Si tienes tres finalidades distintas (contacto, newsletter y cesión a terceros), necesitas tres solicitudes de consentimiento separadas.
Informado. El usuario tiene que saber para qué da su consentimiento antes de darlo. No después, no en letra pequeña en otro documento, antes.
Sin ambigüedad. Tiene que ser una acción afirmativa clara: marcar una casilla que no estaba marcada, hacer clic en un botón de “acepto” específico para esa finalidad. No sirve el consentimiento tácito ni la inacción.
Los errores más frecuentes en formularios y cómo corregirlos
Casilla premarcada para la newsletter. Sigue siendo el error más común. Si la casilla de suscripción al boletín ya aparece marcada por defecto, el consentimiento no cumple el requisito de ser una acción afirmativa. La solución es obvia: la casilla tiene que aparecer sin marcar.
Consentimiento único para varias finalidades distintas. Una sola casilla que diga “Acepto el tratamiento de mis datos para contacto comercial, newsletter y transferencia a socios” mezcla finalidades que requieren consentimientos separados. Cada finalidad diferente necesita su propia casilla y su propio texto explicativo.
Texto del consentimiento demasiado genérico. Frases como “Acepto la política de privacidad” no informan de nada. El usuario tiene que saber qué acepta: envío de correos comerciales, registro en la base de datos con fines de prospección, o lo que corresponda.
Mezclar la base jurídica del formulario de contacto con el consentimiento para newsletter. Si el usuario rellena un formulario para solicitar un presupuesto (base: ejecución precontractual) y en el mismo formulario hay una casilla para suscribirse al boletín (base: consentimiento), son dos tratamientos distintos con dos bases distintas. Hay que dejarlos claros por separado.
No guardar evidencia del consentimiento. ¿Puedes demostrar que el usuario X marcó la casilla Y en la fecha Z? Si no tienes ese registro, en caso de reclamación no podrás acreditar el consentimiento. La AEPD puede pedir esa prueba.
Checkbox obligatorio para enviar el formulario. Si para enviar el formulario de contacto el usuario tiene que marcar la casilla de “acepto recibir comunicaciones comerciales”, ese consentimiento no es libre porque está condicionando el acceso al servicio de contacto.
Cómo redactar el texto del consentimiento
El texto junto a la casilla tiene que ser comprensible para cualquier persona, no para un abogado. Algunos ejemplos:
Para un formulario de contacto donde la base es la ejecución precontractual, no se necesita casilla de consentimiento, pero sí un texto informativo como: “Los datos que facilites se usarán para atender tu consulta. Puedes consultar nuestra política de privacidad para más información.”
Para la suscripción a newsletter: “Quiero recibir el boletín mensual con noticias y novedades sobre protección de datos.” (casilla sin marcar). El texto tiene que describir exactamente qué va a recibir el usuario y con qué frecuencia aproximada.
Para comunicaciones comerciales: “Acepto recibir información comercial sobre los servicios de [empresa] por correo electrónico.” (casilla sin marcar). Tiene que especificar el canal y el tipo de contenido.
Junto a cada casilla, conviene añadir un enlace a la política de privacidad para quien quiera más detalles, pero ese enlace no puede sustituir a la información mínima que tiene que aparecer en el propio formulario.
Plazo de conservación de los datos de formularios
Uno de los aspectos menos atendidos pero que la AEPD revisa es cuánto tiempo se guardan los datos recogidos en formularios. La respuesta no puede ser “para siempre” ni “mientras sean útiles”.
Para datos de contacto de un presupuesto que no se convirtió en cliente, el plazo razonable es el necesario para responder a la consulta más el tiempo de prescripción de posibles reclamaciones relacionadas (generalmente uno o dos años).
Para datos de suscriptores de newsletter que no han interactuado con ningún email en 24 meses, es buena práctica hacer una limpieza y no mantenerlos indefinidamente. Además de ser mejor práctica de higiene de base de datos, reduce el riesgo de sanción.
Los datos de solicitudes de derechos (acceso, supresión, etc.) tienen que conservarse el tiempo suficiente para acreditar que se atendieron, que puede ser de tres años dado el plazo de prescripción de infracciones del RGPD.
Formularios de menores de edad
Si tu web puede ser usada por menores y tus formularios pueden recibir datos de ellos, tienes que adaptar el tratamiento. En España, la edad mínima para prestar consentimiento en materia de datos personales es 14 años, según el artículo 7 de la LOPDGDD.
Para menores de 14 años, el consentimiento tiene que ser prestado por los padres o tutores. Si no puedes verificar la edad del usuario, tienes que diseñar el formulario y el proceso para que quede claro que no está dirigido a menores y añadir algún mecanismo de verificación si el servicio puede llegar a ellos.
Doble opt-in: cuándo es obligatorio y cuándo es recomendable
El doble opt-in es el proceso por el que, después de marcar la casilla de suscripción, el usuario recibe un email de confirmación que tiene que abrir y confirmar. El RGPD no lo exige expresamente, pero la AEPD lo recomienda porque genera evidencia del consentimiento y verifica que el email es válido y del titular.
Desde el punto de vista práctico, el doble opt-in protege a la empresa en caso de reclamación y también mejora la calidad de la lista de suscriptores, porque elimina errores de escritura y direcciones inventadas.
Formularios en redes sociales y aplicaciones
Los formularios integrados en redes sociales (Meta Lead Ads, LinkedIn Lead Gen Forms) tienen sus propias implicaciones. Aunque la plataforma gestiona la recogida, el responsable del tratamiento sigues siendo tú, y tienes que asegurarte de que los textos informativos y las opciones de consentimiento del formulario cumplen con el RGPD.
Las integraciones automáticas que envían esos contactos directamente a tu CRM necesitan un contrato de encargo del tratamiento con la plataforma, o verificar que el contrato que ya tienes cubre ese flujo de datos.
En aplicaciones móviles, los formularios de registro o contacto tienen las mismas obligaciones que en web. Y si la app recoge más datos que los estrictamente necesarios para el fin declarado, eso viola el principio de minimización de datos.
Lista de verificación rápida para tus formularios
Antes de dar por válido un formulario, conviene comprobar que cumple con estos puntos: los campos recogidos son los mínimos necesarios para el fin; hay información clara sobre quién es el responsable del tratamiento y para qué se usan los datos; si se usa el consentimiento como base, las casillas no están premarcadas; hay una casilla separada por cada finalidad diferente; los datos se guardan durante un plazo razonable y definido; existe un mecanismo para retirar el consentimiento fácilmente; hay un enlace a la política de privacidad; y si el formulario puede recibirlos, se ha considerado el tratamiento de datos de menores.
La AEPD tiene en su web el “Facilitador de cumplimiento”, una herramienta gratuita que ayuda a verificar si el tratamiento de datos en formularios cumple con el reglamento. Vale la pena usarla como segundo criterio además de la revisión interna.
]]>
