Uno de los cambios más significativos introducidos por el Reglamento General de Protección de Datos (RGPD) fue la exigencia de un consentimiento válido que vaya mucho más allá de las antiguas prácticas habituales. Frente al modelo previo —en el que bastaba con una aceptación tácita, un simple clic en una casilla genérica (“He leído y acepto la política de privacidad”) o incluso la continuación en el uso de un sitio web—, el RGPD estableció criterios mucho más rigurosos: el consentimiento debe ser libre, específico, informado e inequívoco.

Este nuevo estándar supone un giro hacia una verdadera autonomía del usuario, que debe poder decidir de forma consciente y diferenciada sobre cada finalidad para la que se tratan sus datos. No basta ya con agrupar todas las finalidades —como marketing, análisis de perfil, cesiones a terceros o newsletters— en una sola aceptación genérica. De hecho, la Agencia Española de Protección de Datos (AEPD), en su reciente informe sobre políticas de privacidad en Internet, ha alertado de que muchas empresas siguen utilizando mecanismos de aceptación global, lo que incumple directamente el espíritu y la letra del RGPD y, en consecuencia, invalida jurídicamente el consentimiento obtenido.

¿Qué implica un consentimiento informado?

Para que el consentimiento sea considerado válido, el interesado debe recibir, previamente a su manifestación de voluntad, una información clara y comprensible sobre:

• La identidad y los datos de contacto del responsable del tratamiento;
• Las finalidades específicas para las que se recogen sus datos (por ejemplo, gestión de compras, envío de boletines, segmentación publicitaria, etc.);
• Los tipos de datos personales que se van a tratar;
• Su derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo;
• La posible existencia de decisiones automatizadas (como perfiles o scoring) que puedan afectarle;
• Y, en su caso, los riesgos derivados de transferencias internacionales de datos a países que no ofrecen un nivel adecuado de protección, tal como lo establece la normativa europea.

La AEPD recomienda que esta información esencial se incluya directamente en el formulario de recogida de datos, de forma resumida pero clara, evitando obligar al usuario a navegar por documentos largos o enlaces externos para comprender en qué está consintiendo. El resto de los detalles pueden ampliarse en la política de privacidad, pero la información clave debe estar accesible allí donde se da el consentimiento.

Facilitar la retirada del consentimiento: un derecho tan sencillo como su otorgamiento

Otro aspecto fundamental —y a menudo descuidado— es garantizar que el usuario pueda retirar su consentimiento con la misma facilidad con la que lo otorgó. Si basta con marcar una casilla o pulsar un botón para aceptar, no puede exigírselo rellenar formularios complejos, enviar burocracia por correo certificado o llamar por teléfono para deshacer esa decisión. La AEPD insiste en que las organizaciones deben proporcionar mecanismos accesibles y directos, como un enlace en el pie de los correos electrónicos, un formulario en línea o una dirección de correo electrónico específica, que permitan al usuario ejercer este derecho sin obstáculos.

En definitiva, el RGPD no solo reformuló legalmente el consentimiento, sino que lo convirtió en una herramienta real de empoderamiento del ciudadano frente al uso de sus datos personales. Las organizaciones que sigan aplicando prácticas obsoletas no solo corren el riesgo de sanciones, sino que erosionan la confianza de sus usuarios, en un contexto donde la transparencia y el respeto por la privacidad son ya valores estratégicos.

La entrada Políticas de privacidad bajo el RGPD: el consentimiento informado en la era digital 2 se publicó primero en Adaptación RGPD.

IMPORTANTE
Cuando los datos se recogen directamente, debe informarse al interesado en ese momento; si se obtienen indirectamente, la información debe facilitarse en un mes o en la primera comunicación.

La entrada Políticas de privacidad bajo el RGPD: el reto de informar de forma clara y comprensible (I) se publicó primero en Adaptación RGPD.

En este caso, en la sección de Guías y herramientas, encontramos una infografía relacionada con el consentimiento y el tratamiento de los datos personales de menores de edad. Los menores entre 14 a 18 años podrán otorgar el consentimiento por sí mismos, salvo que una norma específica exija la asistencia de los padres o tutores, por otro lado, para el tratamiento de los datos de menores de 14 años, el consentimiento será otorgado por su padres o tutores legales.

Estos serían los principales aspectos que el responsable ha de tener en cuenta para la obtención del consentimiento:

1º Antes de obtener el consentimiento tiene que proporcionar información básica (identidad, fines, destinatarios y ejercicio de derechos)

2º La solicitud del consentimiento se tiene que distinguir de los demás asuntos de una forma clara y de fácil acceso utilizando un lenguaje sencillo.

3º La prueba de la existencia del consentimiento le corresponde al responsable.

4º El interesado tendrá derecho a retirar su consentimiento en cualquier momento sin que afecte por ello al tratamiento de sus datos.

IMPORTANTE

El medio facilitado para retirar el consentimiento ha de ser igual de sencillo que el utilizado para darlo.

La entrada Información sobre consentimiento para tratar datos personales de menores de edad se publicó primero en Adaptación RGPD.

Listado de condiciones para el tratamiento basado en el consentimiento:

1º El responsable debe ser capaz de demostrar que obtuvo el consentimiento del interesado, por ejemplo, a través de una firma o marcando una casilla en blanco de un formulario.

2º Si en la declaración escrita, se recogen otros asuntos, el consentimiento se tiene que distinguir de éstos y se redactará de forma clara y sencilla para que sea comprendido perfectamente por el interesado.

3º Han de facilitarse los medios tanto para darlo como retirarlo en cualquier momento.

4º No podrá condicionar la ejecución de un contrato para que el afectado consienta el tratamiento de datos personales para finalidades que no guarden relación con dicho contrato

IMPORTANTE

Cuando el consentimiento se dé para una pluralidad de finalidades se hará constar de forma específica e inequívoca que dicho consentimiento se otorga para todas ellas.

La entrada El Consentimiento del Interesado en el RGPD (II) se publicó primero en Adaptación RGPD.

La entrada ¿Es posible tratar datos personales sin el consentimiento de su titular? se publicó primero en Adaptación RGPD.